Ghost Tap: scoperte frodi tap-to-pay che sfruttano l’NFC per abilitare pagamenti da remoto
I ricercatori di Group-IB hanno individuato Ghost Tap, una serie di frodi a opera di attaccanti cinesi che sfruttano applicazioni Android malevole per abilitare transazioni tap-to-pay da remoto con le carte di credito delle vittime.
Tramite campagne di smishing e vishing, i cybercriminali portano gli utenti ignari a installare gli APK malevoli. Una volta installata l’applicazione, viene richiesto alle vittime di avvicinare le proprie carte bancarie al sensore NFC dello smartphone; stabilita la connessione, i dati di pagamento vengono inoltrati a un server C2 gestito dagli attaccanti che invia le informazioni a un dispositivo sotto il loro controllo. Questo meccanismo di relay permette ai criminali di utilizzare terminali POS ottenuti illecitamente per incassare i fondi come se la carta fosse fisicamente presente.
Gli attacchi Ghost Tap fanno uso di due moduli principali: un “reader” installato sul dispositivo della vittima tramite l’APK compromesso e un “tapper”, ovvero il componente del device degli attaccanti che abilita transazioni e prelievi senza carta fisica.
Group-IB ha identificato oltre 54 campioni di APK malevoli, alcuni dei quali camuffati da applicazioni di realtà finanziarie legittime.
L’ecosistema di Ghost Tap
Gli APK vengono distribuiti da diversi vendor nella comunità del cybercrimine cinese; tra i fornitori principali spiccano TX-NFC, X-NFC e NFU Pay. TX-NFC è considerato uno dei vendor più strutturati, con un canale Telegram che contava oltre 21.000 iscritti al momento del rilevamento e uno staff di supporto che opera su turni e offre assistenza anche in lingua inglese. I prezzi per l’accesso a TX-NFC variano da 45 dollari per un solo giorno fino a 1.050 dollari per tre mesi.
NFU Pay offre invece licenze che vanno da 25 dollari giornalieri a 650 dollari per un accesso a vita. Gli amministratori di NFU Pay hanno rivelato a investigatori sotto copertura di poter fornire versioni personalizzate del malware, con varianti specifiche per l’Italia e il Brasile che rimuovono l’obbligo di login lato vittima.
L’attività di monetizzazione è supportata da canali affiliati; tra questi è di particolare rilevanza Oedipus, il quale si occupa della vendita di terminali POS provenienti da diverse aree geografiche, inclusi Medio Oriente, Africa e Asia. Secondo i dati raccolti da Group-IB, solo attraverso il canale Oedipus sono stati registrati circa 355.000 dollari in transazioni illegittime tra novembre 2024 e agosto 2025.
Oltre all’attacco diretto alle vittime, i criminali utilizzano anche reti di “muli” che caricano carte compromesse su portafogli mobili per effettuare acquisti di beni di lusso o carte regalo in negozi fisici in tutto il mondo.
La pericolosità del fenomeno Ghost Tap è confermata da numerosi incidenti e arresti globali: Group-IB cita, tra gli altri, gli arresti a Praga nel marzo 2024 di un individuo che prelevava contanti senza carta fisica e a Singapore nel novembre 2024 di cittadini malesi e cinesi che effettuavano pagamenti contactless sospetti.
I ricercatori della compagnia avvertono che quella dei malware tap-to-pay è una minaccia che si sta diffondendo in maniera preoccupante: da maggio 2024 a dicembre 2025 le segnalazioni sono aumentate costantemente.
Per proteggersi da questi attacchi, le raccomandazioni coinvolgono sia i singoli utenti finali che le istituzioni finanziarie: in primo luogo, gli utenti devono prestare la massima attenzione alle comunicazioni che ricevono ed essere consapevoli delle tecniche di vishing e smishing in uso; inoltre, dovrebbero installare solo applicazioni provenienti da fonti ufficiali e verificare le autorizzazioni richieste. Un altro consiglio fondamentale è quello di disattivare la funzione NFC quando non si devono effettuare pagamenti.
I fornitori di servizi di pagamento e le realtà del mondo finanziario dovrebbero invece investire in sistemi avanzati di monitoraggio delle frodi in grado di analizzare il comportamento degli utenti e di rilevare anomalie tecniche. Le banche dovrebbero inoltre investire in campagne di sensibilizzazione per i propri clienti, informandoli specificamente sulle nuove modalità di attacco tramite NFC e sull’importanza di non avvicinare mai la carta al telefono su indicazione di terzi.
Infine, adottare protocolli autenticazione forte e implementare la verifica dell’integrità del dispositivo tramite attestazioni hardware offrono un ulteriore livello di sicurezza.
Altro in questa categoria