Il buco di sicurezza della metropolitana di New York consente agli utenti di tracciare i viaggi con le carte
Una recente scoperta di 404 Media ha evidenziato una significativa falla di sicurezza nel sistema di pagamento contactless della metropolitana di New York, che mette potenzialmente a repentaglio la privacy dei passeggeri. La falla consente alle persone dotate dei dettagli della carta di credito di un passeggero di accedere alla cronologia dei viaggi, sollevando preoccupazioni sul tracciamento non autorizzato dei viaggi, secondo Finextra .
Il difetto deriva da una funzionalità all'interno del sito Web OMNY della Metropolitan Transportation Authority (MTA), progettata per fornire agli utenti un modo conveniente per accedere alla cronologia delle corse di sette giorni. In modo inquietante, questa funzionalità non richiede agli utenti di avere un account protetto da PIN o password; l'accesso avviene invece semplicemente inserendo i dati della carta associata all'account del pilota.
Sorprendentemente, questa lacuna nella sicurezza colpisce varie forme di pagamento, comprese le normali transazioni con carta e le piattaforme di pagamento mobile come Apple Pay e Google Pay. Gli ultimi due metodi utilizzano in genere numeri tokenizzati per migliorare la sicurezza dei commercianti, ma in questo caso sono anche vulnerabili allo sfruttamento.
Eva Galperin, direttrice della sicurezza informatica presso la Electronic Frontier Foundation, ha sottolineato il potenziale di abuso in una situazione del genere. Ha sottolineato che, sebbene il difetto possa essere particolarmente attraente per le persone che sono vicine alle loro vittime, come i conviventi o coloro che hanno un breve accesso ai loro portafogli, rappresenta comunque una minaccia sostanziale alla privacy e alla sicurezza dei motociclisti.
Eugene Resnick, portavoce della MTA, ha risposto alla scoperta affermando che l'agenzia resta impegnata a rafforzare le misure sulla privacy per i suoi ciclisti. Ha assicurato il pubblico che la MTA prende sul serio tali preoccupazioni e cercherà attivamente il contributo degli esperti di sicurezza per esplorare potenziali miglioramenti per affrontare questa vulnerabilità.
Mentre l’MTA è alle prese con questa mancanza di sicurezza, i riders sono invitati a rimanere vigili sulle loro informazioni finanziarie e sui dati personali. L’incidente sottolinea la continua necessità di rigorose misure di sicurezza nel campo dei pagamenti contactless, in particolare perché i sistemi di trasporto pubblico continuano a modernizzare i propri sistemi di pagamento delle tariffe.
Alla luce di questa rivelazione, diventa evidente che è necessaria una revisione completa del sito web OMNY e dell'infrastruttura di pagamento dell'MTA per correggere questo problema e prevenire future violazioni di informazioni sensibili. Poiché l’MTA mira a garantire la privacy e la sicurezza dei suoi ciclisti, la collaborazione con gli esperti di sicurezza informatica e gli sforzi continui per rafforzare i loro protocolli di sicurezza saranno fondamentali per il futuro.