Se han identificado dos nuevas amenazas cibernéticas que afectan al sector bancario. ThreatFabric reveló la existencia de PhantomCard, un troyano basado en NFC-relay capaz de clonar tarjetas contactless en Brasil. K7 Labs alertó sobre SpyBanker, un dropper que desvía llamadas bancarias en la India.
PhantomCard: clonación de tarjetas mediante NFC-relay
PhantomCard actúa mediante una aplicación falsa «Proteção Cartões» que solicita al usuario que apoye su tarjeta en la parte trasera del móvil. Los datos EMV se retransmiten a un teléfono del atacante situado junto al TPV/ATM con PhantomCard. PhantomCard roba el PIN tras leer la pista 2 y lo envía al servidor C2.
El origen de PhantomCard es MaaS chino, específicamente el servicio NFU Pay revendido por el actor brasileño Go1ano developer. ThreatFabric advierte que servicios MaaS como SuperCard X, KingNFC o NFU Pay están popularizando los ataques relay.
SpyBanker: desvío de llamadas y robo masivo de datos
SpyBanker se distribuye vía WhatsApp con el nombre «Customer Help Service.apk». SpyBanker manipula desvíos de llamada registrando CallForwardingService y reenviando llamadas (y OTP) a un número controlado por el atacante. SpyBanker recoge masivamente SMS, notificaciones y credenciales de banca móvil de más de 40 entidades indias.
Riesgos asociados a las nuevas amenazas
El fraude contactless incluye transacciones sin PIN hasta el límite local y clonación de tarjetas EMV. El secuestro de llamadas intercepta autorizaciones telefónicas y refuerza ataques BEC. La exfiltración de datos y la posibilidad de cargas adicionales son riesgos potenciales.
Recomendaciones para mitigar los riesgos
Se recomienda no instalar APK fuera de Google Play y verificar siempre la URL antes de descargar supuestas apps de «protección». Se recomienda desactivar NFC cuando no se use y limitar pagos sin contacto en la app bancaria.
Se recomienda comprobar desvíos de llamada (*#21#) y revocar permisos de accesibilidad a apps no legítimas. Se recomienda implementar MFA in-app que no dependa de SMS/llamadas y monitorizar eventos de call-forwarding.
Para desarrolladores, se recomienda firmar APK, fijar hashes y auditar librerías de terceros. Las entidades que combinan auditorías periódicas con servicios de Threat Intelligence reaccionan antes a campañas como PhantomCard o SpyBanker.