atak NFC relay

Atak NFC relay (NFC relay attack) to oszustwo, w którym złośliwa aplikacja na telefonie ofiary odczytuje przez NFC jej kartę płatniczą i na bieżąco przekazuje odpowiedzi karty do urządzenia przestępcy stojącego przy bankomacie lub terminalu. ESET opisał rodzinę NGate, która przekazuje dane z kart ofiar przez aplikację zainstalowaną na ich telefonach z Androidem do zrootowanego telefonu atakującego ^[2]. Sekurak streszcza skutek tak: cała paczka wrażliwych danych trafia do przestępcy, który stoi przy bankomacie i wypłaca pieniądze ^[1]. Dla bankomatu wypłata wygląda jak zwykłe zbliżeniowe użycie karty z poprawnym PIN-em.

Jak działa

Karta zbliżeniowa odpowiada na polecenia czytnika w standardzie ISO/IEC 14443-4 i wymienia z nim jednostki APDU określone w ISO/IEC 7816-4 ^[4]. Wymiana jest półdupleksowa: czytnik wysyła polecenie i czeka na odpowiedź ^[4]. Atak relay nie łamie kryptografii karty. Przedłuża tylko dystans między kartą a czytnikiem: odpowiedzi prawdziwej karty jadą przez internet do innego telefonu, który podaje je bankomatowi. To odmiana, jaką przyjmuje man-in-the-middle (MITM) na poziomie komunikacji zbliżeniowej.

Po stronie przestępcy telefon musi udawać kartę. Android od wersji 4.4 pozwala każdej aplikacji emulować kartę i rozmawiać bezpośrednio z czytnikiem NFC, bez udziału bezpiecznego elementu; mechanizm nazywa się host-based card emulation ^[4]. Dane z czytnika trafiają wtedy wprost do głównego procesora telefonu, a nie do bezpiecznego elementu ^[4]. Obsługująca je usługa może działać w tle, bez żadnego interfejsu ^[4]. Ta sama funkcja, która pozwala legalnym aplikacjom udawać kartę lub bilet, pozwala przestępcy podać bankomatowi odpowiedzi cudzej karty. Przepływ poleceń pokazuje schemat poniżej.

RYS. 1Przekazywanie transakcji NFC

Składniki ataku

Narzędzie do przekazywania ruchu NFC istnieje jako projekt badawczy. NFCGate to aplikacja na Androida do przechwytywania, analizy i modyfikowania ruchu NFC, opracowana do celów badawczych przez studentów Secure Mobile Networking Lab na Uniwersytecie Technicznym w Darmstadt ^[3]. Ma tryby przechwytywania, przekazywania między dwoma urządzeniami przez serwer, odtwarzania i klonowania ^[3]. Część funkcji wymaga frameworka do przechwytywania wywołań systemowych, takiego jak LSPosed, a całość działa na Androidzie 5 i nowszym z modułem NFC ^[3]. Autorzy proszą, by nie używać aplikacji w złych celach ^[3]. ESET ustalił, że NGate nadużywa właśnie tego narzędzia ^[2].

Aplikacja na telefonie ofiary trafia tam przez sideloading. ESET podkreśla, że NGate nigdy nie był dostępny w Google Play ^[2]; rozprowadzano go przez strony phishingowe ^[2]. Sekurak zwraca uwagę na instalację w postaci WebAPK, bezpośrednio z przeglądarki, bez weryfikacji sklepu ^[1].

Zagrożenia i skutki

Kampania zaczyna się od socjotechniki. W opisanej przez ESET kampanii ofiary dostawały SMS-y o zwrocie podatku z linkiem do strony podszywającej się pod bank ^[2], czyli smishing prowadzący do strony typu phishing. Fałszywa aplikacja bankowa prosiła o wpisanie starego PIN-u w celu ustalenia nowego i o przyłożenie karty do tyłu telefonu dla potwierdzenia zmiany ^[2]. Wtedy aplikacja odczytywała kartę i przekazywała ruch dalej.

• Wypłata gotówki. Przestępca wypłaca pieniądze z bankomatu przy użyciu przekazanej karty i PIN-u ^[1].
• Wiarygodność transakcji. Operacja wygląda jak zbliżeniowe użycie prawdziwej karty, więc trudno ją odróżnić od działania właściciela.
• Inne znaczniki NFC. ESET pokazał, że ten sam mechanizm pozwala skopiować identyfikator UID znacznika dostępu i użyć go do wejścia do budynków lub miejsc pracy ^[2].

Podobnie jak trojan bankowy i nakładka na aplikację bankową (overlay), atak NFC relay jest formą, jaką przyjmuje złośliwe oprogramowanie (malware) nastawione na pieniądze klientów banków, ale zamiast danych logowania kradnie dostęp do fizycznej karty.

Jak się bronić

• Aplikacje tylko z oficjalnych źródeł. Sekurak zaleca instalowanie aplikacji banku wyłącznie ze sklepu, do którego prowadzi oficjalna strona banku ^[1].
• Żadnej karty przy telefonie. Prośba o przyłożenie karty do telefonu, wpisanie PIN-u, numeru PESEL albo hasła powinna skłonić do kontaktu z bankiem ^[1].
• Weryfikacja rozmówcy. Gdy ktoś dzwoni w imieniu banku z informacją o zagrożonym koncie, należy sprawdzić jego tożsamość ^[1]; to częsty schemat, który opisuje hasło oszustwo na policjanta / na pracownika banku.
• Wyłączone NFC. ESET radzi wyłączać NFC, gdy nie jest potrzebne, zachowywać PIN w tajemnicy, sprawdzać autentyczność stron, korzystać z etui blokujących RFID i z cyfrowych wersji kart w portfelu telefonu ^[2].

Historia i przykłady

• Czechy, 2023–2024. ESET zidentyfikował sześć różnych aplikacji NGate wymierzonych w klientów trzech czeskich banków między listopadem 2023 a marcem 2024 roku ^[2]. Opis opublikował 22 sierpnia 2024 roku ^[2].
• Zatrzymanie w Pradze. Czeska policja zatrzymała 22-latka, który wypłacał pieniądze z bankomatów w Pradze; miał przy sobie 160 000 koron czeskich, pochodzących od trzech ostatnich ofiar ^[2].
• Polska, 2025. 7 lutego 2025 roku Sekurak opisał pojawienie się tego typu złośliwego oprogramowania w Polsce i pokazał atak na przykładzie aplikacji podszywającej się pod PKO BP ^[1]. Zarówno telefon przestępcy, jak i ofiary w takich atakach to Android; urządzenie atakującego jest zrootowane, co opisuje hasło rootowanie / jailbreak telefonu ^[2].