Uma ligação telefônica, um aplicativo malicioso instalado no celular e um simples pedido: “aproxime seu cartão do telefone”.
Essa combinação foi suficiente para viabilizar uma nova modalidade de fraude bancária analisada pela Group-IB. Batizado de WindRelay, o malware transforma um smartphone Android comprometido em uma ponte capaz de retransmitir, pela internet, a comunicação NFC de um cartão físico para um dispositivo controlado pelo criminoso.
O ataque foi identificado em campanhas na Europa, mas levanta uma pergunta inevitável: ele poderia funcionar no Brasil?
A resposta curta é: tecnicamente, sim.
Isso não significa que existam evidências de uma campanha do WindRelay direcionada ao Brasil neste momento. Significa que vários dos elementos necessários para esse tipo de fraude — cartões por aproximação, celulares Android com NFC e uma ampla infraestrutura de pagamentos contactless — também estão presentes no mercado brasileiro.
O que é o WindRelay?
O WindRelay é um malware desenvolvido especificamente para realizar ataques de NFC relay, técnica também associada ao chamado ghost tapping.
Diferentemente de uma clonagem convencional de cartão, o criminoso não precisa necessariamente copiar todas as informações do cartão e reproduzi-las posteriormente. No ataque de relay, o cartão verdadeiro continua participando da transação.
A diferença é que ele está fisicamente em outro lugar.
A pesquisa publicada pela Group-IB em agosto de 2026 mostrou o WindRelay sendo utilizado em conjunto com o SpyNote, um trojan de acesso remoto para Android. A combinação permite que os criminosos comprometam o smartphone da vítima e depois utilizem o próprio aparelho como intermediário em uma fraude com cartão por aproximação.
O ataque observado também se destaca por combinar malware com engenharia social em tempo real.
O criminoso entra em contato com a vítima por telefone se passando por uma instituição financeira. Durante a conversa, convence a pessoa a instalar um aplicativo Android malicioso. Em alguns casos analisados, o APK chegava a ser personalizado com o nome da própria vítima, aumentando a aparência de legitimidade.
Uma vez instalado, o SpyNote fornece acesso remoto ao aparelho. A partir daí, o WindRelay pode ser implantado para executar a etapa relacionada ao NFC.
Como o ataque acontece?
O funcionamento é particularmente interessante porque o criminoso não precisa estar próximo do cartão.
Durante a ligação, a vítima pode ser orientada a aproximar seu cartão físico do celular supostamente para realizar alguma “verificação de segurança”.
Na realidade, o smartphone infectado passa a atuar como uma ponte.
O fluxo pode ser simplificado desta maneira:
Cartão da vítima → celular infectado → internet → dispositivo do criminoso → terminal de pagamento
Quando o cartão é aproximado do smartphone, o WindRelay transmite a comunicação NFC para a infraestrutura controlada pelo atacante.
Do outro lado, outro dispositivo reproduz essa comunicação próximo a uma maquininha ou equipamento de pagamento.
Em vez de roubar apenas informações estáticas do cartão, o ataque tenta estender a comunicação existente entre o cartão verdadeiro e o terminal.
É justamente essa característica que diferencia um NFC relay de formas mais tradicionais de clonagem.
SpyNote torna o golpe ainda mais perigoso
O WindRelay representa apenas uma parte da cadeia.
O SpyNote amplia significativamente o potencial da fraude porque permite controle remoto do Android comprometido.
No caso investigado pela Group-IB, a combinação dos dois malwares possibilitou tanto a fraude relacionada ao cartão quanto ações dentro do ambiente bancário da vítima.
Os pesquisadores relataram inclusive um caso em que os criminosos conseguiram utilizar o acesso ao celular para contratar crédito em nome da vítima, enquanto executavam a fraude durante a mesma chamada telefônica.
Isso cria duas possibilidades de monetização praticamente simultâneas:
fraude digital, por meio do controle do smartphone e de contas financeiras;
e fraude presencial, utilizando o cartão físico remotamente através do NFC relay.
Nesse cenário, o próprio usuário acaba sendo transformado em parte da infraestrutura utilizada pelo atacante.
E por que isso é relevante para o Brasil?
Porque o Brasil já possui uma enorme adoção de pagamentos por aproximação.
Dados divulgados pela Abecs mostram que, somente no primeiro trimestre de 2026, pagamentos contactless movimentaram R$ 504,8 bilhões, crescimento de 19,3% em comparação com o mesmo período do ano anterior.
Mais importante: 74,8% das transações presenciais realizadas com cartões no país já são por aproximação.
A pesquisa da entidade também aponta que 72% dos brasileiros utilizam pagamentos por aproximação e 64% fazem isso com frequência.
Em outras palavras, a tecnologia que o WindRelay procura explorar não é uma funcionalidade de nicho no Brasil. Ela se tornou uma das principais formas de pagamento presencial.
O cartão físico continua sendo o dispositivo mais utilizado pelos brasileiros para pagamentos por aproximação, à frente do celular, segundo levantamento da Abecs de março de 2026.
Isso torna o cenário brasileiro, ao menos em termos de disponibilidade tecnológica, relevante para pesquisas sobre esse tipo de ameaça.
Então o WindRelay funcionaria aqui?
Do ponto de vista técnico, há elementos suficientes para considerar o ataque plausível no Brasil.
O WindRelay não depende simplesmente de uma vulnerabilidade exclusiva de um banco europeu. Seu conceito está relacionado à retransmissão da comunicação NFC utilizada em pagamentos contactless.
Cartões com aproximação são amplamente utilizados no Brasil. Terminais compatíveis estão espalhados pelo comércio, e smartphones Android com NFC também são comuns.
Por isso, a arquitetura necessária para uma tentativa de NFC relay existe.
