Golpe do toque fantasma é o nome dado à mais recente fraude que drena valores de cartões de crédito e débito via pagamento por aproximação, explorando a tecnologia NFC e a boa-fé das vítimas.
A tática, monitorada pela Kaspersky, começou na Ásia, chegou ao Brasil em 2024 e já se espalhou por toda a América Latina. Criminosos combinam engenharia social e aplicativos maliciosos para capturar, em tempo real, o token gerado na transação por aproximação.
Golpe do toque fantasma: entenda o roubo de cartões NFC
Segundo Anderson Leite, analista sênior de segurança da Kaspersky, a fraude coloca dois elementos em ação: persuasão por telefone e malware instalado pela própria vítima. Depois que o usuário aproxima o cartão do celular infectado, o golpista obtém os dados necessários para gastar o limite disponível.
Como o golpe é aplicado passo a passo
1. O fraudador liga fingindo ser do banco ou da operadora do cartão e afirma que é preciso “validar” o meio de pagamento.
2. Ele envia um link, por SMS, WhatsApp ou e-mail, para que a vítima baixe um “aplicativo de verificação”.
3. Com o app já instalado, o criminoso pede que o cliente encoste o cartão no telefone, alegando ser parte do processo.
4. Nesse instante, o software captura o token NFC, ativo por 20 a 30 segundos.
5. Em outro aparelho, próximo a uma maquininha de pagamento, o estelionatário finaliza compras de baixo — ou alto — valor, dependendo de ter ou não a senha.
Malwares em circulação
O primeiro código capaz de realizar o toque fantasma foi o N-Gate, no início de 2024. Logo depois surgiram o Supercard, no fim de 2024, e o GhostNFC, identificado entre julho e agosto de 2025. Em um dos episódios já foi encontrado um brasileiro entre os desenvolvedores.
Diferença entre toque fantasma e mão fantasma
• Mão fantasma: busca acesso remoto ao internet banking via trojan bancário, permitindo saques e transferências.
• Toque fantasma: foca no cartão por aproximação; exige dois celulares — o infectado da vítima e o que realiza a compra do golpista — dispensando invasão ao internet banking.
Por que o token NFC pode ser explorado
A cada pagamento contactless, o cartão gera um token criptografado e único. Em fraudes convencionais esse código expiraria antes de ser reutilizado. No toque fantasma, entretanto, a transação ocorre simultaneamente: enquanto o usuário encosta o cartão, o hacker conclui a operação na maquininha, validando o mesmo token em tempo real.
Alvos corporativos também estão na mira
Empregados com cartão corporativo precisam redobrar cuidados, alerta Fábio Assolini, gerente da Kaspersky para a América Latina. Ao instalar um app duvidoso, o colaborador arrisca não só o dinheiro da empresa, mas também dados internos, podendo sofrer sanções, demissão ou resposta legal.
Imagem: Divulgação
Dicas para não virar estatística
• Nunca baixe aplicativos enviados por links; utilize apenas Google Play ou Apple Store.
• Desconfie de ligações solicitando validação de dados ou instalação de softwares.
• Ligue ao banco por números oficiais antes de seguir qualquer instrução.
• Bloqueie imediatamente cartões perdidos ou roubados que tenham pagamento por aproximação.
• Defina limites de gasto compatíveis ao seu perfil e evite guardar senha junto ao cartão.
• Atenção a mensagens que gerem urgência ou pânico, táticas clássicas de engenharia social.
Leite frisa que o ponto crítico do golpe do toque fantasma é a chamada telefônica convincente. Quando o agressor já conhece nome, CPF ou outros dados, a vítima tende a baixar a guarda, completando ela mesma as etapas que permitem o roubo.
Em caso de prejuízo, registre boletim de ocorrência e acione seu banco. Ainda que reembolsos nem sempre sejam garantidos, o documento policial fortalece a comprovação da fraude.
Para ampliar sua proteção financeira, veja outras orientações na seção de cartão de crédito do nosso site.
O golpe do toque fantasma demonstra que tecnologia e persuasão podem andar juntas no crime digital. Mantenha apps atualizados, duvide de contatos inesperados e compartilhe estas dicas para evitar novas vítimas. Fique atento e proteja-se agora mesmo!
