Golpe do cartão por aproximação: como criminosos transformam seu celular em cúmplice

Um golpe que cresce no Brasil transforma o cartão por aproximação — aquela comodidade de encostar o cartão na maquininha — em arma contra o próprio dono. E o mais assustador é que a vítima faz tudo sozinha, achando que está resolvendo um problema com o banco.

Como o golpe funciona, passo a passo

Não há invasão mágica. Há uma conversa bem ensaiada:

1. A ligação. O golpista liga se passando por funcionário do banco e avisa que há um “problema” no seu cartão. Cria urgência.
2. O aplicativo falso. Ele convence a vítima a instalar um app “de segurança do banco” — às vezes personalizado até com o nome da própria pessoa — baixado fora da loja oficial. Esse app carrega dois programas maliciosos: um de controle remoto (SpyNote) e um que captura o cartão por aproximação (WindRelay).
3. O cartão e a senha. Ainda no telefone, o “atendente” pede para a vítima encostar o cartão no celular e digitar a senha — supostamente para “validar”. É aí que a fraude acontece.

A parte engenhosa (e perigosa): o “cabo de extensão” do seu cartão

O programa WindRelay faz uma coisa que parece ficção: ele captura e retransmite, em tempo real, a comunicação do cartão por aproximação. Enquanto você encosta o cartão no seu celular em casa, os dados viajam pela internet até o celular do criminoso, que está numa maquininha de verdade, do outro lado da cidade ou do país. Para o sistema do banco, é como se o seu cartão físico estivesse ali, sendo aproximado da maquininha — com a sua senha digitada. A transação parece 100% legítima.

É como se o golpista tivesse esticado um cabo de extensão invisível entre o seu cartão e a maquininha dele. E a ligação costuma durar uns 13 minutos — tempo suficiente para fazer compras e, com o controle remoto instalado, até pedir empréstimos pelo próprio app do banco da vítima.

Por que cai gente esperta nesse golpe

Porque ele inverte a lógica que a gente aprendeu. A vítima não está clicando num link suspeito nem digitando senha num site falso — ela está segurando o próprio cartão, no próprio celular, atendendo o “próprio banco”. Tudo parece sob controle. O golpe não ataca a tecnologia; ataca a confiança e o susto (“seu cartão tem um problema”).

Como se proteger — e proteger a equipe

Vale colar no grupo da empresa e mandar para os pais:

• Banco nunca liga pedindo para instalar aplicativo. Nenhum. Se pedirem, é golpe — desligue.
• Nunca encoste o cartão no celular durante uma ligação. Não existe “validação por aproximação” por telefone. Aproximação é para maquininha, presencialmente.
• App de banco, só da loja oficial (Play Store / App Store), e só o app oficial do seu banco. App “personalizado” enviado por link é sempre armadilha.
• Desconfie da pressa. Todo golpe tem urgência fabricada (“resolva agora ou seu cartão será bloqueado”). Desligue e ligue você para o número oficial no verso do cartão.
• Ative avisos de transação. Notificação de cada compra é o alarme que te dá tempo de bloquear o cartão.
• Na empresa: oriente quem lida com pagamentos e cartões corporativos. O golpe mira pessoa física, mas cartão corporativo e conta PJ estão no mesmo alcance.

A tecnologia de aproximação é segura quando usada como foi feita: encostar na maquininha, presencialmente. O golpe só funciona quando alguém convence você a usá-la fora desse contexto. A defesa, aqui, é uma frase: “meu banco não me pediria isso” — e o dedo no botão de desligar.

Fontes

• Group-IB — Gone with the WindRelay: A New Malware Combo Behind a Growing Fraud Scheme (pesquisa original): group-ib.com
• The Hacker News — WindRelay Android Malware Turns Victims’ Phones Into NFC Relays: thehackernews.com
• BleepingComputer — Android malware combo takes out loans and relays victims’ credit cards: bleepingcomputer.com
• Orientações oficiais sobre golpes bancários — Febraban / seu banco (canais oficiais no verso do cartão)