Las estafas basadas en NFC viven su peor momento del año. Los datos de Kaspersky confirman un salto brutal en la actividad delictiva relacionada con esta tecnología durante los primeros cuatro meses de 2026. El fenómeno ya no se limita a un país o una región concreta. Bancos, usuarios y cuerpos de seguridad de varios continentes reportan casos similares con una mecánica casi idéntica. Entre enero y abril de 2026, las soluciones de ciberseguridad de Kaspersky bloquean 35.600 ataques que emplean técnicas d estafas NFC contra dispositivos Android. En el mismo periodo de 2025, la cifra apenas supera los 12.300 casos. El incremento equivale a un 188% en solo doce meses. Los expertos ya anticipaban este repunte a finales de 2025, cuando detectan un aumento sostenido en el número de familias de malware orientadas a este tipo de fraude.
Detrás de este crecimiento hay varias herramientas maliciosas con nombres propios. SuperCard X, PhantomCard, NGate y GhostNFC encabezan la lista de programas más activos. Todos comparten una base técnica común: aprovechan modificaciones de NFCGate, una aplicación que originalmente nace como proyecto de investigación en la Universidad Técnica de Darmstadt, en Alemania, en 2015. Lo que empieza como una herramienta académica termina convertido en la columna vertebral de toda una industria criminal.
Dos formas de vaciar una cuenta sin tocar la tarjeta con las estafas NFC
El fraude funciona mediante dos esquemas principales, y ambos evitan por completo el robo físico de la tarjeta bancaria. El primero se conoce como NFC directo. Los delincuentes contactan a la víctima por mensajería instantánea o por teléfono, se hacen pasar por personal del banco y alertan de un supuesto movimiento sospechoso en la cuenta. Para «solucionarlo», piden instalar una aplicación de seguridad falsa y después acercar la tarjeta física al teléfono infectado, junto con el PIN.
El segundo esquema de estafas, el NFC inverso, resulta más sofisticado y también más difícil de detectar. Aquí los estafadores convencen a la víctima, mediante ingeniería social, de configurar una aplicación maliciosa como método principal de pago en su propio teléfono. A partir de ese momento, es la propia víctima quien autoriza cada transferencia sin saber que el dinero termina en manos de los atacantes. Esta variante gana terreno frente al esquema clásico durante 2026, precisamente porque las transacciones resultantes parecen legítimas y se confunden con operaciones normales del titular.
En ambos casos, el mecanismo técnico se apoya en la retransmisión de la señal NFC entre dos teléfonos conectados a internet. Un dispositivo lee la tarjeta física de la víctima y retransmite esa señal en tiempo real a otro teléfono situado junto a un cajero automático o un terminal de pago. Para el sistema bancario, todo indica que la tarjeta original está presente, aunque en realidad puede encontrarse a cientos de kilómetros de distancia.
España, en el foco de la última alerta
El fraude no es un problema exclusivo de Europa del Este ni de Asia. El Instituto Nacional de Ciberseguridad, INCIBE, lanza una alerta específica a mediados de julio de 2026 sobre esta modalidad de estafa en España. El organismo describe un patrón que combina un SMS fraudulento con apariencia de mensaje bancario real, una llamada telefónica que se hace pasar por un empleado de la entidad y, finalmente, la instalación de una aplicación maliciosa que aprovecha el NFC del móvil.
El proceso suele empezar con un SMS que se cuela en el mismo hilo de conversación que los mensajes reales del banco, lo que refuerza la sensación de autenticidad ante el usuario. Después llega la llamada, en la que el falso empleado guía paso a paso a la víctima para instalar una supuesta app de verificación. El desenlace se repite en casi todos los casos documentados: extracciones de dinero en cajeros automáticos que la víctima solo descubre al revisar su cuenta, sin haber notado ningún indicio previo de robo.
La Policía Nacional ya advierte de que esta técnica resulta especialmente peligrosa porque apenas deja rastros visibles para el usuario en el momento del ataque. Además de España, Kaspersky señala que Rusia concentra la mayor frecuencia de este tipo de amenazas, aunque Latinoamérica y el resto de Europa también registran un número creciente de incidentes.
Un negocio organizado, no ataques aislados
Otro rasgo que define el fraude NFC en 2026 es su nivel de profesionalización. Firmas de ciberseguridad como Cleafy documentan campañas como SuperCard X, que se distribuye bajo el modelo de malware como servicio. Esto significa que grupos criminales sin conocimientos técnicos avanzados pueden comprar acceso a estas herramientas y lanzar sus propios ataques, lo que multiplica el número de actores capaces de ejecutar este tipo de fraude.
Para las entidades bancarias, el impacto va más allá de las pérdidas económicas directas. El aumento de reembolsos por fraude presiona los recursos destinados a investigar cada caso. La confianza del cliente en los pagos sin contacto también se resiente cuando aparecen cargos inexplicables sin ninguna señal previa de robo.
Cómo reducir el riesgo
Los organismos de ciberseguridad coinciden en varias recomendaciones básicas frente a este tipo de fraude. Ninguna app legítima pide acercar la tarjeta física al teléfono para «verificarla» tras una llamada o un SMS. Conviene contrastar siempre cualquier aviso sospechoso llamando directamente al número oficial del banco, nunca al que aparece en el mensaje.
Instalar aplicaciones únicamente desde tiendas oficiales, como Google Play o App Store, reduce buena parte del riesgo. También ayuda desactivar el NFC del móvil cuando no se usa para pagar, o configurar la tarjeta para que pida siempre el PIN en cada operación. Ante cualquier sospecha de haber sido víctima de este fraude, lo primero es desinstalar la aplicación maliciosa y avisar de inmediato al banco para bloquear la tarjeta.
