Ghost-Tap: Neue Betrugsmasche bedroht Weihnachtsshopper weltweit

Millionen Menschen nutzen kontaktlose Bezahlverfahren – doch genau diese Technologie macht sie jetzt zur Zielscheibe. Eine raffinierte Betrugsmasche namens „Ghost-Tap” versetzt Cybersicherheitsexperten und Strafverfolger in Alarmbereitschaft. Während die Polizei in Singapur am Donnerstag eine zweiwöchige Großrazzia gegen Hunderte Verdächtige abschloss, warnen Sicherheitsforscher vor einer sprunghaft steigenden Zahl von NFC-Relay-Angriffen. Die Beute der Betrüger: Millionen Euro. Die Waffe: ein Smartphone mit Schadsoftware.

Was macht Ghost-Tap so gefährlich? Anders als herkömmliche Taschendiebe müssen die Täter die Bankkarte ihrer Opfer nicht einmal berühren. Sie bewegen sich durch überfüllte Einkaufsstraßen, Bahnhöfe oder Weihnachtsmärkte – und zapfen dabei unbemerkt kontaktlose Karten und Wallet-Apps durch Taschen und Jacken hindurch an. Das Perfide: Die Karte bleibt beim Besitzer, der Betrug fällt oft erst Tage später auf.

Die Betrugsmasche funktioniert über die NFC-Technologie (Near Field Communication), die millionenfach in Bankkarten und Smartphones verbaut ist. Kriminelle nutzen präparierte Mobilgeräte mit Schadsoftware – in Sicherheitskreisen als „NGate” oder „NFCGate” bekannt – um Kartendaten aus wenigen Zentimetern Entfernung auszulesen.

Anzeige

Ghost‑Tap und NFC‑Relay-Angriffe zeigen, wie schnell ein Android‑Smartphone zur Eintrittspforte für Betrüger werden kann. Wenn Sie Ihr Handy für Wallet‑Apps, Online‑Shopping oder Mobile Banking nutzen, reichen oft einfache Einstellungen, um Angriffe zu erschweren. Ein kostenloses Sicherheitspaket erklärt die fünf wichtigsten Schutzmaßnahmen Schritt für Schritt — von App‑Berechtigungen über automatische Updates bis zu sicheren NFC‑Einstellungen — damit Sie unbemerkte Abbuchungen verhindern. Jetzt Android‑Schutzpaket anfordern

Die gestohlenen Informationen werden in Echtzeit an einen Komplizen übermittelt, der damit an Kassenterminals einkauft oder an NFC-fähigen Geldautomaten Bargeld abhebt. „Kontaktlose Karten reagieren sofort, wenn sie einem Lesegerät nahekommen. Das macht diese Betrugsform in Menschenmengen überhaupt erst möglich”, erklärt Krishna Vishnubhotla, Produktstratege beim Mobilsicherheitsunternehmen Zimperium.

Der eigentliche Clou: Das Opfer behält seine Karte. Keine Lücke in der Brieftasche, keine sofortige Warnung – nur mysteriöse Abbuchungen auf dem Kontoauszug, die sich oft erst nach Tagen summieren.

Singapur schlägt zurück: 268 Verdächtige im Visier

Die Dimension des Problems zeigt eine Großrazzia der singapurischen Polizei, die am Donnerstag abgeschlossen wurde. Vom 21. November bis 4. Dezember nahmen die Ermittler 268 Personen ins Visier – darunter 177 Männer und 91 Frauen im Alter zwischen 15 und 78 Jahren.

Die Bilanz ist erschreckend: Die Verdächtigen sollen in über 800 Betrugsfälle verwickelt sein, bei denen Opfer insgesamt mehr als 6,2 Millionen Euro verloren. Neben Ghost-Tap-Attacken geht es um E-Commerce- und Investmentbetrug. Besonders im Fokus: sogenannte Money Mules – Personen, die ihre Konten für Geldwäsche zur Verfügung stellen – sowie illegale Zahlungsdienstleister.

„Die Beschuldigten werden wegen Betrugs, Geldwäsche oder der Bereitstellung von Zahlungsdiensten ohne Lizenz untersucht”, teilte die Polizei mit. In Singapur drohen Geldwäschern drakonische Strafen: bis zu zehn Jahre Haft oder Geldstrafen von umgerechnet 420.000 Euro.

