Malware móvil SuperCard X: Cómo una nueva amenaza para Android está secuestrando los pagos sin contacto

Una plataforma de malware móvil recién descubierta, conocida como SuperCard X, está redefiniendo la forma en que los ciberdelincuentes explotan los smartphones, lo que supone un nuevo desafío para bancos, emisores de tarjetas y usuarios. A diferencia de los troyanos bancarios tradicionales o las estafas de phishing, este malware introduce un método de ataque más avanzado, sutil y coordinado: la manipulación de relés de comunicación de campo cercano (NFC).

Desarrollado por un grupo de amenazas de habla china, SuperCard X se clasifica como una oferta de malware como servicio (MaaS). En resumen, se trata de un conjunto de herramientas de ciberdelincuencia a sueldo. Al aprovechar las capacidades NFC de los smartphones Android , el malware permite a los atacantes capturar datos de tarjetas y realizar transacciones fraudulentas sin acceso físico a la tarjeta de la víctima.

Cómo comienza la estafa: La ingeniería social en su núcleo

El ataque comienza con una convincente campaña de ingeniería social. Las víctimas reciben mensajes engañosos, a menudo por SMS o WhatsApp , que supuestamente provienen de su banco. Estos mensajes advierten de actividad sospechosa e incitan a los destinatarios a llamar a un número específico. La urgencia y la apariencia de legitimidad llevan a muchos a actuar sin verificar la fuente del mensaje.

Lo que sigue es un método conocido como Ataque Orientado a Teléfonos (TOAD). Durante la llamada, los estafadores se hacen pasar por representantes del banco y le piden a la víctima que instale lo que afirman es una aplicación de seguridad. En realidad, se trata de una de varias versiones camufladas del malware SuperCard X, como "Verifica Carta", "SuperCard X" o "KingCard NFC".

Una vez instalada, la aplicación solicita permisos confidenciales y establece un enlace con el sistema del atacante. En ocasiones, se convence a las víctimas de que revelen sus PIN o eliminen los límites diarios de su cuenta, lo que facilita considerablemente el fraude.

NFC: La nueva frontera del fraude financiero

La característica principal de SuperCard X es su novedoso uso de técnicas de retransmisión NFC . Los atacantes convencen a las víctimas de que coloquen físicamente sus tarjetas de crédito o débito cerca de sus teléfonos infectados. El malware lee silenciosamente los datos NFC transmitidos por la tarjeta y los reenvía a un servidor externo en tiempo real.

Del lado del atacante, una aplicación complementaria, apodada "Tapper", emula la tarjeta usando la información robada. El delincuente puede usar este clon virtual para retirar efectivo en cajeros automáticos o pagar en terminales sin contacto como si fuera el titular legítimo de la tarjeta.

Este método es especialmente eficaz para cajeros automáticos sin contacto y sistemas PoS, que dependen de datos NFC para la autenticación pero no pueden detectar fácilmente que la tarjeta ha sido clonada de forma remota.

La infraestructura detrás de escena

SuperCard X no es solo una aplicación, sino todo un ecosistema de fraude. Antes de distribuir el malware, los ciberdelincuentes deben crear una cuenta en la plataforma. Cada instancia del malware se vincula a esta cuenta, lo que permite la comunicación entre el dispositivo del usuario infectado (Lector) y el dispositivo del delincuente (Tapper).

Curiosamente, cada aplicación Reader parece estar personalizada para campañas específicas, con ligeras variaciones en sus interfaces de inicio de sesión. Esto sugiere que los actores de amenazas afiliados están adaptando las aplicaciones para atacar a diferentes regiones o instituciones.

La comunicación entre dispositivos se cifra mediante TLS mutuo (mTLS) , una mejora con respecto a los estándares de cifrado habituales del malware móvil. Esta capa adicional ayuda a los atacantes a pasar desapercibidos al proteger su tráfico de comando y control (C2).

Las implicaciones más amplias

Lo que hace a SuperCard X particularmente preocupante no es solo su ingenio técnico, sino también sus implicaciones para el ecosistema financiero en general. Al eludir la autenticación en línea tradicional y optar directamente por una infraestructura sin contacto, abre una ventana de ataque relativamente vulnerable.

Aunque esta campaña se ha centrado hasta ahora en Italia, las técnicas subyacentes podrían propagarse fácilmente a otros países. Los proveedores de pagos, las instituciones financieras y los desarrolladores de sistemas operativos móviles son actores potenciales en la lucha para contener esta amenaza.

En respuesta, Google, según se informa, está trabajando en nuevas funciones de Android para mitigar estos riesgos. Estas incluyen restricciones para instalar aplicaciones de fuentes desconocidas o conceder permisos sensibles como el acceso de accesibilidad, especialmente durante una llamada, cuando suelen ocurrir ataques TOAD.

Mantenerse seguro: consejos prácticos para los usuarios

Actualmente, SuperCard X no se distribuye a través de Google Play Store, pero eso no significa que no represente un riesgo. Los usuarios deben ser cautelosos al instalar aplicaciones de terceros, especialmente si se les solicita hacerlo durante una llamada telefónica. Aquí hay algunas precauciones clave:

• Evite instalar aplicaciones de fuentes desconocidas a menos que sea absolutamente necesario.
• Sea escéptico ante los mensajes urgentes que dicen provenir de bancos: verifíquelos a través de canales oficiales.
• Mantenga Google Play Protect habilitado para detectar aplicaciones potencialmente dañinas.
• Examine los permisos de las aplicaciones y revise las reseñas antes de instalar algo nuevo.

SuperCard X representa un gran avance en el fraude financiero móvil, combinando manipulación, sofisticación técnica y sigilo. Si bien el malware tiene actualmente un alcance limitado, su impacto potencial es enorme, por lo que la concientización y la vigilancia son las mejores primeras líneas de defensa.