NFCShare – nowe zagrożenie dla użytkowników bankowości mobilnej na Androidzie
Malware NFCShare kradnie dane kart płatniczych przez NFC, podszywając się pod aktualizacje aplikacji bankowych. Atak wymaga ostrożności przy pobieraniu oprogramowania.
Badacze z firmy D3Lab ostrzegają przed nową wersją malware’u NFCShare, który atakuje użytkowników bankowości mobilnej w Europie. Złośliwe oprogramowanie jest rozpowszechniane jako fałszywe aktualizacje legalnych aplikacji bankowych hostowane na GitHubie. Ofiary są nakłaniane do zeskanowania karty płatniczej w pobliżu telefonu, co pozwala przestępcom na kradzież danych z chipa NFC oraz kodu PIN.
Jak działa NFCShare?
Atak zaczyna się od wizyty na stronie phishingowej podszywającej się pod bank. Po podaniu danych logowania ofiara otrzymuje komunikat o konieczności aktualizacji aplikacji bankowej i przekierowanie do repozytorium na GitHubie, gdzie znajduje się plik APK z malwarem. Jak opisują badacze D3Lab, po zainstalowaniu aplikacja wyświetla fałszywy ekran weryfikacji, prosząc o przyłożenie karty do telefonu. W tym momencie NFCShare odczytuje dane z chipa NFC za pomocą interfejsu IsoDep i komend EMV. Kradzieży ulegają: numer karty, typ, data ważności oraz 4-cyfrowy PIN wprowadzony przez ofiarę pod pretekstem „zabezpieczenia”. Zebrane informacje są przesyłane do serwera kontrolowanego przez atakujących przez kanał WebSocket.
„NFCShare wykorzystuje odrębny kod, biblioteki, architekturę i szczegóły implementacji w porównaniu do innych malware’ów NFC, choć może być ewolucją tego samego ekosystemu” – mówi Andrea Draghetti z D3Lab.
Kto jest celem ataku?
Według raportu D3Lab, od początku kampanii w kwietniu 2026 roku repozytorium GitHub zawierało 56 unikalnych APK podszywających się pod aplikacje banków głównie z Włoch i Hiszpanii, takich jak Intesa, Sella, Nexi, CaixaBank. W styczniu 2026 roku malware atakował wyłącznie Deutsche Bank w Niemczech, co sugeruje rozszerzenie zakresu geograficznego. Badacze nie zaobserwowali bezpośrednio SMS-ów ani telefonów od fałszywych przedstawicieli banków, ale przyznają, że takie metody socjotechniczne mogą być stosowane.
Nowe techniki utrudniające analizę
NFCShare w najnowszej wersji wprowadza zniekształcone pakiety APK, które utrudniają automatyczną analizę. Plik APK pozostaje archiwum ZIP, ale zawiera uszkodzone ścieżki plików, przez co niektóre narzędzia do ekstrakcji błędnie interpretują ścieżki względne jako ścieżki systemowe i generują błędy. D3Lab podkreśla jednak, że ta technika nie przeszkadza w ręcznej analizie ani odzyskiwaniu kodu – ma jedynie spowalniać automatyczne skanowanie.
Jak się chronić?
Eksperci zalecają kilka prostych zasad, które znacząco zmniejszają ryzyko infekcji:
- Pobieraj aplikacje bankowe wyłącznie z Google Play – oficjalny sklep ma mechanizmy weryfikacji, których brak w repozytoriach GitHub.
- Włącz Play Protect – wbudowane zabezpieczenie Google skanuje aplikacje przed i po instalacji.
- Nie ufaj prośbom o skanowanie karty NFC – żaden bank nie wymaga przykładania karty do telefonu w ramach „weryfikacji” poza standardowymi płatnościami zbliżeniowymi.
- Uważaj na nieoczekiwane aktualizacje – jeśli bank informuje o konieczności aktualizacji, sprawdź komunikat w oficjalnej aplikacji lub na stronie banku, nie klikaj w linki z SMS-ów czy e-maili.
W przypadku podejrzenia infekcji warto niezwłocznie skontaktować się z bankiem i zablokować kartę. Dalsze informacje na temat kampanii można znaleźć w raporcie BleepingComputer.
Ataki z wykorzystaniem NFC nie są nowe – podobne techniki stosowały wcześniej malware NGate, SuperCard X czy RelayNFC. NFCShare pokazuje jednak, że zagrożenie ewoluuje i może dotrzeć do kolejnych krajów. Warto zachować czujność i stosować podstawowe zasady bezpieczeństwa mobilnego.
