La ciberamenaza que explota la tecnología NFC (Near Field Communication) para robar dinero de cajeros automáticos sin necesidad de tener físicamente la tarjeta bancaria ha dado un salto evolutivo inquietante. Investigadores de ESET Research han descubierto una nueva variante de la familia de malware NGate que, en lugar de utilizar la herramienta de código abierto NFCGate como en campañas anteriores, ahora abusa de una aplicación legítima y funcional disponible en Google Play llamada HandyPay. Esta nueva versión del malware, que muestra evidencias de haber sido generada con ayuda de inteligencia artificial, se está distribuyendo activamente en Brasil desde noviembre de 2025 a través de sitios web fraudulentos que suplantan a una lotería estatal y a una página falsa de Google Play. El objetivo final es el mismo: capturar los datos de la tarjeta de pago de la víctima y el PIN asociado para realizar extracciones de efectivo y pagos no autorizados mediante contacto.
La evolución de NGate: de NFCGate a la aplicación trojanizada HandyPay
Las primeras versiones de NGate, documentadas por primera vez por ESET, dependían del uso de NFCGate, una herramienta de código abierto diseñada para la investigación de protocolos NFC. Sin embargo, el ecosistema criminal ha madurado. Han surgido ofertas de malware como servicio (MaaS), como NFU Pay y TX-NFC, que se promocionan abiertamente en canales de Telegram y ofrecen funcionalidades similares por suscripciones que oscilan entre los 400 y 500 dólares mensuales. En esta nueva campaña, los atacantes han optado por una ruta más económica y sigilosa: han tomado la aplicación HandyPay, una herramienta legítima que permite compartir datos NFC entre dispositivos, y la han modificado con código malicioso para convertirla en un vehículo de robo.
HandyPay es una aplicación que permite a un usuario leer los datos de su tarjeta de pago mediante NFC y transferirlos de forma cifrada a otro dispositivo vinculado, que luego puede usarse para realizar pagos sin contacto. Este servicio, cuyo uso básico es gratuito y cuya suscripción completa cuesta 9,99 euros al mes (presentada como una donación), ofrece la infraestructura perfecta para los ciberdelincuentes. Al trojanizar HandyPay, los atacantes evitan pagar costosas suscripciones a servicios MaaS y se aprovechan de una aplicación que, por su diseño, ya no requiere permisos excesivos en el dispositivo de la víctima, más allá de ser configurada como la aplicación de pago por defecto. Esto la hace mucho menos sospechosa que un malware que solicitara acceso a servicios de accesibilidad o a SMS, como es habitual en los troyanos bancarios tradicionales.
Por qué HandyPay es la herramienta ideal para los atacantes
La decisión de los operadores de esta campaña de trojanizar HandyPay en lugar de usar una plataforma MaaS existente se reduce a dos factores clave: coste y discreción. Mientras que NFU Pay y TX-NFC cuestan cientos de dólares al mes, HandyPay es prácticamente gratuita. Además, al ser la aplicación legítima la que gestiona el reenvío de datos NFC, la carga maliciosa inyectada no necesita solicitar permisos de Android que puedan alertar al usuario. El malware solo necesita que la víctima introduzca su PIN en un campo de texto manipulado dentro de la propia interfaz de la aplicación. Esto representa una evolución significativa en las tácticas de los atacantes, que buscan simplificar la cadena de infección y reducir el número de pasos que puedan fallar o ser detectados.
La huella de la inteligencia artificial en el código malicioso
Uno de los hallazgos más significativos de esta investigación es la alta probabilidad de que el código malicioso añadido a HandyPay haya sido generado o modificado con la ayuda de herramientas de inteligencia artificial generativa (GenAI). Los investigadores de ESET encontraron emojis en los registros (logs) del malware que son un marcador característico del texto generado por modelos de lenguaje de gran tamaño (LLM). Aunque no se puede demostrar de forma definitiva, este patrón sugiere que los ciberdelincuentes están utilizando GenAI para reducir la barrera técnica de entrada y producir código malicioso funcional sin necesidad de ser programadores expertos. Este es un ejemplo concreto de cómo la IA está democratizando el cibercrimen, permitiendo que actores con habilidades técnicas limitadas desarrollen amenazas más sofisticadas.
El código en cuestión es el responsable de interceptar el PIN de la tarjeta de pago que la víctima introduce en la aplicación y exfiltrarlo a un servidor de comando y control (C&C) controlado por los atacantes. Este PIN se transmite por separado de los datos NFC, que viajan a través de la infraestructura legítima de HandyPay hacia el dispositivo del atacante. La combinación de ambos flujos de datos —la señal NFC para emular la tarjeta y el PIN para autorizar la transacción— es lo que permite al criminal realizar un robo completo desde un cajero automático.
Campaña activa en Brasil: cómo se distribuye el malware
La campaña, que permanece activa al momento de escribir este artículo, se centra exclusivamente en usuarios de Android en Brasil. Los investigadores observaron dos muestras diferentes de NGate, distribuidas por separado pero alojadas en el mismo dominio y utilizando la misma aplicación HandyPay trojanizada, lo que apunta a un único grupo de actores de amenaza. Los vectores de ataque son un ejemplo clásico de ingeniería social adaptada al contexto local.
