As mensagens falsas mostram o potencial dos ataques de phishing, que podem ser apenas o começo. Quando os cibercriminosos têm acesso às contas dos usuários, eles podem partir para o roubo de informações armazenadas na conta. Uma vez que os aplicativos afetados lidam com os pagamentos, é muito provável que dados de cartão de crédito e outras informações de pagamento sejam roubados e negociados nos submundos cibercriminosos.

A conclusão é da Trend Micro, empresa especializada em soluções de segurança na era da nuvem. A empresa examinou os kits de desenvolvimento de software (SDKs) de formas populares de pagamento por aplicativos e aponta uma falha na comunicação entre o aplicativo de pagamento para dispositivos móveis e os aplicativos de pagamento para clientes. De acordo com os pesquisadores da empresa, a mensagem de sistema que os apps de pagamento para dispositivos móveis enviam podem ser interceptadas por um aplicativo malicioso, por meio de um filtro de intenção de alta prioridade.

Para operações que envolvem o SDK afetado do Google Wallet, o aplicativo deve se comunicar com o aplicativo Google Play no dispositivo para que o Google Play possa notificar o usuário sobre o pagamento e, em seguida, solicitar a confirmação. No caso do SDK do IAP, verifica-se uma intenção implícita, que pode ser interceptada. Isso significa eu um aplicativo malicioso pode usar o mesmo filtro de intenção para exibir uma página de phishing.

O Alipay apresenta processo semelhante ao do Google Wallet. Após o usuário clicar no botão "pagar", o aplicativo se comunicar com o app cliente do Alipay para que este mostre uma mensagem de confirmação. Como a falha presente no Google Wallet, a comunicação pode ser interceptada por um aplicativo malicioso usando o mesmo filtro de intenção. O aplicativo malicioso envia, então, sua própria mensagem em vez da mensagem legítima.

Aplicativos de terceiros empregam o SDK do Google Wallet ou do Alipay, a fim de se comunicar com os aplicativos legítimos para processamentos reais de pagamento. O objetivo do referido SDK é enviar a intenção de pagamento para o Google Wallet ou Alipay. Um aplicativo malicioso pode substituir os dois aplicativos reais para receber a intenção de pagamento.De acordo com a Trend Micro, o Google e o Alipay já foram informados da vulnerabilidade.