پلیس هنگ‌کنگ می‌گوید لایه‌ی تأیید پرداخت فروشگاه اپل در سفارش‌های انبوه دور زده شده است
پلیس هنگ‌کنگ از زمان عرضه‌ی iPhone 18 Pro تا کنون با بیش از ۱٬۵۰۰ تراکنش مشکوک روی کارت‌های اعتباری روبه‌رو شده و همه را لغو کرده است. این نهاد حالا از اپل خواسته سازوکار تأیید تراکنش در فروشگاه آنلاینش را بازبینی کند.
بر پایه‌ی گزارش The Standard، رسانه‌ی انگلیسی‌زبان مستقر در هنگ‌کنگ، شمار این موارد به ۱٬۵۰۳ فقره رسیده و ارزش سفارش‌های مرتبط بیش از ۳.۸۲ میلیون دلار برآورد می‌شود. به گفته‌ی پلیس، همه‌ی این تراکنش‌ها پیش از نهایی شدن لغو شده‌اند.
Joe Chow Yat-ming، کمیسر پلیس هنگ‌کنگ، در نشست شورای منطقه‌ی کولون سیتی و در گفت‌وگو با South China Morning Post، روزنامه‌ی انگلیسی‌زبان هنگ‌کنگ، گفته در هیچ‌یک از این پرونده‌ها لایه‌های امنیتی و تأیید هویت فروشگاه آنلاین اپل در کار نبوده است.
به گفته‌ی او، نه رمز یک‌بارمصرف درخواست شده و نه تأیید از راه اپ موبایل؛ همان دو حلقه‌ای که معمولاً هنگام پرداخت آنلاین جلوی استفاده از کارت سرقتی را می‌گیرد. کمیسر پلیس نتیجه گرفته کلاهبرداران توانسته‌اند با اطلاعات کارت‌های مسروقه سفارش‌های بزرگ ثبت کنند و علت را «روزنه‌ای» در فروشگاه آنلاین اپل دانسته است.
روش کار هم به گفته‌ی پلیس یکسان بوده: کلاهبرداران از VPN استفاده کرده‌اند تا موقعیت مکانی‌شان پنهان بماند و نشانی نادرست یا ناقص داده‌اند. اپل بعد برای روشن شدن نشانی تحویل ایمیل زده و آن‌ها یک نقطه‌ی عمومی را به‌عنوان محل تحویل اعلام کرده‌اند.
پلیس هنگ‌کنگ از اپل خواسته فرایند تراکنش‌ها را بازبینی کند. کمیسر پلیس با اشاره به این که iPhone Duo قرار است در اکتبر عرضه شود، گفته انتظار دارد موج تازه‌ای از تلاش‌های کلاهبردارانه شکل بگیرد. اپل تا این لحظه واکنش عمومی نداشته و بعید است به‌زودی درباره‌ی پرونده‌ای در جریان اظهارنظر کند.
برای فهم درست ماجرا باید دانست پرداخت آنلاین از چند لایه ساخته می‌شود که فروشنده، شبکه‌ی کارت و بانک صادرکننده‌ی کارت هرکدام سهمی در آن دارند. رمز یک‌بارمصرف و تأیید درون‌برنامه‌ای دو حلقه از همین زنجیره‌اند و فعال شدن‌شان به تنظیمات فروشنده، سیاست بانک و شرایط خود تراکنش بستگی دارد. شکستن هر حلقه، تراکنش را از کنترل هویتی خارج می‌کند.
آنچه در این پرونده داریم اما عمدتاً نقل‌قول پلیس است، نه تأیید فنی. اپل نه «روزنه» را پذیرفته و نه رد کرده و منبع دومی هم مکانیسم دقیق آن را توضیح نداده است. ادعای کنار گذاشته شدن تأیید با «نفوذ به زیرساخت اپل» یکی نیست؛ هیچ شاهد و نشانه‌ای در منبع برای دسترسی غیرمجاز به سیستم‌های اپل وجود ندارد و آنچه توصیف شده، سوءاستفاده از کارت‌های مسروقه در سفارش‌های انبوه است. به گمان من، این تفکیک برای درک درست ماجرا حیاتی است.
همین جزئیات برای هر کاربر آنلاین — از جمله کاربر ایرانی که روزمره با درگاه‌های پرداخت و تأیید دومرحله‌ای سروکار دارد — آموزنده است: نقطه‌ی فشار کلاهبرداری معمولاً سفارش‌های بزرگ و پیش‌خریدهاست، نه خریدهای خرد. هرچه حجم سفارش بالاتر می‌رود، ارزش سوءاستفاده هم بالا می‌رود و همین باعث می‌شود سخت‌گیری در تأیید تراکنش‌های پرحجم به اولویت تبدیل شود.
تصویر کامل این پرونده تا روشن شدن دو چیز ناقص می‌ماند: واکنش رسمی اپل و توضیح مستقلی از سمت شبکه‌ی پرداخت درباره‌ی چرایی فعال نشدن تأیید. تا آن زمان، هر روایتی که این رخداد را «هک شدن فروشگاه اپل» بنامد، از شواهد موجود جلوتر زده است.
پرونده‌ی هنگ‌کنگ بیش از آن‌که یک شکاف تأییدشده در زیرساخت اپل باشد، نمونه‌ای از فشار فزاینده بر لایه‌ی تأیید پرداخت در فروشگاه‌های آنلاین است؛ جایی که مرز میان آسانی خرید و سخت‌گیری امنیتی به محل چانه‌زنی تبدیل می‌شود. تا واکنش اپل و تأیید مستقل، باید آن را ادعایی در حال بررسی خواند.
