Sicherheitsforscher des Unternehmens Group-IB haben eine neue Form von Schadsoftware identifiziert, die für hochspezialisierten Finanzbetrug eingesetzt wird. Die als WindRelay bezeichnete Malware wird den Analysen zufolge in Kombination mit dem SpyNote Remote Access Trojan (RAT) genutzt, um während laufender Bankgespräche die vollständige Kontrolle über Finanztransaktionen zu erlangen. Durch den Einsatz von NFC-Relay-Technologie können Angreifer kontaktlose Zahlungsdaten in Echtzeit manipulieren und missbrauchen.
Schneller Zugriff auf Kreditmittel und Kartendaten
Die Effizienz dieser neuen Angriffsmethode verdeutlicht ein von den Forschern dokumentierter Vorfall, der insgesamt nur 13 Minuten dauerte. Während eines laufenden Telefonats, das als legitimes Bankgespräch getarnt war oder in dessen Rahmen das Opfer mit der Bank kommunizierte, gelang es den Tätern, einen Kredit auf den Namen des Betroffenen aufzunehmen. Parallel dazu leitete die Malware WindRelay die NFC-Daten der hinterlegten Zahlungskarten an ein manipuliertes Terminal der Angreifer weiter.
Dieser Prozess ermöglicht es den Kriminellen, die Sicherheitsmechanismen moderner Banking-Apps zu umgehen. Da der SpyNote-Trojaner Fernzugriff auf das infizierte Gerät gewährt, können die Täter nicht nur Daten abgreifen, sondern aktiv in die Benutzeroberfläche eingreifen. Die Kombination beider Schadprogramme stellt laut den Experten eine neue Eskalationsstufe im mobilen Finanzbetrug dar, da die Barriere zwischen digitalem Diebstahl und physischer Transaktion an einem Terminal durch die Relay-Technik aufgehoben wird.
Wer sich gegen solche komplexen Angriffe auf Finanztransaktionen wappnen möchte, sollte die grundlegenden Sicherheitslücken seines Mobilgeräts schließen. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Maßnahmen, um Ihr Android-Smartphone effektiv vor Hackern und Datenmissbrauch zu schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Regionale Schwerpunkte und technischer Hintergrund
Die Untersuchungen von Group-IB zeigen, dass die WindRelay-Kampagne eine gezielte geografische Ausrichtung aufweist. Als Hauptzielregionen wurden Tschechien, die Slowakei und Slowenien identifiziert. Ein Blick in die Analyse-Datenbanken belegt zudem eine kontinuierliche Entwicklung der Schadsoftware: Zwischen November 2025 und Juli 2026 wurden insgesamt 23 verschiedene Samples von WindRelay auf die Plattform VirusTotal hochgeladen.
Zur Abwehr und Identifizierung laufender Angriffe haben die Sicherheitsforscher spezifische Indikatoren für eine Kompromittierung (Indicators of Compromise, IoCs) veröffentlicht. Dazu gehören unter anderem die IP-Adressen der genutzten Steuerungsserver (C2-Server): 88.86.124.114, 185.100.87.116, 185.100.87.223 sowie 213.218.160.48.
Technisch weist WindRelay signifikante Ähnlichkeiten zu früheren Angriffskampagnen wie NGate oder Ghost Tap auf. Diese operierten in einem Zeitraum zwischen November 2024 und August 2025 nach vergleichbaren Mustern und verursachten laut Branchenberichten finanzielle Verluste in einer Gesamthöhe von über 355.000 US-dollar.
Deutlicher Anstieg bei NFC-basierten Angriffen auf Android-Systeme
Die Entdeckung von WindRelay erfolgt vor dem Hintergrund einer massiven Zunahme von Bedrohungen für mobile Endgeräte. Marktforscher von Kaspersky stellten fest, dass NFC-basierte Angriffe auf Android-Smartphones im ersten Drittel des Jahres 2026 stark zugenommen haben. Im Zeitraum von Januar bis April 2026 verzeichnete das Unternehmen einen Anstieg dieser Angriffsform um 188 Prozent im Vergleich zum Vorjahreszeitraum.
Da ein veraltetes System oft das größte Einfallstor für Cyberkriminelle darstellt, ist die richtige Update-Strategie für Smartphone-Nutzer heute unverzichtbar. Erfahren Sie in diesem Gratis-Report, wie Sie Sicherheitslücken dauerhaft schließen und Ihr Gerät rund um die Uhr absichern. Kostenlosen Android-Sicherheitsreport anfordern
Diese Entwicklung unterstreicht nach Ansicht von Fachleuten die Notwendigkeit für Finanzinstitute und Endanwender, die Sicherheitsvorkehrungen bei der Nutzung von NFC-Schnittstellen zu verschärfen. Da die Täter zunehmend auf eine Kombination aus technischer Manipulation und sozialer Manipulation (Social Engineering) während Live-Telefonaten setzen, reicht der rein technische Schutz der Banking-Applikationen oft nicht mehr aus. Experten empfehlen daher eine erhöhte Wachsamkeit bei unaufgeforderten Anrufen, selbst wenn diese scheinbar von der Hausbank stammen.
