Samsung Payのセキュリティに関する初期検証

3月初めにバルセロナで開催されたMobile World Congressで、Androidスマートフォンの最大手、Samsungはモバイル決済プラットフォームSamsung Payを発表しました。その名前から、同社最大のライバルが開発したモバイル決済プラットフォーム、Apple Payと比較されるのはほぼ間違いないでしょう。ですが、Samsung PayはMagnetic Secure Transmission（MST）というApple Payにはない方式を採用しています。

実際にMSTを開発したのはLoopPayという企業です。2月中旬、SamsungはひそかにLoopPayを買収しました。Apple Payを利用できるのは、近距離無線通信（NFC）に対応したPOS端末の導入店舗に限られます。一方、Samsung PayがMST方式を採用したとなれば、既存の磁気ストライプ読み取り型のPOSシステムに対応可能ということです。もちろん、磁気ストライプリーダーは決済端末の大部分を占め、チップアンドピン（EMV）カードの導入が遅れている米国で特に多く利用されています。また、Samsung PayはNFCにも対応していると伝えられているものの、この新型決済アプリについてSamsungは固く口を閉ざしています。

Kaspersky Daily（当ブログ）で、AppleかSamsungかという果てしない議論に首を突っ込むつもりはありません。いつものことですが、新しい（しかも、人気の出そうな）決済サービスのセキュリティ対策に大きな関心を寄せているのです。MSTのセキュリティやSamsung Payの仕組み全般に関する調査はあまり公表されていないため、LoopPayに着目することにしました。Samsung Payに組み込まれるテクノロジーについて、Samsungがどのように語っているか見てみましょう。

リリース前のSamsung Payの #セキュリティ について、現時点でわかっていること

Tweet

まず、MSTは、誘導ループに交流電流を流し、動的な磁場を発生させることで動作します。この磁場は、利用者の指定した期間が経過すると変化します。磁気カードストライプリーダー（差し込まれたクレジットカードやデビットカードを読み取る装置のようなもの）から7.5㎝以内の位置にデバイスがあれば、この磁場が認識されます。

従来のクレジットカードやデビットカードと同様、この磁場には決済情報が含まれます。この磁場は利用者が指定した期間のみ存在し、7.5㎝以上離れるとすぐに消滅します。つまり、攻撃者は決済処理中の利用者に相当接近しなければ、決済データを盗めないのです。このテクノロジーによって、従来のカード決済モデルのセキュリティがどのように強化されるのか、あるいは実際強化されるのか、明らかではありません。ですが、否定的に考えた方がよいかもしれません。

LoopPayアプリでは、デバイスから常に磁場を出す、一切出さない、一定の期間のみ出す（10分や8時間など）を利用者が選択できます。LoopPayには、決済情報の送信ボタンの付いた、取り外し可能なハードウェアがあるとみられます。つまり、このサービスを利用するには、一定時間に決済情報を送信するようデバイスを設定してから、物理的にボタンを押す必要があります。

Samsungは、MSTハードウェアと送信ボタンをすべてSamsung Pay対応デバイスに組み込むと思われます。確認のためSamsungに問い合わせてみましたが、リリース間近の決済プラットフォームについて、あまり話してくれませんでした。

しかし、Samsungのプレスリリースによると、画面の下部から上に向かってスワイプするだけで、Samsung Payアプリを起動できるということです。それから、Samsung Payウォレットに登録済みのカードから決済方法を選択し、デバイスに組み込まれている指紋スキャナーで決済を認証します。興味深いことに、Samsungの安全なKnoxサブOSによってSamsung Payのセキュリティがどのように強化されているかも、このプレスリリースでそれとなく触れていました。

将来、さらに安全性の高いチップアンドピンテクノロジーが組み込まれたら、磁気ストライプリーダーに依存するテクノロジーの導入にどのような影響を及ぼすのか、まだはっきりしません。LoopPayには、EMV関連の質問だけを集めたFAQセクションがあります。MSTはチップアンドピンと同じくらい安全という見解のようです。特に2015年末までにチップアンドピンを完全導入するという米国の動きを考えると、Samsungが他にも何か計画しているか気になるところです。

EMVをSamsung Payに組み込めなければ、Samsungは単に、時代遅れかつ安全でない決済手段を未来に押し付けることになります。そのうえ、LoopPayは、磁気ストライプリーダーが生き残るかどうかの賭けに出ているように見えます。また、米国でチップアンドピンがどのくらい急速に普及するか、あるいは、他の決済方式が登場して、現在の仕組みが崩壊することになるのか、知る手立てはありません。

さらに深刻な問題は実装です。OSからネット接続型のサーモスタットまで、あらゆるものにバグはついて回ります。この夏に予定されている、韓国と米国での正式リリースを待つしかないでしょう。Samsung Payが一般市場に登場すればセキュリティリサーチャーや攻撃者はバグ探しに乗り出すでしょうから、それについてはここで報告します。

もう1つ注目すべきは、Androidのオープン性と76.6%という市場シェア（この2つは、Androidが他のOSよりも犯罪者に狙われる理由です）によって、詐欺師はApple PayよりSamsung Payに魅力を感じるおそれがあることです（今月、Apple Payはややレベルの低い詐欺行為の被害にあいましたが）。