---

Per chi ha fretta

SuperCard X è un sofisticato malware per dispositivi Android, scoperto dalla società di cybersicurezza Cleafy, che permette ai criminali di rubare i dati di pagamento contactless (NFC) salvati sullo smartphone della vittima. La truffa inizia con tecniche di ingegneria sociale (phishing) che inducono l’utente a installare un’app malevola (“Reader”). Questa app esfiltra i dati a un server controllato dagli attaccanti, permettendo poi a un’altra app (“Tapper”, sul telefono del criminale) di simulare la carta rubata per effettuare pagamenti contactless e prelievi fraudolenti senza possedere la carta fisica. Difendersi richiede estrema cautela con messaggi e app sospette; in caso di sospetta infezione o frode subita, è vitale agire immediatamente contattando la propria banca e le autorità competenti.

---

SuperCard X: La Nuova Frontiera del Furto Contactless che Sfrutta il Tuo Smartphone

La comodità dei pagamenti contactless ha rivoluzionato le nostre abitudini di acquisto, rendendo le transazioni rapide e intuitive. Tuttavia, come spesso accade con le innovazioni tecnologiche, nuove possibilità si aprono anche per i cybercriminali. È in questo scenario che emerge la minaccia di SuperCard X, un avanzato malware Android identificato dalla società italiana di cybersicurezza Cleafy, specificamente progettato per sfruttare la tecnologia NFC (Near Field Communication) utilizzata per i pagamenti senza contatto. Questa nuova e pericolosa frode consente agli attaccanti di effettuare transazioni non autorizzate su terminali POS e persino prelevare contanti da sportelli ATM contactless, il tutto senza dover mai mettere fisicamente mano sulla carta di pagamento della vittima, ma semplicemente accedendo ai dati salvati sul suo smartphone.

Malware-as-a-Service e il Meccanismo Attacco: “Reader” e “Tapper”

SuperCard X non è un attacco improvvisato, ma fa parte di un modello “Malware-as-a-Service” (MaaS), il che significa che la piattaforma malevola viene affittata o venduta a diversi gruppi criminali, permettendo loro di lanciare campagne di frode su larga scala in diverse aree geografiche. Questo approccio abbassa la soglia d’ingresso per i criminali e rende la minaccia più diffusa.

Il funzionamento si basa sull’interazione di due componenti principali, entrambe app Android:

1. L’App “Reader”: Questa è l’applicazione malevola che la vittima viene indotta a installare sul proprio smartphone. Spesso, la sua installazione avviene tramite sofisticate tecniche di ingegneria sociale. I criminali inviano SMS ingannevoli, e-mail di phishing o effettuano chiamate fraudolente, presentandosi come rappresentanti di banche, servizi di consegna, o altre entità legittime. Il pretesto è solitamente un problema urgente (un conto bloccato, una spedizione da sbloccare) che richiede all’utente di scaricare e installare un’app “di sicurezza” o “di verifica”, rigorosamente al di fuori dei canali ufficiali come il Google Play Store.
2. L’App “Tapper”: Questa app risiede sullo smartphone del criminale. Una volta che l’app “Reader” è installata sul telefono della vittima e, probabilmente, dopo essere stata “attivata” o aver ottenuto le necessarie autorizzazioni (spesso mascherate o richieste con inganno), l’app “Reader” è in grado di leggere e intercettare i dati relativi alle carte di pagamento salvate sullo smartphone e utilizzate per i pagamenti contactless tramite NFC. Questi dati (più probabilmente i token di pagamento utilizzati per la sicurezza delle transazioni contactless piuttosto che l’intero numero della carta) vengono poi esfiltrati e inviati a un server di “Comando e Controllo” (C2) gestito dai criminali. L’app “Tapper” sul telefono dell’attaccante si connette a questo server C2, accede ai dati rubati e li utilizza per emulare la carta della vittima tramite la propria funzionalità NFC, permettendo così di effettuare pagamenti fraudolenti o prelievi come se avesse la carta fisica.

Perché SuperCard X è una Minaccia Seria

La gravità di questa minaccia risiede nella sua capacità di aggirare la necessità della carta fisica e di sfruttare una tecnologia di pagamento diffusa e percepita come sicura. La possibilità di effettuare transazioni rapide e senza PIN (per importi inferiori alle soglie stabilite) utilizzando semplicemente lo smartphone compromesso del criminale riduce drasticamente i tempi di reazione per le banche e le vittime. La frode può avvenire in tempo reale, prima ancora che la vittima si accorga che i suoi dati sono stati compromessi. Questo espone a rischi non solo i singoli consumatori, che possono subire perdite finanziarie e il fastidio di recuperare i fondi, ma anche l’intero ecosistema finanziario.

