Betaalrek geplunderd via met Android Pay gekoppelde bankpas

[P. vd Loo]

Mijn vraag
...Vorige week is uit het niets in Amsterdam op het Mercatorplein op een betaalautomaat mijn hele saldo, op 1 euro na, van mijn betaalrekening gepind met Google Pay op een Android telefoon. Dit via een gekoppelde bankpas van mijn Nederlandse bank. Bankpas is nimmer uit mijn bezit geweest, die heb ik nog steeds en mijn Androids ook. Ik pieker me suf hoe dit kon gebeuren. Ik heb 2FA al jaren aan staan. Op gekke links of verzoekjes om geld heb ik nimmer geklikt. Inmiddels heb ik veel onderzoek gedaan. Om 2FA te omzeilen moet er wel sprake zijn van een hackpoging via sessie cookies. Maar hoe kan mijn bankpas gekoppeld worden? Volgens Google zou het kunnen dat mijn SMS-verkeer wordt onderschept. Vreemde software heb ik niet kunnen ontdekken op mijn telefoon. Wel heb ik root-toegang tot mijn telefoon.
Uiteraard heb ik nu alle onbekende apparaten verwijderd en wachtwoord gewijzigd (dat wachtwoord was niet al te moeilijk omdat ik me veilig waande door 2fA).
Ik had niet kunnen bedenken dat ik me zo onprettig zou voelen na dit gebeuren. Ik waande me, door mijn veiligheidsmaatregelen immer safe, maar dat nu zelfs mijn bankrekening out of the blue plots geplanderd kan worden had ik niet kunnen bevroeden. Moet ik ook bekende extensies op mijn firefox browser maar uitschakelen en moet ik mijn VPN Windscribe niet meer gebruiken? Graag tips, want ik word een beetje paranoide misschien nu

Relevante software en hardware die ik gebruik
...Android

Wat ik al gevonden of geprobeerd heb
...

[RappeDoper]

Heb je je bank al benaderd?

[fxs81]

ZIt je wel eens ergens op de wifi van een terrasje of winkel ofzo?

[Knul]

Kijk eerst eens bij de app van je bank. Welke gekoppelde apparaten staan daar allemaal?

[NiGeLaToR]

• SIM swap (controle over telefoonnummer → SMS verificatie onderschept)
• Malware op rooted Android (diep systeemtoegang, Pay/OTP manipulatie)
• Google account takeover (toegang tot gekoppelde diensten / apparaten)
• Social engineering bij bank of telecomprovider
• SMS forwarding / telecom-level interceptie (zeldzaam maar mogelijk)
• Gelekte kaartgegevens + zwakke verificatie bij toevoegen aan Google Pay
• Onbekend apparaat toegevoegd aan Google Pay via account-compromis
• Misbruik via eerder gekoppelde / vergeten devices
• Insider / iemand met fysieke of tijdelijke toegang tot gegevens
• Phishing of credential harvesting

Dit zijn een aantal van de mogelijke opties. Je kunt dingen gaan uitsluiten:
- bel je bank, vraag om meer info en maak melding
- bel je provider, zelfde verhaal
- log in op je google account en haal alles wat je kunt vinden uit de logs/beveiligings/account omgevingen en maak evt melding

Als uit geen van die dingen blijkt dat er iets is misbruikt oid dan blijven er alsnog opties over, zoals dat je account is gejat en andere apparaten zijn toegevoegd (google account logs). In principe moet je op een device een aantal stappen doorlopen om pay opties te activeren, daar moeten sporen van zijn. Die moet je gaan vinden.

fxs81 schreef op vrijdag 24 april 2026 @ 11:17:
ZIt je wel eens ergens op de wifi van een terrasje of winkel ofzo?

En dan? Dan kun je niet meteen iemands betaalpas jatten of overzetten op een ander device. Gelukkig.

[ Voor 9% gewijzigd door NiGeLaToR op 24-04-2026 11:23 ]

[Juup]

Stap 1: verwijder alles wat met die bank(pas) te maken heeft van die telefoon.
Haal alles uit je Google Pay ook weg.
Daarna een verse install van je telefoon (zonder deze 2 opnieuw te installeren).
Vraag aan de bank of je kan internetbankieren zonder een app op je telefoon.

De kans dat criminelen nogmaals toegang tot je telefoon kunnen krijgen is groot zolang je de oorzaak niet weet.

[Patriot]

Voor de goede orde:

• Was je zelf op het Mercatorplein?
• Heb je zelf ooit een bankkaart in Google Pay gezet?
• Heb je zelf überhaupt een Android-telefoon?
• Bij welke bank zit je?
• Heb je ergens meldingen gehad van het aanzetten van Google Pay?

