Una nuova truffa pericolosissima, il “Ghost Tap” è stata ideata per rubare in men che non si dica i soldi del conto corrente agli utilizzatori di carte di credito e bancomat sfruttando il circuito Nfc (“Near Field Communication”) inserito regolarmente in tutti i dispositivi di pagamento elettronici, sfruttando un bug, un elemento di vulnerabilità del circuito stesso, connesso a Google, Samsung e Apple Pay, compiendo transazioni illegali. Andiamo a vedere come viene messo in atto e come potersi proteggere.
Una nuova e sofisticata truffa, il “Ghost Tap”, colpisce gli utilizzatori di carte di credito: come funziona e i metodi per difendersi
Pertanto le transazioni non autorizzate possono essere fatte anche se si collega, come fanno milioni di utenti nel mondo, la propria carta e si paga tramite cellulare o smart watch: il “Ghost Tap” pertanto riguarda tutti coloro che sfruttano i metodi di pagamento elettronci e dunque “immateriali”.
Si tratta quindi di una truffa tecnologica che è stata smascherata dagli esperti di sicurezza informatica ed è una tecnica illegale, criminale, scoperta dagli addetti ai lavori del gruppo “ThreatFabric”.
Sfrutta le debolezze di sistema del circuito NFC per trasferire denaro da carte di credito realmente esistenti tramite servizi di pagamento come Apple Pay e Google Pay: i cybercriminali trasmettono i dati di carte rubate tramite una connessione remota e criptata, dunque difficilmente rintracciabile, permettendo a complici fisicamente lontani di fare transazioni senza mai dover mostrare all’esercente una carte di credito vera.
Nel “Ghost Tap” vengono utilizzati strumenti fraudolenti come il programma informatico Software Gate, sviluppato in ambito accademico ma successivamente sfruttato in un arma informatica dai malintenzionati.
Con il “Ghost Tap” dunque si rimane anonimi e si aggirano i sistemi antifrode internazionali.
Per difendersi da questa truffa sofisticata c’è bisogno di grande prontezza ed esperienza nell’uso del proprio dispositivo di pagamento e un monitoraggio costante, in tempo reale, da parte delle varie banche.
Se questo non succede, ecco che i malviventi entrano in azione, con il fenomeno criminale del “Ghost Tap” che purtroppo sta prendendo sempre più piede in Italia e in tutto il mondo.
La scoperta di questa truffa è nata quando i responsabili di “ThreatFabric” hanno scoperto online un post scritto in un forum nel quale un primo utente diceva di poter inviare una carta Apple Pay da uno smartphone all’latro per fare un’operazione usando il microchip NFC integrato.
A quel punto un secondo utente diceva che ci sono anche altre persone che offrono un servizio simile e che le transazioni virtuali vengono fatte usando il lettore NFC integrato nei cellulari di ultima generazione.
Da queste affermazioni lette sul forum internet sono partite lunghe indagini che hanno permesso di comprendere e ricostruire la truffa del “Ghost Tap”, che dall’inglese è traducibile in italiano come “Il tocco fantasma”.
Sostanzialmente si tratta di una tecnica di “cash-out”, ovvero di “incasso”, con il quale i truffatori tramutano i dati rubati in denaro o in beni tangibili.
Prima di tutto i malviventi hanno bisogno di dati rubati di carte di credito o bancomat, che solitamente riescono a fare sfruttando sofware malevoli, detti “malware”, programmi informatici che servono a carpire questi dati sensibili, o altri tipi di attacchi informatici, come il phishing e quella di “overlay” (sovrapponendo illegalmente una interfaccia, una schermata fasulla a quella legittima della banca)
Compiendo queste azioni i ladri ottengono dati bancari delle carte di credito e codici OTP “One Time Password” dalle loro inconsapevoli vittime, gli utenti e proprietari delle carte di credito o dei bancomat, e poi li utilizzano tramite altri programmi informatici come NFC Gate, trasferendo le informazioni ad una rete online di complici, detti in gergo criminale come i “Money Mule”, letteralmente “Il mulo dei soldi”.
Questi ultimi complici, eseguono fisicamente, in presenza, le transazioni attraverso veri terminali di pagamento come i Pos (i “Point Of Sale”) realmente presenti in tantissimi esercizi commerciali nel mondo, come negozi, ristoranti, tabaccherie, bar e altri ancora.
Grazie al sistema integrato NFC, presente in dispositivi come i cellulari di ultima generazione per fare le transazioni con un solo tocco “contactless” a quel punto diventano i mezzi per aggirare le distanze fisiche e in tempi istantanei.
Gli acquisti illegali difatti possono essere fatti in tempo reale in più luoghi contemporaneamente e senza dare adito a sospetti immediati da parte dell’utente truffato.
Gli hacker possono stabilire un legame pericolosissimo tra il dispositivo connesso alla carta rubata e qualsiasi Pos di un commerciante, svuotando i soldi dalla carta del malcapitato o comprando beni di qualsiasi tipo, creando in poco tempo incassi enormi a loro vantaggio.
tra un dispositivo con carta rubata e il terminale POS di un rivenditore, rimanendo anonimi ed eseguendo incassi su larga scala».
Quel che si può fare per proteggersi dal “Ghost Tap” è innazitutto, da utenti, non cliccare su link sospetti o scaricare app che non sembrano sicure e che potrebbero infettare il vostro cellulare o smartwatch con programmi informatici allo scopo di rubare dati bancari, oppure installare sistemi di autenticazione a due fattori, e non aprire sms o notifiche sospette, soprattutto quelle che richiedono alla persona di inserire codici.
Inoltre periodicamente ogni utente, per verificare transazioni sosopette, da località estranee a quelle dove vi trovate voi, dovrebbe controllare il saldo del conto corrente tramite app della propria banca o tramite il sistema di home banking accedendo dal proprio computer e se ci sono dubbi va contattata e allertato immediatamente il proprio istituto bancario.
