Membedah: mandiri e-money isi ulang (2)

Akhirnya ada yang mencoba melakukan attack dan berhasil (menurut pengakuannya — saya belum melihat dokumentasi attack ini dilakukan).

Sesuai dengan analisa pertama saya bahwa memberikan fasilitas debug/logging pada aplikasi production (sebelumnya saya hanya menyebut “feature“, karena toh sudah ada yang menulis secara detil di blog) memberikan kemudahan attacker melakukan analisa alur program, terlebih lagi protokol komunikasi yang dipergunakan.

Sebuah pembelajaran untuk selalu kritis dalam implementasi aplikasi (terutama aplikasi untuk industri financial).

Membedah Kartu Flazz BCA

Rupanya BCA tidak mau ketinggalan dengan Bank Mandiri dalam hal inovasi layanan e-money (Flazz BCA)-nya. Semakin seru persaingan bank-bank ini untuk menggaet dan memanjakan pelanggan khususnya pengguna layanan e-money.

Pengguna Flazz BCA sekarang tidak perlu repot untuk memastikan saldo pada kartu mereka. Berbekal HP Android dengan NFC, BCA memperkenalkan fitur baru pada aplikasi BCA Mobile, yaitu pengecekan saldo kartu Flazz BCA. Poin lebih dari layanan yang diberikan kompetitor adalah dibenamkan fitur-fitur berikut:

  1. Informasi saldo terakhir Kartu Flazz BCA
  2. Informasi nominal top-up terakhir
  3. Informasi 10 transaksi terakhir

Namun BCA belum se-“berani” Bank Mandiri dengan memberikan mekanisme top-up langsung dari HP pengguna. Harapannya mudah-mudahan segera diadakan fitur yang sama juga, karena potensinya cukup besar (dari kacamata pengguna Kartu Flazz BCA yang tidak memiliki rekening Bank BCA :) ).

Caranya?
Continue reading