Riscos bancários ocultos no iOS 26: como o novo recurso de armazenamento de cartões da Apple pode expor usuários

A próxima versão do iOS 26 da Apple inclui um novo recurso inovador, mas potencialmente arriscado, no aplicativo Carteira que está chamando a atenção de profissionais de cibersegurança. A atualização permite que usuários de iPhone armazenem digitalmente dados de cartões de pagamento físicos simplesmente escaneando-os com a câmera do dispositivo - criando o que alguns especialistas chamam de 'tesouro' para hackers.

A implementação técnica mostra que o sistema captura automaticamente números de cartão, datas de validade e, em alguns casos, até códigos CVV quando os usuários optam por 'backup completo'. Embora a Apple enfatize que esses dados são criptografados e protegidos pela tecnologia Secure Element, pesquisadores de segurança identificaram vários aspectos preocupantes:

1. Lacunas de autenticação: Nenhuma verificação adicional é necessária ao adicionar cartões físicos se o telefone estiver desbloqueado, diferentemente do Apple Card que exige confirmação de identidade
2. Agregação de dados: Cria um único repositório para todos os métodos de pagamento, aumentando o dano potencial de um único comprometimento
3. Riscos comportamentais: Incentiva usuários a fotografar cartões que normalmente não armazenariam digitalmente

Instituições financeiras estariam divididas sobre o recurso. Grandes bancos como Chase e Citi devem oferecer suporte, enquanto bancos regionais e cooperativas de crédito hesitam devido a questões de conformidade com o PCI DSS. 'Isso essencialmente transforma cada iPhone em um armazém de dados de cartões', observou um diretor de segurança bancária que pediu anonimato.

Profissionais de cibersegurança devem recomendar várias medidas de mitigação:

• Desativar captura automática de CVV em políticas de dispositivos empresariais
• Implementar controles de MDM mais rigorosos para dispositivos corporativos
• Educar usuários sobre riscos de armazenar cartões corporativos
• Monitorar novos golpes de phishing direcionados ao recurso

O recurso está atualmente em teste beta com lançamento amplo esperado para setembro. Equipes de segurança devem preparar alertas agora, pois a implementação focada em conveniência pode superar a devida conscientização sobre riscos.