Nos últimos anos, a popularização dos pagamentos por aproximação trouxe praticidade, mas também abriu espaço para novas modalidades de fraude. Uma delas é o chamado toque fantasma, um golpe sofisticado que combina engenharia social com exploração da tecnologia NFC (Near Field Communication).

Nesse esquema, o criminoso convence a vítima a instalar um aplicativo aparentemente legítimo, enviado por SMS, e-mail ou mensagem instantânea. Após a instalação, o usuário é induzido a aproximar o cartão do celular, acreditando estar apenas validando informações. Na realidade, o app malicioso captura o token criptografado gerado pela transação NFC, que tem duração de segundos e deveria ser usado apenas uma vez. Com esse código em mãos, o golpista, utilizando outro dispositivo, executa pagamentos em tempo real como se fosse o titular.

Diferenças em relação a outros golpes

Embora guarde semelhanças com o chamado “mão fantasma”, as duas práticas têm alvos distintos. O “mão fantasma” mira diretamente o internet banking, por meio da instalação de trojans que permitem acesso remoto ao dispositivo da vítima. Já o toque fantasma foca no uso do cartão físico ou digital, explorando a tecnologia de aproximação sem que seja necessário, num primeiro momento, o roubo de senhas.

Há também uma variação que ocorre quando o cartão é roubado fisicamente. Nesse caso, o criminoso utiliza aplicativos preparados para extrair dados por NFC, conseguindo realizar compras dentro do limite autorizado para pagamentos sem senha.

Por que a fraude é possível?

A tecnologia NFC foi projetada para ser segura: cada operação gera um código único, de uso único e imediato. O que o golpe faz é sincronizar a captura e a utilização desse token em tempo real, antes que ele expire. Trata-se, portanto, menos de uma falha técnica e mais de uma exploração da boa-fé do usuário, induzido a colaborar com a fraude ao instalar o aplicativo e seguir as instruções do golpista.

Risco ampliado pelo fator psicológico

A engenharia social é a engrenagem principal desse golpe. Os fraudadores costumam telefonar se passando por representantes de instituições financeiras, já munidos de informações como nome completo ou CPF, o que torna a abordagem mais convincente. A sensação de urgência e a promessa de “validação de segurança” são gatilhos comuns usados para manipular a vítima.

Esse aspecto torna o problema ainda mais delicado: uma vez que o próprio usuário instalou o app e aproximou o cartão, o ressarcimento por parte das instituições financeiras nem sempre é garantido.

Como se proteger

Algumas medidas práticas podem reduzir o risco de ser vítima:

• Nunca instale aplicativos enviados por links em mensagens; use apenas as lojas oficiais (Google Play ou Apple Store).
• Desconfie de ligações que pedem validação de dados bancários; instituições financeiras não solicitam esse tipo de ação por telefone.
• Bloqueie imediatamente cartões roubados ou extraviados e registre boletim de ocorrência.
• Defina limites de valor para compras por aproximação, ajustados ao seu perfil de consumo.
• Jamais informe senha ou PIN em aplicativos que não sejam os oficiais do banco.
• Atenção a mensagens que geram pânico ou urgência – são sinais clássicos de manipulação.

O golpe do toque fantasma mostra que, mais do que vulnerabilidades técnicas, o elo mais explorado ainda é o comportamento humano. A prevenção depende, portanto, tanto do uso consciente das ferramentas digitais quanto da manutenção de uma postura crítica diante de abordagens suspeitas.