El pago sin contacto, esa función que permite hacer una compra con solamente acercar la tarjeta o el celular a una terminal de cobro, es en una de las formas más prácticas de concretar una transacción en tiendas, cafés o transporte público.
Pero detrás de esa comodidad, una nueva amenaza de ciberseguridad creció con fuerza en las últimas semanas. Se trata del “toque fantasma”, una estafa digital capaz de vaciar tu homebanking en cuestión de segundos sin que siquiera te des cuenta.
La modalidad aprovecha la tecnología NFC (Near Field Communication), presente en la mayoría de los teléfonos y tarjetas modernas, para realizar pagos por proximidad. En teoría, es un sistema seguro: cada transacción genera un código único o token que expira casi de inmediato.
Sin embargo, los ciberdelincuentes encontraron la manera de interceptar ese código y retransmitirlo a otro dispositivo que completa una compra falsa, como si fuera la tarjeta original de la víctima.
El fenómeno no es menor. Según una reciente investigación de Kaspersky, el fraude funciona de dos maneras principales: una presencial, que requiere que los delincuentes estén físicamente cerca de la víctima, y otra remota, que se apoya en tácticas de ingeniería social.
En la versión presencial, los estafadores usan dos celulares conectados entre sí. Uno se acerca a la víctima, en una fila, en el transporte o en un bar, para captar el token del pago sin contacto. En tiempo real, ese código se envía a otro teléfono, que se coloca frente a una terminal de cobro y completa la transacción fraudulenta. Todo ocurre en segundos, sin que la víctima lo note ni se haya instalado nada en su dispositivo.
La variante remota comienza con un clásico engaño telefónico: un supuesto empleado del banco o de la empresa emisora de la tarjeta convence a la víctima de instalar una aplicación falsa para, supuestamente, validar la tarjeta. Cuando la persona acerca su tarjeta al celular, la app intercepta el token y lo reenvía al dispositivo del estafador, que lo usa inmediatamente para pagar con éxito en otra terminal.
“Esta estafa demuestra cómo los criminales saben bien las debilidades del sistema para explotarlo a su favor y crear un fraude sin necesidad de hackear otros dispositivos”, explicó Anderson Leite, investigador de Seguridad en Kaspersky. “Nuestro análisis demostró que, incluso con las capas de seguridad existentes, la creatividad de los atacantes permitió interceptar y reenviar datos de tarjetas”.
En canales de Telegram ya circulan tutoriales y videos que enseñan a configurar las aplicaciones maliciosas usadas en este tipo de fraude. Algunos incluso muestran transacciones reales realizadas con tarjetas para atraer a un público criminal internacional bajo el pretexto de ofrecer herramientas para pagos a distancia.
Cómo protegerse del “toque fantasma”
Los especialistas de Kaspersky compartieron con TN Tecno una serie de medidas para evitar ser víctima de esta estafa:
Usar billeteras o fundas con bloqueo NFC, que impiden que un atacante lea los datos de tu tarjeta contactless.
Revisar con frecuencia los movimientos bancarios y reportar de inmediato cualquier operación sospechosa.
Activar los avisos y notificaciones de la app de tu banco, billetera virtual o tarjeta para cuando se realice una operación en tu cuenta.
Evitar descargar aplicaciones fuera de tiendas oficiales y verificar siempre el nombre y la reputación del desarrollador. Nunca bajar ni instalar apps que otra persona envíe o indique a través de mensajes, redes sociales o WhatsApp
Contar con una solución de seguridad confiable, capaz de detectar y bloquear aplicaciones maliciosas que intenten explotar la comunicación NFC.
