NFC на Android включён почти у всех, и мало кто думает о нём дольше секунды у кассы. Приложил телефон, пискнул терминал, готово. Но именно через этот модуль мошенники сейчас уводят деньги у владельцев Android, и таких краж с каждым месяцем становится всё больше. Причём карту для этого красть не нужно, а в последнее время человек и вовсе приносит деньги в банкомат сам. Я открыл настройки NFC на своём смартфоне и нашёл там строку, о которой раньше не задумывался. А она решает, чем закончится такой звонок.
NFC в смартфоне помогает не только платить, но и уводить деньги
👉 Читай AndroidInsider.ru в MAX
Деньги теперь отдают сами, прямо в банкомате
Начинается всё со звонка. Вам говорят, что со счётом что-то не так и деньги нужно срочно спасти: снять и положить на безопасный счёт. Про безопасные счета слышали все, поэтому дальше просят то, что на обман совсем не похоже. Никаких кодов из SMS, только несколько действий с телефоном:
- поставить приложение и сделать его главным для оплаты по NFC;
- пойти к банкомату и внести наличные, приложив телефон;
- ввести новый ПИН-код, который продиктуют якобы от вашей же карты.
Вы прикладываете свой телефон, вводите ПИН, и он подходит. Всё выглядит как обычное пополнение своей карты. Только банкомат видит не вашу карту, а карту мошенников, которую подставило приложение, и деньги вы вносите сами, своими руками на чужой счёт.
Раньше мошенникам была нужна ваша карта: её просили приложить к телефону, а деньги снимали где-то в другом месте. Теперь всё чаще работает именно такой, обратный вариант, и атак через NFC на Android за год стало почти втрое больше. С айфоном он не сработает: вносить наличные через Apple Pay в наших банкоматах нельзя с 2022 года. А владелец Android после такой истории первым делом думает об одном: выключить NFC, и дело с концом.
⚡ Подписывайся на AndroidInsider.ru в Telegram
Выключить NFC хочется первым делом, но это полмеры
Выключить, конечно, можно, и хуже от этого не станет. Только в обеих схемах человек делает всё под диктовку. Если звонящий скажет включить NFC, его включат так же послушно, как ставили приложение. А программа, которой уже выдали нужные права, нажимает кнопки на экране и без хозяина. Поэтому переключатель NFC не защищает сам по себе, а платить телефоном в магазине без него не получится.
Гораздо полезнее заглянуть на ту же страницу чуть ниже. Там написано, какое приложение платит за вас, когда телефон подносят к терминалу или банкомату. Обратная схема держится именно на этой строке: пока там стоит ваш банк, банкомат увидит вашу карту. Проверяется это за минуту:
- откройте настройки и наберите в поиске NFC;
- на странице NFC найдите пункт Выбрать карту по умолчанию;
- нажмите на него, чтобы увидеть всё, что может платить с телефона.
Здесь видно, какое приложение платит с телефона по умолчанию
У меня по умолчанию стоит SberPay, а в списке нашлось ещё шесть приложений: Яндекс Пэй, T-Pay, Alfa Pay, ВТБ Pay, оплата от ЛУКОЙЛа и Alipay. Все я ставил сам и все узнал. Если же в этом списке есть то, чего вы не помните, или по умолчанию выбрано незнакомое приложение, верните свой банк и удалите чужака. Но откуда он вообще может взяться на телефоне?
Чужое приложение приходит в обход магазина
В Google Play и RuStore такие программы не лежат, поэтому их присылают ссылкой или файлом: в мессенджере, в SMS, по почте. Выглядит это как обновление банка, проверка личности или даже фотография. Но поставить приложение из файла Android разрешит только тому, кому вы сами дали такое право. Без него телефон просто покажет окно с запретом, и на этом схема ломается.
Кому это право уже выдано, видно в настройках:
- наберите в поиске по настройкам Установка неизвестных приложений;
- пролистайте список и посмотрите, у кого стоит Разрешено.
У MAX и Госуслуг разрешение нашлось, хотя ставить через них нечего
У меня разрешение нашлось у четырёх приложений: RuStore, Т-Банк, Госуслуги и MAX. С RuStore всё понятно, это магазин, ставить приложения — его работа. Т-Банка давно нет в Google Play, и обновляется он в обход него. Давал ли я это право Госуслугам и MAX сам, честно, не помню, а устанавливать через них мне нечего. А вот у Telegram, WhatsApp, Яндекс Браузера, Mi Браузера и Галереи стоит запрет. Именно через них такие файлы чаще всего и приходят, поэтому у мессенджеров и браузеров разрешение лучше держать выключенным. Если оно стоит у приложения, которому нечего устанавливать, нажмите на него и выключите переключатель.
Чем вообще грозит установка программ из файлов, мы разбирали в отдельной статье. Только запрет помогает, пока приложение не установлено. Если же оно уже на телефоне, ему для серьёзной работы нужно ещё одно право.
🔥 Обсуди в чате AndroidInsider.ru в MAX
Специальные возможности отдают телефон в чужие руки
Специальные возможности придуманы для людей, которым трудно пользоваться экраном: приложение с таким доступом видит всё, что на нём происходит, и само нажимает кнопки. Мошенникам это и нужно. Бывает, что после звонка из банка вредоносное приложение получает этот доступ и дальше работает без участия владельца: само ставит вторую программу для NFC и оформляет кредит в банковском приложении, а человека потом просят приложить карту к телефону и ввести ПИН-код. Такую историю мы подробно разбирали в статье про вирус, который оформляет кредиты на чужое имя.
Посмотреть, у кого из приложений есть такой доступ, можно так:
- наберите в поиске по настройкам Специальные возможности;
- пролистайте страницу до блока Разрешения;
- откройте Скачанные приложения.
Включённым здесь должно быть только то, что вы включали сами
У меня там пять пунктов, и все отключены: системные функции Xiaomi, лаунчер и связь с компьютером. Если у вас в этом списке включено незнакомое приложение, особенно с названием банка, госслужбы или с вашим именем, выключите доступ и удалите его. Заодно стоит открыть в Google Play раздел Play Защита и запустить проверку. Она сверяет приложения на телефоне с известными вредоносными программами.
Если деньги уже ушли, счёт идёт на минуты. Порядок действий мы расписали в инструкции на этот случай, её стоит открыть сразу.
Три фразы, после которых стоит класть трубку
Все эти проверки занимают пару минут, но у каждой схемы есть и слабое место попроще: она не начнётся, пока вы сами не сделаете то, что вам говорят. Банк не просит ставить приложения по ссылке, не просит прикладывать карту к телефону и не отправляет вносить наличные через телефон на какой-то безопасный счёт. Поэтому заканчивать разговор стоит, как только услышите одну из таких просьб:
- установите приложение, мы пришлём ссылку;
- приложите карту к телефону и введите ПИН-код;
- сделайте приложение основным для оплаты и внесите деньги в банкомате.
Самое неприятное в истории с NFC то, что переключатель, о котором все думают в первую очередь, тут почти ничего не решает. Решают строка с приложением для оплаты по умолчанию и пара прав, которые мы выдаём, не глядя. Я бы проверил их не только у себя, но и на телефоне родителей: на звонок из банка они обычно реагируют быстрее, чем успевают засомневаться. А вы знали, что платить с вашего телефона может сразу несколько приложений? Расскажите в нашем Telegram-чате.
