Cómo protegerse del nuevo fraude que roba dinero cuando se hacen pagos sin contacto

La adopción de los pagos sin contacto mediante tecnología Near Field Communication (NFC) transformó la experiencia de compra en todo el mundo. La rapidez y comodidad de acercar una tarjeta o teléfono móvil a un terminal impulsó su popularidad, aunque también abrió la puerta a nuevas amenazas.

Se ha detectado una tendencia creciente de fraudes sofisticados que permiten a los delincuentes robar dinero sin que las víctimas adviertan el robo.

Qué es el ‘relay attack’ y cómo funciona el fraude

El llamado NFC relay attack representa una de las formas más avanzadas de fraude digital asociadas a los pagos sin contacto. Este método consiste en interceptar y retransmitir la comunicación entre una tarjeta o dispositivo de pago y el terminal, sin intervención ni conocimiento del titular de la cuenta.

Los expertos de Cleafy, empresa de ciberseguridad, detallan que el ataque puede activarse a partir de una simple proximidad física. Un delincuente puede utilizar un lector NFC oculto para captar la señal de una tarjeta en el bolsillo de una persona en un café y enviar esa información, en tiempo real, a un colaborador ubicado frente a un comercio, donde se realiza una compra fraudulenta.

La transacción resulta legítima para el sistema porque, técnicamente, se emplea la información auténtica de la tarjeta. El usuario solo descubre el fraude cuando observa un cargo desconocido en su resumen bancario, sin evidencia de robo físico ni señales de alerta inmediatas.

Un caso reciente: la operación SuperCard X

La sofisticación del fraude digital quedó en evidencia con el caso de SuperCard X, una campaña de malware investigada por el equipo de inteligencia de amenazas de Cleafy: se distribuye como un servicio de malware para dispositivos Android, diseñado específicamente para ejecutar ataques de retransmisión NFC.

Este software malicioso autoriza retiros fraudulentos en cajeros automáticos y pagos en puntos de venta a partir de la manipulación del dispositivo infectado.

La amenaza se propaga mediante técnicas de ingeniería social, como mensajes falsos y llamadas fraudulentas. Una vez instalada, la aplicación maliciosa requiere permisos mínimos, lo que dificulta su detección por los filtros de seguridad habituales. El malware utiliza el teléfono de la víctima como intermediario para retransmitir datos de la tarjeta, sin levantar sospechas ni generar alertas visibles.

Consecuencias y riesgos para usuarios y bancos

Para los bancos, las consecuencias de los ataques de retransmisión NFC incluyen el aumento de los reembolsos por fraude y una mayor presión sobre los recursos de investigación. La pérdida de confianza de los clientes constituye un daño más profundo y prolongado que el perjuicio financiero inmediato.

Para los consumidores, el hecho de que estos fraudes no impliquen el robo físico de la tarjeta ni evidencias visibles genera una sensación de vulnerabilidad. La aparición de cargos inexplicables en la cuenta mina la confianza en la seguridad de los pagos sin contacto y en el propio sistema financiero.

Estrategias de detección y prevención

La empresa de ciberseguridad enfatiza la necesidad de adoptar estrategias de prevención más proactivas. Recomienda transitar hacia un modelo de detección anticipada, capaz de identificar aplicaciones sospechosas desde la instalación, en vez de depender solo de la detección durante el uso.

Entre las medidas sugeridas destacan:

• Análisis de integridad de dispositivos y aplicaciones: determinar si una app solicita permisos de NFC y evaluar su legitimidad.
• Predicción de comportamiento del usuario: observar la frecuencia y los patrones de uso asociados a un dispositivo o cuenta.
• Monitoreo en tiempo real: analizar el comportamiento del dispositivo, como cambios de estado durante operaciones sensibles.
• Análisis de riesgo en las transacciones: verificar la coherencia entre ubicaciones, horarios y beneficiarios.
• Intercambio de inteligencia sobre amenazas: compartir indicadores de campañas activas para anticipar ataques.

Cómo reducir el riesgo de ser víctima

Especialistas recomiendan a los usuarios descargar aplicaciones solo de tiendas oficiales, revisar cuidadosamente los permisos solicitados y mantener actualizado el sistema operativo del dispositivo. Además, aconsejan activar sistemas de autenticación biométrica en cada transacción y reportar cualquier actividad sospechosa al banco de inmediato.

La evolución de los pagos sin contacto obliga a instituciones y usuarios a fortalecer los mecanismos de defensa y a mantenerse informados sobre nuevas tácticas de fraude. El desafío principal radica en anticipar los movimientos de los ciberdelincuentes y evitar que la comodidad de la tecnología se convierta en un riesgo silencioso.