NFC-ловушка: как Android-смартфоны стали инструментом кражи денег

В России зафиксирован резкий рост хищений через NFC-модули смартфонов на базе Android. По данным МВД, во второй половине 2025 года на так называемую схему «обратного NFC» пришлась половина всех дистанционных краж с использованием вредоносного ПО. Злоумышленники убеждают жертв привязывать чужие карты к своим устройствам и вносить через них наличные на «безопасные счета».

Преступная схема строится на технологии токенизации, которая позволяет использовать смартфон вместо физического «пластика». Сначала мошенники убеждают пользователя установить на телефон вредоносную программу под видом банковского обновления или сервисной утилиты. Этот «троянец» получает доступ к NFC-модулю и незаметно для владельца привязывает к устройству банковскую карту, принадлежащую злоумышленникам.

Механика «обратного NFC»

После того как чужая карта добавлена в кошелек смартфона, жертву просят дойти до ближайшего банкомата и внести наличные на «защищенный счет», просто приложив телефон к считывателю. Человек уверен, что пополняет свой баланс, но на деле деньги мгновенно уходят на счет преступников.

По данным «Лаборатории Касперского», только в III квартале 2025 года число попыток заражения такими троянцами превысило 44 тысячи, что в полтора раза больше показателей предыдущего периода. В «БКС банке» подсчитали: за первые десять месяцев 2025 года через NFC-схемы у россиян похитили не менее 1,6 млрд рублей. Владельцы iPhone с этой проблемой не сталкиваются из-за закрытости системы Apple Pay для подобных операций в России.

Меры защиты и лимиты

Чтобы остановить волну краж, МВД совместно с банками обсуждает введение жестких ограничений. Основное предложение — установить лимит на разовое пополнение токенизированной карты через NFC в размере 50 тысяч рублей. Эксперты отмечают, что это создаст барьер для вывода крупных сумм, хотя средний чек мошеннической транзакции, по информации ЦБ, составляет около 18 тысяч рублей.

Специалисты по кибербезопасности рекомендуют придерживаться трех правил:

• игнорировать любые просьбы об установке приложений, полученные по ссылкам в мессенджерах или СМС;
• использовать для загрузки банковского ПО только официальные магазины, такие как RuStore или Google Play;
• прекращать разговор, если «сотрудник банка» требует совершить операцию через банкомат под давлением или в спешке.