En este art\u00edculo desglosamos c\u00f3mo funciona esta nueva generaci\u00f3n de ataques, repasamos los casos reales m\u00e1s recientes, explicamos la mec\u00e1nica t\u00e9cnica detr\u00e1s del fen\u00f3meno y, sobre todo, te damos recomendaciones concretas para protegerte t\u00fa y tu organizaci\u00f3n.<\/p>\n\n\n\n NFC es el est\u00e1ndar de comunicaci\u00f3n de corto alcance que permite que dos dispositivos intercambien datos cuando est\u00e1n a pocos cent\u00edmetros de distancia. Es la base de los pagos sin contacto: acercas tu tarjeta o tel\u00e9fono a la terminal y la transacci\u00f3n se completa en segundos.<\/p>\n\n\n\n El problema es que esa misma capacidad puede ser secuestrada. El malware NFC moderno abusa de una funci\u00f3n leg\u00edtima de Android llamada Host Card Emulation (HCE)<\/strong>, que permite que un tel\u00e9fono emule una tarjeta inteligente por software, sin necesidad del chip f\u00edsico de seguridad. Originalmente, HCE se cre\u00f3 para que tu celular pudiera comportarse como una tarjeta de pago. Los atacantes la usan para que un tel\u00e9fono se haga pasar por la tarjeta de la v\u00edctima.<\/p>\n\n\n\n A diferencia de los troyanos bancarios tradicionales \u2014que se apoyan en pantallas superpuestas (overlays<\/em>) o en interceptar mensajes SMS\u2014, estas aplicaciones maliciosas explotan directamente las capacidades NFC y HCE del dispositivo para suplantar apps de pago leg\u00edtimas y retransmitir datos de transacci\u00f3n en tiempo real. Es una clase de amenaza que combina fraude financiero con abuso a nivel del sistema operativo, y que las defensas convencionales con frecuencia no detectan.<\/p>\n\n\n\n <\/p>\n\n\n\n La familia de malware NGate<\/strong>, documentada originalmente por investigadores de ESET, tiene la capacidad de retransmitir los datos de las tarjetas de pago de las v\u00edctimas desde una app maliciosa instalada en su tel\u00e9fono Android hacia el dispositivo del atacante. La t\u00e9cnica se apoya en una herramienta llamada NFCGate<\/strong>, creada en su origen con fines de investigaci\u00f3n por estudiantes de la Universidad T\u00e9cnica de Darmstadt, en Alemania. [1]<\/a><\/sup><\/strong><\/p>\n\n\n\n La evoluci\u00f3n m\u00e1s reciente es especialmente reveladora. A partir de noviembre de 2025, ESET detect\u00f3 una campa\u00f1a activa dirigida a usuarios de Android en Brasil que, en lugar de construir malware desde cero, simplemente modific\u00f3 HandyPay, una aplicaci\u00f3n leg\u00edtima de relay NFC, con fines maliciosos.<\/strong> (disponible en Google Play desde 2021). Los atacantes tomaron una versi\u00f3n limpia de la app, le inyectaron c\u00f3digo malicioso y la distribuyeron fuera de la tienda oficial. Adem\u00e1s de retransmitir los datos NFC, el c\u00f3digo tambi\u00e9n roba el PIN de la tarjeta, que se env\u00eda por separado a un servidor de comando y control. [2]<\/a>[3]<\/a><\/sup><\/strong><\/p>\n\n\n\n La distribuci\u00f3n us\u00f3 ingenier\u00eda social sofisticada: un sitio web falso de una loter\u00eda brasile\u00f1a (“Rio de Pr\u00eamios”) con un raspadito ama\u00f1ado que siempre “premiaba” con 20.000 reales, empujando luego a la v\u00edctima por WhatsApp para reclamar el premio e instalar la APK maliciosa; y una p\u00e1gina falsa de Google Play que ofrec\u00eda una supuesta app de “protecci\u00f3n de tarjeta”. El detalle m\u00e1s inquietante: el c\u00f3digo inyectado muestra se\u00f1ales claras de haber sido generado con inteligencia artificial generativa<\/strong>, lo que evidencia c\u00f3mo actores de bajo nivel t\u00e9cnico ahora pueden producir este tipo de amenazas a escala. [2]<\/a><\/sup>[6]<\/a><\/sup><\/strong><\/p>\n\n\n\n Otra familia relevante es PhantomCard<\/strong>, identificada por investigadores de ThreatFabric. Este troyano para Android retransmite los datos NFC de la tarjeta bancaria de la v\u00edctima hacia el dispositivo del defraudador para facilitar transacciones fraudulentas. Lo significativo es su origen: PhantomCard se basa en un servicio de malware como servicio (malware-as-a-service<\/em>) de procedencia china especializado en relay NFC, lo que confirma