Golpe do toque fantasma ganha força no Brasil ao explorar a tecnologia de pagamento por aproximação (NFC) para clonar cartões de crédito e débito sem que o titular perceba.
Monitorada pela Kaspersky desde 2024, a fraude combina engenharia social e malware para capturar, em tempo real, o token temporário gerado na transação. Esse código é então usado imediatamente por criminosos para realizar compras de baixo ou alto valor, dependendo do acesso à senha da vítima.
Golpe do toque fantasma: criminosos clonam cartão por NFC
O esquema surgiu na Ásia e, segundo Anderson Leite, analista sênior de segurança da Kaspersky, já se espalhou por toda a América Latina. No Brasil, o “ghost tap” envolve dois celulares: um próximo ao cartão da vítima para absorver o token NFC e outro, na mão do golpista, que processa o pagamento à distância.
Como os criminosos convencem a vítima
O primeiro contato costuma ocorrer por telefone. Fingindo ser do banco ou da operadora do cartão, o fraudador afirma que precisa “validar dados” e pede que o usuário instale um aplicativo enviado por SMS, WhatsApp ou e-mail. Assim que a vítima baixa o app e aproxima o cartão, o código NFC é capturado em segundos.
Caso o golpista obtenha também a senha, são possíveis compras ou transferências de valores elevados. Sem a senha, ele inicia transações pequenas, dentro do limite pré-definido para pagamentos por aproximação, o que dificulta a detecção imediata.
Trio de malwares já identificado
• N-Gate – detectado no início de 2024
• Supercard – final de 2024
• GhostNFC – em circulação desde julho de 2025
Essas variantes reforçam a sofisticação do golpe do toque fantasma, que se vale de aplicativos falsos instalados voluntariamente pela vítima, configurando um cenário em que o próprio usuário entrega seus dados.
Diferença entre toque fantasma e mão fantasma
Embora ambos envolvam engenharia social, a mão fantasma foca no acesso remoto a contas bancárias via trojan, enquanto o toque fantasma mira especificamente o cartão por aproximação. No primeiro caso, o atacante assume o controle do dispositivo; no segundo, necessita de dois smartphones e do token NFC capturado instantaneamente.
Quando o cartão é roubado
Se o plástico físico for subtraído, o golpista também pode usar um celular com malware para extrair o token sem pedir colaboração da vítima. Nessa situação, as compras se limitam ao teto de transação sem senha definido pelo banco, mas ainda geram prejuízo.
Por que a fraude funciona
A cada compra por NFC, o sistema gera um token criptografado válido por 20 a 30 segundos e para apenas uma transação. O toque fantasma sincroniza a operação em tempo real, permitindo que o mesmo token seja reutilizado quase instantaneamente, antes de expirar.
Imagem: aproximação
Estratégias de proteção
• Instalar somente apps das lojas oficiais Google Play ou Apple Store.
• Nunca clicar em links enviados por SMS, e-mail ou mensageiros.
• Confirmar qualquer contato com o banco pelos telefones oficiais.
• Bloquear imediatamente cartões roubados e registrar boletim de ocorrência.
• Definir limites de gasto compatíveis com o perfil de uso.
• Jamais informar senha ou PIN fora do app oficial da instituição financeira.
Risco elevado para cartões corporativos
Trabalhadores que utilizam cartão da empresa precisam redobrar a atenção. Segundo Fábio Assolini, gerente da Kaspersky para a América Latina, o vazamento de dados corporativos expõe a companhia a multas da LGPD, invasões de sistemas e extorsão. O funcionário ainda pode ser responsabilizado financeiramente ou sofrer sanções internas.
Sequestro de contas empresariais em alta
Dados da Kaspersky indicam crescimento de 12% nesse tipo de ataque entre julho de 2024 e agosto de 2025. Após infiltrar-se na rede, o criminoso criptografa arquivos e exige resgate compatível com o porte financeiro da organização, ameaçando publicar dados sensíveis caso o pagamento não ocorra.
Para Assolini, a exigência de transparência imposta pela LGPD faz com que empresas relatem invasões, permitindo que usuários tomem medidas de segurança, como troca de senhas.
O golpe do toque fantasma exemplifica como a combinação de tecnologia NFC e persuasão psicológica pode driblar sistemas de proteção. Atenção redobrada a contatos suspeitos e rigor na instalação de aplicativos permanecem as barreiras mais eficazes contra essa modalidade de fraude.
Quer saber mais formas de proteger seu dinheiro? Acesse nosso guia completo sobre limites e segurança para cartão de crédito e fique atualizado.
Resumo: o golpe do toque fantasma rouba o token NFC gerado em pagamentos por aproximação. Evite instalar apps enviados por links, confirme ligações com o banco e bloqueie cartões perdidos. Compartilhe esta notícia e siga nossas dicas para manter suas finanças seguras.
