Pas på: Gør du dette kan kriminelle aflæse dine bankoplysninger via mobilen

Sikkerhedsfirmaet ESET har afsløret en ny type Android-malware, der gør det muligt for kriminelle at aflæse både kortoplysninger og pinkode fra bankkort via NFC-funktionen i mobiltelefoner.

Malwarekampagnen retter sig mod brugere i Europa og har allerede ført til flere hændelser med kontanthævninger ved pengeautomater.

Angrebet starter typisk med en sms, der udgiver sig for at komme fra modtagerens bank.

Beskeden indeholder et link med en falsk besked om for eksempel skattepenge til gode.

Hvis modtageren klikker og installerer den tilknyttede app, bliver personen efterfølgende ringet op af en falsk bankmedarbejder, som opfordrer til at ændre pinkoden og holde kortet op mod telefonen til “verificering”.

Når kortet holdes tæt på mobilen, kan den ondsindede app aflæse kortets data gennem NFC (Near Field Communication) og sende informationerne videre i realtid til en anden mobil, som kontrolleres af gerningsmændene.

Med de stjålne oplysninger kan de hæve penge direkte fra pengeautomater eller udføre overførsler.

Ny teknik udnytter kendt NFC-værktøj

Ifølge ESET er metoden ny og ikke tidligere set i Android-malware.

Angrebet udnytter et værktøj kaldet NFCGate, som blev udviklet til forskningsformål på en teknisk universitet i Tyskland.

Malware-familien har derfor fået navnet NGate. Angrebene har været aktive siden november 2023.

I marts 2024 blev en 22-årig anholdt i Prag, hvor politiet beslaglagde omkring 6.000 euro i kontanter. Det svarer til ca. 45.000 kroner.

De stammede ifølge efterforskningen fra tre ofre for netop denne metode. Politiets beskrivelser stemmer overens med ESETs tekniske analyse af malwareangrebet.

Metoden spredes i Europa

De første kendte sager vedrører kunder fra tre banker i Tjekkiet, hvor gerningsmændene havde oprettet kopier af bankernes hjemmesider og anvendt flere versioner af den skadelige app.

Også i Polen er lignende tilfælde rapporteret, hvor det nationale it-beredskab har advaret mod samme type mobil malware.

Der er endnu ikke rapporteret om angreb i Danmark, men metoden anses for at kunne bruges i andre lande, da teknikken i sig selv er uafhængig af nationale forhold.

Både ESET og politiet opfordrer til aldrig at klikke på links i sms’er eller e-mails, som foregiver at komme fra banker, og til kun at installere apps fra officielle app-butikker.

Banker vil aldrig bede om pinkode. Hverken via telefonopkald eller i en app.

Det anbefales desuden at deaktivere NFC-funktionen på mobilen, hvis den ikke bruges, og at benytte digitale betalingsløsninger i stedet for fysiske kort.

Man bør løbende holde øje med sine kontobevægelser og straks kontakte banken og politiet ved mistanke om misbrug.