la existencia de un ecosistema comercial detr\u00e1s de estos ataques, no solo de actores aislados. [4]<\/a><\/sup><\/strong><\/p>\n\n\n\n Quiz\u00e1 la tendencia m\u00e1s importante de 2026 sea el cambio en qui\u00e9n puede ejecutar estos ataques. A lo largo de 2025, m\u00faltiples proveedores de seguridad reportaron un fuerte aumento de campa\u00f1as de relay NFC contra clientes bancarios europeos, casi todas trazables a desarrolladores de habla china que controlaban la capa de herramientas y las vend\u00edan a operadores con poco perfil t\u00e9cnico, promocionadas a trav\u00e9s de un mismo ecosistema en Telegram. <\/p>\n\n\n\n Nuevas variantes muestran caracter\u00edsticas de desarrollo asistido por IA, y la propia investigaci\u00f3n de ESET sobre la variante de NGate en Brasil confirma esos mismos indicadores en el c\u00f3digo inyectado. La barrera de entrada que antes manten\u00eda esta amenaza concentrada en pocos grupos t\u00e9cnicos se desplom\u00f3. [2]<\/a><\/sup><\/strong><\/p>\n\n\n\n M\u00e9xico no es ajeno a esta tendencia. Aqu\u00ed el fraude se populariz\u00f3 con el nombre de “toque fantasma”<\/strong> (tambi\u00e9n llamado “carterismo digital”), y las autoridades financieras ya emitieron alertas formales. <\/p>\n\n\n\n El patr\u00f3n regional es claro: seg\u00fan datos atribuidos a Kaspersky, Brasil concentra cerca del 47% de los intentos detectados globalmente de este tipo de fraude, mientras que pa\u00edses como M\u00e9xico, Colombia y Chile comenzaron a registrar sus primeros casos. La amenaza, que parti\u00f3 de Europa del Este, hoy avanza con fuerza sobre Am\u00e9rica Latina. [10]<\/a><\/sup>[8]<\/a><\/sup><\/strong><\/p>\n\n\n\n En el plano local, la Condusef ha alertado sobre el aumento del “carterismo digital”, advirtiendo que el riesgo se concentra en aglomeraciones \u2014transporte p\u00fablico, centros comerciales y festejos deportivos\u2014, donde un atacante puede aproximarse sin levantar sospechas. La autoridad aclara que no existe una estad\u00edstica que a\u00edsle exclusivamente al fraude NFC, pues se contabiliza dentro de las reclamaciones generales por cargos no reconocidos. [11]<\/a><\/sup><\/strong><\/p>\n\n\n\n El modus operandi en M\u00e9xico sigue la l\u00f3gica de “muchos cargos peque\u00f1os”: los criminales prefieren extraer montos bajos en numerosos movimientos \u2014que con frecuencia no requieren autenticaci\u00f3n adicional\u2014 en lugar de una sola cantidad alta que dispare las alarmas del banco. [12]<\/a><\/sup><\/strong><\/p>\n\n\n\n La idea central es f\u00e1cil de entender: el atacante no roba tu tarjeta, roba su se\u00f1al y la usa al instante en otro lugar.<\/strong> A esta t\u00e9cnica se le conoce como Ghost Tap<\/strong>, y funciona como un “puente” entre tu tarjeta y un cajero o terminal lejano.<\/p>\n<\/div><\/div>\n\n\n\n <\/p>\n\n\n\n El truco usa dos puntas conectadas por internet:<\/p>\n\n\n\n El resultado: el atacante puede estar en otro pa\u00eds, sacar dinero o comprar, y usar la misma tarjeta en varios puntos a la vez con ayuda de “mulas”. Anonimato y escala, en cuesti\u00f3n de minutos. [5]<\/a><\/sup><\/strong><\/p>\n\n\n\n En el caso de NGate, el objetivo principal ha sido el retiro de efectivo en cajeros: el malware clona la se\u00f1al NFC de la tarjeta y la retransmite al dispositivo del atacante para emularla. Y si eso falla, los operadores tienen un plan B para transferir los fondos a otras cuentas. [1]<\/a><\/sup><\/strong><\/p>\n\n\n\n M\u00e1s all\u00e1 de los detalles t\u00e9cnicos, el malware NFC representa un punto de inflexi\u00f3n por la forma en que combina varios factores que se refuerzan entre s\u00ed:<\/p>\n\n\n\n Explota la confianza y el h\u00e1bito.<\/strong> El usuario promedio no asocia “acercar mi tarjeta al tel\u00e9fono” con un riesgo. El ataque se camufla dentro de un gesto que hacemos todos los d\u00edas sin pensar, y la v\u00edctima no nota nada hasta revisar sus movimientos.<\/p>\n\n\n\n Privilegia el bajo perfil sobre el golpe \u00fanico.<\/strong> Al extraer montos peque\u00f1os en m\u00faltiples operaciones, el fraude evita los umbrales que disparan las alertas antifraude tradicionales, prolongando el tiempo que pasa desapercibido.