Contactloos betalen, de functie waarmee u een aankoop kunt doen door alleen uw kaart of mobiele telefoon bij een betaalterminal te houden, is een van de handigste manieren om een transactie te voltooien in winkels, cafés of het openbaar vervoer.
Maar achter dat gemak schuilt een nieuwe bedreiging voor de cyberveiligheid die de afgelopen weken sterk is toegenomen. Het gaat om de “spookaanraking”, een digitale zwendel waarmee uw homebanking binnen enkele seconden kan worden leeggehaald zonder dat u het merkt.
Deze methode maakt gebruik van de NFC-technologie (Near Field Communication), die in de meeste moderne telefoons en kaarten aanwezig is, om betalingen op basis van nabijheid te verrichten. In theorie is het een veilig systeem: elke transactie genereert een unieke code of token die vrijwel onmiddellijk verloopt.
Cybercriminelen hebben echter een manier gevonden om die code te onderscheppen en door te sturen naar een ander apparaat dat een valse aankoop voltooit, alsof het de originele kaart van het slachtoffer is.
Het fenomeen is niet onbelangrijk. Volgens recent onderzoek van Kaspersky werkt de fraude op twee manieren: een fysieke manier, waarbij de criminelen fysiek dicht bij het slachtoffer moeten zijn, en een manier op afstand, waarbij gebruik wordt gemaakt van social engineering-tactieken.
In de persoonlijke versie gebruiken de oplichters twee met elkaar verbonden mobiele telefoons. Een van hen benadert het slachtoffer in een rij, in het openbaar vervoer of in een bar om de token van de contactloze betaling te onderscheppen. Deze code wordt in realtime naar een andere telefoon gestuurd, die voor een betaalterminal wordt gehouden om de frauduleuze transactie te voltooien. Dit gebeurt allemaal in enkele seconden, zonder dat het slachtoffer het merkt en zonder dat er iets op zijn apparaat is geïnstalleerd.
De variant op afstand begint met een klassieke telefoonzwendel: een vermeende medewerker van de bank of de kaartuitgever overtuigt het slachtoffer om een valse app te installeren om zogenaamd de kaart te valideren. Wanneer de persoon zijn kaart bij de mobiele telefoon houdt, onderschept de app de token en stuurt deze door naar het apparaat van de oplichter, die deze onmiddellijk gebruikt om met succes te betalen bij een andere betaalterminal.
“Deze zwendel laat zien hoe criminelen de zwakke punten van het systeem goed kennen om het in hun voordeel te exploiteren en fraude te plegen zonder andere apparaten te hoeven hacken”, legt Anderson Leite, beveiligingsonderzoeker bij Kaspersky, uit. “Onze analyse toonde aan dat, zelfs met de bestaande beveiligingslagen, de creativiteit van de aanvallers het mogelijk maakte om kaartgegevens te onderscheppen en door te sturen.”
Op Telegram-kanalen circuleren al tutorials en video’s die uitleggen hoe je de apps kwaadaardige apps die bij dit soort fraude worden gebruikt, kunt configureren. Sommige tonen zelfs echte transacties die met kaarten zijn uitgevoerd om een internationaal crimineel publiek aan te trekken onder het voorwendsel dat ze tools voor betalingen op afstand aanbieden.
Hoe je jezelf kunt beschermen tegen de “spookaanraking”
De specialisten van Kaspersky hebben met TN Tecno een reeks maatregelen gedeeld om te voorkomen dat je het slachtoffer wordt van deze zwendel:
- Gebruik portemonnees of hoesjes met NFC-blokkering, die voorkomen dat een aanvaller de gegevens van je contactloze kaart kan lezen.
- Controleer regelmatig je banktransacties en meld verdachte transacties onmiddellijk.
- Activeer de waarschuwingen en meldingen van de app van je bank, virtuele portemonnee of kaart voor wanneer er een transactie op je rekening wordt uitgevoerd.
- Vermijd het downloaden van apps buiten officiële winkels en controleer altijd de naam en reputatie van de ontwikkelaar. Download of installeer nooit apps die iemand anders u stuurt of aanbeveelt via berichten, sociale media of WhatsApp.
- Zorg voor een betrouwbare beveiligingsoplossing die kwaadaardige apps kan detecteren en blokkeren die misbruik proberen te maken van NFC-communicatie.
