De acuerdo con The Verge, durante una presentación realizada en Defcon se demostró que Samsung Pay presenta vulnerabilidades que permitirían el drenaje de fondos de la tarjeta de crédito.
La demostración estuvo a cargo de Salvador Mendoza, un hacker que asegura que el proceso de tokens, (pasar los números de las tarjetas y transacciones), es fácil de copiar o predecir, lo que hace que un hacker puede hacerse con los datos y copiarlos para utilizarlos en otro sistema y así suplantar la tarjeta con los posibles gastos que se podrá hacer a través de ella.
El hueco de seguridad aprovecha el sistema de generación de Tokens en Samsung Pay, que funcionan como unidades de créditos para realizar las transacciones. El problema, según se expone, es que el sistema de generación de cada Token en realidad es limitado y predecible en el orden de su secuencia, por lo que podría vulnerarse este sistema para generar más, tomando recursos de la tarjeta vinculada en el dispositivo.
Por su parte, la empresa rechazó la teoría de Mendoza enfatizando que su aplicación no utiliza el algoritmo que señala el hacker para encriptar las credenciales de pago. Sin embargo, en un FAQ adjunta, la compañía admite que en ciertos escenarios un atacante podría descremada testigo de pago de un usuario y realizar una compra fraudulenta con su tarjeta.
