Temassız ödeme sistemlerinde kullanılan NFC teknolojisine yönelik “röle saldırısı”, banka kartlarının fiziksel olarak çıkarılmasına gerek kalmadan yetkisiz işlemlerin gerçekleştirilmesine imkan tanıyor. İki akıllı telefon ve internet bağlantısı üzerinden uygulanan yöntem, temassız kartların yalnızca birkaç santimetrelik mesafeden çalıştığı yönündeki güvenlik algısını tartışmaya açıyor.
Sistemde iletişimin fiziksel mesafesinin değil, yalnızca veri akışının doğrulanması, kötü niyetli kişilerin kart ile POS cihazı arasındaki iletişimi uzaktan aktarmasına imkan sağlıyor.
Kart cebinizdeyken bile işlem yapılabiliyor
Söz konusu yöntemde NFC okuyucu özelliğine sahip iki farklı akıllı telefon kullanılıyor. Saldırganlardan biri, kalabalık alanlarda hedef kişinin çanta veya cebindeki karta birkaç santimetre mesafede telefonunu tutarak kart çipinin yaydığı verileri kaydediyor.
Elde edilen veriler internet bağlantısı üzerinden eş zamanlı olarak başka bir noktadaki ikinci saldırgana gönderiliyor. İkinci saldırgan ise telefonunu gerçek bir POS terminaline kartın yanındaymış gibi sunarak ödeme işleminin tamamlanmasını sağlıyor.
Bu yöntem sayesinde kartın sahibinin kartını cüzdanından veya çantasından çıkarmaması, tek başına yeterli bir güvenlik önlemi olmuyor.
Güvenlik protokolündeki eksiklik dikkat çekiyor
Mevcut kart ve POS sistemlerinde, verinin gidiş ve dönüş süresini ölçerek kart ile terminal arasındaki fiziksel mesafeyi doğrulayan DBP mekanizmasının bulunmaması, röle saldırılarında önemli bir risk oluşturuyor.
POS cihazları, kendisine ulaşan verinin karttan gerçekten ne kadar uzakta üretildiğini ayırt edemediği için iletişimin farklı bir noktadan aktarılıp aktarılmadığını tespit edemiyor.
Son dönemde NFC kaynaklı dolandırıcılık vakalarının doğrudan kart okumaktan çok Android cihazlar ve röle senaryoları üzerinden gerçekleştirildiği belirtiliyor. Verilerin internet üzerinden anlık aktarılabilmesi ise farklı noktalardaki saldırganların kısa sürede birden fazla yetkisiz işlem gerçekleştirmesine zemin hazırlıyor.
Kart kullanıcıları hangi önlemleri alabilir?
Uzmanlar, RFID engelleyici kılıflar ve zırhlı cüzdanların kullanılmadığı durumlarda kartın sinyal katmanını kapatarak veri transferinin önlenebildiğini belirtiyor.
Mevzuat kapsamında bankalar, müşteri onayı olmadan temassız yöntemle gerçekleştirilen yetkisiz işlemlere ilişkin tutarları iade etmekle yükümlü tutuluyor. Olası bir suistimal iddiasında müşterinin ihmali bulunduğunu kanıtlama yükümlülüğü ise finans kuruluşlarına ait bulunuyor.
Sektör temsilcileri, veri iletim sürelerini kontrol eden güvenlik protokollerinin yaygınlaşmasıyla birlikte söz konusu güvenlik açığının giderilebileceğini öngörüyor.
