Temassız ödeme teknolojilerinde kullanılan NFC sistemindeki bir güvenlik açığı, banka kartlarının çantadan veya cepten çıkarılmasına gerek kalmadan yetkisiz işlem yapılmasına olanak tanıyor. Kamuoyunda birkaç santimetrelik fiziksel menzili nedeniyle güvenli kabul edilen sistem, "röle saldırısı" yöntemiyle suistimal ediliyor.
Mevcut kart sistemlerinin iletişimin fiziksel mesafesini değil yalnızca veri akışını doğrulaması, dolandırıcılar için bir erişim noktası oluşturuyor.
KARTI ÇIKARMASANIZ BİLE RİSKLİ
Söz konusu dolandırıcılık yöntemi, NFC okuyucu özelliğine sahip iki farklı akıllı telefon ve bu cihazlar arasındaki internet bağlantısı üzerinden yürütülüyor. Birinci saldırgan kalabalık alanlarda kurbana yaklaşarak telefonunu kartın bulunduğu çanta veya cebe birkaç santimetre mesafede tutuyor ve kart çipinin yaydığı verileri kaydediyor.
Yakalanan bu veriler internet aracılığıyla anında uzaktaki ikinci saldırgana iletiliyor. İkinci saldırganın telefonu verileri gerçek bir POS terminaline kart oradaymış gibi sunarak ödeme işlemini tamamlatıyor.
GÜVENLİK PROTOKOLÜ EKSİKLİĞİ RİSKLERİ ARTIRIYOR
Mevcut kart ve terminallerde, verinin gidiş-dönüş süresini ölçerek mesafeyi doğrulayan DBP mekanizmasının bulunmaması nedeniyle POS cihazları işlemin fiziksel yakınlığını ayırt edemiyor. Son dönemde NFC kaynaklı dolandırıcılık vakalarının doğrudan kart okumaktan ziyade Android cihazlar ve röle senaryoları üzerine yoğunlaştığı belirtildi.
Çalınan verilerin internet üzerinden anlık aktarılması sayesinde, farklı noktalardaki kişiler tarafından kısa sürede birden fazla yetkisiz işlem gerçekleştirilebiliyor.
ALINABİLECEK TEDBİRLER VE BANKALARIN YASAL SORUMLULUĞU
Uzmanlar, RFID engelleyici kılıflar ve zırhlı cüzdanların kullanılmadığı anlarda kartın sinyal katmanını kapatarak veri transferini engellediğini ifade ediyor. Mevzuat gereği bankalar, müşteri onayı olmadan temassız yöntemle gerçekleştirilen yetkisiz işlemlere ait tutarları iade etmekle yükümlü tutuluyor.
Olası bir suistimal iddiasında müşterinin ihmali bulunduğunu ispat etme yükümlülüğü de finans kuruluşlarına ait bulunuyor. Sektör temsilcileri, veri iletim sürelerini denetleyen güvenlik protokollerinin yaygınlaşmasıyla söz konusu açığın kapatılacağını öngörüyor.
