Ghost Tapped: malware Android com NFC transforma o celular da vítima em clonador de cartão remoto
Pesquisadores do Group-IB mapearam um ecossistema chinês vendido em canais do Telegram que usa dois aplicativos Android com NFC — um instalado no celular da vítima e outro no do criminoso — para retransmitir dados de cartões de pagamento em tempo real através de um servidor de comando e controle. O golpe é vendido como serviço por assinatura, com suporte ao cliente em turnos, e já teria movimentado centenas de milhares de dólares em compras fraudulentas feitas por redes de mulas em lojas físicas.
O esquema batizado de Ghost Tapped explora a tecnologia de pagamento por aproximação (tap-to-pay) de um jeito conceitualmente simples, mas tecnicamente eficaz: um app "leitor" instalado no aparelho da vítima captura os dados do cartão físico quando ele é aproximado do celular, e um app "consumidor" no aparelho do criminoso reproduz essa transação em outro lugar, como se o cartão estivesse fisicamente presente ali. A ponte entre os dois é um servidor de comando e controle operado pela quadrilha, o que na prática cria uma clonagem de cartão em tempo real sem precisar de hardware especializado de skimming.
A parte mais preocupante não é só a técnica, mas o modelo de negócio em torno dela. Variantes como TX-NFC e NFU Pay são comercializadas abertamente em canais do Telegram com dezenas de milhares de inscritos, com planos de assinatura diária ou trimestral e atendimento ao cliente em horário comercial — essencialmente malware-as-a-service para fraude de pagamento. Um canal satélite dedicado a revender terminais POS obtidos ilicitamente processou cerca de US$ 355 mil em transações fraudulentas em menos de um ano, segundo o relatório.
A vítima chega a instalar o app leitor de duas formas principais: convencida por campanhas de smishing e vishing que a levam a baixar um aplicativo aparentemente bancário, ou porque o próprio cartão já foi comprometido antes e os dados são carregados diretamente em carteiras móveis por operadores de mulas. Em ambos os casos, o elo mais fraco continua sendo a engenharia social inicial que faz a vítima instalar o app ou informar dados do cartão.
Para detecção, o sinal mais forte do lado do banco é comportamental: inscrições rápidas e sucessivas do mesmo cartão em carteiras digitais diferentes, seguidas de transações em geografias muito distantes em curto intervalo de tempo, é um padrão que sistemas antifraude com análise comportamental e device fingerprinting conseguem sinalizar antes da liquidação. Do lado do usuário, a prevenção prática é a de sempre contra malware financeiro: instalar aplicativos só de lojas oficiais, desconfiar de qualquer app que peça para aproximar o cartão do celular fora de um contexto claramente iniciado pelo próprio usuário, e revisar periodicamente cartões cadastrados em carteiras digitais.