El señuelo de la lotería falsa: Rio de Prêmios
El primer método de distribución utiliza un sitio web que suplanta a Rio de Prêmios, la lotería oficial del estado de Río de Janeiro (Loterj). La página ofrece un juego de rascar virtual invariablemente amañado para que el usuario “gane” un premio de 20.000 reales brasileños. Al intentar cobrar el “premio”, se le pide que envíe un mensaje a un número de WhatsApp predefinido. Este contacto, cuyo perfil suplanta al banco estatal Caixa Econômica Federal, probablemente guía a la víctima para que descargue e instale la aplicación maliciosa, que se presenta como la app oficial de Rio de Prêmios, pero que en realidad es la versión trojanizada de HandyPay. Los investigadores no recibieron respuesta al contactar al atacante a través de WhatsApp, lo que atribuyen a no usar un número de teléfono brasileño.
La falsa app de seguridad: Proteção Cartão
El segundo vector de infección es una página web que imita la interfaz de Google Play y ofrece una aplicación llamada Proteção Cartão (Protección de Tarjeta). Al igual que en la campaña anterior de PhantomCard (otra variante de NGate que también atacó Brasil en octubre de 2025), se pide al usuario que descargue e instale manualmente el archivo APK. La instalación estándar de Android mostrará una advertencia de seguridad, pero el usuario puede omitirla fácilmente si habilita la instalación desde orígenes desconocidos. Una vez instalada, la app solicita ser configurada como la aplicación de pago NFC por defecto, un paso técnicamente necesario para que HandyPay funcione y que no despierta sospechas. Ninguna de las versiones maliciosas ha estado nunca disponible en la tienda oficial de Google Play.
Análisis técnico del flujo de ataque: de la instalación al robo en el cajero
Comprender el flujo operativo del malware es crucial para dimensionar la amenaza. El proceso no es automático; requiere una serie de acciones por parte de la víctima, lo que demuestra la efectividad de la ingeniería social empleada.
- Instalación manual: La víctima descarga e instala el APK malicioso. El sistema operativo lanza una advertencia, pero el usuario la salta.
- Configuración como app de pago por defecto: Al abrir la app, se le pide que la configure como la aplicación de pago NFC predeterminada. Esto es necesario para que el dispositivo receptor del atacante pueda emular la tarjeta.
- Captura del PIN: La interfaz de usuario de la app maliciosa solicita a la víctima que introduzca el PIN de su tarjeta bancaria. Este PIN se envía directamente al servidor C&C de los atacantes a través de una solicitud HTTP. Los investigadores encontraron logs de cuatro dispositivos comprometidos, todos geolocalizados en Brasil, que contenían PINs capturados, direcciones IP y marcas de tiempo.
- Lectura y reenvío de NFC: La víctima coloca su tarjeta bancaria en la parte trasera de su smartphone. La aplicación trojanizada utiliza la funcionalidad legítima de HandyPay para leer los datos de la tarjeta (número de cuenta, fecha de caducidad, etc.) y reenviarlos, a través de internet, a un dispositivo controlado por el atacante. Este dispositivo está vinculado a una dirección de correo electrónico específica, codificada de forma fija en el código malicioso.
- Extracción en el cajero: El atacante, con su dispositivo configurado para emular la tarjeta de la víctima y conociendo el PIN, puede acercarse a un cajero automático compatible con pagos sin contacto y retirar efectivo, o realizar compras no autorizadas.
¿Qué datos necesita el atacante y cómo los obtiene?
Para que el ataque tenga éxito, el criminal necesita dos piezas de información: los datos de la tarjeta bancaria (contenidos en la señal NFC) y el PIN. El malware se encarga de robar ambas. La señal NFC es capturada y retransmitida por el protocolo de HandyPay. El PIN, por otro lado, es interceptado directamente de la entrada del usuario y exfiltrado por el código malicioso añadido por los atacantes. Es la combinación de estos dos canales de robo lo que hace que esta variante de NGate sea tan peligrosa. Los servidores de distribución del malware y de exfiltración del PIN están centralizados, con el servidor C&C en la dirección IP 108.165.230[.]223codecodecode y el sitio de distribución falso en protecaocartao[.]onlinecodecodecode.
Protección y conclusiones: un ecosistema de amenazas en expansión
Google Play Protect, la solución de seguridad integrada en los dispositivos Android con servicios de Google, está configurada por defecto y ya protege a los usuarios contra las versiones conocidas de este malware. Es fundamental que los usuarios mantengan este servicio activo y eviten descargar aplicaciones de fuentes no oficiales. La advertencia de seguridad que aparece al intentar instalar una app fuera de Google Play no debe ser ignorada.
La aparición de esta nueva variante de NGate confirma una tendencia imparable: el fraude basado en NFC está creciendo en sofisticación y alcance geográfico. Ya no se limita a herramientas de código abierto o a costosos kits MaaS; los atacantes están aprendiendo a reciclar aplicaciones legítimas para sus fines, reduciendo costes y aumentando su capacidad de pasar desapercibidos. La implicación más profunda de esta campaña es que la inteligencia artificial generativa está acelerando este proceso, permitiendo que incluso actores sin grandes conocimientos técnicos puedan crear y modificar malware. Para los usuarios en Brasil y, previsiblemente, en otras regiones en el futuro, la regla de oro se refuerza: ninguna aplicación legítima pedirá el PIN de tu tarjeta bancaria. Desconfiar de cualquier solicitud de este tipo, por muy real que parezca la aplicación o la web que la solicita, sigue siendo la primera y mejor línea de defensa.
