Auch in Slowenien werden durch eine raffinierte Kombination von Apps Bankkonten geplündert.

Cybersicherheitsexperten von Group-IB haben eine neue und äußerst gefährliche Kombination von Schadsoftware für das mobile Betriebssystem Android aufgedeckt. Es handelt sich um eine Kombination aus dem bekannten Fernsteuerungstool SpyNote und dem neueren Programm WindRelay, das die NFC-Technologie ausnutzt. Hauptziel der Angreifer ist es, Bankkartendaten in Echtzeit abzufangen und die Kontrolle über das Gerät des Opfers zu erlangen.

Der Angriff beginnt üblicherweise mit einem klassischen Telefonanruf. Der Betrüger gibt sich als Bankangestellter aus und überzeugt das Opfer, dass es ein Problem mit dessen Zahlungskarte gibt. Um den Betrug so überzeugend wie möglich wirken zu lassen, sendet der Angreifer dem Opfer eine speziell angepasste Anwendung, die sogar dessen Namen enthält. Sobald der Nutzer diese Anwendung manuell installiert und ihr Zugriff auf die Bedienungshilfen gewährt, erlangt der Betrüger die vollständige Fernsteuerung des Telefons.

Im nächsten Schritt installiert der Angreifer unbemerkt das Tool WindRelay auf dem Smartphone des Nutzers und beantragt in dessen Namen über eine Banking-App einen Kredit. Das Opfer wird anschließend aufgefordert, seine physische Bankkarte an das Smartphone zu halten und die PIN einzugeben. Daraufhin verwandelt WindRelay das Smartphone in ein gefälschtes Kartenlesegerät. Sämtliche Daten kontaktloser Transaktionen, einschließlich der Sicherheitsinformationen, werden in Echtzeit an das Gerät des Angreifers übertragen. Dieser kann die Daten dann nutzen, um an einem echten Zahlungsterminal einzukaufen oder sogar Bargeld abzuheben.

Interessanterweise benötigen die Angreifer für ihren Betrug weder komplexe Bildschirmübertragung noch Live-Streaming, sondern setzen ausschließlich auf psychologischen Druck während eines Telefongesprächs. Das Tool SpyNote, das seit 2021 existiert, kann Passwörter stehlen, SMS-Nachrichten und Zwei-Faktor-Authentifizierungscodes abfangen und sogar Mikrofon und Kamera aktivieren.

Sicherheitsanalysten haben fast zwei Zehntel der WindRelay-Samples zwischen November 2025 und Juli 2026 aufgezeichnet. Basierend auf der verwendeten Sprache und den Bankmarken, die die Angreifer imitieren, sind die Hauptziele dieser Angriffswelle Nutzer in Tschechien, der Slowakei und Slowenien.