Oplichting via Apple Pay? Het kan! Criminelen zijn er namelijk in geslaagd om creditcardfraude via Apples betaaldienst te plegen. Ook Google Pay en Samsung Pay zijn kwetsbaar. De truc werkt via malware en vooralsnog zijn er geen Nederlandse slachtoffers bekend.
Apple Pay fraude
Steeds meer mensen gebruiken contactloze betaaldiensten, zoals Apple Pay. Afrekenen is daarmee een fluitje van een cent, want je hebt alleen maar een iPhone, Apple Watch of Mac nodig. Bovendien is het systeem heel veilig, want je moet betalingen goedkeuren door middel van een pincode of een scan van je vingerafdruk of gezicht.
Het systeem heeft ook kwetsbaarheden, ontdekte Vice. De website kreeg toegang tot gesprekken in Telegram waar criminelen een nieuwe vorm van creditcardfraude via Apple Pay bespreken.
Hierbij koppelen ze de kaart van het slachtoffer aan hun eigen iPhone, om er vervolgens met de buit vandoor te gaan. In de groepen wordt ook malware aangeboden om de oplichting mee uit te voeren.
Hoe werkt de fraude
De oplichting via Apple Pay gebeurd op de volgende manier. Het komt erop neer dat de criminelen tussen het controlesysteem van de bank en de iPhone in gaan zitten (MitM aanval). Op het moment dat het slachtoffer Apple Pay op haar of zijn iPhone wil activeren, stuurt de uitgever van de kaart een sms met daarin een activatiecode. De code komt echter nooit bij het slachtoffer aan, want deze wordt onderschept door de malware van de criminelen.
Zodra de criminelen erin zijn geslaagd om de creditcard van het slachtoffer aan hun eigen iPhone te koppelen, is het mogelijk om aankopen te doen. Volgens Vice kopen de oplichters vooral cadeaukaarten en vouchers van het geld. Deze worden weer doorverkocht om een dwaalspoor te creëren.
De methode is tot nu toe redelijk onder de radar gebleven, omdat het lastig is om deze oplichtingstruc te herkennen. De fraudedetectie van creditcards werkt namelijk niet altijd als er contactloos wordt betaald.
Volgens Vice komt dit omdat er bij contactloze betalingen minder informatie naar banken worden doorgespeeld. Dat is enerzijds goed voor de privacy van de klant, in dit geval dus het slachtoffer, maar aan de andere kans werkt het creditcardfrauders en oplichting bij Apple Pay de hand.
Bovendien doen de oplichters bewust kleine aankopen. Op die manier gaan er bij de creditcardbedrijven niet snel alarmbellen rinkelen, zoals wel het geval is wanneer er plotseling veel geld wordt afgeschreven.
Bron: telegram, vice.com, iphoned.nl
Bekijk alle vormen en begrippen
Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met Cybercrimeinfo.
Meer malware nieuws
GPS spoofing, een nieuw gevaar?
Schepen over de hele wereld rapporteren foutieve locaties. Ze lijken rondjes te varen rond Point Reyes in de buurt van San Francisco, terwijl ze zich in werkelijkheid duizenden kilometers verderop bevinden.
Vuist tegen DDoS aanvallen met NoMoreDDoS.org
Na zo’n twee jaar in relatieve stilte te hebben gewerkt, heeft de nationale anti-DDoS-coalitie recent de website nomoreddos.org gelanceerd. Deze website is bedoeld om geïnteresseerden op de hoogte te houden over de activiteiten van de coalitie en neutrale informatie over DDoS-aanvallen te bieden. De nationale anti-DDoS-coalitie is een publiek-privaat samenwerkingsverband van sectororganisaties, (semi)overheidsinstellingen en bedrijven die een gezamenlijke, landsbrede aanpak voor DDoS-aanvallen ontwikkelt. Het gaat daarbij niet alleen om het afslaan van DDoS-aanvallen, maar ook om het herkennen van patronen om aanvallen te voorkomen en het delen van expertise en ervaring.
Cybercrime nieuwsbrief 110 (week 24-2020)
Datalek nieuws en overzicht week 24-2020
Bij een 'datalek' gaat het om ongeoorloofde of onbedoelde toegang tot persoonsgegevens bij een organisatie. Of om vernietiging, verlies, wijziging of vrijkomen van persoonsgegevens. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens en verlies van (toegang tot) persoonsgegevens.