Mas existe uma diferença importante entre dizer que um ataque poderia ser tecnicamente reproduzido e afirmar que ele funcionaria contra qualquer cartão ou instituição financeira brasileira.
Essa segunda afirmação seria incorreta.
Não significa que qualquer transação seria aprovada
Uma tentativa de NFC relay ainda precisa atravessar todo o ecossistema de autorização de pagamentos.
Bancos emissores, bandeiras, adquirentes e sistemas antifraude podem avaliar dezenas de características da operação antes de autorizá-la.
Dependendo do cartão, do valor, do terminal e das regras aplicadas pelo emissor, uma operação pode exigir autenticação adicional, ser recusada ou gerar alertas antifraude.
Portanto, a presença de NFC no cartão não representa, por si só, uma vulnerabilidade.
O WindRelay explora principalmente outra característica: a confiança criada pela engenharia social e a possibilidade de utilizar o cartão legítimo durante a transação.
O verdadeiro ponto fraco não está apenas no NFC
Talvez esse seja o aspecto mais importante de toda a pesquisa.
O criminoso não simplesmente invade um cartão que está dentro da carteira de alguém.
Ele precisa construir uma cadeia de comprometimento.
Primeiro, a vítima recebe uma ligação.
Depois, é convencida a instalar um aplicativo fora dos canais oficiais.
Esse aplicativo compromete o Android.
O malware recebe permissões importantes.
O atacante mantém contato com a vítima.
E, finalmente, a própria pessoa é persuadida a aproximar seu cartão do aparelho.
Ou seja, antes da tecnologia existe engenharia social.
O ataque funciona porque diferentes técnicas são combinadas dentro de uma narrativa convincente.
O malware automatiza a fraude, mas a interação humana abre a porta.
A instalação de APKs é um sinal crítico
Para empresas, instituições financeiras e equipes antifraude, um dos indicadores mais importantes desse tipo de ameaça está no comportamento do dispositivo.
Uma pessoa que, durante uma chamada supostamente bancária, recebe instruções para instalar um APK por WhatsApp, SMS, navegador ou qualquer outro canal externo às lojas oficiais deveria tratar a situação como altamente suspeita.
Instituições financeiras legítimas não precisam enviar um aplicativo personalizado para “validar” um cartão durante uma ligação.
Também merece atenção a solicitação de permissões de Acessibilidade do Android.
Malwares como o SpyNote podem abusar desse recurso para observar interfaces, executar ações no dispositivo e ampliar seu controle sobre o sistema.
Isso significa que detectar apenas ferramentas tradicionais de compartilhamento de tela já não é suficiente para identificar todos os cenários de acesso remoto fraudulento.
E o Pix por aproximação?
O avanço dos pagamentos NFC no Brasil também pode gerar outra dúvida: o WindRelay poderia ser utilizado contra o Pix por aproximação?
Atualmente, não existe evidência apresentada pela Group-IB demonstrando que o WindRelay seja capaz de realizar esse tipo de ataque contra o Pix.
Além de utilizar NFC, o Pix por aproximação possui uma arquitetura de iniciação e autenticação própria, definida pelo Banco Central. A funcionalidade permite iniciar pagamentos aproximando o smartphone de um terminal compatível, mas não deve ser tratada como equivalente à comunicação entre um cartão contactless e uma maquininha.
Portanto, afirmar que o WindRelay também compromete Pix por aproximação seria especulação.
A ameaça documentada está relacionada principalmente ao relay de cartões NFC.
Como se proteger
Para o usuário, a principal recomendação continua sendo simples: nunca instale aplicativos enviados durante ligações supostamente realizadas por bancos ou instituições financeiras.
Aplicativos bancários devem ser obtidos exclusivamente através das lojas oficiais e dos canais divulgados pela própria instituição.
Também é importante desconfiar imediatamente quando alguém solicita:
-
instalação de APKs;
-
ativação de permissões de Acessibilidade;
-
aproximação do cartão no celular durante uma ligação;
-
digitação de senha ou PIN para supostas verificações;
-
compartilhamento de tela ou instalação de ferramentas de acesso remoto.
Caso uma ligação desperte qualquer dúvida, o ideal é encerrá-la e procurar a instituição financeira através de um canal oficial.
Para bancos e empresas do setor financeiro, a ameaça reforça a necessidade de correlacionar sinais que isoladamente poderiam parecer legítimos: instalação recente de aplicativos, uso anormal de Accessibility Services, alteração no comportamento do dispositivo, operações financeiras incomuns e transações presenciais incompatíveis com o perfil habitual do cliente.
O Brasil deveria prestar atenção ao WindRelay
Até o momento, a pesquisa da Group-IB não demonstra uma campanha do WindRelay direcionada especificamente ao mercado brasileiro.
Mas isso não torna a descoberta irrelevante para o país.
O Brasil possui uma das maiores adoções de pagamentos por aproximação. No primeiro trimestre de 2026, quase três quartos das operações presenciais com cartões já utilizaram NFC.
Ao mesmo tempo, ataques de engenharia social continuam explorando exatamente aquilo que nenhuma tecnologia consegue eliminar completamente: a confiança do usuário.
O WindRelay demonstra como criminosos podem unir malware Android, acesso remoto, NFC e manipulação psicológica para transformar um cartão que continua fisicamente nas mãos da vítima em parte de uma fraude executada a distância.
Portanto, a pergunta “WindRelay funcionaria no Brasil?” não deve ser respondida com alarmismo.
A resposta mais correta é também a mais preocupante:
a infraestrutura tecnológica necessária existe, e a técnica é plausível.
O próximo passo depende menos de uma falha inédita no NFC e muito mais da capacidade dos criminosos de convencer uma vítima a participar, sem perceber, do próprio ataque.
