Vulnerabilidades do NFC: O Perigo no Seu Bolso

A conveniência de pagar por aproximação esconde falhas críticas de segurança que cibercriminosos já exploram ativamente. Entenda como ferramentas de retransmissão de sinal agem e o que você precisa fazer hoje para se proteger.

Outro dia, enquanto tomava um café aqui na Taquara, logo após uma corrida matinal, fiquei observando a dinâmica da fila do caixa. Todo mundo, sem exceção, pagava suas contas aproximando o celular, o smartwatch ou o cartão na maquininha. É um gesto tão orgânico e automático que raramente paramos para pensar no que realmente acontece naqueles milissegundos de processamento.

Como profissional de Inteligência Cibernética e autor do livro Escudo Digital, meu cérebro já liga o alerta vermelho naturalmente nessas situações. A verdade inconveniente do nosso século é que a conveniência costuma ser a inimiga número um da segurança. Hoje, as vulnerabilidades do NFC (Near Field Communication) deixaram de ser uma teoria em laboratórios e se tornaram o novo campo de caça dos golpistas.

A falsa sensação de segurança a 5 centímetros

A premissa do NFC é simples: ele permite a troca de dados entre dois dispositivos que estão extremamente próximos, geralmente a não mais que 4 ou 5 centímetros de distância. Existe uma crença popular de que essa limitação física torna a tecnologia naturalmente à prova de interceptações. “Quem conseguiria me roubar tão de perto sem que eu percebesse?”, você pode se perguntar.

A resposta curta e direta é: muita gente, e utilizando equipamentos surpreendentemente acessíveis.

No mundo real da cibersegurança, nós nunca confiamos no ar como meio seguro. Cibercriminosos não operam mais apenas no improviso; eles operam como negócios estruturados. E, com o uso de antenas direcionais e leitores modificados, essa barreira dos cinco centímetros pode ser facilmente ampliada ou contornada, permitindo que invasores capturem informações do seu bolso enquanto você caminha distraído pelo metrô ou aguarda em um evento lotado.

Ghost Tap e as ferramentas do submundo

Um dos exemplos mais gritantes de como as vulnerabilidades do NFC evoluíram é a ascensão da técnica conhecida como Ghost Tap. Relatórios de inteligência, como os divulgados pela Resecurity, têm alertado instituições financeiras para uma escalada desse tipo de fraude desde o último ano.

Consequentemente, em vez de tentar roubar o cartão físico, os criminosos focam em capturar e retransmitir o tráfego NFC. Imagine a seguinte cena: um golpista se aproxima de você no transporte público com um celular escondido, executando um aplicativo malicioso (ferramentas como Z-NFC ou King NFC, amplamente negociadas em fóruns clandestinos no Telegram). O dispositivo dele inicia uma comunicação silenciosa com o seu celular ou cartão. Imediatamente, ele “retransmite” esse sinal pela internet para um comparsa, que está do outro lado da cidade com outro celular encostado em uma máquina de cartão.

Para o sistema bancário, é como se você estivesse presencialmente fazendo aquela compra de alto valor.

Falhas silenciosas: O caso do Android

Além disso, o buraco é mais embaixo quando analisamos a estrutura dos sistemas operacionais. Uma grande lição recente foi a vulnerabilidade catalogada como CVE-2023-21357, uma falha crítica no subsistema NFC do Android.

Diferente de golpes comuns onde você precisa clicar em um link malicioso ou baixar um app infectado, essa vulnerabilidade permitia um ataque totalmente passivo. Em suma, um invasor com um leitor NFC poderia solicitar a leitura de dados além do limite permitido pelo sistema. O resultado? Acesso direto e silencioso à memória do dispositivo, expondo chaves de criptografia e tokens de autenticação sem que o usuário precisasse fazer qualquer interação. Embora correções tenham sido lançadas, a fragmentação das atualizações faz com que milhões de aparelhos mais antigos ainda sejam um alvo fácil.

Como o ataque se concretiza na prática?

Para entender como se defender, é preciso entender a cronologia do ataque. Ele geralmente segue um padrão específico, muito parecido com o que monitoramos na inteligência penal:

1. Aproximação invisível: O atacante se posiciona no raio de leitura do seu dispositivo.
2. Handshake automático: O protocolo NFC estabelece a conexão instantaneamente. Não há aviso visual na sua tela.
3. Injeção de comandos: Usando apps como o Track2NFC, o golpista envia comandos malformados para explorar brechas (como a falta de validação de limites de memória).
4. Extração de dados: O aparelho entrega silenciosamente os dados sensíveis ou tokens de sessão para o criminoso.

Em contrapartida, muitas vezes a vítima só percebe o que aconteceu horas depois, quando recebe as notificações de débito do banco no celular.

O que fazer para blindar seu dispositivo

Assim como eu costumo fazer a manutenção preventiva rigorosa da minha moto antes de pegar a estrada, nós precisamos aplicar o mesmo cuidado aos nossos dispositivos digitais. O medo paralisa, mas a prevenção liberta. Aqui estão as medidas táticas que você deve adotar hoje mesmo:

• Desative o NFC quando não estiver em uso: É o conselho mais antigo e o mais ignorado. Se você não está na fila do caixa, o NFC do seu celular deve estar desligado. Um clique a mais pode salvar seu dinheiro.
• Exija autenticação biométrica: Configure seus aplicativos de carteira digital (Apple Pay, Google Pay) para exigirem sua digital, reconhecimento facial ou senha PIN para todas as transações, não importando o valor.
• Atualize o sistema implacavelmente: Aquela notificação chata de atualização de segurança pode conter o patch para vulnerabilidades críticas, como as de leitura de memória passiva.
• Para cartões físicos: Invista em carteiras com proteção RFID/NFC. Elas formam uma “gaiola de Faraday” em miniatura, impedindo que ondas eletromagnéticas se comuniquem com o chip do seu cartão sem que você o retire da carteira.

No fim das contas, a tecnologia NFC é uma ferramenta fantástica. Ela acelera o mundo e facilita a nossa vida. No entanto, a confiança cega na infraestrutura digital é o que alimenta a fraude. Mantenha seus sistemas atualizados, feche as portas quando não estiver usando e continue acompanhando as análises aqui no site. A segurança da sua identidade digital começa com o seu próximo hábito.

Links Internos

• https://escudodigital.net/dicas-de-seguranca-mobile
• https://escudodigital.net/golpes-financeiros-mais-comuns

Fontes Consultadas (Referências Técnicas)

• (1.1.2) Bachao AI Security (Acesso em: 05 de Ago. 2026): Relatório técnico sobre a CVE-2023-21357 e ataques passivos de memória no Android. Link
• (1.1.5) Huntress (Acesso em: 05 de Ago. 2026): “What is NFC in Cybersecurity? Risks & Security Tips”, detalhando riscos de skimming, eavesdropping e relay attacks. Link
• (1.1.7) Resecurity (Acesso em: 05 de Ago. 2026): “NFC Fraud Wave: Evolution of Ghost Tap on the Dark Web”, sobre o avanço global da ferramenta Ghost Tap e grupos operando via Telegram. Link
• (1.1.8) Blue Goat Cyber (Acesso em: 05 de Ago. 2026): Documentação profunda sobre falhas de protocolos RFID e NFC em dispositivos médicos, abordando clonagem de tags e downgrade attacks. Link