Nieuwe vorm van fraude treft Apple Pay

Criminelen kopen cadeaukaarten van gestolen geld

Motherboard schrijft over deze nieuwe vorm van fraude, die zowel Apple Pay als Google Pay en Samsung Pay treft. Met de gestolen nummers van creditcards, debitcards en bankpassen kunnen ze vervolgens grof geld uitgeven. Apple Pay zou daarbij het makkelijkst te hacken zijn, dankzij een recent ontwikkelde tool waarmee het gemakkelijk is om de multifactor authenticatiecodes van een slachtoffer te stelen. De criminelen kopen vooral cadeaukaarten (‘giffys’) en prepaid VISA-kaarten, omdat die weer gemakkelijk kunnen worden doorverkocht en moeilijker te traceren zijn dan een dure aankoop Ferrari.

Bij Apple Pay en soortgelijke betaalmethoden kun je zonder pincode contactloos betalen. Na het koppelen van de creditcard kun je betalen met een vinger- of gezichtsscan of een ontgrendelde Apple Watch om je pols. Betalen is op die manier veilig, maar criminelen hebben nu een loophole ontdekt. Het blijkt mogelijk om de creditcard van iemand anders met hun eigen iPhone te koppelen.

De hack gaat als volgt te werk: de eigenaar van de bankpas of creditcard ontvangt een eenmalige code van de bank. Die code moet worden ingevoerd om Apple Pay te activeren. De code wordt echter onderschept door de crimineel, hetzij via een sms-bericht of met een telefoontje. De hacker kan vervolgens jouw betaalkaart aan een ‘vreemde’ iPhone koppelen. Van sms is bekend dat het een onveilige vorm van communicatie is, maar toch maken veel bedrijven er nog gebruik van. De hack werkt zodanig dat je er als gebruiker er niets van merkt.

Weinig antifraude-maatregelen bij Apple Pay

Een beveiligingsonderzoeker vertelde Motherboard dat er nauwelijks anti-fraude maatregelen zijn bij mobiele betaalmethoden zoals Apple Pay. Als je met een normale (Amerikaanse) creditcard opeens voor tienduizend dollar iets in Thailand koopt, gaan er alarmbellen af. Maar bij Apple Pay en Google Pay is dat niet het geval. Wells Fargo, een Amerikaanse bank, zegt echter dat alle controles die voor fysieke kaartbetalingen gelden, ook gelden voor contactloze betalingen. Maar daarbij doelen ze waarschijnlijk op contactloze betalingen met de fysieke kaart, want ze hebben geen zicht op details van de betalingen die met Apple Pay zijn gedaan. Wel zouden ze kunnen ingrijpen als er opeens veel grote bedragen worden uitgegeven.

Een probleem met Apple Pay is dat er geen pincode of pasnummer hoeft te worden ingevoerd bij het toevoegen van een kaart. En bij het afrekenen met Apple Pay krijgt de caissière niet de naam van de kaarthouder te zien. Een Aziatische naam bij een persoon met een niet-Aziatisch uiterlijk zou dan de aandacht trekken. Ook hoef je je bij Apple Pay niet te identificeren, om te bewijzen dat jij echt de kaarthouder bent.

“Apple heeft een ideaal betaalsysteem ontwikkeld waarbij ze geen betaaldata ontvangen. Ze controleren niets, ze zenden alleen alles naar VISA en Mastercard”, aldus de eerder geraadpleegde beveiligingsonderzoeker. Een hoop informatie komt niet bij de uitgevende bank terecht, terwijl die bank juist wel verantwoordelijk is voor anti-fraude maatregelen.

Wat is het gevaar voor jou?
Ook in Nederland is deze vorm van fraude mogelijk. Onder andere ING en American Express sturen de bevestigingscode via sms of contact via telefoonnummer bij het toevoegen van een nieuwe kaart. Ook lijkt Apple geen controles te hebben op onregelmatigheden. Als je met je Nederlandse creditcard opeens een grote uitgave in het buitenland doet, hangt de kaartuitgever al snel aan de lijn om te controleren of het wel klopt. Via Apple Pay kan dat niet, omdat ze de details van de transactie niet kunnen zien.

Wel gelden er limieten: bij ING kun je bijvoorbeeld €2500 per rekening per dag uitgeven. Dit geldt per rekening, niet per toestel. Dit is een bedrag waar iedereen van zal wakker liggen als het dagelijks van je rekening verdwijnt.

Het maakt daarbij niet uit of je in Nederland of in het buitenland betaalt. Het maakt ook niet uit of je dit online of contactloos doet. Deze Apple Pay limiet staat los van je plastic betaalpas en is niet-wijzigbaar.

Wat kun je ertegen doen?
De enige manier om deze fraude snel op het spoor te komen is om je uitgaven met Apple Pay in de gaten te houden. Zorg ervoor dat je meteen een melding krijgt als er een uitgave met je creditcard is gedaan. Je kunt dit aangeven in de Wallet bij de instellingen van de kaart. Met ‘Sta meldingen toe’ zorg je dat je een notificatie krijgt als jijzelf of een huisgenoot een uitgave heeft gedaan met Apple Pay met de specifieke kaart. Je ziet dan ook meteen of er een verdachte aankoop bij zit.
Mocht dit gebeuren, neem dan meteen contact op met je bank of creditcardmaatschappij, zodat zij de kaart kunnen blokkeren.

Een voor de hand liggend advies is dat je telefonisch geen pasnummers, authenticatiecodes of andere details moet afgeven, ook als de persoon aan de andere kant van de lijn beweert van de bank te zijn.

Kijk bovendien eens goed naar je Apple Pay betaallimiet en check hoe het zit met de privacy en beveiliging van Apple Pay.

Bekijk ook

Apple Pay en privacy: zo zit het met de beveiliging van Apple’s betaaldienst

Hoe zit het met Apple Pay en privacy? Weet Apple precies hoeveel je uitgeeft en wat je koopt? Of zijn al je gegevens veilig? En wat gebeurt er als je toestel met Apple Pay gestolen is? In dit artikel lees je alles over de privacy en beveiliging bij Apple Pay.