<\/p>\n\n\n\n Se apoya en un ecosistema criminal robusto.<\/strong> Existen canales de distribuci\u00f3n, foros, bots de Telegram y modelos de afiliados que profesionalizan la operaci\u00f3n de punta a punta, lo que permite que cada nueva campa\u00f1a se monte sobre infraestructura ya probada.<\/p>\n\n\n\n El malware NFC marca una nueva frontera en el cibercrimen financiero: ataques r\u00e1pidos, an\u00f3nimos y globales que convierten un gesto cotidiano \u2014acercar la tarjeta al tel\u00e9fono\u2014 en el primer paso de un fraude. La combinaci\u00f3n de ingenier\u00eda social, abuso de funciones leg\u00edtimas del sistema operativo y, ahora, c\u00f3digo generado por inteligencia artificial, ha bajado la barrera de entrada y disparado la escala del problema.<\/p>\n\n\n\n La buena noticia es que la primera l\u00ednea de defensa sigue siendo el conocimiento. Entender c\u00f3mo funciona el ataque desactiva su principal arma: la confianza ciega. Para las organizaciones, la lecci\u00f3n es clara: la seguridad ya no termina en el per\u00edmetro corporativo, sino en el bolsillo de cada usuario.<\/p>\n\n\n\n En OneSec<\/strong> ayudamos a las organizaciones a anticiparse a este tipo de amenazas mediante pruebas de penetraci\u00f3n m\u00f3vil, ejercicios de Red Team y programas de concientizaci\u00f3n. Always Secure, Never At Risk.<\/em><\/p>\n<\/blockquote>\n\n\n\n <\/p>\n","protected":false},"excerpt":{"rendered":" Introducci\u00f3n Tu cliente aprueba un pago sin contacto en la caja del supermercado. Todo parece normal: toca su celular, suena el pitido de confirmaci\u00f3n, y sigue con su d\u00eda. Lo que no sabe es que hace tres d\u00edas instal\u00f3 una app que parec\u00eda ser una actualizaci\u00f3n de seguridad de su banco. Desde ese momento, cada […]<\/p>\n","protected":false},"author":10,"featured_media":2069,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[21,17,6,5],"tags":[],"class_list":["post-2050","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberinteligencia","category-inteligencia-artificial","category-pentest-2","category-seguridad-de-la-informacion"],"_links":{"self":[{"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/posts\/2050","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/comments?post=2050"}],"version-history":[{"count":12,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/posts\/2050\/revisions"}],"predecessor-version":[{"id":2070,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/posts\/2050\/revisions\/2070"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/media\/2069"}],"wp:attachment":[{"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/media?parent=2050"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/categories?post=2050"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/tags?post=2050"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}![\"Ilustraci\u00f3n](\"https:\/\/hacking.onesec.mx\/wp-content\/uploads\/2026\/06\/NFC_Payment_Relay_Concept-1024x683.png\")
<\/figure>\n\n\n\n\u00bfQu\u00e9 es el malware NFC y por qu\u00e9 deber\u00eda preocuparte?<\/h2>\n\n\n\n
Casos reales: el relay NFC cruza fronteras<\/h2>\n\n\n\n
NGate y la variante HandyPay: fraude NFC con sello de IA<\/h3>\n\n\n\n
PhantomCard: el modelo de malware como servicio<\/h3>\n\n\n\n
La IA acelera el fraude NFC<\/h3>\n\n\n\n
El caso M\u00e9xico: “toque fantasma” y “carterismo digital”<\/h3>\n\n\n\n
\u00bfC\u00f3mo funciona el ataque NFC a tu tarjeta?<\/h2>\n\n\n\n
![\"Infograf\u00eda](\"https:\/\/hacking.onesec.mx\/wp-content\/uploads\/2026\/06\/mecanismo_ataque_nfc_relay_infografia_contactless-1024x683.png\")
<\/figure>\n
La problem\u00e1tica: por qu\u00e9 este fraude es tan dif\u00edcil de frenar<\/h2>\n\n\n\n
Recomendaciones<\/h2>\n\n\n\n
Para usuarios<\/h3>\n\n\n\n
\n
Para equipos de seguridad y organizaciones<\/h3>\n\n\n\n
\n
![\"Smartphone](\"https:\/\/hacking.onesec.mx\/wp-content\/uploads\/2026\/06\/defensa_nfc_pentest_seguridad_movil_fraude_bancario_2026-1024x683.png\")
<\/figure>\n\n\n\nConclusi\u00f3n<\/h2>\n\n\n\n
\n
Referencias<\/h2>\n\n\n\n
\n