Novo malware utiliza NFC para roubar dados de cartões de pagamento

As instituições financeiras e os utilizadores de dispositivos Android devem estar em alerta perante uma nova ameaça que reúne técnicas sofisticadas de ataque. A empresa italiana de cibersegurança Cleafy identificou uma campanha maliciosa que combina mensagens de engenharia social, um malware até agora não documentado e a exploração de near-field communication (NFC) para roubar dados de cartões bancários.

O malware em causa, designado SuperCard X, aparenta ser uma evolução do NGate, software malicioso anteriormente identificado pela ESET em 2024. Embora o NGate tenha visado clientes de três bancos de Chéquia, o SuperCard X distingue-se por abusar da funcionalidade NFC dos smartphones para aceder, de forma silenciosa, a informações sensíveis dos cartões físicos das vítimas.

Segundo a Cleafy, o ataque inicia-se com uma mensagem de texto fraudulenta que simula um alerta de segurança bancária. Ao seguir as instruções do SMS, a vítima é incentivada a ligar para um número de apoio ao cliente falso, onde os atacantes solicitam dados como o PIN e recomendam a remoção de limites de utilização do cartão. Este processo de manipulação é cuidadosamente estruturado para transmitir um falso sentido de urgência e legitimidade.

Após um contacto inicial, os cibercriminosos enviam um link, frequentemente apresentado como uma ferramenta de segurança ou de verificação, que instala o malware SuperCard X no dispositivo Android da vítima. Este software permite capturar dados dos cartões bancários quando são aproximados do telefone infetado, através da tecnologia NFC.

“O malware SuperCard X captura silenciosamente os detalhes do cartão transmitidos via NFC”, explicam os investigadores da Cleafy. Esta técnica oferece aos atacantes uma vantagem operacional, uma vez que os fundos podem ser acedidos quase de forma instantânea, contornando os métodos tradicionais de fraude que implicam transferências bancárias.

A empresa de cibersegurança refere ainda que o Super Card X é provavelmente oferecido num modelo de malware-as-a-servise (MaaS) por operadores de língua chinesa. Este modelo facilita a disseminação da ferramenta por diversos afiliados, adaptando o ataque a diferentes regiões e tornando mais difícil a sua contenção.

Embora em ataques semelhantes os cibercriminosos visem instituições financeiras específicas, neste caso o foco são os próprios cartões, independentemente do banco emissor. “O alvo final dos cibercriminosos são os cartões de débito ou crédito dos clientes, independentemente do banco emissor”, salienta a Cleafy, sublinhando que qualquer utilizador pode ser uma potencial vítima.