Η ομάδα ασφαλείας Polish Computer Emergency Response Team ανέλυσε πρόσφατα μια νέα απάτη με τη μορφή Android malware που χρησιμοποιεί την τεχνολογία του NFC για να προβεί στην πραγματοποίηση αναλήψεων από ATM χωρίς την έγκρισή σου.
Οι ερευνητές ανακάλυψαν ότι το malware, το οποίο φέρει την ονομασία NGate, επιτρέπει στους διαδικτυακούς εγκληματίες να προβούν σε αναλήψεις μετρητών από ATM’s, χρησιμοποιώντας τραπεζικά δεδομένα, τα οποία έχουν εξαχθεί από τα τηλέφωνα των θυμάτων, χωρίς ποτέ να έχει κλαπεί η κάρτα σου.
Το NFC είναι μια τεχνολογία η οποία επιτρέπει σε smartphones, κάρτες και τερματικά να επικοινωνούν όταν βρίσκονται κοντά το ένα το άλλο. Αυτό, στην ουσία, που κάνει το malware είναι να προβαίνει στη λήψη της δραστηριότητας του NFC από ένα τηλέφωνο που έχει μολυνθεί με το εν λόγω λογισμικό και να κάνει forward τα δεδομένα σε συσκευές σε ATMs.
Οι διαφορετικές εκδόσεις του NFC και πως πετυχαίνει η απάτη
Το NFC διαθέτει διάφορες εκδόσεις. Ορισμένες συσκευές, για παράδειγμα, δημιουργούν έναν στατικό κωδικό ο οποίος μπορεί εύκολα να υποκλαπεί. Ωστόσο, υπάρχουν και πιο εξελιγμένες μέθοδοι πληρωμής, όπως η Visa και η Mastercard χρεωστική και πιστωτική σου κάρτα, η οποία χρησιμοποιεί δυναμικούς κωδικούς. Κάθε φορά που χρησιμοποιείς το NFC, το chip της κάρτας δημιουργεί έναν μοναδικό κωδικό, αν θέλεις, ένα token το οποίο είναι διαφορετικό κάθε φορά.
Εκατομμύρια Έλληνες χρειάζονται νέα ταυτότητα!
Αυτό δηλαδή που κάνει το NGate malware, σημαντικά πιο εξελιγμένο από προηγούμενες εκδόσεις είναι ότι δεν συλλαμβάνει απλά το σήμα από την κάρτα. Το τηλέφωνο πρέπει να είναι μολυσμένο και το θύμα, στόχος, να ξεγελαστεί στο να πραγματοποιήσει μια πληρωμή Tap to pay.
Ακριβώς αυτή τη στιγμή, η εφαρμογή συλλαμβάνει όλα τα δεδομένα του NFC που ανταλλάσσονται, όχι μόνο τον αριθμό της κάρτας, αλλά και τα one-time codes που περιγράψαμε πιο πάνω, καθώς και άλλες λεπτομέρειες που δημιουργούνται εκείνη τη συγκεκριμένη στιγμή. Στη συνέχεια, τα δεδομένα πηγαίνουν στους servers των διαδικτυακών εγκληματιών και προβαίνουν σε αναλήψεις ATM στη στιγμή.
Αξίζει να σημειωθεί ότι η εν λόγω ευπάθεια, που περιγράφουμε στο άρθρο, λειτουργεί βασικά μόνο αν η συσκευή σου έχει μολυνθεί και έχεις πραγματοποιήσει πληρωμή τύπου tap to pay σε μια fake τραπεζική εφαρμογή.
