Muchos pensamos que pagar con el móvil es más seguro que usar una tarjeta física. Pero últimamente estoy viendo que esa sensación de seguridad puede ser engañosa. Hay nuevas formas de fraude que combinan el mundo digital y físico de forma tan sofisticada que cuesta creerlo. En este artículo te explico cómo funcionan y, sobre todo, qué puedes hacer para evitar caer en estas trampas.
Los sistemas de pago móvil como Apple Pay ofrecen comodidad y funciones de seguridad como autenticación biométrica (Face ID) y notificaciones instantáneas, lo que inicialmente transmitió una fuerte sensación de seguridad a muchos usuarios. Pero últimamente, los investigadores en ciberseguridad están destapando fraudes bastante peligrosos en torno a las tarjetas NFC. Lo más inquietante es que no necesitan ni tocar tu tarjeta: les basta con haber conseguido tus datos en algún momento.
El nuevo truco: tarjetas reales, móviles falsos
Lo que hacen los ciberdelincuentes es crear cuentas falsas de Google Wallet o Apple Pay, y vincular tarjetas robadas a esas cuentas. ¿Cómo consiguen esas tarjetas? La obtención de estos datos de tarjetas se realiza frecuentemente mediante técnicas de phishing, donde los ciberdelincuentes crean páginas web fraudulentas que suplantan la identidad de tiendas online, servicios de mensajería o portales de pago de suministros. Ahí te piden meter los datos de tu tarjeta para hacer un pequeño cargo de verificación, junto con un código OTP que te llega por SMS. Y listo. Ya tienen todo.
Pero no hacen la compra en ese momento. Lo dejan guardado. A veces semanas o incluso meses. Así la víctima se olvida del tema, y cuando llega el cargo, ya no tiene ni idea de cómo ha pasado. Durante ese tiempo, los delincuentes han vinculado la tarjeta a una app de pago móvil en un smartphone. Ese teléfono lo usa alguien (una «mula») para pagar en una tienda física o sacar dinero en un cajero. Y claro, como la tarjeta está en un móvil con NFC, no hace falta poner PIN ni confirmar con nada. Solo acercar el teléfono y pagar.
La técnica del «Ghost Tap»
Una técnica particularmente sofisticada y preocupante es la retransmisión NFC en tiempo real, conocida en el ámbito de la ciberseguridad como «Ghost Tap». Básicamente, usan dos teléfonos. Uno tiene las tarjetas robadas guardadas en la app de pago, y el otro es el que va a pagar en la tienda. Ambos están conectados por internet.
Con una aplicación como NFCGate, el primer móvil manda los datos de pago al segundo móvil, que está en otro sitio (o incluso en otro país), y que se acerca al terminal de cobro. Para el lector NFC, esa señal es totalmente válida, como si tuviera delante el móvil auténtico. Y lo más retorcido: el móvil que paga no tiene ninguna tarjeta guardada. Solo está recibiendo los datos. Si lo pillan, no hay forma directa de demostrar que ha cometido un fraude.
Qué puedes hacer para protegerte
A pesar de lo sofisticado que suena todo esto, se puede hacer bastante para protegerse. Te dejo algunos consejos que yo mismo aplico:
- Nunca metas los datos de tu tarjeta en webs que no conoces. Si te llega un SMS diciendo que tienes que pagar una multa o confirmar un paquete, entra tú a la web oficial, no uses el enlace del mensaje.
- Activa notificaciones de pago por SMS o app para todas tus tarjetas. Así te enteras en el momento de cualquier cargo raro.
- Usa tarjetas virtuales para las compras online. La mayoría de los bancos las ofrecen gratis. Considera generar una nueva tarjeta virtual para compras de alto valor o anualmente como medida de precaución adicional.
- No uses el mismo número de tarjeta para pagos móviles y compras online. Mejor una distinta para cada cosa.
- Desconfía de cualquier app que te pida que acerques la tarjeta al móvil, sobre todo si la has descargado fuera de la tienda oficial.
| Medida de Protección | Acción Específica | Por qué es Importante |
|---|---|---|
| Verificar Origen de Solicitudes de Datos | No introducir datos de tarjeta en webs accedidas desde enlaces en SMS/email no solicitados. Acceder siempre tecleando la URL oficial. | Evita el phishing y la entrega directa de datos sensibles y OTPs a los estafadores. |
| Activar Notificaciones de Pago | Configurar alertas por SMS o app para todas las transacciones con tarjeta. | Permite la detección inmediata de cargos no autorizados. |
| Uso de Tarjetas Virtuales | Utilizar tarjetas virtuales para compras online, preferiblemente de un solo uso o con saldo limitado. | Limita la exposición de los datos de la tarjeta principal. |
| Segregación de Tarjetas | No usar el mismo número de tarjeta para pagos móviles y compras online. | Reduce el riesgo en caso de compromiso de una de las tarjetas. |
| Desconfiar de Apps Sospechosas | Evitar apps que pidan acercar la tarjeta al móvil, especialmente si son de fuentes no oficiales. | Previene el posible uso de malware para leer datos de tarjetas vía NFC. |
Los bancos y plataformas como Apple Pay o Google Wallet siguen mejorando su seguridad, pero los ciberdelincuentes también evolucionan. Cuanto más sepamos cómo operan, más difícil se lo pondremos.