Betrüger*innen könnten mit wenig Vorarbeit in wenigen Sekunden Geld von iPhones über Apple Pay stehlen.

So funktioniert der Hack

Der Tech-YouTuber MKBHD zeigt in einem Video auf dem YouTube-Kanal Veritasium wie er in wenigen Sekunden 10.000€ von einem gesperrten iPhone über Apple Pay abbucht. Dazu benötigt er ein NFC-Lesegerät, das online günstig erworben werden kann, einen Laptop, auf dem ein Python-Skript ausgeführt wird und ein zweites Smartphone. Zuerst muss das iPhone des Opfers für wenige Sekunden in Kontakt beziehungsweise in unmittelbare Nähe des NFS-Lesegeräts gebracht werden. Parallel dazu wir wird auf dem Laptop ein Skript aus geführt, welches die Transaktionsdaten verarbeitet und einen für die Transaktion notwendigen Code an das zweite Smartphone des Betrügers weitergibt. Mit dem zweiten Smartphone kann nun kontaktlos bezahlt werden oder in diesem Fall: Geld gestohlen werden. Das Ganze funktioniert in Echtzeit – iPhone Besitzer*innen erhalten sofort eine Bestätigung der Überweisung.

Expressmodus für Zahlungen im öffentlichen Nahverkehr als Ursache

Möglich ist dieser Hack, wenn auf dem iPhone für Zahlungskarten der sogenannte „Expressmodus“ aktiviert ist und dafür eine Visa-Karte genutzt wird. Der Expressmodus ist dafür gedacht im öffentlichen Nahverkehr schnell und unkompliziert, ohne das Handy entsperren zu müssen, Tickets zu bezahlen. Was eigentlich für kleine Beträge gedacht ist, kann in diesem Fall aber für Überweisungen hoher Summen ohne Freigabe durch Nutzende missbraucht werden.

Echte Gefahr oder theoretische Spielerei?

Es ist erschreckend wie schnell und mit wie wenig Aufwand hier 10.000€ (oder mehr) gestohlen werden könnten. Diese Schwachstelle von Apple Pay und Visa ist unserer Einschätzung nach ein echtes Problem, die Gefahr für Verbraucher muss jedoch separat bewertet werden. Um hiermit – wie im Hollywood-Film – in Sekunden Geld zu stehlen müssen einige Voraussetzungen gegeben sein:

• Opfer müssen ein iPhone mit aktiviertem Expressmodus und hinterlegter Visa-Karte nutzen
• Betrüger müssen mehrere Sekunden unbemerkt das Lesegerät an das iPhone halten können
• Eine 2. Person muss parallel dazu das Skript ausführen und mit dem 2. Smartphone „einkaufen“

Dass man so als Person in der Öffentlichkeit bestohlen wird ist zwar theoretisch möglich, in der Praxis aber schwierig zu koordinieren und realisieren ohne, dass das Opfer davon etwas bemerkt. Wirklich gefährlich ist unter Umständen der Verlust beziehungsweise Diebstahl eines iPhones, welches für den Hack anfällig ist. Hier könnten Betrüger*innen in Ruhe und ohne die Notwendigkeit das Handy zu entsperren Geld stehlen.