Na metade de 2025, chegou ao Brasil um novo tipo de fraude com cartões de crédito em que os criminosos convencem a vítima a aproximar seu cartão do celular para retransmitir dados e autorizar um pagamento de forma inesperada.

Talvez por ser relativamente nova, essa fraude é conhecida por diversos nomes, como "PhantomCard", "Ghost NFC", "NGate", "NFC Relay", ou "golpe de pagamentos Tap On".

Neste post, vamos explorar como a fraude funciona e compartilhar as descobertas mais recentes do Axur Research Team (ART) relacionadas a ela.

Como funciona a fraude

A fraude do PhantomCard é sustentada por uma tecnologia chamada de "Tap on Phone" ou "Tap to Pay", que transforma um smartphone em um dispositivo capaz de aceitar pagamentos por aproximação. Praticamente qualquer aparelho que opere com uma versão recente do Android e que tenha um rádio Near-field Communication (NFC) é compatível com esse protocolo.

Tendo em vista as tecnologias utilizadas, esse método de fraude também é às vezes chamado de "NFC Relay".

Embora o iPhone também seja compatível com essa modalidade de comunicação, existem barreiras para a instalação de aplicativos na plataforma da Apple que impõem algumas dificuldades para a realização da fraude. Como não foi observado algum caso em que os criminosos tentaram burlar essas restrições, o golpe basicamente vem se mantendo restrito ao Android.

Quando a vítima instala e executa o aplicativo malicioso promovido pelo golpista, o smartphone aguarda a aproximação de um cartão de crédito para se comunicar com ele como se fosse um terminal de pagamento.

A engenharia social é um componente fundamental da fraude, uma vez que o envolvimento da vítima é necessário em todas as etapas. Após executar o aplicativo, a vítima ainda precisa aproximar o cartão do dispositivo e, potencialmente, fornecer a senha (PIN) do cartão para autorizar transferências.

Para convencer a vítima a colaborar, a narrativa da fraude começa no próprio aplicativo, que é oferecido como um "autenticador de cartões" que vai desbloquear recursos ou aumentar a segurança do cartão. Com essa promessa, o app se apresenta como algo benéfico, tentando afastar qualquer possível suspeita sobre seu funcionamento.

Infelizmente, a funcionalidade prometida pelo aplicativo não existe. É apenas um pretexto elaborado para enganar as vítimas. 

Se todas as instruções forem seguidas, o resultado é um cenário em que o smartphone atua como um intermediário (ou proxy) entre o criminoso e o cartão da vítima, retransmitindo os dados da comunicação. 

Esses dados permitem que o criminoso autorize pagamentos fraudulentos, concluindo o objetivo da fraude.

Não se trata uma vulnerabilidade nos cartões, mas sim de um fluxo que tira proveito das funcionalidades do ecossistema Android para realizar uma retransmissão de dados e viabilizar uma fraude de pagamento.

Disseminação dos aplicativos maliciosos

Os aplicativos maliciosos que aplicam a fraude do PhantomCard são distribuídos em páginas falsas que imitam o visual da Play Store e prometem funções de "segurança".

Uma das páginas, por exemplo, promete:

• Validação de compras em tempo real com notificações instantâneas
• Autenticação biométrica
• Confirmação de transações online
• Controle total sobre as autenticações dos cartões

Além de imitarem a Play Store, os aplicativos utilizam marcas de instituições financeiras ou outras empresas ligadas a cartões e pagamentos. A página falsa inclui avaliações falsificadas que reforçam a utilidade do aplicativo.

Por se tratar de uma página falsa, nada do que consta nesse ambiente é legítimo. Tudo foi preparado pelos golpistas para enganar as vítimas. Isso é muito importante para a fraude, uma vez que será necessário autorizar a instalação de aplicativos fora da Play Store para instalar o APK no smartphone.

As páginas observadas pelo ART, nomeadas de "Autenticação de cartões", trazem conteúdo datado do fim de setembro e de outubro de 2025, indicando que se trata de uma campanha relativamente recente.

Origem da fraude

Tendo em vista o idioma e as marcas utilizadas nas campanhas para disseminar os aplicativos falsos, é evidente que a fraude mira consumidores no Brasil.

No entanto, as características técnicas dos aplicativos falsos indicam um possível envolvimento com criminosos chineses. Dois aspectos são especialmente relevantes:

• O uso de faixas de IP (ASNs) atribuídas a Hong Kong
• O uso de uma URL contendo a palavra "baxi" (transliteração simplificada de "bā xī", de "Brasil" em chinês)

Fraudes utilizando a retransmissão de dados por NFC já vêm ocorrendo em diversos países, inclusive na China (onde também é conhecida como "NGate") e na Rússia. 

Ao mesmo tempo, cabe observar que as fraudes mais associadas ao Brasil utilizam técnicas como o Ghost Hand ou a sobreposição de janelas para roubar dados e credenciais. A técnica de retransmissão em NFC diverge de maneira significativa desses ataques.

Em vista dessas evidências, é razoável supor que haja uma interação entre diversos operadores para viabilizar essa fraude também em território brasileiro.

Recomendações

Como a vítima da fraude não entende que seu cartão será cobrado ao aproximá-lo do smartphone, é bastante provável que as cobranças serão contestadas pelas vítimas. O resultado é uma situação que pode causar prejuízo para as partes envolvidas.

O monitoramento de marca combinado com o Takedown para derrubar os sites falsos é uma mitigação efetiva para essa fraude, uma vez que os golpistas recorrem a marcas conhecidas (especialmente de instituições financeiras) para disseminar os aplicativos maliciosos.

O monitoramento é especialmente eficaz para evitar os danos à marca decorrentes da confusão provocada pelo aplicativo falso que promete funções de segurança aos portadores do cartão.

A plataforma Axur oferece uma solução robusta de monitoramento de marca e Takedowns automatizados para mitigar essa ameaça.

Indicators of Compromise (IoCs)

Fraud Neuron

O Fraud Neuron é um projeto de Modelagem de Ameaças Cibernéticas atualmente em desenvolvimento pela Equipe de Pesquisa da Axur em cooperação com nossos parceiros. O objetivo do projeto é oferecer um modelo que explique detalhadamente a realidade de fraudes observadas no Brasil e América Latina a partir da análise cooperativa de casos de fraudes digitais, possibilitando no futuro a criação de estatísticas e mecanismos de mitigação mais eficientes.