NFC幽靈觸碰：2025年暴增35倍的非接觸支付詐騙

感應卡片、拿走咖啡、轉身離開。非接觸支付快速又方便，但現在也成了網路犯罪者的重點目標。一種叫做「幽靈觸碰」（Ghost Tap）的手法自2025年以來暴增35倍，利用竊取的卡片資料在全球進行難以追蹤的消費。

什麼是幽靈觸碰攻擊？

幽靈觸碰是一種NFC中繼攻擊。攻擊者不需要實體複製你的卡片，而是擷取卡片的NFC資料並即時中繼到遠端裝置進行消費。

1. 竊取卡片資訊 — 透過釣魚簡訊、銀行App上的惡意覆蓋層或社交工程手段取得卡號和驗證碼
2. 綁定行動錢包 — 將竊取的資訊載入攻擊者手機的Apple Pay或Google錢包
3. NFC訊號中繼 — 使用NFCGate等軟體將NFC訊號轉發給分散各地的「跑腿人」
4. 完成付款 — 跑腿人在全球各地商店進行免密碼小額消費

整個過程只需幾秒。你的卡還在皮夾裡，但地球另一端已經有人在用它購物了。

為什麼難以偵測

偵測方式	幽靈觸碰繞過的原因
位置檢查	在真實商店的真實POS終端消費
金額門檻	每筆交易低於感應免密限額
卡片在場標記	NFC訊號與正常感應完全一致
頻率檢查	跑腿人分散在不同商家與城市
裝置指紋	每個跑腿人使用不同手機

暴增的背景原因

開源NFC工具擴散

學術研究用途開發的NFCGate被廣泛使用，其NFC中繼功能在Telegram和暗網的詐騙教學中被詳細記錄。

行動支付全面普及

LINE Pay、Apple Pay、Google Pay等非接觸支付成為主流，攻擊面大幅擴展。只需卡號和一次性驗證碼就能綁定行動錢包。

組織化的跑腿人網路

犯罪集團透過LINE群組、社群媒體招募跑腿人，為每筆詐騙消費提供報酬。

如何保護自己

立即可行的措施

1. 開啟即時交易通知 — 每筆卡片交易的即時提醒是第一道防線
2. 降低感應支付限額 — 在銀行App中設定更低的非接觸支付限額
3. 啟用生物辨識驗證 — 為每筆行動支付交易啟用Face ID或指紋驗證
4. 絕不分享驗證碼 — 銀行不會透過電話或簡訊索要一次性密碼
5. 每週檢視帳單 — 小額詐騙消費被設計成容易被忽略

進階防護

• 使用虛擬卡號 — 一次性卡號在資料外洩時降低損害
• 不用時關閉NFC — Android可在快速設定中切換NFC
• 凍結未使用的卡片 — 銀行App可即時凍結不常用的卡片

保護線上敏感資訊

幽靈觸碰的起點是被竊的資料。分享密碼、金融資訊時，不要在LINE聊天中以明文傳送。LOCK.PUB可以透過密碼保護、自動過期的連結安全傳遞敏感資訊，避免卡片資料無限期留存在聊天紀錄中。

遭遇詐騙怎麼辦

1. 立即凍結信用卡 — 透過銀行App鎖定卡片
2. 聯繫銀行反詐騙中心 — 大多數銀行會賠償未授權的非接觸交易
3. 向警方報案 — 許多銀行要求提供報案紀錄才能處理賠付
4. 檢查所有綁定的錢包 — 確認Apple Pay、LINE Pay、Google Pay中已註冊的裝置
5. 更改銀行App密碼 — 驗證碼若已外洩，App登入憑證也可能被盜

結語

幽靈觸碰揭示了支付領域便利性與安全性之間的根本矛盾。開啟通知，質疑任何驗證碼請求，不要以明文分享敏感資訊。使用LOCK.PUB等工具確保敏感資料不會留存在不安全的管道中。

感應支付應該是便利的，但必須是你自己在感應。