La tarjeta queda con su dueño, pero el efectivo ya va al delincuente: el NFC se ha convertido en herramienta de robo.

Para robar dinero de una cuenta bancaria, a los estafadores les bastaba un solo contacto de la tarjeta con el teléfono del titular. La policía de los Países Bajos informó sobre la detención de dos sospechosos vinculados a un esquema de retirada remota de efectivo mediante NFC. En tres semanas, mientras las fuerzas del orden vigilaban la infraestructura delictiva, alrededor de 170 personas perdieron en total 380 000 euros.

El ataque comenzaba con una llamada automática. Los delincuentes habían preparado con inteligencia artificial decenas de grabaciones de audio con distintas voces, nombres de bancos y motivos para la conversación. La grabación advertía sobre una operación sospechosa y ofrecía pulsar "1" si el cliente no había realizado la transferencia. Después sonaba música de espera y la conversación continuaba con un supuesto empleado del banco.

El falso empleado convencía al interlocutor de bloquear urgentemente la tarjeta bancaria para salvar el saldo. Para el "bloqueo" era necesario instalar una aplicación y acercar la tarjeta al teléfono inteligente. La aplicación activaba la NFC, la tecnología de pagos sin contacto. En lugar de proteger la cuenta, el teléfono comenzaba a transmitir los datos del chip de la tarjeta a los delincuentes para permitir retiradas de efectivo a distancia.

Al mismo tiempo, un cómplice se situaba junto a un cajero automático o a un terminal de pago con otro teléfono y una aplicación similar. Los datos del chip de la tarjeta se transmitían al segundo dispositivo, permitiendo realizar operaciones a distancia mientras la tarjeta permanecía en poder del titular. Los delincuentes no necesitaban robar el plástico ni acudir al domicilio de la víctima. En una sola sesión, podían retirar miles de euros.

La técnica se basa en la retransmisión del intercambio NFC en tiempo real, y no en la copia habitual del número de tarjeta. Un principio similar ya se había visto en ataques con el malware WindRelay, que conectaba el teléfono de la víctima con un dispositivo junto al terminal de pago. Por eso, el escenario, nuevo para la policía neerlandesa, no puede considerarse un método de robo de dinero hasta ahora desconocido.

Los bancos neerlandeses detectaron el esquema inusual a mediados de septiembre y remitieron la información al grupo conjunto de lucha contra los delitos electrónicos. Unos días después, la policía accedió a los servidores de los estafadores y estableció la estructura del grupo. Ataques NFC similares se habían vinculado anteriormente a la venta de herramientas listas para usar y al trabajo de ejecutores que actuaban junto a los terminales.

El 6 de octubre la policía detuvo a un residente de 23 años de Vaassen y a un residente de 25 años de Ede. Al primero se le sospecha de proporcionar el soporte técnico del esquema y de dirigir a los cómplices; al segundo se le atribuye la coordinación de las operaciones. Los servidores de la red criminal fueron desconectados y se incautaron teléfonos y ordenadores portátiles. El 20 de octubre, un tribunal en Róterdam prorrogó la detención preventiva de ambos sospechosos al menos 90 días.

Las víctimas vivían en todo el país; entre ellas había decenas de personas de entre 20 y 39 años. La policía recordó que los bancos no solicitan instalar aplicaciones por llamada, acercar la tarjeta al teléfono ni revelar el PIN. Ante una conversación sospechosa conviene colgar y llamar al banco por iniciativa propia. Se recomienda a las personas afectadas que informen sobre los cargos, bloqueen la cuenta y presenten una denuncia.