Temassız Kredi Kartlarında Sinsi Tehlike: Paranızı Çantadan Çıkarmadan Çalabilirler

Günlük hayatımızın vazgeçilmez bir parçası haline gelen temassız ödeme teknolojileri, sunduğu hız ve pratiklik ile büyük beğeni topluyor. Ancak, bu teknolojinin temelini oluşturan Yakın Alan İletişimi (NFC) sistemindeki keşfedilen bir güvenlik açığı, tüketicileri endişelendiren yeni bir tehdidi gün yüzüne çıkardı. Artık paranızı cüzdanınızdan veya çantanızdan fiziksel olarak ayırmadan, hatta birkaç santimetre mesafede bile olmadan yetkisiz işlemlerle karşı karşıya kalma riski bulunuyor. Bu durum, temassız ödemelerin güvenliği konusundaki yerleşik algıları tamamen değiştirecek nitelikte.

Kamuoyunda genellikle birkaç santimetrelik sınırlı bir fiziksel menzile sahip olduğu için güvenli kabul edilen temassız ödeme sistemleri, 'röle saldırısı' olarak adlandırılan sofistike bir yöntemle suistimal ediliyor. Bu saldırı türünde, mevcut kart sistemlerinin yalnızca veri akışını doğrulayıp fiziksel mesafeyi yeterince kontrol etmemesi, dolandırıcılar için önemli bir erişim noktası oluşturuyor. Saldırganlar, NFC okuyucu özelliğine sahip iki akıllı telefonu ve internet bağlantısını kullanarak, kurbanın kartına uzaktan erişim sağlayabiliyor. İlk saldırgan, kalabalık ortamlarda kurbanın yakınına gelerek telefonunu kartın bulunduğu çanta veya cebe yaklaştırıyor ve kart çipinden yayılan verileri kaydediyor. Bu kaydedilen veriler, anında internet aracılığıyla uzaktaki ikinci saldırgana iletiliyor.

İkinci saldırgan ise, kendisine iletilen bu verileri sanki gerçek bir ödeme terminali (POS) önündeymiş gibi sisteme sunuyor ve böylece ödeme işlemini başarıyla tamamlıyor. Bu yöntemin en ürkütücü yanı, çalınan verilerin internet üzerinden anlık olarak aktarılabilmesi sayesinde, farklı coğrafyalarda bulunan birden fazla saldırganın aynı anda kısa süreler içinde çok sayıda yetkisiz işlem gerçekleştirebilmesidir. Mevcut kart ve ödeme terminallerinde, veri iletiminin gerçekleştiği süreyi ölçerek işlemin fiziksel yakınlığını doğrulayan bir güvenlik mekanizmasının (DBP - Distance Bounding Protocol gibi) bulunmaması, POS cihazlarının işlemin gerçekte ne kadar yakın bir mesafede gerçekleştiğini ayırt edememesine yol açıyor. Son dönemde bu tür NFC kaynaklı dolandırıcılık vakalarının doğrudan kartları okumaktan ziyade, Android tabanlı cihazlar ve bu tür röle senaryoları üzerine yoğunlaştığı gözlemleniyor.

Uzmanlar, bu tür dolandırıcılık girişimlerine karşı alınabilecek önlemler olduğunu belirtiyor. Bunların başında, RFID sinyallerini engelleyen özel kılıflar veya zırhlı cüzdanlar kullanmak geliyor. Bu tür aksesuarlar, kullanılmadığı zamanlarda kartın sinyal yaymasını engelleyerek veri transferini önlüyor. Ayrıca, yasal düzenlemeler gereği bankalar, müşteri onayı olmadan temassız yöntemle gerçekleştirilen yetkisiz tüm işlemlerin bedelini müşterilerine iade etmekle yükümlü tutuluyor. Bir dolandırıcılık vakası yaşandığında, müşterinin herhangi bir ihmali olduğunu ispatlama yükümlülüğü de finans kuruluşlarına ait bulunuyor. Sektör temsilcileri ise, veri iletim sürelerini daha etkin bir şekilde denetleyen yeni nesil güvenlik protokollerinin yaygınlaşmasıyla bu tür güvenlik açıklarının kısa süre içinde kapatılacağını öngörüyor. Bu gelişmeler ışığında, tüketicilerin de temassız kart kullanırken daha dikkatli olmaları ve güvenlik önlemlerini göz ardı etmemeleri büyük önem taşıyor.