BNM Mobile Security: Android-Trojaner greift Kartendaten per NFC ab

Am 4. November 2026 hat das Malaysia Computer Emergency Response Team (MyCERT), eine Einheit unter dem Dach von Cybersecurity Malaysia, eine Warnung vor einer gefälschten Sicherheits-App herausgegeben. Bei der Schadsoftware handelt es sich um einen Android-Trojaner mit der Bezeichnung „BNM Mobile Security“.

Die Verbreitung der manipulierten Software erfolgt über betrügerische Internetseiten, die den offiziellen Auftritt der malaysischen Zentralbank Bank Negara Malaysia (BNM) nachahmen, insbesondere gefälschte Portale für Vorgaben zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung.

Psychologischer Druck und Nahfeld-Spionage

Der Angriffsablauf beginnt nach Angaben von MyCERT üblicherweise mit Telefonanrufen. Die Täter geben sich dabei als angebliche Vertreter der Zentralbank, der Polizei oder als Ermittler zur Geldwäschebekämpfung aus.

Unter starkem psychologischem Druck werden die Angerufenen dazu gedrängt, die gefälschte App auf ihrem Smartphone zu installieren. Anschließend werden die Opfer instruiert, ihre physische Zahlungskarte direkt an das Mobiltelefon zu halten.

Wer sich mit der Sicherheit seines Mobilgeräts befasst, sollte die grundlegenden Schutzmechanismen kennen, um Manipulationen rechtzeitig zu erkennen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone wirksam gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Auf dem Gerät erfasst die Schadsoftware vertrauliche Finanzdaten, darunter persönliche Informationen, Kartensalden, Kreditlimits und sechsstellige Karten-PINs.

Über die Nahfeldkommunikation (NFC) des Geräts führen die Angreifer eine als „Ghost-Tap“ bezeichnete Methode durch: Das Smartphone liest die Daten der kontaktlosen Karte aus und leitet sie verschlüsselt an einen Server der Täter weiter. Auf diese Weise können die Hintermänner unbefugte kontaktlose Bezahlvorgänge initiieren oder Bargeldabhebungen an Geldautomaten vornehmen.

Zahlreiche Institute und Zahlungssysteme im Visier

Nach Erkenntnissen von MyCERT betrifft die Bedrohung Karten sämtlicher relevanter Systeme, darunter MyDebit, Visa, Mastercard, American Express und JCB. Zudem erstreckt sich die Masche auf Kunden aller malaysischen Kreditinstitute. Genannt werden unter anderem Maybank, CIMB, Public Bank, RHB, Hong Leong, AmBank, Bank Islam, BSN, Affin, Alliance sowie Bank Rakyat.

Die Behörde stellte klar, dass die BNM die Anwendung weder betreibt noch auf der offiziellen Domain bnm.gov.my bereitstellt. Sowohl die Zentralbank als auch Geschäftsbanken fordern Kunden niemals zur Preisgabe ihrer Karten-PIN auf. Verbraucher sollten unter keinen Umständen Bankkarten auf Anweisung Dritter oder einer mobilen Applikation an ihr Smartphone halten.

Da Kriminelle immer raffiniertere Methoden entwickeln, um mobile Endgeräte auszuspähen, ist ein aktuelles System die wichtigste Verteidigungslinie. Erfahren Sie in diesem gratis PDF-Report, wie Sie Sicherheitslücken schließen und gefährliche Apps frühzeitig entlarven. Kostenlosen Sicherheits-Ratgeber herunterladen

Sofern die App bereits installiert wurde, rät MyCERT zu sofortigen Schritten: Betroffene müssen ihre Karten unverzüglich sperren, PINs ändern, die Anwendung vom Gerät entfernen und eine Sicherheitsüberprüfung des Smartphones durchführen. Vorfälle können dem National Scam Response Centre über den Notruf 997 sowie der Meldestelle Cyber999 gemeldet werden.