Η ψηφιακή ασφάλεια στον τομέα των πληρωμών δέχθηκε πρόσφατα ένα σοβαρό πλήγμα, καθώς οι ερευνητές της ESET αποκάλυψαν μια νέα, εξαιρετικά εξελιγμένη μορφή κακόβουλου λογισμικού με την ονομασία NGate. Πρόκειται για την πρώτη φορά που εντοπίζεται «in the wild» λογισμικό ικανό να αναμεταδίδει δεδομένα NFC (Near Field Communication) από την πιστωτική ή χρεωστική κάρτα ενός θύματος απευθείας στη συσκευή ενός εισβολέα. Η εξέλιξη αυτή σηματοδοτεί μια νέα εποχή στο ψηφιακό έγκλημα, όπου η φυσική κατοχή της κάρτας δεν είναι πλέον απαραίτητη για την πραγματοποίηση δόλιων συναλλαγών ή ακόμα και αναλήψεων από ATM.

Ο Μηχανισμός της Επίθεσης: Από το Phishing στην Αναμετάδοση

Το NGate δεν είναι ένα συνηθισμένο malware. Η λειτουργία του βασίζεται σε ένα εργαλείο ανοιχτού κώδικα που ονομάζεται NFCGate, το οποίο αρχικά αναπτύχθηκε για ακαδημαϊκούς σκοπούς και δοκιμές ασφαλείας. Οι εγκληματίες του κυβερνοχώρου κατάφεραν να ενσωματώσουν αυτό το εργαλείο σε κακόβουλες εφαρμογές, οι οποίες διανέμονται κυρίως μέσω τεχνικών κοινωνικής μηχανικής (social engineering). Η διαδικασία ξεκινά συνήθως με ένα μήνυμα SMS (smishing) ή μια τηλεφωνική κλήση, όπου οι δράστες υποδύονται εκπροσώπους τραπεζών, προειδοποιώντας το θύμα για δήθεν «ύποπτη δραστηριότητα» στον λογαριασμό του.

Με το πρόσχημα της «προστασίας», οι δράστες πείθουν τον χρήστη να εγκαταστήσει μια εφαρμογή που μοιάζει με την επίσημη τραπεζική εφαρμογή. Μόλις το NGate εγκατασταθεί στη συσκευή Android του θύματος, ζητά από τον χρήστη να ενεργοποιήσει το NFC και να πλησιάσει την τραπεζική του κάρτα στο πίσω μέρος του κινητού του για να «επαληθευτεί». Σε εκείνο το σημείο, το κακόβουλο λογισμικό υποκλέπτει τα δεδομένα της κάρτας και τα στέλνει σε πραγματικό χρόνο μέσω ενός διακομιστή στη συσκευή του εισβολέα. Ο εισβολέας, έχοντας «κλωνοποιήσει» το σήμα της κάρτας στο δικό του κινητό, μπορεί στη συνέχεια να το χρησιμοποιήσει σε ένα POS ή σε ένα ATM που υποστηρίζει ανέπαφες συναλλαγές.

Κοινωνική Μηχανική: Το Αδύναμο Σημείο της Αλυσίδας

Παρά την τεχνική πολυπλοκότητα του NGate, η επιτυχία του βασίζεται σε μεγάλο βαθμό στην ανθρώπινη ψυχολογία. Οι ερευνητές της ESET παρατήρησαν ότι οι επιθέσεις αυτές ήταν ιδιαίτερα στοχευμένες, εστιάζοντας σε πελάτες συγκεκριμένων τραπεζών στην Τσεχία, αν και η τεχνολογία αυτή μπορεί εύκολα να εξαπλωθεί παγκοσμίως. Οι δράστες χρησιμοποιούν PWAs (Progressive Web Apps) ή WebAPKs για να παρακάμψουν τους ελέγχους ασφαλείας του Google Play Store, καθιστώντας την εγκατάσταση του malware να φαίνεται ως μια απλή προσθήκη ενός εικονιδίου στην αρχική οθόνη.

  • Χρήση πλαστών ιστοσελίδων που προσομοιάζουν απόλυτα το περιβάλλον των τραπεζών.
  • Πίεση χρόνου και δημιουργία αισθήματος πανικού στους χρήστες.
  • Εκμετάλλευση της εμπιστοσύνης που δείχνουν οι χρήστες στις ανέπαφες τεχνολογίες.

Η ESET επισημαίνει ότι αυτή η μέθοδος είναι πολύ πιο επικίνδυνη από το παραδοσιακό «skimming», καθώς δεν απαιτεί φυσική παρέμβαση σε κάποιο μηχάνημα ATM. Η αναμετάδοση του σήματος μπορεί να γίνει από μεγάλες αποστάσεις, αρκεί ο εισβολέας και το θύμα να είναι συνδεδεμένοι στο διαδίκτυο την ίδια στιγμή.

Πολιτικές Προστασίας και η Ευθύνη των Κολοσσών Τεχνολογίας

Η εμφάνιση του NGate εγείρει σοβαρά ερωτήματα σχετικά με την ασφάλεια του οικοσυστήματος Android και τον έλεγχο που ασκεί η Google στις εφαρμογές που εγκαθίστανται εκτός του επίσημου καταστήματος. Ενώ η Google έχει λάβει μέτρα, όπως το Google Play Protect, οι εγκληματίες βρίσκουν συνεχώς τρόπους να τα παρακάμπτουν μέσω social engineering. Η ανάγκη για αυστηρότερες πολιτικές ασφαλείας σε επίπεδο λειτουργικού συστήματος, που θα περιορίζουν την πρόσβαση στο NFC από μη εξουσιοδοτημένες εφαρμογές, γίνεται πλέον επιτακτική.

«Η τεχνολογία NFC σχεδιάστηκε για ευκολία, αλλά η ευκολία συχνά έρχεται εις βάρος της ασφάλειας αν δεν υπάρχουν οι κατάλληλες δικλείδες ασφαλείας», αναφέρει η έκθεση της ESET.

Για τους χρήστες, η προστασία απαιτεί μια συνδυαστική προσέγγιση: απενεργοποίηση του NFC όταν δεν χρησιμοποιείται, χρήση ψηφιακών πορτοφολιών (όπως Google Pay ή Apple Pay) που χρησιμοποιούν tokenization αντί για τα πραγματικά δεδομένα της κάρτας, και φυσικά, απόλυτη δυσπιστία σε τυχαία μηνύματα ή κλήσεις που ζητούν την εγκατάσταση εφαρμογών ή την επαφή της κάρτας με το κινητό.