Cercetători de la University of Surrey și University of Birmingham au demonstrat o vulnerabilitate în sistemul de plată mobilă de pe iPhone, care poate permite efectuarea unei tranzacții mari fără ca dispozitivul să fie deblocat. Experimentul a folosit funcția Express Transit, concepută pentru acces rapid în transportul public, combinată cu un card Visa. Prin intermediul unui dispozitiv NFC special configurat, atacatorul poate face telefonul să creadă că este conectat la un terminal de transport, permițând autorizarea unei plăți de până la 10.000 de dolari fără verificare biometrică sau PIN.

Demonstrația a fost realizată într-un mediu controlat și implică o combinație specifică de factori: un iPhone cu Express Transit activat, un card Visa asociat și acces fizic la telefon. Datele tranzacției au fost redirecționate către un alt terminal, unde a fost introdusă suma mare. Apple susține că problema provine din implementarea Visa, în timp ce Visa afirmă că riscul real este scăzut. Testul nu funcționează la fel de bine cu Mastercard sau American Express și nu afectează Samsung Pay.

Deși scenariul nu este ușor de reprodus în lumea reală, el evidențiază o slăbiciune în interacțiunea dintre serviciile de plată rapidă și infrastructura cardurilor. Nu este necesară o vulnerabilitate în iPhone în sine, ci o exploatare a logicii sistemului. Apple și Visa sunt în discuții pentru a clarifica responsabilitățile. Utilizatorii pot dezactiva Express Transit dacă doresc să reducă expunerea la astfel de atacuri.