Haittaohjelma käyttää pankkikorttiasi reaaliajassa – kortti on koko ajan omassa kädessäsi
Korttia ei kopioida eikä varasteta. Rikollisen puhelin esittää korttia maksupäätteellä samalla sekunnilla, kun uhri painaa sitä omaa puhelintaan vasten. Uhrin itse syöttämä PIN-koodi tekee maksusta pankin silmissä moitteettoman.
Tiivistelmä
Group-IB kuvaa WindRelay-haittaohjelman, joka välittää pankkikortin NFC-liikenteen uhrin puhelimesta rikollisen laitteelle reaaliajassa. Tekniikka yhdistyy SpyNote-etähallintatroijalaiseen ja huijauspuheluun, jossa uhri puhutaan asentamaan sovellus ja syöttämään PIN-koodinsa. Kohdemaita ovat Tšekki, Slovakia ja Slovenia, mutta ketjun ensimmäinen puolisko tunnetaan jo Suomessa.
Puhelin soi. Soittaja esittäytyy pankin työntekijäksi ja kertoo, että kortissa on ongelma.
Kolmetoista minuuttia myöhemmin puhelu päättyy. Samalla kortilla on tehty ostoksia toisessa maassa, vaikka kortti ei ole liikkunut mihinkään. Se on ollut koko ajan omistajansa kädessä.
Tietoturvayhtiö Group-IB:n petostentorjuntatiimi kuvasi 12. elokuuta julkaistussa raportissaan haittaohjelmaperheen, jolle se antoi nimen WindRelay. Kortin kopioinnista ei ole kyse, vaan välityksestä reaaliajassa.
Kopio on jäljennös, jonka pankin järjestelmä voi vielä tunnistaa vanhentuneeksi. Välitys sen sijaan vie aidon kortin vastaukset maksupäätteelle juuri sillä sekunnilla, jona kortti on kiinni puhelimessa.
Group-IB löysi 23 WindRelay-näytettä, jotka oli ladattu VirusTotal-palveluun marraskuun 2025 ja heinäkuun 2026 välillä. Näytteet olivat yhteydessä neljään komentopalvelimeen.
Kaksi puoliskoa, yksi elävä yhteys
Haittaohjelma jakautuu kahtia. Uhrin saastuneelle puhelimelle asentuu lukijaosa, rikollisen puhelimessa toimii emulaattori, ja komentopalvelin pitää nämä kaksi yhteydessä toisiinsa.
Uhri painaa oman fyysisen korttinsa omaa puhelintaan vasten. Haittaohjelma nappaa liikenteen talteen, myös sen kertaluontoisen kryptogrammin, jonka kortti luo yhtä ainoaa maksutapahtumaa varten. Rikollisen laite "esittäytyy kortiksi aidolle maksupäätteelle tai pankkiautomaatille", Group-IB kirjoittaa.
Sisäänkäynti on tavallinen huijauspuhelu. Soittaja ohjaa uhrin asentamaan sovelluksen linkistä, eikä mikään osa ketjusta tule Google Playsta.
Asennustiedosto on nimetty uhrin omalla nimellä. Group-IB toteaa nimeämisen poistavan sen ainoan vihjeen, jonka tarkistamiseen ihmiset on opetettu ennen tuntemattoman ohjelman asentamista.
Sovellus on SpyNote, vuosia liikkeellä ollut etähallintatroijalainen. Sen jälkeen rikollinen asentaa NFC-osan äänettömästi Androidin esteettömyystoiminnon kautta. Uhrin ruudulla ei näy näytönjakoa eikä muutakaan.
Lähimaksun euromääräiset rajat ja PIN-koodi kaatuvat molemmat samalla kertaa. Uhri puhutaan syöttämään tunnuslukunsa "kortin varmistamiseksi", jolloin maksusta tulee sekä PIN-varmennettu että kortti läsnä olevana tehty.
Group-IB kirjoittaa, että koko toiminta tapahtui 13 minuutin puhelun aikana ja tapahtumat hyväksyttiin uhrin antamalla PIN-koodilla. Samalla puhelulla rikolliset ottivat uhrin nimissä digitaalisen pikalainan.
Vietyjä summia yhtiö ei kerro.
Suomessa tunnetaan vain ketjun alkupää
Kohdemaita ovat Tšekki, Slovakia ja Slovenia. Näytteet esiintyvät paikallisten pankkien niminä ja paikallisilla kielillä. Suomea tai yhtäkään Pohjoismaata ei ole kohteiden joukossa.
Zimperium seurasi lokakuussa 2025 yli 760:tä NFC-välityssovellusta Venäjällä, Puolassa, Tšekissä ja Slovakiassa. Pohjoismaita ei ollut siinäkään aineistossa.
Suomalainen kytkös löytyy ketjun ensimmäisestä puoliskosta. Nordea varoitti 29. joulukuuta 2025 etähallintaohjelmista huijauspuheluissa.
– Etähallintayhteyden avulla rikolliset pääsevät käsiksi uhrin laitteella oleviin ohjelmiin ja tietoihin, sanoo Sara Helin, Nordean petostentorjunnan asiantuntija.
Helin kehottaa sulkemaan puhelimen ja ilmoittamaan asiasta omaan pankkiin.
Puhelu, asennus ja etäyhteys ovat siis täällä jo ihan tuttu yhdistelmä. Puuttuva osa on se, joka koskee korttia.
Tunnistusmerkit
- Soittaja pyytää asentamaan sovelluksen linkistä tai ohjaa asennusta puhelimessa.
- Sinua pyydetään painamaan kortti puhelinta vasten. Yksikään pankki ei pyydä tätä, ja pelkkä pyyntö riittää paljastamaan huijauksen.
- Soittaja kysyy PIN-koodia. Pankki ei kysy sitä koskaan.
- Asennustiedosto on nimetty omalla nimelläsi ja tulee muualta kuin Google Playsta.
Mitä tehdä
Katkaise puhelu ja soita takaisin siihen numeroon, joka on painettu kortin kääntöpuolelle. Älä asenna mitään puhelun aikana.
Pidä NFC pois päältä silloin kun et käytä sitä. Käy asetuksista läpi, onko puhelimessa tuntemattomia sovelluksia, joilla on NFC- tai esteettömyysoikeudet.
Jos asennus jo ehti tapahtua, sulje kortti pankkisi sulkupalvelun numerosta ja laita puhelin lentokonetilaan. Poista sovellus.
Tarkista myös, onko nimissäsi avattu lainaa. Se on se vaihe, joka useimmiten unohtuu. Rikosilmoituksen voi tehdä poliisi.fi-palvelussa.
Toistaiseksi WindRelay pysyy kolmessa maassa EU:n itäreunalla. Jää nähtäväksi, kuinka pitkään.