Come Proteggersi da SuperCard X e Simili Minacce

La prevenzione è l’arma migliore contro SuperCard X. Ecco una lista di consigli essenziali per ridurre il rischio:

• Diffidate Sempre: Siate estremamente scettici riguardo a messaggi SMS, e-mail o chiamate inattese che vi chiedono di compiere azioni urgenti relative ai vostri conti bancari o dati personali. Le banche e i servizi legittimi raramente chiedono dati sensibili o di installare software tramite questi canali.
• Non Installate App da Fonti Sconosciute: Scaricate applicazioni esclusivamente dal Google Play Store ufficiale. Evitate link ricevuti via SMS o e-mail e non installate file APK scaricati da siti web non affidabili. Il Play Store ha sistemi di sicurezza, sebbene non infallibili, per rilevare e bloccare malware noti.
• Controllate i Permessi delle App: Quando installate una nuova app, o anche per quelle già presenti, rivedete attentamente i permessi che richiede. Un’app che non ha motivo di interagire con l’NFC, leggere i vostri SMS o accedere ai vostri contatti dovrebbe destare sospetti, specialmente se non è un’app bancaria o di pagamento nota.
• Mantenete il Software Aggiornato: Assicuratevi che il sistema operativo Android e tutte le app (inclusa quella della vostra banca e i wallet digitali) siano sempre aggiornati all’ultima versione. Gli aggiornamenti spesso contengono patch di sicurezza che correggono vulnerabilità note.
• Usate un Blocco Schermo Forte: Un PIN, una sequenza complessa o l’autenticazione biometrica (impronta digitale o riconoscimento facciale) per sbloccare il telefono è il primo livello di difesa.
• Monitorate i Movimenti Bancari: Controllate regolarmente l’estratto conto e le notifiche push della vostra banca. Agire tempestivamente alla comparsa di transazioni sospette è fondamentale.
• Considerate la Disattivazione dell’NFC: Se non utilizzate frequentemente i pagamenti contactless, potete valutare di disattivare la funzione NFC nelle impostazioni del telefono quando non vi serve. Questo impedirebbe all’app malevola di leggere i dati contactless tramite NFC.

Cosa Fare Se Si Sospetta di Essere Vittime o Si Subisce la Truffa

Se ricevete messaggi o chiamate sospette e temete di essere presi di mira, o se notate movimenti fraudolenti sul vostro conto, agite immediatamente:

1. Contattate Immediatamente la Vostra Banca: Chiamate il numero di assistenza clienti o recatevi di persona in filiale. Segnalate l’accaduto, spiegate i vostri sospetti o confermate le transazioni fraudolente. Richiedete il blocco immediato della carta o delle carte potenzialmente compromesse.
2. Cambiate le Password Cruciali: Modificate immediatamente le password del vostro conto bancario online, dell’e-mail associata e di qualsiasi altro servizio sensibile (wallet digitali, account di shopping, ecc.). Usate password uniche e complesse.
3. Eseguite una Scansione Antimalware: Utilizzate un’applicazione antivirus e antimalware affidabile installata sul vostro smartphone per scansionare il dispositivo alla ricerca di minacce, inclusa l’app “Reader” o altri software sospetti.
4. Valutate un Ripristino ai Dati di Fabbrica: Se l’antimalware conferma la presenza di infezione o se non riuscite a rimuovere il software malevolo, prendete seriamente in considerazione l’idea di effettuare un ripristino completo ai dati di fabbrica del telefono. Questo cancellerà tutti i dati e le app, inclusa quella malevola, ma assicuratevi di aver prima salvato i vostri dati importanti.
5. Sporgete Denuncia alle Autorità: Recatevi presso la Polizia Postale o le forze dell’ordine per denunciare l’accaduto. Fornite tutti i dettagli che avete: messaggi ricevuti, numeri di telefono sospetti, transazioni fraudolente.
6. Documentate Tutto: Conservate screenshot dei messaggi, registri delle chiamate, e-mail sospette, dettagli delle transazioni fraudolente e qualsiasi altra informazione utile. Questa documentazione sarà preziosa per le indagini e per le pratiche di rimborso con la banca.

In un panorama delle minacce informatiche in continua evoluzione, essere informati è il primo passo per difendersi. La storia di SuperCard X sottolinea l’importanza di un approccio proattivo alla sicurezza digitale, combinando vigilanza personale e l’utilizzo consapevole degli strumenti tecnologici.