Un informe reciente ha identificado una campaña activa de fraude que emplea un sofisticado malware para dispositivos Android, denominado «SuperCard X». Este malware se basa en técnicas innovadoras de retransmisión NFC, permitiendo a los agentes de amenazas autorizar fraudulentamente transacciones en puntos de venta y retiros en cajeros automáticos.
Características del malware
El malware se distribuye mediante tácticas de ingeniería social, engañando a las víctimas para que instalen una aplicación maliciosa. Una vez instalada, esta permite acceder a los datos de tarjetas de pago almacenados en el teléfono.
Un análisis preliminar sugiere que los agentes de amenazas utilizan una plataforma de malware como servicio (MaaS) en idioma chino, promocionada como SuperCard X. Esta plataforma presenta una importante superposición de código con el malware NGate, previamente documentado por ESET.
Riesgos y metodología
La campaña representa un riesgo financiero significativo que afecta directamente a los proveedores de pagos y emisores de tarjetas de crédito. La combinación de malware y retransmisión NFC permite realizar retiros fraudulentos con tarjetas de débito y crédito, demostrando una alta eficacia en el caso de transacciones sin contacto.
Las agencias de transferencia están aprovechando cada vez más las capacidades de NFC para capturar y transmitir datos confidenciales. Esta amenaza no se limita a una sola región, ya que informes recientes indican esquemas similares en EE.UU., vinculados a actores chinos.
Metodología del ataque
La campaña de fraude se desarrolla mediante una serie de pasos bien orquestados, iniciados por una estrategia de ingeniería social. El ataque suele comenzar con mensajes engañosos enviados por SMS o WhatsApp, diseñados para infundir una sensación de urgencia en el destinatario.
Estos mensajes suelen suplantar alertas bancarias notificando a los usuarios de un pago sospechoso. El mensaje invita a las posibles víctimas a llamar a un número específico para disputar la transacción, estableciendo un escenario de Ataque Orientado al Teléfono (TOAD).
Durante la llamada telefónica subsiguiente, los agentes de asistencia emplean tácticas persuasivas para guiar a las víctimas a través de acciones que comprometen los datos de su tarjeta de pago. Esta manipulación multietapa incluye:
- Obtención del PIN: Aprovechando la posible ansiedad de la víctima, los agentes la convencen de «reiniciar» o «verificar» su tarjeta. Dado que las víctimas a menudo no recuerdan su PIN inmediatamente, los atacantes las guían a través de su aplicación de banca móvil para recuperar esta información confidencial.
- Eliminación del límite de la tarjeta: Una vez que se han ganado la confianza de la víctima y, potencialmente, el acceso a su aplicación bancaria, los agentes le indican que acceda a la configuración de la tarjeta dentro de su aplicación y elimine cualquier límite de gasto existente en su tarjeta de débito o crédito.
- Instalación de una aplicación maliciosa: Posteriormente, los agentes persuaden a la víctima para que instale una aplicación aparentemente inocua. Se envía un enlace a esta aplicación maliciosa, a menudo camuflado como una herramienta de seguridad o una utilidad de verificación, por SMS o WhatsApp.
- Captura de datos NFC: Como etapa final de la manipulación, los agentes indican a la víctima que acerque su tarjeta de débito o crédito física a su dispositivo móvil infectado. El malware SuperCard X captura silenciosamente los datos de la tarjeta transmitidos vía NFC.
- Retiro fraudulento de efectivo: Una vez transmitidos correctamente los datos de la tarjeta de la víctima, los agentes utilizan su segundo dispositivo para realizar transacciones no autorizadas. Esto suele implicar pagos sin contacto en terminales TPV o, lo que es más alarmante, retiradas de efectivo sin contacto en cajeros automáticos.
Es importante destacar el impacto de esta amenaza, ya que ya no se ajusta al paradigma tradicional del fraude. El contexto operativo de este ataque es principalmente independiente de la institución financiera involucrada, ya que el objetivo final de los estafadores son las tarjetas de débito o crédito de los clientes, independientemente del banco emisor.
Al mismo tiempo, es necesario considerar las implicaciones en términos de velocidad de ejecución. A diferencia de los escenarios de fraude tradicionales, como las transferencias bancarias, cuyo procesamiento puede tardar hasta dos días hábiles, este tipo de ataque se ejecuta instantáneamente.