NFC Ghost Tap: کلاهبرداری پرداخت بدون تماس با افزایش ۳۵ برابری در ۲۰۲۵

کارت را بزنید، قهوه بگیرید، بروید. پرداخت‌های بدون تماس سریع و راحت هستند و حالا هدف محبوب مجرمان سایبری شده‌اند. تکنیکی به نام Ghost Tap از اوایل ۲۰۲۵ افزایش ۳۵ برابری داشته و داده‌های سرقتی کارت را به خریدهای غیرقابل ردیابی در سراسر جهان تبدیل می‌کند.

حمله Ghost Tap چیست؟

Ghost Tap یک حمله رله NFC است. به جای شبیه‌سازی فیزیکی کارت، مهاجمان داده NFC کارت شما را ضبط می‌کنند و در زمان واقعی به دستگاه دوری منتقل می‌کنند که خریدها را به جای شما انجام می‌دهد:

1. سرقت داده کارت — از طریق فیشینگ، بدافزار یا مهندسی اجتماعی
2. اتصال به کیف پول موبایل — داده سرقتی در Apple Pay یا Google Wallet روی گوشی مهاجم بارگذاری می‌شود
3. رله از طریق پروکسی NFC — نرم‌افزاری مانند NFCGate سیگنال NFC را به شبکه‌ای از «واسطه‌ها» رله می‌کند
4. ضربه و خرید — واسطه‌ها در فروشگاه‌های سراسر جهان خریدهای بدون تماس زیر حد مجاز انجام می‌دهند

کل فرآیند در چند ثانیه اتفاق می‌افتد. کارت شما هرگز جیبتان را ترک نمی‌کند، اما کسی در کشور دیگری با آن لوازم الکترونیکی می‌خرد.

چرا Ghost Tap سخت شناسایی می‌شود

روش شناسایی	چرا Ghost Tap از آن فرار می‌کند
بررسی مکان	خریدها در ترمینال‌های واقعی فروشگاه‌های عادی انجام می‌شود
آستانه مبلغ	هر تراکنش زیر حد بدون تماس می‌ماند (معمولاً ۵۰-۱۰۰ دلار)
علامت‌گذاری حضور کارت	سیگنال NFC مانند ضربه مشروع به نظر می‌رسد
بررسی سرعت	واسطه‌ها خریدها را بین فروشگاه‌ها و شهرهای مختلف پخش می‌کنند
اثرانگشت دستگاه	هر واسطه گوشی متفاوتی استفاده می‌کند

افزایش ۳۵ برابری: چه چیزی تغییر کرد

ابزارهای NFC متن‌باز

NFCGate، که به عنوان ابزار تحقیقاتی دانشگاهی توسعه یافته بود، به طور گسترده در دسترس قرار گرفت.

پذیرش کیف پول موبایل

با فعال‌سازی پرداخت بدون تماس توسط بانک‌های بیشتر از طریق Apple Pay و Google Wallet، سطح حمله رشد کرد.

شبکه‌های سازمان‌یافته واسطه‌ها

شبکه‌های مجرمانه واسطه‌ها را از طریق شبکه‌های اجتماعی جذب می‌کنند و سهمی از هر خرید تقلبی ارائه می‌دهند.

چه کسانی بیشتر در خطر هستند؟

• هر کسی با کارت‌های بدون تماس — پیش‌فرض اکثر کارت‌های صادر شده از ۲۰۲۰
• کاربران کیف پول موبایل — به‌ویژه کسانی که احراز هویت بیومتریک برای هر تراکنش فعال نکرده‌اند
• افرادی که به فیشینگ پاسخ می‌دهند — نقطه ورود معمولاً پیامک یا ایمیل جعلی است
• مسافران — مکان‌های تراکنش ناآشنا تشخیص هزینه‌های تقلبی را سخت‌تر می‌کند

نحوه محافظت از خود

اقدامات فوری

1. اعلان تراکنش فعال کنید — هشدارهای لحظه‌ای برای هر تراکنش کارت اولین خط دفاع شماست
2. حد بدون تماس پایین تنظیم کنید — بسیاری از بانک‌ها اجازه تنظیم حد سفارشی از طریق اپلیکیشن را می‌دهند
3. تأیید بیومتریک استفاده کنید — Face ID یا اثر انگشت برای هر تراکنش کیف پول موبایل
4. هرگز OTP به اشتراک نگذارید — هیچ بانکی تماس نمی‌گیرد یا رمز یک‌بار مصرف نمی‌خواهد
5. صورتحساب‌ها را هفتگی بررسی کنید — هزینه‌های تقلبی کوچک (۱۰-۳۰ دلار) طراحی شده‌اند تا نادیده گرفته شوند

محافظت پیشرفته

• شماره کارت مجازی استفاده کنید — سرویس‌هایی که شماره کارت یک‌بار مصرف تولید می‌کنند
• NFC را وقتی استفاده نمی‌کنید غیرفعال کنید — در Android از تنظیمات سریع
• PIN برای همه تراکنش‌ها درخواست کنید — برخی بانک‌ها حذف تراکنش‌های فقط بدون تماس را اجازه می‌دهند
• کارت‌های بلااستفاده را فریز کنید — اکثر اپلیکیشن‌های بانکی فریز فوری کارت را اجازه می‌دهند

محافظت از داده‌های حساس آنلاین

Ghost Tap با داده‌های سرقتی شروع می‌شود — شماره کارت، OTP، اطلاعات شخصی. هر داده حساسی که آنلاین به اشتراک می‌گذارید نقطه ورود بالقوه است.

LOCK.PUB به شما اجازه می‌دهد اطلاعات حساس را از طریق لینک‌های محافظت شده با رمز عبور و دارای انقضای خودکار به اشتراک بگذارید. به جای ارسال جزئیات کارت یا کدهای امنیتی از طریق WhatsApp یا Messenger که برای همیشه در تاریخچه چت می‌مانند، لینک محافظت شده‌ای بسازید که پس از دسترسی گیرنده منقضی شود.

اگر قربانی شدید چه کار کنید

1. فوراً کارت را فریز کنید از طریق اپلیکیشن بانکی
2. با بخش کلاهبرداری بانک تماس بگیرید — اکثر بانک‌ها تراکنش‌های غیرمجاز بدون تماس را بازپرداخت می‌کنند
3. گزارش پلیس ثبت کنید
4. همه کیف پول‌های متصل را بررسی کنید — تأیید کنید کدام دستگاه‌ها کارت شما را در Apple Pay، Google Pay یا Samsung Pay ثبت کرده‌اند
5. رمز اپلیکیشن بانکی را تغییر دهید

تصویر بزرگ‌تر

Ghost Tap نشانه تنش بنیادی در پرداخت‌هاست: راحتی در مقابل امنیت. تراکنش‌های بدون تماس برای بدون اصطکاک بودن طراحی شده‌اند. همان فقدان اصطکاک دقیقاً چیزی است که مهاجمان از آن سوءاستفاده می‌کنند.

بهترین دفاع شما آگاهی است. بدانید Ghost Tap وجود دارد، اعلان‌ها فعال کنید و هر درخواست OTP از منبع ناشناس را علامت هشدار بدانید.

امنیت اطلاعات مالی شما فراتر از کارت‌هایتان است. ابزارهایی مانند LOCK.PUB با اطمینان از عدم باقی ماندن داده‌های حساس در کانال‌های محافظت‌نشده، سطح امنیتی شما را کمینه می‌کنند.

هوشیار باشید. ضربه ممکن است راحت باشد، اما باید همیشه ضربه خودتان باشد.