Lisboa, 21 de abril de 2026 — A ESET, maior empresa europeia de cibersegurança, alerta para uma evolução nas fraudes financeiras que exploram a tecnologia NFC (Near-Field Communication), ou tecnologia por aproximação, após a identificação de uma nova variante da família de malware NGate no Brasil. De acordo com o Relatório de Ameaças da ESET, relativo ao segundo semestre de 2025, as ameaças direcionadas a dispositivos Android que recorrem a NFC registaram um crescimento de 87% na telemetria global da empresa.
Embora o Brasil continue a ser o principal alvo, este tipo de ataque pode estar a expandir-se para novas geografias. A consolidação desta ameaça naquele mercado, aliada ao uso crescente de Inteligência Artificial (IA) e à facilidade de adaptação linguística, coloca Portugal sob especial vigilância, devido ao possível risco de propagação desta técnica para o contexto europeu.
A investigação conduzida pela ESET Research revelou agora uma nova variante da família de malware NGate, que recorre com uma abordagem distinta: em vez da ferramenta anteriormente utilizada, os cibercriminosos passaram a explorar uma aplicação Android legítima chamada HandyPay. Neste caso, os agentes maliciosos modificaram a aplicação, originalmente concebida para retransmitir dados NFC, introduzindo código malicioso, possivelmente gerado com recurso a IA.
À semellhança de versões anteriores do NGate, o código malicioso permite aos atacantes transferir dados NFC do cartão de pagamento da vítima para o seu próprio dispositivo e utilizá-los para levantamentos em caixas multibanco por aproximação e pagamentos não autorizados.
Adicionalmente, o malware consegue capturar os PINs dos cartões e enviá-los para servidores de Comando e Controlo (C&C) que são controlados pelos cibercriminosos. O código malicioso utilizado para comprometer a aplicação apresenta indícios de ter sido produzido com o apoio de ferramentas de IA generativa. Entre esses sinais estão elementos típicos de texto gerado automaticamente, como a presença de emojis em registos internos do malware, sugerindo o possível envolvimento de modelos de linguagem de grande escala (LLMs), embora sem confirmação definitiva. Esta evolução enquadra-se numa tendência crescente em que a IA reduz significativamente as barreiras de entrada no cibercrime, permitindo que indivíduos com menor nível técnico desenvolvam malware funcional.
À medida que as ameaças baseadas em NFC continuam a crescer, o ecossistema que as sustenta tem-se tornado mais sofisticado. As primeiras campanhas NGate recorriam à ferramenta open source NFCGate, mas atualmente já existem diversas soluções disponíveis no modelo de Malware-as-a-Service (MaaS). Ainda assim, nesta campanha específica, os cibercriminosos optaram por desenvolver a sua própria abordagem, alterando maliciosamente uma aplicação legítima, HandyPay.
Segundo Lukáš Štefanko, que identificou esta nova variante, a motivação principal prende-se com custos: “As taxas de subscrição de kits MaaS podem atingir várias centenas de dólares por mês. Algumas soluções chegam a custar entre 400 e 500 dólares mensais, enquanto a aplicação HandyPay legítima exige apenas uma doação de cerca de 9,99 € por mês. Além disso, a aplicação não requer permissões, apenas a definição como método de pagamento predefinido, o que ajuda a evitar levantar suspeitas”. No que diz respeito à distribuição, a primeira amostra desta nova variante do NGate foi disseminada através de um website fraudulento que imitava o “Rio de Prémios”, uma lotaria gerida pela Lotaria do estado do Rio de Janeiro (Loterj). Já a segunda amostra foi distribuída por meio de uma falsa página do Google Play, promovendo uma aplicação designada por “Proteção Cartão”. Ambos os sites estavam alojados no mesmo domínio, sugerindo uma origem comum. O malware utiliza o serviço HandyPay para reencaminhar dados NFC para dispositivos controlados pelos cibercriminosos e, em simultâneo, rouba PINs de cartões de pagamento, permitindo a realização de levantamentos e transações fraudulentas.
A ESET, enquanto parceira da App Defense Alliance, já notificou a Google e os programadores originais da HandyPay. Embora esta campanha possa estar ativa desde novembro de 2025, a aplicação infetada nunca esteve presente na loja oficial Google Play, o que reforça a recomendação de nunca instalar aplicações provenientes de sites terceiros.