A empresa de segurança ESET relatou recentemente um malware direcionado principalmente a usuários do Android, que usa um ataque de engenharia social junto com o tráfego NFC roubado, para roubar dados bancários dos usuários. Chamado de Ngate, o malware permite que invasores desviem dinheiro das contas bancárias dos usuários afetados. O ataque é único por ter múltiplas partes móveis e é supostamente o primeiro visto na natureza a integrar a interceptação NFC como parte de uma abordagem multifacetada.

A forma como o ataque funciona é relativamente simples. Tudo começa convencendo um usuário a instalar uma versão falsa do aplicativo bancário de sua escolha. Isso é conseguido por meio de publicidade maliciosa ou aplicativos da web progressivos que imitam as interfaces oficiais do Google Play e selecionam aplicativos bancários para induzir os usuários a instalar o que eles são levados a acreditar ser outra coisa, geralmente uma atualização crítica de segurança. Este é um processo de duas partes; a primeira parte visa fazer com que os usuários concedam acesso ao seu hardware e dados bancários, e a segunda parte instala o malware real.

O malware é baseado em um conjunto de ferramentas de código aberto chamado NFCGate, que foi desenvolvido por estudantes universitários alemães com o objetivo de poder analisar ou alterar o tráfego NFC em dispositivos host. O NGate, por outro lado, é um aplicativo feito exclusivamente para ouvir e transmitir. Quando o dispositivo infectado é aproximado de um cartão bancário habilitado para NFC, ou qualquer outra etiqueta ou cartão habilitado para NFC, as informações transmitidas via NFC são capturadas pelo dispositivo e retransmitidas aos invasores. A partir daí, eles podem usar um dispositivo Android com privilégios de root habilitados para clonar a saída NFC. Isso permite que eles enganem um caixa eletrônico ou outro receptáculo NFC, fazendo-o pensar que estão segurando aquele cartão ou etiqueta. Juntamente com as informações bancárias roubadas na primeira etapa, isso permite acessar ou alterar o PIN da vítima e sacar dinheiro.

Este ataque está ativo na República Tcheca desde pelo menos novembro de 2023. Essa tática parece ter sido usada em uma escala limitada, visando clientes de três bancos tchecos por meio de seis aplicativos falsos. Uma das pessoas que usou o malware para roubar dinheiro foi presa em Praga em março de 2024, levando consigo o equivalente aproximado a US$ 6.500 em fundos roubados. Sua identidade e nacionalidade ainda não foram reveladas. O relatório observou que o uso deste ataque parece ter cessado desde a prisão.

Embora a ESET acredite que a atividade foi interrompida, não seria muito difícil para outro invasor adotar o mesmo conjunto de ferramentas e abordagem e, em seguida, dar-lhe uma reformulação para um novo público. É importante notar que nenhum software contendo este malware específico pode ser encontrado na Google Play Store oficial. O Google confirmou isso ao meio de comunicação Bleeping Computer, afirmando que o Google Play Protect contém proteções contra NGate.