Malware no Android faz empréstimos e replica cartões via NFC

Um novo esquema de fraude contra usuários de Android combina controle remoto do celular, engenharia social e retransmissão de pagamentos por NFC para permitir que criminosos obtenham empréstimos e façam transações com o cartão bancário da vítima.

A campanha foi detalhada pela empresa de cibersegurança Group-IB em 12 de agosto. O ataque utiliza duas ferramentas maliciosas: o conhecido trojan de acesso remoto SpyNote e uma nova família de malware chamada WindRelay, desenvolvida para capturar e retransmitir comunicações NFC em tempo real.

Em um dos casos investigados, praticamente toda a fraude ocorreu durante uma ligação telefônica de apenas 13 minutos. Nesse intervalo, os criminosos conseguiram controlar o smartphone, solicitar um empréstimo em nome da vítima e preparar o aparelho para transmitir dados de um cartão físico.

Golpe começa com uma falsa ligação do banco

O ataque depende inicialmente de engenharia social. O criminoso telefona para a vítima se passando por funcionário de uma instituição financeira e afirma que existe algum problema relacionado ao cartão ou à conta bancária.

Durante a conversa, a pessoa é orientada a instalar um aplicativo no Android. No caso analisado pela Group-IB, o programa malicioso chegou a ser personalizado com o nome da própria vítima, estratégia usada para aumentar a credibilidade do falso atendimento.

O aplicativo instalado contém o SpyNote, um trojan do tipo RAT, sigla para Remote Access Trojan. Com permissões de acessibilidade concedidas pelo usuário, esse tipo de software permite que o invasor controle diferentes funções do smartphone remotamente.

A partir desse acesso, o criminoso consegue instalar o WindRelay sem exigir uma segunda instalação manual da vítima. Segundo os pesquisadores, o processo pode acontecer sem que seja necessário manter um compartilhamento convencional da tela.

Empréstimo pode ser contratado pelo próprio celular

Com acesso ao aparelho comprometido, o invasor pode abrir o aplicativo bancário e executar ações em nome da vítima.

No incidente investigado, os criminosos aproveitaram o acesso para contratar um empréstimo por meio da conta bancária da pessoa. A Group-IB considera que essa etapa provavelmente foi usada como uma forma adicional de ampliar o valor obtido no golpe.

O ataque não termina, porém, com o controle do aplicativo financeiro.

Enquanto mantém a vítima ao telefone, o golpista pede que ela aproxime o cartão bancário físico da parte traseira do smartphone, normalmente sob o pretexto de realizar alguma validação ou procedimento de segurança.

É nesse momento que o WindRelay entra em ação.

WindRelay transforma celular em intermediário de pagamentos NFC

O NFC é a tecnologia utilizada em pagamentos por aproximação entre cartões, celulares e terminais de pagamento.

Quando a vítima encosta o cartão no smartphone infectado, o WindRelay intercepta a comunicação realizada naquele momento e transmite os dados pela internet para outro dispositivo controlado pelo criminoso.

O ponto mais importante é que o golpe não depende simplesmente de copiar o número do cartão. O malware retransmite a comunicação gerada durante a interação entre o chip e o leitor, incluindo dados temporários de autenticação utilizados naquela transação.

Na prática, o aparelho comprometido funciona como uma ponte entre o cartão real da vítima e um terminal distante utilizado pelo fraudador. Isso permite que uma compra ou outra operação seja processada enquanto o cartão verdadeiro permanece fisicamente com seu proprietário.

A Group-IB afirma ter identificado 23 amostras relacionadas ao WindRelay enviadas ao VirusTotal entre novembro de 2025 e julho de 2026, associadas a campanhas observadas principalmente na Chéquia, Eslováquia e Eslovênia.

Ataques envolvendo NFC estão aumentando

O WindRelay aparece em um momento de crescimento das fraudes que exploram pagamentos por aproximação.

Dados citados pela Group-IB indicam que ataques baseados em NFC contra dispositivos Android cresceram 188% nos primeiros quatro meses de 2026 em comparação com o mesmo período de 2025. Foram aproximadamente 35,6 mil ataques bloqueados nesse intervalo, contra mais de 12,3 mil um ano antes.

A combinação de engenharia social e malware também representa um desafio para sistemas tradicionais de prevenção a fraudes. Como a operação acontece no próprio dispositivo da vítima e pode utilizar processos legítimos de autenticação, determinadas transações podem inicialmente parecer legítimas para os sistemas bancários.

Como reduzir o risco desse tipo de golpe

O principal cuidado é desconfiar de qualquer ligação que peça a instalação de aplicativos ou a alteração de configurações de segurança do telefone.

Algumas medidas ajudam a diminuir o risco:

• Não instale aplicativos enviados durante ligações, mensagens ou atendimentos bancários suspeitos.

• Evite instalar arquivos APK obtidos fora de fontes confiáveis.

• Não conceda permissões de acessibilidade a aplicativos desconhecidos.

• Nunca aproxime o cartão do celular porque alguém, por telefone, pediu uma suposta validação.

• Se receber uma chamada suspeita, desligue e procure o banco pelos canais oficiais.

• Revise periodicamente os aplicativos instalados e suas permissões.

• Ao identificar movimentações desconhecidas, entre imediatamente em contato com a instituição financeira.

A própria Group-IB recomenda atenção especial a aplicativos instalados fora das lojas oficiais durante chamadas telefônicas e ao uso inesperado das permissões de acessibilidade do Android.

O caso mostra que golpes bancários móveis estão deixando de depender apenas do roubo de senhas ou códigos de autenticação. Ao combinar manipulação da vítima, controle remoto do smartphone e retransmissão de NFC, criminosos conseguem explorar diferentes formas de retirada de dinheiro dentro de uma mesma operação.