POZOR: Ak ti zavolá NBS a chce, aby si priložil kartu k telefónu, zlož! Na Slovensku sa objavil nový podvod
V rámci novej hackerskej kampane sa útočníci vydávajú za Národnú banku Slovenska. Takto podvod prebieha.
ESET práve upozornil na veľmi prefíkanú kampaň, ktorá mieri na ľudí v Česku aj na Slovensku. Útočníci volajú, predstierajú, že sú z centrálnej banky (ČNB alebo NBS), a presvedčia ťa, aby si si stiahol falošnú aplikáciu, priložil k telefónu platobnú kartu a zadal PIN.
V momente, keď to spravíš, malvér v telefóne pošle útočníkovi presné údaje a on ich hneď bezkontaktným spôsobom zneužije pri bankomate alebo na termináli. To nie je žiadny teoretický scenár, ESET už identifikoval varianty, ktoré sa správajú presne takto.
Prečo je to horšie než obyčajný phishing? Pretože tu nejde len o to, že ti niekto raz ukradne číslo karty a pokúsi sa neskôr platiť online. NFC útok prebieha v reálnom čase a útočník získa jednorazový platobný token, autentifikačný údaj, ktorý presne napodobní skutočnú bezkontaktnú transakciu. V praxi to znamená, že aj keby útočník nepoznal tvoj PIN, z tvojej akcie dostane všetko potrebné na autorizáciu platby v tom okamihu. Token sa často nedá znova použiť neskôr, ale útočník ani nepotrebuje opakovať útok. Stačí, že je pri bankomate v rovnakom čase, v akom volá s tebou. Táto metóda obchádza väčšinu digitálnych bezpečnostných mechanizmov, pretože simuluje legitímnu platbu, nie “ukradnuté” statické údaje.
ESET navyše zistil, že nové aplikácie pre Android, ktoré sa vydávajú ako aplikácie ČNB alebo NBS, komunikujú s rovnakým serverom útočníkov a používajú spoločný podpisový certifikát. To poukazuje na jedného autora alebo organizovanú skupinu. Napodobeniny sa objavili aj v Rakúsku, čo naznačuje, že útočníci testujú širší geografický zásah. Hoci tento útok vyžaduje aj fyzickú koordináciu (útočník musí byť pri bankomate), práve táto reálnosť robí z NGate štýlu útoku mimoriadne nebezpečný nástroj s vysokým dopadom na jednotlivca.
Ako sa môžeš chrániť?
Nikdy nereaguj na nátlak po telefóne. Banky a centrálne inštitúcie ťa nikdy nepožiadajú, aby si inštaloval aplikáciu zo zaslaného odkazu, priložil kartu k mobilu alebo zdieľal PIN. Ak dostaneš taký hovor, okamžite ho ukonči. Potom sám zavolaj späť na oficiálne číslo svojej banky či centrálnej banky, ktoré si nájdeš priamo na ich webovej stránke. Tým overíš, či hovoru niečo predchádzalo. Banka o tom zvyčajne nebude vedieť a tým odhalíš podvodníka.
Neprehliadni
Ďalej inštaluj aplikácie len z oficiálnych zdrojov ako Obchod Play alebo AppStore a kontroluj, aké oprávnenia aplikácia žiada. Zároveň nikdy neprikladaj kartu k telefónu na žiadosť neznámej osoby a nikdy neprezrádzaj svoj PIN po telefóne. Používaj spoľahlivý bezpečnostný softvér pre mobil (ESET a iné produkty detekujú známe varianty tohto malvéru). Ako posledné pravidelne aktualizuj operačný systém telefónu.
Ak máš pocit, že si mohol byť cieľom takéhoto útoku, okamžite kontaktuj svoju banku a požiadaj o zablokovanie karty. Skontroluj účty a nahlás transakcie, ktoré nepoznáš. Čím skôr zasiahneš, tým vyššia šanca, že stratíš menej peňazí.
Túto hrozbu netreba podceňovať
Nárast NFC podvodov u ESETu je alarmujúci. Len v prvej polovici tohto roka zaznamenali viac ako 35-násobný nárast útokov súvisiacich s NFC. Aj keď absolútne počty zatiaľ zostávajú relatívne nízke, dynamika a miera inovácie ukazujú, že zločinci veľmi rýchlo adaptujú nové techniky. Útok sa pokojne môže týkať aj teba alebo ľudí v tvojom okolí a zásah sa môže udiať za pár minút. Hlavná rada znie jednoducho. Nikdy neriskuj bezpečnosť kvôli tomu, čo ti volajúci na druhej strane linky hovorí.
Tento typ útoku kombinuje technickú vyspelosť s dobre urobeným sociálnym inžinierstvom. To robí z každého hovoru potenciálnu pascu. Dôveruj oficiálnym zdrojom, zavolaj späť na oficiálne čísla, inštaluj len z dôveryhodných obchodov a ak máš aj len malé podozrenie, zablokuj kartu. V takomto boji o tvoje peniaze môže byť tvoja ostražitosť tou najlepšou ochranou.
