Dankzij het beveiligingsgat in de NYC Subway kunnen gebruikers reizen volgen met kaarten
Een recente ontdekking door 404 Media heeft een aanzienlijk beveiligingslek in het contactloze betalingssysteem in de metro van New York City aan het licht gebracht, waardoor de privacy van passagiers mogelijk in gevaar komt. Door de fout kunnen personen die over de creditcardgegevens van een passagier beschikken, toegang krijgen tot hun reisgeschiedenis, wat volgens Finextra zorgen baart over het ongeoorloofd volgen van reizen.
De fout komt voort uit een functie op de OMNY-website van de Metropolitan Transportation Authority (MTA), ontworpen om gebruikers een gemakkelijke manier te bieden om toegang te krijgen tot hun zevendaagse ritgeschiedenis. Het is verontrustend dat deze functie niet vereist dat gebruikers een account hebben dat is beveiligd met een pincode of wachtwoord; in plaats daarvan wordt toegang verleend door simpelweg de kaartgegevens in te voeren die aan het account van de rijder zijn gekoppeld.
Opmerkelijk is dat dit beveiligingslek gevolgen heeft voor verschillende vormen van betaling, zowel voor reguliere kaarttransacties als voor mobiele betalingsplatforms zoals Apple Pay en Google Pay. Bij de laatste twee methoden wordt doorgaans gebruik gemaakt van tokenized nummers om de veiligheid voor verkopers te vergroten, maar in dit geval zijn ze ook kwetsbaar voor uitbuiting.
Eva Galperin, directeur cyberbeveiliging bij de Electronic Frontier Foundation, benadrukte de mogelijkheid van misbruik in een dergelijke situatie. Ze wees erop dat hoewel de fout vooral aantrekkelijk kan zijn voor individuen die in de buurt van hun slachtoffers zijn, zoals samenwonenden of mensen met korte toegang tot hun portemonnee, het toch een substantiële bedreiging vormt voor de privacy en veiligheid van motorrijders.
Eugene Resnick, een woordvoerder van de MTA, reageerde op de ontdekking door te stellen dat het bureau zich blijft inzetten voor het verbeteren van de privacymaatregelen voor zijn rijders. Hij verzekerde het publiek dat de MTA dergelijke zorgen serieus neemt en actief op zoek zal gaan naar de input van veiligheidsexperts om mogelijke verbeteringen te onderzoeken om deze kwetsbaarheid aan te pakken.
Terwijl de MTA worstelt met dit beveiligingslek, worden rijders aangespoord waakzaam te blijven over hun financiële informatie en persoonlijke gegevens. Het incident onderstreept de voortdurende behoefte aan strenge veiligheidsmaatregelen op het gebied van contactloze betalingen, vooral omdat openbaarvervoersystemen hun betalingssystemen voor tarieven blijven moderniseren.
In het licht van deze onthulling wordt het duidelijk dat een alomvattende herziening van de OMNY-website en betalingsinfrastructuur van de MTA noodzakelijk is om dit probleem recht te zetten en toekomstige inbreuken op gevoelige informatie te voorkomen. Omdat de MTA ernaar streeft de privacy en veiligheid van haar deelnemers te waarborgen, zullen samenwerking met cybersecurity- experts en voortdurende inspanningen om hun beveiligingsprotocollen te versterken van cruciaal belang zijn in de toekomst.