Android telefonunuz var mı? Tok-ödemeye kartınız var mı? O zaman şimdi yeni bir siber suç biçiminden risk altında olan milyonlarca başka kullanıcı gibisiniz – kredi veya banka kartınızı okuyabilen ve verilerini bir saldırgana teslim edebilen kötü amaçlı yazılım. Yeni keşfedilen kötü amaçlı bir program, Android telefonları etkili bir şekilde ödeme kartı verilerini vakumlayan ve yarım dünya uzakta siber suçlulara gönderen kötü amaçlı musluk makinelerine dönüştürüyor. Tek yapmanız gereken yazılımı yüklemek ve kartınızı telefonunuza dokunun – ve suçlular sizi bunu yapmaya ikna etmek için mükemmel.
Siber güvenlik şirketi Cleafy’nin Supercard X olarak adlandırdığı kötü amaçlı yazılım, şimdi çoğu Android telefonda bulunan bir özellik kullanıyor: Yakın Alan İletişim (NFC). Bu, telefonunuzun yeterince yaklaştığında destekleyici bir ödeme kartındaki verileri okumasını sağlar. Perakendecilerde ve ATM’lerde bulunan musluktan ödeme makineleri sihirlerini nasıl çalıştırıyor.
Saldırganlar kötü amaçlı yazılımı hizmet olarak kötü amaçlı yazılım modeli aracılığıyla alırlar. Bu, genellikle saldırganların alımlarının bir yüzdesi için sunan yazılım geliştiricileri için bağlı kuruluşlar olmalarını sağlar. Daha sonra kurbanları Sosyal Mühendislik Saldırıları ile bulmaya ve hedeflemeye odaklanabilirler, bu da Cleafy’nin İtalya’da yaptıklarını söyleyen.
Saldırı nasıl çalışır
İlk olarak saldırganlar kötü amaçlı yazılımları birinin Android telefonuna almalıdır. Bu, SMS veya WhatsApp aracılığıyla gönderilen, genellikle bir bankayı taklit eden ve kullanıcıdan aramasını isteyen hileli bir ‘smishing’ mesajı ile başlar.
Telefon numarası, kurbanı saldırgana bağlar ve daha sonra onları iğnelerinden vazgeçmeye ve banka hesaplarına giriş yapmaya ikna eder. Oradan, kurbanı kartlarındaki harcama sınırlarını kaldırmaya ikna ediyorlar ve daha sonra iddia ettikleri bir güvenlik uygulaması olduğunu iddia eden bir bağlantı olarak gönderiliyorlar. Bu, SuperCard X kötü amaçlı yazılım içerir.
Sonunda getiri geliyor. Şimdiye kadar kurbanla bir ilişki kuracak olan saldırgan, kartlarını telefonlarına dokunmalarını isteyecek. Kötü amaçlı yazılım daha sonra, daha sonra saldırganın kendi Android telefonuna gönderdiği kart ayrıntılarını yakalar. Daha sonra telefonu temassız ödemeler için klonlanmış kart olarak kullanabilirler. Bir şey için ödeme yapmak için kartınız yerine telefonunuza hiç dokunduysanız, ne kadar kolay olduğunu bileceksiniz.
Supercard X nereden geldi?
Çok kötü amaçlı yazılım gibi, Supercard X hiçbir yerden çıkmadı. Cleafy, geçen yıl keşfedilen Ngate adlı başka bir kötü amaçlı yazılım parçasıyla kod paylaştığını söylüyor. Bunların her ikisi de muhtemelen Almanca Darmstadt Teknik Üniversitesi tarafından geliştirilen serbestçe mevcut bir açık kaynaklı NFC yazılım aracı olan NFCGate’de özetlenen kavramlar üzerine inşa edilmiştir.
Supercard X’in geliştiricileri bu yazılımı olabildiğince gizli hale getirmeye odaklandı. Cleafy, Android için çoğu antivirüs programının fark edemediğini söylüyor. Bunun nedeni, telefonda mümkün olduğunca az ayrıcalık istediği ve diğer kötü amaçlı yazılımların sahip olduğu birçok özelliği içermemesidir. Kısacası, bir kötü niyetli program bir telefonda ne kadar az olursa, ayak izi o kadar küçük olur ve o kadar sessiz olabilir.
Bu kötü amaçlı yazılım, çeşitli nedenlerden dolayı bir siber suçludur. Belirli bir bankadaki hesaplarla insanlara saldırmak yerine, bir ödeme kartı olan herkese karşı çalışır ve saldırganın kapsamını artırır. Ayrıca, tamamlanması günler sürebilen banka havalesi ile hırsızlıklara kıyasla anında.
Kendinizi nasıl koruyabilirsiniz
Neyse ki, birçok şeyde olduğu gibi, en iyi savunma sensin. Bu durumda koruma basittir. Bu saldırının arkasındaki siber suçlular, yazılımı telefonunuza yüklemediğiniz sürece hiçbir şey yapamaz ve bu yüzden sizi bunu yapmaya ikna etmek için birkaç adım atarlar.
Tanımadığınız kişilerden, özellikle de acil olduğunu iddia edenlerin kısa mesajlarına şüpheci olun. Dolandırıcılar genellikle sizi hızlı bir yanıt haline getirmeye çalışır. Sizi telefona götürdüklerinde, sizinle arkadaş olabilirler, eleştirel düşünme ve “hayır” deme yeteneğinizi daha da engelleyebilirler.
Kendinize yardım edemezseniz ve harekete geçmeye mecbur hissedemezseniz, perspektiflerini almak için mevcutsa güvenilir bir aile üyesiyle görüşün. Hala ikna olduysanız, en azından önce mesajı doğrulayın. Finansal kurumunuzu resmi bir numaradan arayın – kısa mesajdan değil. Neden bahsettiğinizi bilmeyecekleri bir biftek yemeğine bahse gireceğiz.
Metin mesajı ile sizinle iletişim kuran kimseye asla kişisel detaylar vermeyin ve istekleri üzerine bankacılık ayrıntılarınızı asla değiştirmeyin. Ve eğer kimse sizden kısa mesaj yoluyla gönderilen yazılımı yüklemenizi isterse, iletişimi reddedip bitirir.
Sadece telefon güvenliği hakkında rapor vermiyoruz – bunu sağlıyoruz
Siber güvenlik riskleri asla bir başlığın ötesine yayılmamalıdır. İOS için MalwareBebytes ve bugün Android için Malwarebytes’i indirerek tehditleri mobil cihazlarınızdan uzak tutun.