Oplichting / Cybercrime overzicht week 24-2020
Wat is phishing »
De gruweldaden werden gefilmd en verkocht op het darkweb
In een grote misbruikzaak in de Duitse stad Münster zijn elf mensen opgepakt. Er zijn zeker drie slachtoffers; kinderen van 5, 10 en 12 jaar. De burgemeester is verbijsterd en zegt geschrokken te zijn dat er in zijn stad "zulke vreselijke dingen" gebeurd zijn.
Koninklijke Reesink: waarschijnlijk gaat het om miljoenen euro’s
De Nederlandse landbouwdistributeur 'Royal Reesink' is slachtoffer geworden van een aanval met ransomware. Het Apeldoornse bedrijf, dat in 10 landen vestigingen heeft en in 2019 een omzet had van bijna 1 miljard euro, lag sinds begin juni plat. Zeventig procent van de 35 aangesloten bedrijven werd geraakt door de digitale aanval.
Toename van 67% aangiftes cybercrime in 2019 tegenover 2018
De politie ontving vorig jaar bijna 4482 aangiften van cybercrime, veel meer dan de 2683 aangiften die een jaar eerder binnenkwamen. Dat laat minister Grapperhaus van Justitie en Veiligheid weten in een antwoord op vragen over het jaarverslag van het ministerie.
'Elke 7,5 seconden verschijnt er een nieuwe malware Android-app'
Deze week heeft G Data CyberDefense weer zijn jaarlijkse mobile malware analyse uitgebracht. Hieruit blijkt dat er opnieuw een negatief record is aan Android-malware. Het afgelopen jaar identificeerden experts maar liefst 4.18 miljoen nieuwe schadelijke Android-malware apps. Vorig jaar was er ook al een record te melden en lag de hoeveelheid op 4.12 miljoen.
De Belastingdienst "Uw openstaande schuld is na meerdere herinneringen niet voldaan"
Momenteel komen er veel vragen binnen bij Cybercrimeinfo.nl over het betalen van belastingschuld, de meeste berichten beginnen met "Uw openstaande schuld is na meerdere herinneringen niet voldaan", zo begint een phishing bericht meestal dat recentelijk uit naam van de Belastingdienst werd verstuurd en het is niet de enige. De afgelopen weken ontving de fiscus veel meer meldingen van phishing dan normaal. Het gaat zowel om e-mails als sms'jes, phishing en smishing dus.
Ethical Hacker PH-CybSec: "Mijn meest dankbare Hack"
Etisch hacker PH-SybSec antwoord meestal met een knipoog en een brede lach, als iemand aan hem vraagt: “Wat doe jij nu eigenlijk precies voor werk?” Eigenlijk ben ik een “legale crimineel!” Ik denk als een boef, maar met het doel om mensen en bedrijven te helpen hun computerbeveiliging te verbeteren. Hacken is per definitie illegaal, mits je vooraf duidelijke toestemming hebt om een hack uit te voeren en is overeengekomen wat er wel en niet bij het onderzoek hoort. Dat heet White-Hat hacken.
700 aangiften per week "In eerste vier maanden 2020 al meer dan geheel 2019"
De afgelopen maanden is het aantal meldingen en slachtoffers van 'hulpvraagoplichting' sterk toegenomen. Vooral sinds we sociale media als gevolg van de corona-lockdown veel intensiever gebruiken om met vrienden en familie in contact te blijven, slaan oplichters grootschalig toe. De Fraudehelpdesk heeft in de eerste vier maanden van 2020 al meer meldingen over hulpvraagoplichting ontvangen dan in heel 2019. Sinds het eind april mogelijk werd om online aangifte te doen van 'vriend-in-noodoplichting', is het aantal aangiften toegenomen van 300 naar 700 per week. Nederlandse banken hebben in de lockdown-maanden maart, april en mei van dit jaar ruwweg drie keer zoveel meldingen van oplichting via sociale media ontvangen als in de laatste drie maanden van 2019. In mei ontvingen de banken naar schatting zo’n 70 meldingen per dag.