Продемонстрирован новый метод атаки на мобильные платежные приложения

За последние несколько лет популярность бесконтактных мобильных платежей значительно возросла. Во многом это связано с появлением технологии HCE (Host-based Card Emulation), позволяющей эмулировать NFC-карты на мобильных устройствах, используя специальное программное обеспечение. Технология HCE стала доступной широкой публике с выходом Android KitKat 4.4.

Как считалось ранее, клонировать виртуальную карту технически невозможно, однако специалисты компании SecuRing продемонстрировали метод атаки, позволяющий клонировать данные чужой бесконтактной платежной карты, копировать их в другой смартфон и использовать для осуществления бесконтактного мобильного платежа.

Как пояснили исследователи, для того, чтобы получить доступ к данным карты, хранящимся на смартфоне, атакующий должен иметь доступ с правами суперпользователя на устройстве. Кроме того, для каждой карты предусмотрены свои защитные меры, для обхода которых требуется индивидуальный подход. После того, как атакующий успешно клонировал данные карты, он может использовать собственное мобильное устройство для совершения бесконтактного платежа.

По словам экспертов, в зоне риска находится любое приложение с поддержкой HCE, в том числе приложения бесконтактных мобильных платежей для Android и Windows Phone. Мобильная платформа iOS не поддерживает HCE, так как Apple предпочитает собственные проприетарные решения, используя для кодирования данных свой собственный криптопроцессор и никому не раскрывая его ключи.

В PoC-видео эксперты продемонстрировали атаку на приложение Android Pay. По их словам, представленный метод затрагивает и другие платежные приложения. В связи с тем, что в каждом приложении реализована своя защита, процесс клонирования данных не является универсальным, поэтому осуществить крупномасштабные атаки будет достаточно сложно. Тем не менее, разработчики мобильного вредоносного ПО могут использовать возможность клонирования и адаптировать вредоносную программу под определенное приложение, так же, как это происходит в случае с банковскими троянами.