מחקר צ'קמרקס

צקמרקס

חברת הסייבר הישראלית צ'קמרקס (Checkmarx) חושפת מחקר חדש המפרט חולשה שנחשפה באופן קריאת וניהול תגי NFC במערכת ההפעלה אנדרואיד של גוגל, האחראית על קריאת תגים בטכנולוגיית NFC, ניתוחם והעברת הנתונים ליישום הרלוונטי על פי תוכנם. החולשה מאפשרת להאקרים להערים, בעזרת שימוש באפליקציה זדונית, על המשתמשים ולגרום להם לחשוב שנקרא תג NFC.

החולשה עלולה לגרום למספר תרחישים:
חלון קופץ המודיע למשתמש כי תג NFC נסרק, וזאת למרות שלא באמת נסרק תג כלשהו.
בתרחיש מסוכן יותר, המשתמש סורק תג אמיתי והאפליקציה הזדונית יכולה ליירט ולשנות את תוכנו, ובכך להעביר תוכן תג מזויף ליישום ברירת המחדל של מערכת ההפעלה.

בשני התרחישים, משתמשים עלולים להתפתות ללחיצה על קישור לדף נחיתה זדוני, להתקשר / לשלוח הודעה למספר לא נכון וכו'.

בעקבות פניית חברת צ'קמרקס לגוגל, החולשה תוקנה עבור מערכת ההפעלה אנדרואיד 10.
גוגל לא תיקנה את החולשה במערכות הפעלה ישנות יותר של אנדרואיד, מה שעשוי להפוך משתמשים רבים לפגיעים.

בצ'קמרקס ממליצים למשתמשי אנדרואיד לשדרג לגרסה 10, ומרגיעים שלא מדובר בחולשה מהותית.