- Es capaz de vulnerar la seguridad de los sistemas de pago por proximidad o transacciones contactless
- Una nueva y sofisticada modalidad de fraude bancario ha encendido las alarmas a nivel global
María Escalante García
Una nueva y sofisticada modalidad de fraude bancario ha encendido las alarmas a nivel global. La firma de ciberseguridad Kaspersky descubrió una técnica bautizada como “Toque Fantasma” (Ghost Touch), capaz de vulnerar la seguridad de los sistemas de pago por proximidad o transacciones contactless, lo que permite a los delincuentes realizar compras fraudulentas en cuestión de segundos, sin que la víctima lo note.
Según el informe de Kaspersky, este método aprovecha fallas en la detección táctil de los dispositivos móviles para simular toques en pantalla sin intervención del usuario. Con el uso de herramientas electromagnéticas de alta precisión, los atacantes logran “controlar” el teléfono de manera remota, activando funciones como el desbloqueo, la autorización de pagos o el acceso a aplicaciones bancarias.
El “Toque Fantasma” no requiere acceso físico al dispositivo ni instalación de software malicioso. En algunos casos, basta con que el teléfono esté apoyado sobre una superficie pública —como una mesa de cafetería o una estación de carga— para que el ataque pueda ejecutarse.
Los expertos advierten que este tipo de fraude representa un salto cualitativo en comparación con los tradicionales ataques de “phishing” o “skimming”, ya que interviene directamente en el hardware del dispositivo. Además, aprovecha la creciente adopción de los pagos sin contacto y de la autenticación mediante huella o reconocimiento facial, mecanismos que los delincuentes buscan imitar o burlar mediante esta tecnología.
Kaspersky recomienda a los usuarios evitar colocar sus teléfonos sobre superficies desconocidas o conectarlos a cargadores públicos, así como desactivar temporalmente las funciones NFC cuando no se estén utilizando. Las instituciones financieras, por su parte, deberían fortalecer sus sistemas de detección de operaciones anómalas y promover campañas de educación digital entre los clientes.
La amenaza del “Toque Fantasma” evidencia que, en un entorno cada vez más digitalizado, la frontera entre comodidad y vulnerabilidad tecnológica se vuelve más delgada. Mientras los pagos móviles continúan expandiéndose, los especialistas advierten que la seguridad deberá evolucionar con la misma rapidez que los métodos del fraude electrónico.
Tecnología explotada
La investigación de Kaspersky revela cómo los ciberdelincuentes han encontrado la forma de explotar una de las tecnologías de pago más populares, particularmente en América Latina, donde casi todos los usuarios de tarjetas bancarias pueden realizar pagos sin contacto.
Aunque la seguridad del pago por proximidad reside en la generación de un token o código único que expira en segundos, los estafadores han desarrollado aplicaciones maliciosas para interceptarlo y retransmitirlo a otro dispositivo para consumar el delito.
Brasil, el Foco Rojo del Fraude
El panorama de esta nueva amenaza sitúa a Brasil en una posición preocupante, al concentrar casi la mitad (47%) de los intentos de fraude “Toque Fantasma” bloqueados a nivel mundial. Le siguen en la lista India, China y España. Este dato subraya la urgencia de concienciar sobre este riesgo, especialmente en países con alta penetración de pagos contactless.
Cómo funciona
La estafa opera bajo dos escenarios principales, ambos aprovechando la rapidez y la tecnología NFC (Comunicación de Campo Cercano) para actuar sin dejar rastro:
- Fraude Presencial: El Robo Rápido en Lugares Concurridos
En esta modalidad, los delincuentes explotan la velocidad de la tecnología NFC para robar el token de pago por proximidad sin ser detectados. El ataque requiere de dos teléfonos móviles y la cercanía a la víctima.
- Un criminal se acerca lo suficiente a la víctima (en una fila, un evento o una mesa de café) para que su celular, con la aplicación maliciosa, pueda robar el token del pago por proximidad del celular o tarjeta de la víctima.
- Este código único es enviado en tiempo real a un segundo dispositivo, manejado por un cómplice.
- El cómplice se acerca de inmediato a una terminal de cobro y finaliza la compra fraudulenta utilizando el token robado, como si fuera la tarjeta original.
La víctima pierde dinero sin que su dispositivo o tarjeta sean infectados y, en la mayoría de los casos, sin percatarse del robo en el momento.
