Smartphone-Trojaner zapft NFC-Kreditkarte an
Taschendiebstahl im Informationszeitalter: Angreifer könnten alle Android-Smartphones und -Tablets mit NFC aus der Ferne dazu missbrauchen, Geld von Kreditkarten abzubuchen.
![Bezahlen per Handy, NFC](https://heise.cloudimg.io/width/610/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/1/5/0/6/0/6/1/53890632_a1f5dbe35e-9b668f6c2a1bf761.png)
Neuerdings könnten Taschendiebe auch zuschlagen, wenn sie sich gar nicht in der Nähe ihres Opfers befinden. Dabei nutzen Angreifer die Nahfeldkommunikation via NFC von Android-Geräten aus der Ferne, um Geld von NFC-Kreditkarten abzubuchen. Das gelingt über einen Proxy, der die illegale Transaktion von einem beliebigen Ort aus steuert. Diesen Vorgang haben die Sicherheitsforscher Jose Vila und Ricardo J. Rodriguez in einem Vortrag erfolgreich vorgeführt.
Für einen Angriff muss das Opfer den Forschern zufolge eine präparierte App installieren. Apps mit Schadcode sind keine Seltenheit und schmuggeln sich immer wieder in Google Play.
Die Malware überwache die Umgebung via NFC und sobald eine geeignete Kreditkarte in der Nähe ist, bekommt der Angreifer eine Nachricht auf sein Smartphone geschickt. Postwendend muss dieser sein Gerät an ein passendes Lesegerät halten und kann eine Transaktion durchführen. Das kompromittierte Handy arbeitet dabei als Proxy und übermittelt die für den Übergriff benötigten Daten an den Angreifer.
In der Regel könnten Angreifer hierzulande aufgrund eines Limits in Bezug auf das kontaktlose Zahlen aber nur kleine Beträge bis 25 Euro stehlen.
Für eine erfolgreiche NFC-Attacke muss das Gerät des Opfers nicht gerootet sein, erklären die Sicherheitsforscher. In ihrer Präsentation haben sie den Vorgang eigenen Angaben zufolge mit einem Nexus 5, Sony Xperia S, Nexus 4 und Galaxy Nexus erfolgreich ausgeführt. Aktuell sind noch keine Übergriffe dieser Art in freier Wildbahn bekannt geworden. (des)