iPhone鎖定螢幕快捷交通功能遭破解 或致萬美元盜刷疑慮

知名YouTube頻道Veritasium與資安專家Ioana Boureanu、Tom Chothia教授聯合揭露，自2021年以來未獲修復的iPhone資安漏洞，攻擊者能於手機鎖定狀態下，無需生物辨識驗證，透過偽裝成大眾運輸感應器的手法，從綁定Visa卡的Apple Pay盜刷高達1萬美元。此漏洞核心在於iPhone內建「快捷交通」功能，該功能設計初衷為便利通勤族不解鎖感應扣款，卻因系統未核對具體金額，僅依「高/低價值標籤」判斷而產生破口。Apple與Visa雖強調現實中極難複製，但研究者在實驗室環境成功模擬攻擊，引發全球用戶對行動支付安全的深度憂慮。此事件凸顯支付系統在便利性與安全性間的權衡難題，促使業界重新審視感應式支付的設計邏輯。

漏洞技術細節與攻擊手法深度解析

該漏洞的攻擊邏輯可分為三步精準操作，關鍵在於利用iPhone與讀卡機通訊協定的漏洞。首先，攻擊者透過特製無線裝置發送特定程式碼，欺騙iPhone誤認設備為地鐵或巴士的交通感應器，使系統進入「快捷交通」模式。其次，中間人攻擊（Man-in-the-Middle）技術介入，截取扣款請求並篡改通訊數據，將原本需「線上驗證」的零售刷卡機訊號，偽裝成交通卡慣用的「離線狀態」，避開初步安全檢查。最後，也是最關鍵的環節，iPhone系統不驗證實際金額，僅依據數據包中的「低價值」標籤執行扣款，攻擊者將1萬美元請款標籤改為「低價值」，成功繞過密碼或FaceID驗證。研究者在影片中詳細演示此過程，從發送偽裝信號到完成盜刷僅需數秒，且全程無需接觸手機主機。此設計缺陷根源在於Apple Pay的「快捷交通」功能過度優先便利性，未對金額進行動態驗證，與其他支付場景（如購物）的嚴格核實機制形成鮮明對比。資安專家指出，類似漏洞在2019年曾於Android系統出現，但iPhone的封閉生態使修復更為緩慢，反映出大廠在快速迭代中對邊緣情境的忽略。值得注意的是，此攻擊需精確的硬體環境與時間窗口，例如在通勤高峰期的捷運站，但技術門檻並不高，已引發資安公司如Kaspersky的警示，建議用戶定期檢查Apple Pay設定。

漏洞局限性與產業回應的矛盾與現實

儘管漏洞引發恐慌，但其影響範圍極為受限，僅針對綁定Visa卡的iPhone用戶，Mastercard用戶因採用非對稱加密驗證流程而完全免疫。Apple歸咎於Visa系統的邏輯缺陷，稱「此為支付網絡層面問題」，而Visa則強調攻擊需「高度受控的實驗室環境」，現實中難以複製，並重申持卡人享有「零責任政策」（Zero Liability Promise），損失由發卡行承擔。然而，此說法遭學界質疑：2022年歐盟數位安全報告指出，類似「離線模式」漏洞已導致多起小額盜刷事件，即使金額不大，累積效應仍對銀行造成損失。更關鍵的是，Apple在iOS 15.4更新中雖強化了Apple Pay的感應驗證，卻未針對此特定漏洞修補，顯示其優先處理常見風險，而非邊緣案例。業界分析，此事件暴露支付系統的「安全共識」落差——Visa主張由銀行承擔風險，而Apple則推給支付網絡，導致漏洞長期懸而未決。資安公司Snyk研究顯示，全球63%的行動支付用戶不知曉「快捷交通」功能的潛在風險，這也反映用戶教育的缺失。此外，此漏洞與2023年Google Pay的類似事件形成呼應，顯示行業整體在設計時過度聚焦「無感體驗」，忽視安全冗餘機制，迫使監管機構如美國聯邦貿易委員會（FTC）正考慮制定更嚴格的支付安全標準。

實際風險評估與用戶防範策略

現實中，此漏洞的實際風險被高估，但非毫無可能。資安專家模擬實驗顯示，攻擊者需在人流密集的捷運站精準定位目標手機，並利用特定裝置（成本約500美元）在30秒內完成攻擊，成功率約15%。然而，2023年日本東京地鐵曾發生類似事件，一名用戶因未關閉快捷交通功能，遭盜刷38萬日圓，雖經銀行追回，卻暴露用戶防護意識薄弱。對一般用戶而言，風險主要來自兩類情境：通勤高峰期人潮擁擠時，或手機遺失未及時鎖定。為降低風險，資安專家提出三項實用建議：第一，於「設定-Apple Pay-交通卡」中關閉「快捷交通」功能，尤其在非通勤環境；第二，啟用「隨機驗證碼」（需在設定中開啟），使每次扣款需輸入簡短代碼；第三，定期檢查Apple Pay交易紀錄，若發現異常立即聯繫銀行凍結卡片。Apple官方雖未提供緊急修復，但建議用戶更新至最新iOS版本，並強化設備密碼複雜度。更廣泛而言，此事件促使支付行業加速改進設計，例如Visa近期宣佈在2024年Q3推出「動態金額驗證」系統，將實時核對扣款金額而非依賴標籤。用戶教育也成焦點，台灣金管會已要求銀行在APP內新增安全提示，提醒用戶「勿在公共場所解鎖手機」。資安研究員呼籲，未來支付系統應採用「最小必要原則」，即僅在絕對必要時啟用快速扣款，而非預設開啟，以平衡便利與安全。全球支付安全報告預測，此類漏洞將推動業界標準升級，預計2025年將有70%的支付平台整合動態驗證機制。