Temassız ödeme teknolojileri günlük hayatı kolaylaştırırken, NFC sistemlerine yönelik güvenlik endişeleri de gündeme geliyor. Özellikle “röle saldırısı” yöntemi, kart sahibinin kartını fiziksel olarak teslim etmesine veya kartını çantasından çıkarmasına gerek kalmadan dolandırıcılık yapılabilmesine imkan tanıyabiliyor.
Kart Cebinizdeyken Bile Hedef Olabilirsiniz
Söz konusu yöntemde NFC okuyabilen iki farklı akıllı telefon ve cihazlar arasında internet bağlantısı kullanılıyor. Saldırganlardan biri, kalabalık ortamlarda hedef kişinin yanına yaklaşarak telefonunu kartın bulunduğu çanta, cüzdan veya cebin birkaç santimetre yakınına getiriyor.
Kart ile telefon arasındaki iletişim üzerinden elde edilen veriler, internet aracılığıyla başka bir noktadaki ikinci telefona aktarılıyor. İkinci saldırgan ise bu telefonu gerçek bir POS terminaline kartın yakındaymış gibi bağlayarak ödeme işleminin gerçekleştirilmesini sağlayabiliyor.
Böylece kart sahibinin kartını fiziksel olarak çıkarması veya saldırgana vermesi gerekmiyor.
Nfc Sistemlerinde Mesafe Kontrolü Tartışması
Güvenlik açığının temelinde, bazı mevcut kart ve POS sistemlerinin iletişimde aktarılan verilerin doğruluğunu kontrol ederken kart ile terminal arasındaki fiziksel mesafeyi yeterince doğrulayamaması bulunuyor.
Mesafenin doğrulanmasını sağlayacak daha gelişmiş güvenlik mekanizmalarının kullanılmaması durumunda POS cihazı, kendisine ulaşan iletişimin gerçekten birkaç santimetre yakındaki bir karttan mı yoksa uzaktaki başka bir cihaz üzerinden mi geldiğini ayırt etmekte zorlanabiliyor.
Bu durum, kart ile POS arasındaki iletişimin internet üzerinden başka bir noktaya aktarılabildiği röle saldırılarının önünü açabiliyor.
Yetkisiz İşlemlere Karşı Hangi Önlemler Alınabilir?
Uzmanlar, kullanıcıların kartlarını korumak için RFID/NFC engelleyici özellikli cüzdan ve kılıflardan yararlanabileceğini belirtiyor. Bu ürünler, kart kullanılmadığı sırada NFC üzerinden gerçekleşebilecek iletişimin engellenmesine yardımcı olabiliyor.
Bunun yanı sıra banka hesaplarının ve kart hareketlerinin düzenli olarak kontrol edilmesi, şüpheli işlemlerin fark edilmesi açısından önem taşıyor. Bankacılık uygulamalarındaki işlem bildirimlerinin açık tutulması da olası bir yetkisiz işlemin kısa sürede fark edilmesini sağlayabilir.
Yetkisiz İşlemde Bankaların Sorumluluğu
Temassız ödeme yöntemiyle gerçekleştirilen işlemlerde kart sahibinin onayı bulunmadığı yönünde bir itiraz olması halinde, ilgili bankanın ve ödeme kuruluşunun sorumluluğu da gündeme geliyor. Yetkisiz işlem iddialarında işlemin nasıl gerçekleştirildiğinin ve müşterinin kusurunun bulunup bulunmadığının değerlendirilmesi gerekiyor.
Sektörde ise kart ile POS cihazı arasındaki iletişim süresini ve fiziksel mesafeyi doğrulayabilecek güvenlik protokollerinin daha yaygın biçimde kullanılmasıyla röle saldırılarının önüne geçilebileceği değerlendiriliyor.
