URL: https://linuxfr.org/users/anonyme/journaux/validations-frauduleuses-de-codes-3d-secure Title: Validations frauduleuses de codes 3D Secure Authors: Anonyme Date: 2019年06月25日T21:47:21+02:00 License: CC By-SA Tags: android, sécurité, fraude et paiement Score: 37 Bonjour tout le monde, J'ai hésité à poster ce message dans les forums, mais je pense qu'il peut-être intéressant de partager ici quelque chose qui nous est arrivé aujourd'hui concernant le vol et l'utilisation frauduleuse de la carte bancaire de mon conjoint. Je lui ai offert un nouveau téléphone de marque Huawei (P Smart) il y a un mois de ça. Et aujourd'hui, il reçoit sur son téléphone par SMS une demande de validation 3D Secure d'un paiement de 1 389 euros par internet pour sfrbol3. Prenant conscience que les données de sa carte bancaires ont été volées mais rassuré par le fait que la transaction ne sera pas validé, il entame les démarches pour faire opposition sur sa carte. Entre temps, un second SMS pour une autorisation d'un achat de 303 euros sur un site de mode est reçu. En nous connectant sur le site de notre banque en ligne, nous constatons que les deux achats sont affichés comme opération à venir, le débit est prévu le 2 juillet. Ce qui impliquerait que les deux codes aient été validé. Impossible de faire opposition sur ces paiements tant qu'ils n'ont pas été effectivement débité sur le compte. Nous irons au commissariat demain pour déposer une plainte car les codes ayant été validés, il semble plus compliqué d'obtenir un remboursement de ces dépenses frauduleuses. À priori, j'en conclu que le téléphone contient peut-être un malware qui a sans doute accès aux SMS du téléphone et un keylogger capable de récupérer les inputs. Ce qui me surprends c'est que le téléphone est neuf (et vendu scellé, acheté sur amazon, mais sur le marketplace à un revendeur italien), qu'il n'y a pas d'usage dangereux dessus comme celui d'installer les applications en dehors du playstore, et que les quelques applications installé dessus ne devraient en toute logique ne pas poser de problèmes de sécurité de cet ordre. Je regarde le téléphone après l'avoir coupé du réseau internet et retiré sa carte sim. Mon conjoint m'indique avoir utilisé une fois sa carte dans l'application de notre supermarché Cora pour régler les courses au drive, mais c'est la seule fois qu'il l'a utilisé. Il n'utilise que très peu cette carte de notre compte joint pour des achats perso sur internet et ne se limite qu'à des sites à priori de confiance. Je vois une application d'antispam qui a accès aux sms, je regarde l'application sur le playstore, je vois qu'elle est édité en Russie https://play.google.com/store/apps/details?id=com.vladlee.easyblacklist&hl=fr Les autres applications ayant accès au SMS sont des applications systèmes préinstallé avec le téléphone. Je n'en aurais pas la certitude, mais sur une version d'Android récente (8) et avec dernier patch de sécurité datant de 8 mai, il est peu probable qu'une faille ait été exploité dans ce téléphone afin qu'un malware soit en mesure d'avoir des droits que l'os du téléphone n'aurait pas explicitement autorisé. Du coups, reste la manière dont le numéro de carte a été récupéré. Le fait que les codes 3D secure ont été validé me laisse penser que l'attaquant a été en mesure de lire les inputs effectuées avec le clavier et que le numéro n'a pas été volé autrement. Je vois que le clavier Swiftkey a été installé, mais c'est postérieur à la date d'utilisation de la carte sur le téléphone. J'essaie de me renseigner sur la manière dont peuvent fonctionner les keylogger sur android, mais il est compliqué de trouver des informations autre que des classements des meilleurs apps de keylogguer en cherchant sur Google... Je suppose que pour avoir accès aux inputs clavier, il faut sans doute passer par les options d'accessibilité du téléphone, mais aucune option n'est activité et aucune application ne semble les exploiter. Reste l'application Cora Drive sur laquelle la carte a été utilisée, mais n'ayant pas d'autorisation pour accéder aux SMS, il est peut probablement que cette application soit en tord. Une dernière chose serait que le téléphone ait été vendu avec un malware, mais la boite était scellé et le revendeur n'aurait que peut d'intérêt à faire cela. Du coups, je suis bien embêté pour identifier le vecteur de l'attaque. Je ne suis pas développeur mobile et n'ait que peu de connaissance sur la manière dont les autorisations fonctionnent et leurs capacité à être contournés. Mais je trouve peu d'informations sur ce genre d'exploitation sur les codes 3D secure, on trouve quelques témoignages de personnes ayant eu des cas de code 3d secure validés sans qu'ils aient effectué d'achat mais tous se concentre sur leur difficulté à se faire rembourser et ils sont souvent assez ancien. Je ne trouve pas de littérature sur le sujet, ou de chercheurs ayant identifié ce genre d'attaque qui à priori doit pourtant être courante compte tenu de la synergie à mettre en œuvre. Du coups, je garderai en mémoire qu'utiliser son téléphone portable pour faire des achats est à priori une mauvaise idée, mais s'il est si simple de récupérer les inputs d'un téléphone, alors tout les usages du smartphones dès l'instant que vous utiliser des comptes avec des données personnelles peuvent être volés, ce qui est inquiétant. Je suis preneur si vous avez des suggestions ou des pistes de recherches, le téléphone va rester éteint jusqu'à ce que la plainte soit déposé demain afin de conserver les informations nécessaires si besoin.

AltStyle によって変換されたページ (->オリジナル) /