Acercó la tarjeta al móvil y perdió dinero: Group‑IB alerta sobre una nueva estafa por NFC dirigida a rusos

Una sola llamada telefónica con un estafador ahora puede terminar de inmediato en un crédito a nombre de la víctima y compras con su tarjeta bancaria. Expertos de Group-IB descubrieron un nuevo esquema en el que los delincuentes combinan el troyano de acceso remoto SpyNote con un programa malicioso hasta ahora desconocido, WindRelay, para Android. Este último transmite datos de la tarjeta bancaria a través de NFC en tiempo real.

En el caso investigado por Group-IB, todo el ataque duró aproximadamente 13 minutos. El estafador llamó a la víctima haciéndose pasar por un empleado del banco y dijo que supuestamente había un problema con la tarjeta. Siguiendo las instrucciones del interlocutor, la persona instaló una aplicación que contenía SpyNote. Para mayor credibilidad, los delincuentes asignaron a la aplicación el nombre de la propia víctima.

Tras instalar SpyNote, el estafador ya no necesitó la ayuda del propietario del teléfono. El troyano obtuvo acceso a funciones especiales de Android, tras lo cual el delincuente instaló de forma remota un segundo programa malicioso, WindRelay. Además, la duplicación de pantalla no se activó, por lo que los mecanismos de seguridad diseñados para detectar este tipo de control remoto podrían no haber notado lo que ocurría. Durante la misma sesión, el estafador gestionó un crédito a nombre de la víctima a través de la aplicación bancaria.

Luego el interlocutor pidió acercar la tarjeta bancaria al smartphone e introducir el PIN. WindRelay convirtió el teléfono en una especie de terminal de pago sin contacto. El programa no leía solo el número de la tarjeta, sino el intercambio de datos entre su chip y el lector, incluidos los datos de un solo uso para confirmar una operación concreta. La información obtenida se transmitía de inmediato por internet al dispositivo del delincuente.

En ese momento, el segundo dispositivo se presentaba ante el verdadero terminal de pago o cajero automático como la tarjeta bancaria de la víctima. En realidad, la tarjeta y el terminal seguían intercambiando datos reales, pero entre ellos se encontraba la infraestructura de los estafadores, que reenviaba los mensajes a distancia. Por eso la operación parecía para el sistema de pagos una compra sin contacto o un retiro de efectivo habitual; un principio similar se utiliza también en el esquema Ghost Tap. En el caso descrito, poco después de la llamada aparecieron en la cuenta operaciones con la tarjeta física.

El análisis de los permisos de WindRelay confirmó la especialización del programa. Obtiene acceso a NFC, a internet y a los contactos, y además solicita un permiso inusual para una aplicación de terceros, DUMP, que permite obtener información sobre el estado del sistema. Los permisos propios de la aplicación limitan adicionalmente el acceso de otros programas a sus componentes.

Group-IB encontró 23 muestras relacionadas de WindRelay subidas a VirusTotal desde noviembre de 2025 hasta julio de 2026, así como cuatro direcciones IP de control. Las aplicaciones se hacían pasar por organizaciones de la República Checa, Eslovaquia y Eslovenia y contenían textos en los idiomas de esos países. Algunas muestras, al igual que SpyNote, se crearon específicamente para una víctima concreta y contenían su nombre.