Przejdź do treści
Malware

Nowy wariant NGate wykrada dane z kart płatniczych przez NFC. Kto jest zagrożony?

ESET Research odkrył nową wersję malware NGate, która wykorzystuje zmodyfikowaną aplikację HandyPay do przechwytywania danych NFC i PIN-ów z kart płatniczych. Kampania celuje w użytkowników Androida w Brazylii, ale mechanizm ataku może być zaadaptowany na inne regiony.

3 min read
An abstract composition of a glowing blue credit card silhouette with a golden key floating above it, surrounded by dark tangled cables and a faint red warning glow in the background. No text or screens.

Badacze ESET odkryli nowy wariant złośliwego oprogramowania NGate, który wykorzystuje zmodyfikowaną wersję legalnej aplikacji HandyPay do przechwytywania danych z kart płatniczych. Jak wynika z raportu ESET Research, kampania trwa od listopada 2025 roku i na razie koncentruje się na użytkownikach Androida w Brazylii. Mechanizm ataku może jednak zostać zaadaptowany na inne regiony, dlatego warto zrozumieć, jak działa i jak się przed nim bronić.

Jak działa nowy wariant NGate?

Poprzednie wersje NGate opierały się na otwartym narzędziu NFCGate. Nowy wariant wykorzystuje trojanizowaną wersję aplikacji HandyPay – legalnego narzędzia do przesyłania danych NFC między urządzeniami. Atakujący zmodyfikowali aplikację, dodając złośliwy kod, który – jak wskazują badacze – „wykazuje oznaki wygenerowania przy pomocy narzędzi GenAI”. Świadczą o tym emoji pozostawione w logach, typowe dla tekstów tworzonych przez modele językowe.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Po zainstalowaniu zmodyfikowanej aplikacji atakujący mogą przechwycić dane NFC z karty płatniczej ofiary i przesłać je na własne urządzenie. Umożliwia to dokonywanie wypłat z bankomatów obsługujących płatności zbliżeniowe oraz nieautoryzowane transakcje. Co istotne, malware potrafi również wykraść kod PIN do karty i przesłać go na serwer dowodzenia atakujących.

Dlaczego akurat HandyPay?

Wybór HandyPay nie jest przypadkowy. Gotowe zestawy malware-as-a-service (MaaS) oferujące podobną funkcjonalność, jak NFU Pay czy TX-NFC, kosztują setki dolarów miesięcznie – odpowiednio około 400 i 500 dolarów. HandyPay jest znacznie tańszy: oficjalnie wymaga jedynie „darowizny” w wysokości 9,99 euro miesięcznie. Co więcej, aplikacja nie potrzebuje specjalnych uprawnień – wystarczy ustawić ją jako domyślną aplikację płatniczą, co pomaga uniknąć podejrzeń.

Badacze ESET podkreślają, że „złośliwie zmodyfikowana wersja HandyPay nigdy nie była dostępna w oficjalnym sklepie Google Play”. Użytkowników chroni Google Play Protect, które domyślnie blokuje znane wersje tego malware na urządzeniach z usługami Google Play.

Kto jest celem i jak wygląda dystrybucja?

Kampania celuje w użytkowników Androida w Brazylii. ESET zidentyfikował dwa sposoby dystrybucji trojanizowanej aplikacji. Pierwszy to fałszywa strona internetowa podszywająca się pod brazylijską loterię Rio de Prêmios. Użytkownik po „wygranej” 20 000 reali jest kierowany do kontaktu przez WhatsApp, gdzie rzekomo ma odebrać nagrodę. Drugi wektor to fałszywa strona udająca Google Play z aplikacją do ochrony kart płatniczych. Oba złośliwe pliki były hostowane na tej samej domenie, co wskazuje na jednego sprawcę.

Analizując serwer dowodzenia atakujących, badacze znaleźli logi z czterech zainfekowanych urządzeń – wszystkie zlokalizowane w Brazylii. Zawierały one przechwycone kody PIN, adresy IP i znaczniki czasu.

Jak się chronić?

Choć kampania na razie dotyczy Brazylii, mechanizm ataku może zostać zaadaptowany na inne regiony. Warto zastosować kilka podstawowych zasad bezpieczeństwa:

  • Pobieraj aplikacje wyłącznie z oficjalnego sklepu Google Play. Trojanizowane wersje HandyPay nie były tam dostępne.
  • Zwracaj uwagę na uprawnienia aplikacji. Jeśli aplikacja płatnicza żąda dostępu do nietypowych funkcji, może to być sygnał ostrzegawczy.
  • Korzystaj z Google Play Protect. To wbudowane zabezpieczenie blokuje znane zagrożenia.
  • Nie instaluj aplikacji z nieznanych źródeł. Szczególnie jeśli trafiłeś na nie przez linki w wiadomościach lub na podejrzanych stronach.
  • Regularnie aktualizuj system i aplikacje. Łaty bezpieczeństwa usuwają znane podatności.

Co dalej?

ESET poinformował o odkryciu Google w ramach partnerstwa App Defense Alliance oraz skontaktował się z twórcą HandyPay, który potwierdził prowadzenie wewnętrznego dochodzenia. Jak zauważają badacze, „liczba zagrożeń NFC rośnie, a ekosystem je wspierający staje się coraz bardziej rozbudowany”. Warto obserwować, czy podobne kampanie pojawią się w innych regionach, w tym w Europie. Na razie najskuteczniejszą obroną pozostaje zdrowy rozsądek i korzystanie wyłącznie z zaufanych źródeł oprogramowania.

#Android #HandyPay #kradzież danych #malware #NFC #NGate
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A realistic stock-style photo of a middle-aged Polish man sitting at a home desk in a typical Polish apartment, looking worried and frustrated at his laptop screen. Evening lighting from a desk lamp. The laptop is open, screen facing away, showing only the back of the device. No visible text, numbers, or interfaces on the screen. The man's hand is on the mouse, his expression conveys concern and surprise. Shallow depth of field, warm tones, natural grain, 16:9 crop. No logos, no brand names, no signs. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

70 fałszywych stron z aplikacjami Windows. Twoje dane w niebezpieczeństwie

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, Polska scena biurowa: młody mężczyzna w okularach przed komputerem, wygląda na zaskoczonego i zmartwionego, patrząc na ekran (ale ekran widoczny tylko z tyłu, bez interfejsu), w tle otwarta przestrzeń biurowa z kilkoma biurkami. Naturalne światło dzienne, głębia ostrości, kadr 16:9, twarz z bliska, emocja: zaniepokojenie. Zero tekstu, cyfr ani ekranów z interfejsem. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Atakują przez Teams i podszywają się pod IT. Masz firmowe konto?

26 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic stock-style close-up photo of a worried middle-aged man looking at his laptop screen at home, evening natural light from window, his hand hesitating over the mouse, screen visible only from the back (no interface visible), the room is a typical Polish apartment with a radiator and a plant, shallow depth of field, realistic skin texture, slightly grainy, 16:9. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Podszywają się pod UPS i kradną wszystkie hasła z przeglądarki. Jak się bronić?

25 lipca, 2026 4 min read