NFCGate (вредоносное приложение)

Хроника

2025

В России задержан разработчик программы NFCGate, через которую у россиян украли сотни миллионов рублей

Сотрудники Управления по борьбе с киберпреступностью МВД России совместно с киберполицейскими из Москвы, Ростовской и Самарской областей задержали участников межрегиональной преступной группы. Среди задержанных — разработчик и главный администратор панели управления программы NFCGate, с помощью которой совершались дистанционные хищения денег с банковских карт граждан. Об этом сообщила официальный представитель МВД России Ирина Волк в своём Telegram-канале 5 декабря 2025 года.

Преступники подозреваются в совершении более 600 эпизодов преступной деятельности на территории 78 регионов России. По предварительным данным, сумма ущерба превышает ₽200 млн. Следователем специализированного отдела по расследованию дистанционных хищений Следственного управления УВД по Северо-Восточному административному округу ГУ МВД России по Москве возбуждено уголовное дело по признакам преступления, предусмотренного частью 4 статьи 159 Уголовного кодекса России.

𝓲

Фото: telegram-канал "Ирина Волк"

Злоумышленники использовали компьютерный вирус, который распространялся через мессенджеры WhatsApp и Telegram под видом приложений государственных организаций или банков. Это позволяло без участия законных владельцев обналичивать в банкоматах их средства. Предварительно установлено, что атака мошенников начиналась по традиционному сценарию с телефонного звонка.Как СИБУР импортозамещает ПО. Подходы и стратегии представлены на TAdviser SummIT 38.2 т

Как пояснили TAdviser в «Лаборатории Касперского», злоумышленники с помощью кодов свободно распространяемой утилиты для работы с NFC (NFCGate^[1]) могли красть деньги пользователей, применяя схему «прямого NFC». В рамках неё атакующие связывались с потенциальной жертвой в мессенджере и убеждали скачать программу под различными правдоподобными предлогами, например, якобы для верификации в финансовом сервисе.

Жертву убеждали установить на своё устройство специальный файл, замаскированный под официальное банковское приложение. Однако на самом деле это было вредоносное приложение, которое просило жертву приложить её банковскую карту к задней панели смартфона, а также ввести ПИН-код. Затем зловред передавал данные карты злоумышленникам. В результате активации программы сообщники получали возможность осуществлять снятие денег в банкоматах любого региона России.^[2]

Мы фиксируем значительное снижение количества атак с использованием «прямого NFC», — сообщил TAdviser Дмитрий Калинин, эксперт по кибербезопасности «Лаборатории Касперского». — Однако пользователям важно помнить, что для атак с применением вредоносных утилит для работы с NFC характерна ещё одна схема — «обратный NFC». В этих случаях злоумышленники также рассылают потенциальным жертвам вредонос в мессенджере.

Как сказано в блоге^[3] компании F6, атака на пользователей банковских карт с использованием обратного NFCGate проводится в два этапа. Вначале преступники действуют по стандартному для схемы с NFCGate сценарию. Используя приёмы социальной инженерии, потенциальную жертву пытаются убедить в необходимости установки вредоносного APK-файла на устройство под видом полезной программы. Злоумышленники объясняют, что это требуется, например, для «защиты» банковского счёта или получения более выгодных условий обслуживания в виде вклада с повышенной процентной ставкой.

Если жертва настроит троянец в качестве основного метода бесконтактной оплаты, то от NFC-чипа на заражённом телефоне будет идти сигнал, который распознаётся банкоматами как карта злоумышленника. Мошенники будут пытаться убедить пользователя приложить к банкомату свой заражённый телефон и внести средства якобы на безопасный счёт, но деньги поступят на счёт атакующих.

В обоих случаях атаки с помощью NFCGate эксперты рекомендуют пользователям не переходить по ссылкам и не скачивать файлы из сомнительных переписок в мессенджерах. Также не стоит хранить свою карту рядом со смартфоном с поддержкой NFC. Для защиты от «обратного NFC» можно использовать пассивные NFC-метки банков, а поддержку технологии NFC в смартфонах выключать.

