Une fausse application Bank Pekao utilise le NFC Relay pour capter les données de carte et les codes PIN, alerte le CSIRT KNF
Le CSIRT KNF polonais a alerté le 12 octobre au sujet d'une application Android malveillante se faisant passer pour Bank Pekao, qui demande aux utilisateurs de poser leur carte bancaire sur leur téléphone puis de saisir leur code PIN. L'application n'est pas disponible sur Google Play et la banque affirme l'avoir déjà bloquée.
L'alerte
L'équipe de réponse aux incidents de cybersécurité du secteur financier polonais, CSIRT KNF, qui opère au sein de la Commission de supervision financière (KNF), a émis le 12 octobre un avertissement concernant une application malveillante qui usurpe l'identité de Bank Pekao S.A. L'application cible les utilisateurs d'appareils Android et n'est pas disponible sur Google Play. Selon le CSIRT KNF, elle peut être diffusée par de faux courriels et SMS, des messageries et des sites web imitant la banque. Dans un message publié sur la plateforme X, l'équipe écrit :
L'application n'est pas disponible sur Google Play. Elle peut être diffusée par de faux courriels et SMS, des messageries et des sites web se faisant passer pour la banque.
Le fonctionnement de l'arnaque
La méthode s'appelle NFC Relay. Le NFC sert normalement aux paiements sans contact lorsqu'un téléphone est approché d'un terminal en magasin. Dans ce schéma, la fausse application demande à l'utilisateur de maintenir sa carte bancaire contre le téléphone, censément pour vérifier des données ou confirmer son identité. L'application demande ensuite le code PIN, qui parvient aux criminels. Selon la description de la méthode par le CSIRT KNF, l'identifiant de la fausse application est transmis à distance à un autre appareil, qui peut ensuite servir à tenter une transaction. Le CSIRT KNF a également publié une vidéo sur les réseaux sociaux expliquant le comportement de l'application lorsqu'une carte est approchée de son interface NFC. Selon une information, des attaques de ce type s'étaient déjà produites dans d'autres banques avant ce cas.
La réaction de la banque
Bank Pekao S.A. a confirmé avoir pris des mesures pour bloquer la fausse application. Son porte-parole, Paweł Jurek, a déclaré à Interia Biznes que l'affaire avait été signalée immédiatement :
Dès que nous constatons, du côté de la banque, une application qui usurpe l'identité de notre banque, la procédure standard consiste à la signaler immédiatement aux services compétents pour qu'elle soit bloquée. Ce fut également le cas ici. Grâce à une bonne coopération avec les experts en cybersécurité, nous avons réussi à bloquer cette application très rapidement.
Le porte-parole a ajouté que les clients qui ont des doutes sur une application peuvent appeler la banque pour demander des explications. Les clients qui ont installé la fausse application et transmis leurs données doivent bloquer ou faire opposition sur leur carte. La banque demande aussi à ses clients de se montrer particulièrement prudents face aux liens reçus par SMS ou courriel.
Les conseils du régulateur
Le CSIRT KNF recommande de n'installer des applications qu'à partir de sources fiables et d'exercer une prudence particulière avec les liens reçus d'expéditeurs inconnus. Il considère toute demande de maintenir une carte contre un téléphone « pour vérification » ou « pour annulation » comme un signal d'alerte, et recommande de vérifier la situation par un canal officiel, par exemple en appelant directement la banque.
