Actores de amenazas chinos han desarrollado una peligrosa nueva forma de robar dinero directamente de cuentas bancarias utilizando aplicaciones de Android especialmente diseñadas.

Conocidas como Ghost Tapped, estas aplicaciones maliciosas explotan la tecnología de Comunicación de Campo Cercano (NFC), la misma tecnología inalámbrica que impulsa los pagos sin contacto.

En lugar de necesitar tu tarjeta bancaria física, los criminales pueden completar transacciones desde cualquier parte del mundo simplemente transmitiendo la información de pago a través de sus propios dispositivos.

El ataque funciona de una manera sorprendentemente simple pero efectiva. Las víctimas son blanco de mensajes y llamadas engañosas, siendo engañadas para descargar archivos APK maliciosos que parecen aplicaciones bancarias o de pago legítimas.

Una vez instaladas, se les pide a los usuarios que acerquen sus tarjetas bancarias a sus teléfonos, creyendo que están registrando la tarjeta con fines de seguridad.

Sin que lo sepan, la aplicación captura los datos de la tarjeta y los envía a un servidor de comando y control operado por los criminales.

Desde agosto de 2024 hasta agosto de 2025, expertos en seguridad identificaron más de 54 versiones diferentes de estas aplicaciones maliciosas, con más de media docena de variantes principales siendo vendidas y promocionadas activamente en Telegram.

Analistas de Group-IB identificaron que el malware opera a través de un sistema de dos partes: una aplicación "lectora" instalada en el dispositivo de la víctima que captura la información de la tarjeta de pago, y una aplicación "tactora" utilizada por los criminales para completar transacciones no autorizadas en tiendas y cajeros automáticos.

El Mecanismo de Infección y el Ataque de Retransmisión

Investigadores de Group-IB señalaron que el malware opera estableciendo un enlace directo de retransmisión entre la tarjeta de pago de una víctima y el dispositivo de un criminal a través de servidores conectados a internet.

Cuando una tarjeta se acerca a un teléfono Android infectado que ejecuta la aplicación lectora, los datos de pago son capturados y encriptados.

Estos datos viajan a través del servidor C2 y llegan a la aplicación tactora del criminal, que luego los reenvía a terminales de punto de venta reales robadas o obtenidas fraudulentamente de procesadores de pago legítimos.

Para la terminal POS, la transacción parece completamente legítima, como si el dispositivo del criminal fuera una tarjeta bancaria real.

La implementación técnica revela una ingeniería sofisticada. Las aplicaciones solicitan permisos NFC específicos, incluyendo android.permission.NFC y android.permission.INTERNET para funcionar.

Al instalarse, recopilan identificadores del dispositivo y credenciales de autenticación, enviando esta información a servidores remotos utilizando protocolos WebSocket o MQTT.

Entre noviembre de 2024 y agosto de 2025, un grupo asociado procesó al menos $355,000 en transacciones fraudulentas utilizando este método.

Miles de víctimas en todo el mundo ya han caído en estos esquemas, con arrestos en múltiples países, incluyendo Estados Unidos, Singapur, República Checa y Malasia, lo que demuestra el creciente impacto real de este ataque.