НСПК запустила систему для защиты от кражи денег через вредоносное ПО

18 июня 2025 года Национальная система платёжных карт (НСПК) анонсировала систему выявления мошеннических операций с заражённых вредоносным ПО устройств. Технология уже протестирована совместно с ВТБ. Подробнее здесь.

Создание клонов банковских карт россиян

24 апреля 2025 года эксперты по кибербезопасности из компании F6 сообщили о том, что злоумышленники взяли на вооружение новую схему бесконтактной кражи денег у клиентов российских банков. Преступники подделывают банковские карты и получают доступ к средствам жертв без использования PIN-кода.

Схема атаки основана на использовании модифицированных вариантов программы NFCGate. Это легитимное приложение для захвата, мониторинга и анализа NFC-трафика, разработанное в качестве учебного проекта студентами Дармштадтского технического университета. NFCGate имеет открытый исходный код, чем пользуются злоумышленники, внедряя вредоносные функции.

𝓲

Фото: Freepik

В частности, в октябре 2024 года зафиксированы многократные случаи использования модифицированного NFCGate против клиентов ведущих российских банков. Атаки производились с использованием созданных на основе NFCGate APK-файлов, эмулирующих работу легальных приложений банков или государственных структур. Принцип атаки заключается в перехвате передаваемого NFC-трафика между банковской картой жертвы и терминалом. NFC-данные карты жертвы в режиме реального времени передаются на устройство злоумышленника, позволяя ему снять деньги со счета пользователя через банкомат.

Кроме того, применятся так называемая реверс-схема. В этом случае приложение использует возможность ретрансляции NFC-трафика для передачи на устройство пользователя данных сторонней банковской карты. Когда жертва подойдет к банкомату, чтобы зачислить деньги на свой счет, то, приложив смартфон к NFC-модулю терминала, она вместо своей карты авторизуется картой злоумышленника, которому и отправится вся сумма.

Мошенники под различными предлогами направляют жертву к банкомату, чтобы зачислить деньги якобы самому себе, но на самом деле — преступникам. У клиента банка не пытаются выведать чувствительную информацию: например, не просят назвать код из SMS. Напротив, пользователю сообщают «новый» PIN-код якобы от его же карты, — отмечают специалисты F6.[4]

Хакеры украли у россиян ₽40 млн с помощью NFCGate

Компания F.A.C.C.T. зафиксировала кражу ₽40 млн у клиентов российских банков за последние два месяца через вредоносное приложение для перехвата NFC-данных банковских карт. Об этом стало известно 22 января 2025 года.

Как передает ТАСС, схема реализуется через мобильное приложение NFCGate, впервые примененное против россиян в августе 2024 года. Программа позволяет захватывать и анализировать NFC-трафик между двумя смартфонами.

Злоумышленники распространяют вредоносное ПО под видом приложений «Защита карт ЦБ РФ», «ЦБРезерв+», «Госуслуги верификация» и «Сертификат безопасности». В сети обнаружено более 100 уникальных образцов этого программного обеспечения.

После установки программа предлагает пользователю пройти верификацию, приложив банковскую карту к NFC-модулю смартфона. При этом данные карты и PIN-код, если он введен, передаются преступникам. Специалисты отмечают возможность добавления функционала для перехвата SMS и push-уведомлений.

Кража может произойти не сразу: функционал NFCGate позволяет преступнику записать данные банковской карты жертвы и воспроизвести их позже, — предупреждают эксперты F.A.C.C.T.

В декабре 2024 года — январе 2025 года зарегистрировано около 400 атак с использованием данной вредоносной программы. В среднем у каждой жертвы похищено ₽100 тыс.

Аналитики компании прогнозируют ежемесячный рост подобных кибератак на пользователей Android-устройств на 25-30%. Злоумышленники могут устанавливать приложение удаленно с помощью троянов удаленного доступа.

В случае если жертва не заблокирует карту после первого инцидента, преступники могут неоднократно списывать денежные средства. Данные могут быть использованы для токенизации карты и совершения покупок в магазинах.^[2]

Примечания