El malware NFC ya vacía cuentas a través del móvil: los ataques crecen un 188 % en 2026
Los ataques basados en NFC (Near Field Communication) dirigidos a smartphones Android para robar dinero se han disparado un 188 % durante los primeros cuatro meses de 2026 en comparación con el mismo periodo del año anterior. Así lo refleja la telemetría de Kaspersky recogida en su informe «Financial sector threat landscape in 2025», que constata además la llegada de una modalidad más sofisticada, el llamado «NFC inverso», mucho más difícil de detectar porque son las propias víctimas quienes transfieren el dinero a los delincuentes.
Las cifras: de 12.300 a 35.600 ataques bloqueados
Entre enero y abril de 2026, las soluciones de seguridad de Kaspersky bloquearon 35.600 ataques vinculados a distintas familias de malware para Android que utilizan técnicas NFC, entre ellas SuperCard X, PhantomCard, NGate y otras modificaciones maliciosas de la herramienta NFCGate. En el mismo periodo de 2025 la cifra fue de algo más de 12.300, lo que explica ese crecimiento del 188 %.
La compañía ya anticipó esta tendencia a finales de 2025 en su informe sobre el panorama de amenazas del sector financiero, y los datos confirman que los usuarios de Rusia son ahora mismo los más afectados. Los expertos advierten, sin embargo, de que la amenaza está ampliando su geografía: Europa y América Latina empiezan a registrar también este tipo de ataques.
Dos modalidades: el NFC directo y el NFC inverso
NFC directo: tu tarjeta, contra un móvil infectado
En el esquema clásico, los ciberdelincuentes contactan con la víctima a través de aplicaciones de mensajería y, bajo la excusa de verificar su identidad, la convencen para que descargue un malware disfrazado, por ejemplo, de aplicación financiera. Después le piden que acerque su tarjeta bancaria al smartphone infectado e introduzca el PIN. El resultado: los atacantes obtienen todos los datos de la tarjeta y pueden usarlos para comprar o retirar dinero.
NFC inverso: el cajero que cobra para el delincuente
La variante nueva es más retorcida. El atacante envía una aplicación maliciosa y, mediante técnicas de ingeniería social, convence a la víctima para que la configure como método principal de pago contactless en su teléfono. Esa aplicación genera una señal NFC que los cajeros automáticos interpretan como si fuera la tarjeta de los delincuentes. Después, los estafadores persuaden a la víctima para que ingrese dinero en una supuesta «cuenta segura» usando su propio móvil infectado; en realidad, el dinero acaba directamente en manos de los atacantes.
«Mientras que antes los ciberdelincuentes recurrían principalmente al esquema de NFC directo, ahora el NFC inverso se está volviendo más habitual», explica Sergey Golovanov, experto jefe de seguridad de Kaspersky. «El peligro de esta nueva modalidad es que resulta mucho más difícil de detectar y combatir, porque son las propias víctimas quienes transfieren voluntariamente el dinero y estas operaciones pueden parecer completamente legítimas».
Un negocio en alza: el malware NFC como servicio
Los primeros ataques públicos que utilizaron una versión modificada de una herramienta NFC legítima se detectaron a finales de 2023 y afectaron principalmente a Europa. Después llegaron a Rusia y a otras regiones mediante malware móvil. Dmitry Kalinin, experto en ciberseguridad de Kaspersky, apunta que «posteriormente se descubrió que los ciberdelincuentes estaban comercializando este malware NFC bajo un modelo malware-as-a-service (MaaS), facilitando el acceso a estas herramientas a otros atacantes».
Ese modelo de negocio es el que explica el crecimiento acelerado: el malware se alquila o se vende, y cualquier grupo con intención de robar puede lanzar su propia campaña sin necesidad de desarrollar nada desde cero. Golovanov no descarta que «el malware basado en NFC siga evolucionando y que la geografía de los ataques continúe ampliándose», por lo que recomienda monitorizar la amenaza muy de cerca.
Cómo protegerte del malware NFC
La buena noticia es que las defensas siguen siendo sencillas y, sobre todo, una cuestión de hábito. Los analistas de Kaspersky resumen las recomendaciones en tres puntos.
Primero, evitar instalar aplicaciones desde fuentes no oficiales, incluidos los enlaces recibidos por mensajería, redes sociales, SMS o durante llamadas telefónicas. Segundo, no seguir instrucciones de desconocidos en un cajero automático, sin importar quién digan ser. Y tercero, utilizar una solución de seguridad completa en el smartphone Android, capaz de bloquear el malware antes de que se instale y de impedir el acceso a páginas de phishing desde el navegador o las aplicaciones de mensajería.
La conclusión es clara: el pago sin contacto ha llegado para quedarse, pero también quienes intentan abusar de él. Desconfiar de cualquier aplicación que prometa «verificar» tu identidad, revisar qué método de pago tienes configurado por defecto y no acercar jamás tu tarjeta a un dispositivo que no controlas son gestos que pueden ahorrarte más de un susto en el cajero.
