Pesquisadores usam NFC do Android para andar de graça no metrô

Embora eu não veja muita utilidade do NFC aqui no Brasil ainda, lá fora ele já é extensivamente usado. Plataformas móveis como o Android e Windows Phone tem aplicativos NFC que permitem executar tarefas como pagamentos, transferência de arquivos e personalização de aparelhos, por exemplo. Mas uma dupla de pesquisadores americanos encontrou um uso mais nobre (e pouco legítimo) para tal funcionalidade: andar de graça no metrô.

O que os pesquisadores Corey Benninger e Max Sobell fizeram foi criar um aplicativo para Android chamado UltraReset que, ao explorar uma vulnerabilidade do cartão RFID usado no sistema de metrô, podia reescrever nele. Eles demonstram a falha nessa quinta-feira durante a conferência de segurança EUSecWest e gravaram uma demonstração em um metrô, que você confere no vídeo abaixo.

(Vídeo no Vimeo)

Basicamente o que eles fazem é usar o aplicativo do Android para copiar completamente o conteúdo do cartão usado no metrô e, quando ele já tiver esgotado, reescrever a informação que foi lida anteriormente. Desse modo, se um cartão tiver o suficiente para 8 viagens e todas elas forem gastas, ao passar o cartão pelo Android e ativar o aplicativo, ele volta a ter 8 viagens novamente.

Essa técnica não é exatamente nova, os cartões Mifare são conhecidos por terem vulnerabilidades extensivamente documentadas. Mas essa é a primeira demonstração publica de uma hack portátil, que não depende de um leitor de NFC conectado ao computador ou algo do tipo. É só levar no bolso e usar quando for conveniente.

Os pesquisadores demonstraram no vídeo uma vulnerabilidade específica do cartão Mifare Ultralight. Aqui no Brasil, tanto no metrô de São Paulo quanto no metrô do Rio de Janeiro, o modelo usado é Mifare Classic que já tem falhas conhecidas há bastante tempo. Então em teoria seria possível usar um aplicativo similar para explorar a vulnerabilidade desse tipo de cartão e conseguir viajar de graça no transporte público. Basta alguém ousar arriscar, já que andar sem pagar no metrô é crime previsto em lei.

Com informações: ComputerWorld.

Receba mais notícias do Tecnoblog na sua caixa de entrada

E-mail:

* ao se inscrever você aceita a nossa política de privacidade