近日，名为’SuperCard X’的恶意软件即服务（MaaS）平台浮出水面，该平台针对Android设备，通过NFC中继攻击来执行销售点和ATM交易，使用被盗的支付卡数据。Cleafy移动安全公司发现，SuperCard X攻击已经在意大利出现。
攻击流程通常从受害者收到伪装成银行短信或WhatsApp消息开始，消息称受害者需要致电某个号码来解决可疑交易问题。电话接通后，冒充银行支持的骗子会通过社会工程手段诱骗受害者“确认”其卡号和PIN码，并试图说服用户通过其银行应用程序取消消费限制。
最终，威胁行为者说服用户安装一个伪装成安全或验证工具的恶意应用程序（Reader），该应用程序包含SuperCard X恶意软件。一旦安装，Reader应用程序仅请求最低限度的权限，主要是访问NFC模块，这足以执行数据盗窃。
攻击者在其Android设备上运行另一个名为Tapper的应用程序，该应用程序使用被盗数据来模拟受害者的卡。这两个应用程序和设备使攻击者能够在商店进行非接触式支付和ATM取款。由于这些小额交易是即时的，并且在银行看来是合法的，因此更难以被标记和撤销。