Supercard X 利用 Android NFC 漏洞入侵账户，用户资金安全告急

在被称为“Supercard X”的新恶意软件即服务 （MaaS） 平台出现后，安全专家提出了担忧，该平台通过利用近场通信 （NFC） 技术积极针对 Android 设备。

研究人员表示，该平台允许非法行为者立即访问被盗资金，绕过通常监控银行转账的更传统的欺诈检测机制。

Supercard X 利用智能手机中的 NFC 功能，该功能通常用于通过与附近的物体（如支付卡）交互来促进非接触式支付。行业观察家警告说，与历史上公认的欺诈路线相比，Supercard X 的运作机制可能使网络犯罪分子能够以更难追踪和阻止的方式窃取资金。

Cequence 首席信息安全官 Randolph Barr 表示：“这些攻击目前大多数都是特定于地理区域的，早期迹象表明重点在于区域性。如果这种威胁扩大，很可能是由于用户成为社会工程的受害者并被说服禁用内置安全保护——这是一个明显的危险信号。任何合法公司都不应要求您降低或删除设备上的安全设置。

鉴于 Android 设备在该地区的高度普及，网络安全分析师将亚洲确定为这些威胁的潜在热点。

“亚洲的 Android 用户特别集中，这可能会增加该地区的风险。这种攻击凸显了在安装或旁加载应用程序之前了解应用程序的作用的重要性，“Barr 表示。

虽然目前威胁主要来自区域性，但专家强调，如果用户不保持警惕，可能会有更广泛爆发的风险。

长期以来，Android 设备能够“旁加载”应用程序（即从官方 Google Play 商店之外安装应用程序）一直被视为既是好处又是安全责任。

一方面，它为用户和开发人员提供了开放性和灵活性;另一方面，它使毫无戒心的用户接触到可能有害的软件。

Google Play 实施了多项保护措施，例如应用扫描和强制执行开发者政策，以帮助防止恶意应用到达主流用户。

但是，当用户从非官方来源下载应用程序时，这些保护措施可能会被绕过——通常是在复杂的社会工程活动的敦促下。

Barr 将 Android 生态系统与 Apple 的 iOS 进行了对比，后者对 NFC 功能和软件安装施加了更严格的控制。

“相比之下，iOS 设备实施了更严格的限制，尤其是在 NFC 访问方面。虽然有些人认为这是一种限制，但从安全角度来看，它是一种有价值的控制措施，有助于防止此类攻击，“他说。这种架构旨在降低任意软件访问敏感设备功能的风险。

网络安全社区建议所有智能手机用户对社会工程的迹象保持警惕，即攻击者试图诱骗受害者破坏设备安全。“最终，有一些方法可以识别和防止 TOAD 式攻击。

Android 用户应该更加熟悉社会工程危险信号——有时它就像在采取行动之前验证请求的合法性一样简单，“Barr 补充道。TOAD，即面向电话的攻击交付，是指试图通过电话或消息（通常通过电话或消息）进行社交纵目标采取不安全行动的策略。

在 Supercard X 曝光后，网络安全专家敦促消费者永远不要在第三方的提示下禁用设备安全设置，定期更新他们的软件，并仔细检查所有应用程序安装请求。随着个人理财和数字访问之间的界限越来越模糊，保持严格的安全卫生仍然是抵御新出现的威胁的关键防御措施。