安全公司 ESET 報(bào)告稱他們發(fā)現(xiàn)了一種新型釣魚攻擊方法，黑客利用一款名為 NGate 的惡意安卓軟件進(jìn)行釣魚攻擊，哄騙受害者用手機(jī)的 NFC 功能識(shí)別信用卡，繼而將識(shí)別到的信用卡支付密鑰傳送給黑客。

　　ESET 研究人員發(fā)現(xiàn)，目前已有三家捷克銀行的客戶遭到了這一新型攻擊，黑客們的行動(dòng)始于 2023 年 11 月底，他們首先建立釣魚網(wǎng)站，并在網(wǎng)站中設(shè)置偽裝成銀行客戶端的 NGate 惡意軟件下載地址，繼而群發(fā)釣魚信息誘導(dǎo)受害者們下載應(yīng)用，從而竊取了大量銀行信用卡支付密鑰信息。

　　研究人員提到，雖然捷克警方已抓獲 NGate 惡意軟件背后的主謀，不過(guò)目前相關(guān)惡意軟件還在流傳，研究人員共發(fā)現(xiàn) 6 種不同的 NGate App 變種，具體受害人數(shù)不明。

　　IT之家獲悉，NGate 惡意軟件實(shí)際上是一款 PWA 應(yīng)用，黑客們直接在應(yīng)用中嵌入真實(shí)的銀行網(wǎng)站，因此實(shí)際上受害者難以鑒別，一旦受害者根據(jù)應(yīng)用提示使用手機(jī) NFC 掃描信用卡，那么相關(guān)信息就會(huì)直接發(fā)送到黑客處。

　　安全公司提到，這種攻擊方式實(shí)際上允許黑客以兩種方法竊取受害者的錢財(cái)。如果 NFC 數(shù)據(jù)傳輸不成功，黑客也可以直接利用記錄下的受害者賬號(hào)密碼進(jìn)行明面轉(zhuǎn)賬。如果 NFC 數(shù)據(jù)傳輸成功，黑客即可直接通過(guò)支付密鑰暗地刷空受害者信用卡。