KioSoft was notified about a serious NFC card vulnerability in 2023 and only recently claimed to have released a patch.

Payment solutions company KioSoft took a long time to address a serious vulnerability affecting some of its NFC-based cards.

The future of EV charging isn’t just faster chargers. It’s a better experience. At EV Initiative Inc., we’re installing the brand-new KioSoft Technologies KioCafé 3.5e: a fully autonomous robotic bari...

SEC Consult SA-20250908-0 :: NFC Card Vulnerability Exploitation Leading to Free Top-Up in KioSoft "Stored Value" Unattended Payment Solution (Mifare) Full Disclosure mailing list archives From: SEC Consult Vulnerability Lab via Fulldisclosure Date: Mon, 8 Sep 2025 06:40:38 +0000 SEC Consult Vulnerability Lab Securit ... Read more Published Date: Sep 08, 2025 (4 hours, 20 minutes ago) Vulnerabilities has been mentioned in this article.

Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Sep 08SEC Consult Vulnerability Lab Security Advisory < 20250908-0 > ======================================================================= title: NFC Card Vulnerability Exploitation Leading to Free Top-Up product: KioSoft "Stored Value" Unattended Payment Solution (Mifare) vulnerable version: Current firmware/hardware as of Q2/2025 fixed version: No version numbers available CVE number:...

Introduction In today’s fast-paced digital payment world, security is more critical than ever. However, a recent discovery by cybersecurity experts has unveiled a glaring vulnerability in KioSoft’s NFC-based payment cards, putting millions of transactions at risk. This flaw highlights how even widely deployed payment systems can be compromised if proper security measures are delayed. KioSoft’s Payment System Under Fire KioSoft, a Florida-based company with offices in seven countries, manufactures self-service payment kiosks used in laundromats, vending machines, arcades, and car washes.

Read more

The two payments companies in the unattended retail arena ended a four-year legal battle last year, and now one is falling into the other’s arms.

PayRange, a Portland, Oregon-based commerce platform for unattended retail, acquired KioSoft Technologies, a global provider of cashless payment and IoT solutions

PayRange LLC, plataforma líder en comercio para el retail desatendido, anunció hoy la adquisición...

Some "Stored Value" Unattended Payment Solutions of KioSoft use vulnerable NFC cards. Attackers could potentially use this vulnerability to change the balance on the cards and generate money. The account balance is stored on an insecure MiFare Classic NFC card and can be read and written back. By carefully observing …

KioSoft was notified about a serious NFC card vulnerability in 2023 and only recently claimed to have released a patch. The post Payment System Vendor Took Year+ to Patch Infinite Card Top-Up Hack: Security Firm appeared first on SecurityWeek.

KioSoft, a payment system vendor, was informed in 2023 about a serious vulnerability in NFC cards that allowed for infinite recharging. This vulnerability affected systems using NFC technology and MiFare cards, potentially leading to significant financial losses. The flaw enabled attackers to recharge cards indefinitely, impacting both users and businesses relying on these payment systems. KioSoft has recently released a patch to address this vulnerability. The vulnerability highlights the risks associated with NFC-based payment systems, which are widely used for their convenience. The delay in patching the vulnerability, taking a year, underscores the challenges in timely vulnerability management. This delay could have exposed users to prolonged risks of financial exploitation. From a technical standpoint, the vulnerability likely exploits weaknesses in the card's authentication or transaction validation mechanisms. NFC and MiFare cards are commonly used in public transportation, access control, and contactless payments, making this vulnerability particularly concerning due to its broad applicability. For cybersecurity professionals, this incident serves as a reminder of the importance of regular security audits and prompt patching. It also emphasizes the need for robust security measures in payment systems to prevent unauthorized transactions. Organizations using NFC-based payment systems should ensure that their systems are updated with the latest patches and conduct thorough security assessments to identify and mitigate similar vulnerabilities. The impact of this vulnerability extends beyond financial losses. It could erode trust in NFC-based payment systems, leading to a broader shift in consumer behavior and preferences. Cybersecurity professionals must stay vigilant and proactive in addressing such vulnerabilities to maintain the integrity and trustworthiness of payment systems.

The two payments companies in the unattended retail arena ended a four-year legal battle last year, and now one is falling into the other’s arms.

