Temassız kredi kartı kullananlar yandı: Birkaç santimetreyle sınırlı değil

Temassız ödeme teknolojilerinde kullanılan NFC sistemindeki bir güvenlik açığı, banka kartlarının çantadan veya cepten çıkarılmasına gerek kalmadan yetkisiz işlem yapılmasına olanak tanıyor. Kamuoyunda birkaç santimetrelik fiziksel menzili nedeniyle güvenli kabul edilen sistem, "röle saldırısı" yöntemiyle suistimal ediliyor.

Mevcut kart sistemlerinin iletişimin fiziksel mesafesini değil yalnızca veri akışını doğrulaması, dolandırıcılar için bir erişim noktası oluşturuyor.

Söz konusu dolandırıcılık yöntemi, NFC okuyucu özelliğine sahip iki farklı akıllı telefon ve bu cihazlar arasındaki internet bağlantısı üzerinden yürütülüyor. Birinci saldırgan kalabalık alanlarda kurbana yaklaşarak telefonunu kartın bulunduğu çanta veya cebe birkaç santimetre mesafede tutuyor ve kart çipinin yaydığı verileri kaydediyor.

Yakalanan bu veriler internet aracılığıyla anında uzaktaki ikinci saldırgana iletiliyor. İkinci saldırganın telefonu verileri gerçek bir POS terminaline kart oradaymış gibi sunarak ödeme işlemini tamamlatıyor.

Mevcut kart ve terminallerde, verinin gidiş-dönüş süresini ölçerek mesafeyi doğrulayan DBP mekanizmasının bulunmaması nedeniyle POS cihazları işlemin fiziksel yakınlığını ayırt edemiyor. Son dönemde NFC kaynaklı dolandırıcılık vakalarının doğrudan kart okumaktan ziyade Android cihazlar ve röle senaryoları üzerine yoğunlaştığı belirtildi.