Android-malware sluit kredietlening af in naam van slachtoffer

In dit artikel:

Cybersecuritybedrijf Group-IB waarschuwt voor een Android-aanval waarbij criminelen zowel een lening afsluiten op naam van het slachtoffer als diens betaalpas misbruiken. De aanval begint met een telefoontje van iemand die zich voordoet als bankmedewerker en beweert dat er een probleem met de betaalpas is. Tijdens een gesprek van dertien minuten installeert het slachtoffer de remote-access-trojan SpyNote. Daarmee krijgt de aanvaller toegang tot de telefoon en kan hij de NFC-relaymalware WindRelay installeren.

Via SpyNote krijgt de aanvaller bovendien toegang tot apps op het toestel, waaronder een toepassing waarmee in naam van het slachtoffer een kredietlening wordt aangevraagd. Vervolgens vraagt de oplichter het slachtoffer de betaalpas tegen de telefoon te houden en de pincode in te voeren. WindRelay laat de telefoon functioneren als een contactloze betaalterminal. De malware onderschept de communicatie tussen de betaalpas en de telefoon en stuurt die gegevens in real time door naar een apparaat van de aanvaller.

Dat tweede apparaat doet zich vervolgens tegenover een betaalautomaat of geldautomaat voor als de echte betaalpas. Zo kunnen aankopen worden gedaan en geldopnames worden uitgevoerd. Omdat de gegevensuitwisseling live plaatsvindt en de pincode door het slachtoffer zelf wordt ingevoerd, worden de transacties goedgekeurd. Het slachtoffer bleef tijdens het incident aan de telefoon. Group-IB heeft niet bekendgemaakt in welk land de aanval plaatsvond of hoeveel geld werd buitgemaakt.