ESET warnt vor KI-gestützten Angriffen

Zeitgleich schlug das Cybersicherheitsunternehmen ESET Alarm. In einer am Donnerstag veröffentlichten Warnung hebt die Firma hervor, wie anfällig digitale Bezahlsysteme gerade während des Weihnachtsgeschäfts sind, wenn Transaktionsvolumen explodieren und die Aufmerksamkeit nachlässt.

„Vertrauen in mobile Bezahlsysteme entsteht nicht über Nacht – es baut sich mit jeder sicheren Transaktion auf”, erklärt Allan Juma, Cybersicherheitsingenieur bei ESET Africa. „Doch ein einziger Betrugsfall kann dieses Vertrauen schlagartig zerstören. Viele Opfer meiden danach mobile Zahlungsmethoden komplett.”

Besonders besorgniserregend: Kriminelle setzen zunehmend auf KI-gestützte Operationen, die Phishing, Identitätsdiebstahl und SIM-Swapping kombinieren. Diese Methoden ebnen oft den Weg für komplexere Angriffe wie Ghost-Tap, bei denen der initiale Zugriff auf Geräte oder Konten es Tätern ermöglicht, Sicherheitsprotokolle zu umgehen.

Technischer Hintergrund: Wenn die Karte selbst zum Verräter wird

Ghost-Tap markiert die neueste Evolutionsstufe der NFC-Relay-Angriffe – eine Bedrohung, die Finanzaufsichtsbehörden seit Jahren auf dem Radar haben. Das Betrugsanalyse-Unternehmen ThreatFabric hat Schadsoftwarefamilien wie „NGate” identifiziert, die genau solche Attacken ermöglichen.

Der technische Ablauf: Die Malware fängt das NFC-Signal einer legitimen Karte ab und tunnelt es zu einem Gerät des Angreifers. Dieses emuliert dann die Karte an einem Zahlungsterminal. Clevere Taktik der Täter: Statt einer auffälligen Großabhebung am Geldautomaten tätigen sie viele kleine Einkäufe in Geschäften. Das umgeht automatische Betrugserkennung, die hauptsächlich auf untypische Großtransaktionen anschlägt.

Die bittere Konsequenz: Klassische Sicherheitstipps – etwa die Hand beim PIN-Eingeben über das Tastenfeld zu halten – laufen ins Leere. Der Angriff erfolgt drahtlos und oft völlig ohne Interaktion des Opfers.

Hochrisiko-Dezember: Was Verbraucher jetzt tun sollten

In den kommenden drei Wochen erreicht das Weihnachtsgeschäft seinen Höhepunkt – und Experten rechnen mit einer weiteren Eskalation mobiler Zahlungsangriffe. Was steht bevor?

Verschärfte Strafverfolgung: Dem Vorbild Singapurs folgend könnten andere Länder ähnliche Razzien gegen Money-Mule-Netzwerke durchführen, die gestohlene digitale Guthaben in Bargeld umwandeln.

Banken rüsten auf: Finanzinstitute dürften biometrische Verhaltensanalysen und aggressivere Transaktionsüberwachung einführen, um die spezifischen Latenzmuster von NFC-Relay-Angriffen zu erkennen.

Verbraucherschutz wird zur Pflicht: Shopper sollten RFID-blockierende Geldbörsen nutzen, Echtzeit-Transaktionswarnungen aktivieren und kontaktlose Funktionen an Karten oder Smartphones deaktivieren, wenn sie diese nicht verwenden.

Die Kombination aus KI-gestütztem Phishing und hardware-basierten Relay-Angriffen stellt die Cybersicherheitsbranche vor eine beispiellose Herausforderung. Kontrollieren Sie täglich Ihre Kontoauszüge und melden Sie verdächtige Aktivitäten sofort Ihrer Bank. Denn beim Ghost-Tap-Betrug bleibt das Phantom unsichtbar – bis die Rechnung kommt.

Anzeige

PS: Gerade im Weihnachtsgeschäft steigen Ghost‑Tap‑ und NFC‑Angriffe – oft bleiben die Abbuchungen erst Tage später unentdeckt. Das kostenlose Android‑Sicherheits‑Paket erklärt praxisnah, wie Sie NFC‑Funktionen, App‑Berechtigungen und automatische Updates richtig konfigurieren, verdächtige Apps erkennen und Echtzeit‑Warnungen einrichten. Eine kurze Checkliste hilft Ihnen, ungewöhnliche Transaktionen sofort zu bemerken und zu reagieren. Gratis‑Android‑Sicherheitspaket herunterladen