Android-malware stjæler dit betalingskort via NFC-berøring

En ny type Android-malware ved navn WindRelay gør ofrets egen telefon til en kortlæser for svindlere. Ofret bliver bedt om at holde sit betalingskort op mod bagsiden af telefonen — og i samme sekund bliver kortets data sendt videre i realtid til en anden telefon, som svindleren holder op mod en betalingsterminal et helt andet sted i verden.

Kortet forlader aldrig ofrets hånd. Alligevel bliver der købt varer og hævet kontanter med det. I det bedst dokumenterede tilfælde nåede svindlerne både at optage et lån i ofrets navn og gennemføre korttransaktioner inden for et enkelt telefonopkald på 13 minutter.

Sådan foregår angrebet — trin for trin

Angrebet er kortlagt af sikkerhedsfirmaet Group-IB, hvis forskere Alexander Grabko, Konstantinos Angelopoulos, Pavlos Gaitanis og Bruno Bijelić har fulgt kampagnen. Deres pointe er, at der ikke er tale om ét stykke malware, men om to, der arbejder sammen. Som de skriver: "moderne svindel bygger sjældent på én enkelt teknik."

Forløbet ser sådan ud:

1. Opkaldet. Ofret bliver ringet op af en person, der udgiver sig for at være medarbejder i banken. Påskuddet er et problem med betalingskortet — en mistænkelig transaktion, en spærring, en sikkerhedsopdatering. Kontakten kan også komme via sms eller e-mail først.

2. App-installationen. Ofret bliver overtalt til at sideloade en APK-fil uden om Google Play. Filen er personaliseret — den indeholder ofrets eget navn og bankens logo, hvilket får den til at fremstå som en legitim bankapp. Det er i virkeligheden SpyNote, en kendt fjernstyringstrojaner.

3. Den usynlige overtagelse. Appen beder om adgang til Androids Accessibility Service, tilgængelighedsfunktionen for brugere med handicap. Den tilladelse giver reelt fuld kontrol over telefonen. Group-IB beskriver konsekvensen præcist: "SpyNotes adgang til Accessibility Service lader svindleren sideloade og aktivere NFC-appen lydløst, uden at der nogensinde udløses skærmdeling."

Ofret ser altså ikke, at der installeres endnu en app. WindRelay lander på telefonen uden et eneste ekstra klik.

4. Berøringen. Nu beder "bankmedarbejderen" ofret om at holde kortet mod telefonen — angiveligt for at verificere det. I det dokumenterede tilfælde blev ofret samtidig bedt om at indtaste sin pinkode.

5. Hævningen. Kortdataene relæes til svindlerens enhed, som gennemfører kontaktløse køb eller hæver kontanter i en hæveautomat.

Hvorfor NFC-relæ overhovedet virker

Teknikken er mere avanceret end almindelig kortkopiering, og det er værd at forstå hvorfor.

WindRelay består af to synkroniserede dele. En læserdel kører på ofrets telefon og kommunikerer med det fysiske kort via NFC. En emulatordel kører på svindlerens telefon og efterligner kortet over for betalingsterminalen. De to dele taler sammen over en fælles kommandoserver via WebSocket.

Det, der sendes frem og tilbage, er EMV APDU-kommandoer — de samme beskeder, som en rigtig betalingsterminal udveksler med chippen i kortet. Terminalen sender en udfordring, kortet svarer med en kryptografisk signatur, og fordi relæet er hurtigt nok, opfatter terminalen svindlerens telefon som selve kortet.

Det er nøglen til, hvorfor angrebet er så effektivt: der bliver ikke stjålet et kortnummer, som banken senere kan spærre. Der bliver gennemført en ægte transaktion med det ægte kort, blot med flere hundrede kilometers afstand mellem kort og terminal. Fra bankens side ser det ud som en helt normal kontaktløs betaling.

Derfor er pinkoden også vigtig for svindleren. Med den kan beløbsgrænserne for kontaktløs betaling overskrides, og der kan hæves kontanter.

Dobbelt indtjening: lån og kortkøb samtidig

Det, Group-IB kalder en "dobbelt monetiseringsstrategi", er den detalje, der løfter kampagnen over andre NFC-angreb.

