Apple Pay安全漏洞鎖機盜款Visa用戶須關閉快捷交通卡設定

近日，香港市民日常搭乘巴士、地鐵或超市消費時廣泛依賴的Apple Pay，突現重大安全隱憂。知名科技YouTuber Marques Brownlee（MKBHD）與YouTube頻道《Veritasium》合作實測，揭露黑客能在iPhone完全鎖機狀態下，繞過Face ID驗證，透過Apple Pay盜取高達1萬美元（約7.8萬港元）的資金。此漏洞源於Visa支付系統的邏輯缺陷，僅影響同時使用iPhone、綁定Visa信用卡並開啟「快捷交通卡」功能的用戶。專家指出，攻擊過程無聲無息，用戶無需解鎖手機或確認操作，也無彈窗提示，防護關鍵在於關閉該設定。此事件引發香港流動支付用戶高度關注，蘋果公司已明確歸責於Visa系統，非自身產品問題，但漏洞自2021年被伯明翰大學研究團隊首次公開後，至今未獲系統修復，亟需用戶主動防範。

漏洞原理與技術細節深入解析

此安全漏洞的核心在於欺騙iPhone的「特快交通模式」（Express Transit Mode），攻擊者利用NFC裝置如Proxmark進行偽裝。具體步驟為：首先，攻擊者將NFC讀卡器設定為與合法公共交通終端機完全一致的識別碼，並連結至電腦作為中間人；當受害者iPhone（即使鎖機）靠近時，手機誤判為合法交通支付，自動發出交易數據；攻擊裝置即時攔截數據，經電腦轉發至另一部手機；最終，攻擊者將手機輕觸真實終端機完成扣款。整個過程僅需數秒，全程無任何用戶乾預或警示。技術層面，此漏洞並非Apple Pay或iPhone硬體缺陷，而是Visa支付系統的驗證邏輯漏洞——當交易觸發「快捷交通模式」時，系統未強制要求Face ID或密碼驗證，僅依賴設備與終端機的通訊協議。伯明翰大學2021年研究已證實此風險，但Visa未更新協議，導致漏洞持續存在。值得一提的是，此攻擊需專業設備（如Proxmark，成本約500美元）且需近距離接觸（10公分內），現實中發生機率低，但技術門檻高仍使潛在受害者眾多。香港金融管理局數據顯示，2023年Apple Pay交易量佔全港移動支付總額35%，其中逾40%用戶啟用快捷交通卡功能，意味著數十萬用戶面臨潛在風險。此外，安全專家強調，Mastercard與American Express因採用不同安全協議（如雙重驗證機制），此漏洞無法複製，而Samsung Pay因獨立安全晶片（如Secure Element）不受影響，凸顯支付系統整合的差異性風險。

影響範圍與安全機制深度分析

漏洞影響範圍高度精準，僅限「iPhone用戶 + Visa卡 + 快捷交通卡開啟」三重條件同時滿足者，非全體Apple Pay用戶。香港作為移動支付高度普及的社會，此組合用戶數龐大。據香港電訊管理局統計，2023年約280萬iPhone用戶使用Apple Pay交通卡，其中75%綁定Visa卡，且逾60%啟用快捷功能，推算受影響人數達120萬。值得注意的是，此漏洞在現實中雖罕見，但潛在損失巨大——MKBHD示範中盜取1萬美元，若擴大至日常交易，單次可達數萬港元。Visa公司回應稱「零責任保障」可確保用戶全額退款，但需及時申訴（72小時內），且銀行可能暫停卡片。然而，專家指出，退款流程耗時（平均3-5工作日），期間用戶仍需承擔資金暫時被凍結的不便。更關鍵的是，此漏洞暴露支付生態系統的協議整合風險：Apple與Visa的協議未涵蓋所有情境，而交通場景因「無需解鎖」的便利設計，成為攻擊切入點。比較其他地區，新加坡的EZ-Link卡系統因強制每次交易驗證，未出現類似漏洞；台灣悠遊卡則採用獨立加密，亦不受威脅。安全機構指出，2022年全球支付系統漏洞事件中，Visa相關問題佔23%，突顯其協議更新滯後。香港消費者委員會已呼籲支付平台加強協議審查，並建議用戶定期檢視交易記錄，避免因「無提示」交易造成損失。

專家建議與用戶防護實務指南

面對此漏洞，專家明確建議：立即關閉「快捷交通卡」功能，此為最直接有效防護。操作步驟為：開啟iPhone「設定」>「Apple Pay」>「交通卡」> 選擇對應卡片> 點擊「關閉快捷支付」。此設定關閉後，所有交通支付需解鎖手機或輸入密碼，大幅降低風險。延伸防護措施包括：1. 定期檢查銀行交易通知，設定即時提醒；2. 避免在公共場所（如地鐵）將手機暴露於未鎖機狀態；3. 考慮使用Mastercard或American Express替代Visa卡，因其安全協議更嚴謹。安全專家林志強指出，即使關閉快捷功能，用戶仍需注意其他常見風險，如Phishing簡訊或惡意App，建議啟用iOS「停用未使用App」功能以減少攻擊面。此外，蘋果公司已提供額外防護：在「設定」>「面容ID與密碼」中開啟「需要密碼」選項，強制每次交易驗證。香港金融創新中心研究顯示，關閉快捷功能後，用戶受攻擊率下降99.7%，且無影響日常便利性。重要提醒：Visa零責任保障雖提供退款保障，但非免責證明，用戶應主動防範而非被動等待。專家呼籲，支付平台應優先修復協議漏洞，而非依賴用戶自行設定。根據香港消費者委員會調查，僅15%用戶知悉此漏洞，顯示資訊傳遞亟需加強。總結而言，防護措施簡單但關鍵，用戶應在24小時內完成設定調整，避免因便利性而犧牲安全。