Temassız ödeme sistemlerinde kullanılan NFC teknolojisinin, “röle saldırısı” adı verilen yöntemle suistimal edilebildiği belirtildi. Yöntemle kartın cepten veya çantadan çıkarılmasına gerek kalmadan veriler uzaktaki bir POS cihazına aktarılabiliyor.
Birkaç Santimetrelik Mesafe Yeterli Oluyor
NFC sisteminin birkaç santimetrelik fiziksel menzili nedeniyle güvenli olduğu düşünülüyor. Ancak mevcut kart sistemlerinin fiziksel mesafe yerine yalnızca veri akışını doğrulaması risk oluşturuyor. Dolandırıcılık yönteminde NFC okuyucu özelliğine sahip iki akıllı telefon ve cihazlar arasındaki internet bağlantısı kullanılıyor.
Kart Verileri Diğer Telefona Aktarılıyor
İlk şüpheli, kalabalık bir alanda kurbana yaklaşarak telefonunu kartın bulunduğu cep veya çantaya birkaç santimetre mesafede tutuyor. Kart çipinden alınan veriler, internet üzerinden uzaktaki ikinci telefona aktarılıyor. İkinci telefon ise bu verileri gerçek bir POS cihazına kart oradaymış gibi iletiyor ve ödeme işleminin tamamlanmasını sağlıyor.
Mesafe Doğrulaması Yapılamıyor
Mevcut kart ve terminallerde verinin gidiş-dönüş süresini ölçerek fiziksel mesafeyi doğrulayan DBP mekanizmasının bulunmaması, POS cihazının kartın yakınlığını ayırt edememesine neden oluyor.
NFC kaynaklı dolandırıcılık yöntemlerinin doğrudan kart okumaktan çok Android cihazlar ve röle senaryoları üzerinde yoğunlaştığı belirtildi. Verilerin internet üzerinden anlık aktarılmasıyla farklı noktalardaki kişiler tarafından kısa sürede birden fazla yetkisiz işlem yapılabildiği ifade edildi.
RFID Engelleyici Kılıf Önerisi
Uzmanlar, RFID engelleyici kılıf ve zırhlı cüzdanların kart kullanılmadığı sırada sinyal katmanını kapatarak veri aktarımını engellediğini belirtiyor. Mevzuat gereği bankaların, müşteri onayı olmadan temassız yöntemle gerçekleştirilen yetkisiz işlemlerin tutarını iade etmekle yükümlü olduğu aktarılıyor. Müşterinin ihmali bulunduğunu ispatlama yükümlülüğünün ise finans kuruluşlarına ait olduğu belirtiliyor. Veri iletim sürelerini denetleyen güvenlik protokollerinin yaygınlaşmasıyla söz konusu açığın kapatılması öngörülüyor.