Nová metoda krádeže peněz. Prvně vás požádají o předložení karty
Foto: pexels
3 min
Přečtete si SMS a zaradujete se. Přeplatek na dani, stačí kliknout na tento odkaz. O pár minut později vám zazvoní telefon a vlídný hlas vás požádá, abyste přiložili platební kartu k zadnímu krytu mobilu. Mezitím o sto kilometrů jinde právě někdo stojí u bankomatu a čeká, až se mu na displeji zjeví vaše karta se všemi detaily včetně PIN kódu.
Reklama
Bezpečnostní experti varují před novou metodou podvodů. Míří na uživatele telefonů s Androidem, které mají modul NFC. Útočníci při ní nepoužívají jen technické triky, ale hlavně psychologii.
Terčem se stávají klienti zahraničních i českých bank. Scénář je přitom vždy podobný a začíná zprávou, která budí naději nebo strach.
Podvedený dostane SMS o údajném přeplatku na dani s odkazem na „novou bezpečnostní bankovní aplikaci“. Po kliknutí si stáhne soubor APK mimo oficiální obchod Google Play. Krátce nato mu zavolá muž, který se představí jako pracovník bezpečnostního oddělení banky.
Varuje ho před fiktivním napadením účtu. Pan Jan má otevřít novou aplikaci, zapnout NFC a přiložit debetní kartu k telefonu, prý kvůli spárování a stornování neoprávněné transakce. Pak potvrdí svůj PIN.
V ten samý okamžik přikládá útočníkův společník u vzdáleného bezkontaktního bankomatu svůj vlastní telefon ke čtečce. Telefon emuluje čip karty oběti. Zadá zachycený PIN a vybere maximální denní limit.
Podvod má své vlastní jméno
Technika se nazývá NFC Relay attack a využívá malware z rodin NGate či SuperCard X. Telefon oběti slouží jen jako vysílač. Signál z karty putuje v reálném čase přes internet na zařízení útočníka.
Dlouho se šířil mýtus, že zloději chodí v přeplněné MHD s terminálem v kapse a vysávají lidem karty z tašek. Ověřená fakta z praxe tuto představu vyvracejí. Reálný útok vyžaduje aktivní součinnost oběti, kterou podvodníci zmanipulují.
Člověk musí sám nainstalovat neoficiální aplikaci, zapnout NFC, přiložit kartu ke svému telefonu a zadat PIN. Bez těchto kroků útok nefunguje.
Šest kroků k vysátí účtu
- 1. Prvotní kontakt: SMS nebo e-mail s urgentní výzvou o nedoplatku, přeplatku na dani či nedoručené zásilce.
- 2. Instalace škodlivé PWA aplikace nebo balíčku APK z neoficiálních stránek mimo Google Play.
- 3. Sociální inženýrství: aplikace nebo souběžný telefonát přiměje uživatele zapnout NFC.
- 4. Přiložení karty k zadní straně telefonu a zadání PIN do aplikace.
- 5. Přenos signálu v reálném čase přes internet na telefon útočníka.
- 6. Výběr hotovosti u bezkontaktního bankomatu, kde telefon emuluje čip karty oběti.
Jak se nenechat napálit
Ochrana vyžaduje obezřetnost a nedůvěru k neobvyklým požadavkům. Neinstalujte aplikace z odkazů v SMS ani z webů mimo oficiální obchod Google Play.
Pokud vám někdo po telefonu tvrdí, že musíte kvůli stornování transakce nebo spárování účtu přiložit fyzickou kartu k mobilu, okamžitě hovor ukončete. Žádná banka nic takového po svých klientech nevyžaduje.