PayRange announces the acquisition of KioSoft, a move that promises to accelerate the digital transformation of unattended retail by enhancing consumer experiences and operational insights.

Discover CenterEdge Play, an integrated cashless solution by CenterEdge and KioSoft, designed to enhance family entertainment centers through seamless transactions.

PayRange LLC, plataforma líder en comercio para el retail desatendido, anunció hoy la adquisición...

サイバーセキュリティコンサルティング企業であるSEC Consult（Eviden傘下）は、決済ソリューション企業KioSoftが、NFCベースのカードの一部に影響する重大な脆弱性への対応に長い時間を要したと述べています。 KioSoftは、コインランドリー、ゲームセンター、自動販売機、洗車場など向けの無人セルフサービス決済機を製造しています。同社はフロリダ州に本社を置き、世界7カ国にオフィスを構えています。公式ウェブサイトによれば、35カ国で41,000台以上のキオスク端末と160万台の決済端末を展開しているとされています。 SEC Consultの研究者は2023年に、KioSoftの一部のストアドバリューカード（特定の決済端末で利用するために顧客がチャージするデジタルウォレット）が、無料で残高をチャージできる脆弱性（CVE-2025-8699）の影響を受けていることを発見しました。このハッキングは、残高が安全なオンラインデータベースではなくカード本体にローカル保存されていることに依存しています。 SEC Consultが特定した影響を受けるカードは、重大なセキュリティ問題が知られているMiFare Classic NFCカード技術を利用していました。 既知のMiFareカードの脆弱性を基に、カード上のデータの保存方法を分析した結果、SEC Consultの研究者はカードからデータを読み取り、書き込むことに成功し、「何もないところからお金を作り出す」ことができました。ハッカーはカードの残高を最大655ドルまで増やすことができ、このプロセスは繰り返し実行可能だと、SEC ConsultのJohannes Greil氏はSecurityWeekに語っています。 攻撃者は、RFIDセキュリティ分析や研究開発用に設計されたProxmarkのようなハードウェアツールを使って攻撃を行うことができます。また、MiFareカードの脆弱性についての知識も必要だとGreil氏は説明しています。 SEC Consultは今週、自社の研究内容を説明するアドバイザリを公開しました。同社はKioSoftとのやり取りの詳細なタイムラインも公開しており、ベンダーが修正パッチをリリースするまでに1年以上かかったことが明らかになっています。 セキュリティ企業は2023年10月に初めてKioSoftに連絡しましたが、カーネギーメロン大学ソフトウェア工学研究所のCERTコーディネーションセンターが関与するまで、ベンダーからの返答はありませんでした。 広告。スクロールして記事の続きをお読みください。 SEC Consultは2023年10月以降、進捗状況の更新を何度も依頼したものの、多くは返答がなかったと主張しています。タイムラインによれば、ベンダーは情報公開期限の延長を複数回要請し、最終的には2025年夏にファームウェアパッチをリリースしたとセキュリティ企業に通知しました。今後、新しいハードウェアも展開される予定だとしています。 KioSoftは、影響を受けるバージョンや修正済みバージョンの番号を提供することを拒否し、影響を受ける顧客には個別に通知すると主張したとセキュリティ企業は述べています。KioSoftの製品は広く利用されていますが、同社はSEC Consultに対し、ほとんどのソリューションでは脆弱なMiFareカード技術は使用されていないと説明しました。 SEC Consultは、当初調査に使用した端末へのアクセス権をすでに失っており、ベンダーのパッチを検証できていません。 KioSoftはSecurityWeekのコメント要請に応じていません。 翻訳元:

KioSoft was notified about a serious NFC card vulnerability in 2023 and only recently claimed to have released a patch.

KioSoft was notified about a serious NFC card vulnerability in 2023 and only recently claimed to have released a patch. The post Payment System Vendor Took Year+ to Patch Infinite Card Top-Up Hack: Security Firm appeared first on SecurityWeek.

The NFC card vulnerability in KioSoft's "Stored Value" Unattended Payment Solution allows tech-savvy individuals to "create money out of thin air." With a little manipulation, users can top up their cards for free. It's a modern-day magic trick that KioSoft probably wishes remained in its hat.