Mens WindRelay tapper kortet fysisk, bruger svindleren SpyNotes fjernadgang til at logge ind i ofrets mobilbank og optage et digitalt forbrugslån. Pengene lander på ofrets egen konto — og bliver derefter overført videre. To udbetalingskanaler udnyttes altså samtidig, før banken når at opdage noget.

Timingen er tilpasset det. 13 minutter er kortere end den tid, det typisk tager et svindeldetektionssystem at rejse et flag og få en medarbejder til at reagere.

WindRelay blev første gang observeret i naturen i slutningen af august 2025. Mellem november 2025 og juli 2026 er 23 forskellige WindRelay-prøver uploadet til VirusTotal, og de efterligner finansielle institutioner i Tjekkiet, Slovakiet og Slovenien. Beslægtede NFC-relæfamilier som NFCShare, NGate og SuperCard X er tidligere set i Brasilien, Polen og Slovakiet.

Er danskerne i farezonen?

Der er ikke rapporteret WindRelay-kampagner målrettet danske banker. Men to forhold gør det til mere end en østeuropæisk historie.

For det første er teknikken uafhængig af land. EMV og kontaktløs betaling fungerer ens i hele Europa, og en relæ-emulator er ligeglad med, om kortet er udstedt i Prag eller i Aarhus. Det, der skal lokaliseres, er kun social engineering-delen: sproget i opkaldet og bankens logo i den falske app.

For det andet følger angrebsformen et mønster, vi allerede har set brede sig hertil. Telefonsvindel, hvor gerningsmanden udgiver sig for at være fra banken eller it-supporten, er i dag en af de mest udbredte angrebsformer overhovedet — noget vi beskrev, da hackere ringede som it-support og plyndrede finansfirmaer. Og distributionen via en falsk app med rigtigt firmalogo er den samme metode, der blev brugt, da en falsk Claude-app inficerede 29 virksomheder med en fjernstyringstrojaner.

Apple og Google arbejder på modtræk. iOS 27 får en funktion, der advarer mod telefonsvindel i realtid under selve opkaldet, og Android har over flere versioner strammet reglerne for, hvilke sideloadede apps der overhovedet må få adgang til Accessibility Service.

Sådan beskytter du dig

Group-IB's anbefalinger er enkle, og de dækker næsten hele angrebsfladen:

• Installér aldrig en APK uden om Google Play. Ingen dansk bank vil nogensinde bede dig om at hente en app fra et link i en sms eller under et telefonopkald. Bankapps ligger i Google Play og App Store.
• Læg på og ring selv tilbage. Brug det nummer, der står på bagsiden af dit kort eller på bankens officielle hjemmeside — aldrig et nummer, den, der ringede, oplyser. Dette ene råd stopper hele angrebskæden på trin ét.
• Hold aldrig dit betalingskort op mod telefonen, fordi nogen beder dig om det. Der findes ingen legitim bankprocedure, hvor du skal "verificere" et kort ved at scanne det med din egen mobil.
• Vær ekstremt tilbageholdende med Accessibility Service. Beder en nyinstalleret app om tilgængelighedsadgang, og er den ikke et skærmlæserværktøj, er det et rødt flag.
• Slå NFC fra, når du ikke bruger det. Det er en mindre foranstaltning, men den fjerner læserdelens adgang til kortet.
• Reagér hurtigt. Har du fulgt instruktioner under et mistænkeligt opkald, så spær kortet med det samme og kontakt banken. Sæt telefonen i flytilstand for at afbryde relæet, og få den derefter gennemgået. Myndighedernes samlede vejledning findes på sikkerdigital.dk.

Konklusion

WindRelay er interessant, fordi det bryder med en antagelse, mange har: at kortet er sikkert, så længe man selv har det i hånden. Det holder ikke, når telefonen i den anden hånd er blevet til en kortlæser for en fremmed.

Kombinationen af fjernstyring og NFC-relæ er samtidig et eksempel på, hvor målrettet svindel er blevet. Der er ikke tale om en bred kampagne, der rammer tusindvis tilfældigt. Der er tale om et opkald til én person, med den persons navn i appen, og en pengestrøm gennem to kanaler på under et kvarter.

De næste måneder bliver afgørende for, om kampagnen breder sig vestpå. Det, der reelt vil bremse den, er ikke bedre malware-detektion, men den samme banale regel som altid: læg på, og ring selv til banken. Ingen teknologi kan omgå den.

The Hacker News og BleepingComputer omtalte kampagnen den 14. august 2026.