NFC幽灵触碰：2025年暴增35倍的非接触支付欺诈

碰一下卡片，拿走咖啡，转身离开。非接触支付快速、便捷，但现在也成了网络犯罪分子的重点目标。一种名为"幽灵触碰"（Ghost Tap）的攻击手法自2025年以来暴增了35倍，利用窃取的银行卡数据在全球进行难以追踪的消费。

什么是幽灵触碰攻击？

幽灵触碰是一种NFC中继攻击。攻击者不需要物理复制你的卡片，而是捕获卡片的NFC数据并实时中继到远程设备进行消费。

1. 窃取卡片信息 — 通过钓鱼短信、银行App上的恶意覆盖层或社会工程手段获取卡号和验证码
2. 绑定移动钱包 — 将窃取的信息加载到攻击者手机的Apple Pay或Google钱包中
3. NFC信号中继 — 使用NFCGate等软件将NFC信号转发给分布各地的"跑腿人"
4. 完成支付 — 跑腿人在世界各地的商店进行免密小额消费

整个过程只需几秒。你的卡还在口袋里，但地球另一端已经有人在用它购物了。

为什么难以检测

检测方式	幽灵触碰绕过的原因
位置检查	在真实商店的真实POS终端消费
金额阈值	每笔交易低于免密限额（通常1000元以内）
卡片在场标记	NFC信号与正常刷卡完全一致
频率检查	跑腿人分散在不同商家和城市
设备指纹	每个跑腿人使用不同手机

银行看到的只是一笔正常的店内小额消费。在持卡人发现不明账单之前，不会触发任何警报。

35倍暴增的原因

开源NFC工具的普及

学术研究用途开发的NFCGate被广泛传播，其NFC中继功能在Telegram和暗网的诈骗教程中被详细记录。

移动支付的全面普及

随着微信支付、支付宝、Apple Pay等非接触支付成为主流，攻击面大幅扩展。只要有卡号和一次性验证码，就能轻松将窃取的卡绑定到移动钱包。

有组织的跑腿人网络

犯罪团伙通过微信群、QQ群招募跑腿人，为每笔欺诈消费提供提成。一张被盗的卡可以同时在多个国家产生数十笔小额消费。

如何保护自己

立即可行的措施

1. 开启实时交易通知 — 每笔卡片交易的即时提醒是第一道防线
2. 降低免密支付限额 — 在银行App中设置更低的非接触支付限额
3. 启用生物识别验证 — 为每笔移动支付交易启用面部识别或指纹验证
4. 绝不分享验证码 — 银行不会通过电话或短信索要一次性密码
5. 每周查看账单 — 10-30元的小额欺诈消费被设计成容易被忽视

保护线上敏感信息

幽灵触碰的起点是被盗的数据。你在网上分享的每一条敏感信息都是潜在的入口。

分享密码、金融信息时，不要在微信聊天中以明文发送。LOCK.PUB可以通过密码保护、自动过期的链接安全地传递敏感信息，避免卡片信息无限期留存在聊天记录中。

遭遇欺诈怎么办

1. 立即冻结银行卡 — 通过银行App锁定卡片
2. 联系银行反欺诈中心 — 大多数银行会赔偿未授权的非接触交易
3. 向公安机关报案 — 许多银行要求提供报案回执才能处理赔付
4. 检查所有绑定的钱包 — 确认Apple Pay、微信支付、支付宝中已注册的设备
5. 修改银行App密码 — 如果验证码已泄露，App登录凭证可能也已被盗

结语

幽灵触碰揭示了支付领域便捷性与安全性之间的根本矛盾。开启通知，质疑任何验证码请求，不要以明文分享敏感信息。使用LOCK.PUB等工具确保敏感数据不会留存在不安全的渠道中。

碰一碰应该是便捷的，但必须是你自己在碰。