EDIT: Ok, moet zelf ook goed lezen.

[ Voor 7% gewijzigd door Patriot op 24-04-2026 11:34 ]

[fxs81]

NiGeLaToR schreef op vrijdag 24 april 2026 @ 11:22:
En dan? Dan kun je niet meteen iemands betaalpas jatten of overzetten op een ander device. Gelukkig.

Je zal de 1e niet zijn die gescimd word omdat die denkt op de wifi van het terras te zitten maar in werkelijkheid op een hotspot zit van iemand in de buurt. Bv op een simpel ok klikken om op de wifi te komen kan al genoeg zijn om de deur open te zetten. Dat het kan wil natuurlijk niet zeggen dat dit bij jou ook is gebeurd.

[NiGeLaToR]

fxs81 schreef op vrijdag 24 april 2026 @ 11:36:
[...]


Je zal de 1e niet zijn die gescimd word omdat die denkt op de wifi van het terras te zitten maar in werkelijkheid op een hotspot zit van iemand in de buurt. Bv op een simpel ok klikken om op de wifi te komen kan al genoeg zijn om de deur open te zetten. Dat het kan wil natuurlijk niet zeggen dat dit bij jou ook is gebeurd.

Dit is geen antwoord op de vraag hoe dit volgens jou werkt. Ik lees dagelijks waarschuwingen voor dit fenomeen doch is het praktisch - om betalingen te doen op een totaal andere plek - praktisch onuitvoerbaar.

Wellicht leuk filmpje voor iedereen die bang is voor publieke wifi netwerken, van Marcus Hutchins. Ja die van Malwaretech.

[P. vd Loo]

NiGeLaToR schreef op vrijdag 24 april 2026 @ 11:22:

• SIM swap (controle over telefoonnummer → SMS verificatie onderschept)
• Malware op rooted Android (diep systeemtoegang, Pay/OTP manipulatie)
• Google account takeover (toegang tot gekoppelde diensten / apparaten)
• Social engineering bij bank of telecomprovider
• SMS forwarding / telecom-level interceptie (zeldzaam maar mogelijk)
• Gelekte kaartgegevens + zwakke verificatie bij toevoegen aan Google Pay
• Onbekend apparaat toegevoegd aan Google Pay via account-compromis
• Misbruik via eerder gekoppelde / vergeten devices
• Insider / iemand met fysieke of tijdelijke toegang tot gegevens
• Phishing of credential harvesting

Dit zijn een aantal van de mogelijke opties. Je kunt dingen gaan uitsluiten:
- bel je bank, vraag om meer info en maak melding
- bel je provider, zelfde verhaal
- log in op je google account en haal alles wat je kunt vinden uit de logs/beveiligings/account omgevingen en maak evt melding

Als uit geen van die dingen blijkt dat er iets is misbruikt oid dan blijven er alsnog opties over, zoals dat je account is gejat en andere apparaten zijn toegevoegd (google account logs). In principe moet je op een device een aantal stappen doorlopen om pay opties te activeren, daar moeten sporen van zijn. Die moet je gaan vinden.


[...]


En dan? Dan kun je niet meteen iemands betaalpas jatten of overzetten op een ander device. Gelukkig.

Dank, zoals in mijn bericht vermeld had ik de basisstappen al doorlopen. Natuurlijk ben ik gaan duiken in de apparaten die zijn verbonden aan mijn Google account, natuurlijk heb ik meteen contcat gezocht met mijn bank en daar de pas onbruikbaar gemaakt en koppelen met google verbroken. Natuurlijk heb ik aangifte gedaan , etc etc. Ik was zelf niet in Amsterdam, ik was op een uur ervoor in Belgie aan het tanken. Het betreft de Rabobank en ja de pas had ik zelf al eens toegevoegd aan mijn Google Wallet.

Ik maak op uit je mail dat er vele manieren zijn om deze hack te realiseren. Wat wel te achterhalen is zijn camerabeelden natuurlijk en met welk toestel is ingelogd op mijn google account. Wat mij toch blijft verbazen is dat de plunderaar tot op de euro. wist wat ik op mijn rekening had staan. Dit terwiijl ik het uur vooraf nog 2 betalingen had gedaan.

[NiGeLaToR]

@P. vd Loo je kunt saldo check doen op de automaat toch?

Verder: ergens in de keten om je pas te koppelen is men erin geslaagd je gegevens te stelen. Hoop dat je nog kunt achterhalen hoe/waar.

[gambieter]

Welke telefoon (merk en type), Android versie, custom ROM, hoe geroot (en waarom?), speciale vage apps geinstalleerd buiten Google Play store om?

Banken worden strenger op root, custom ROM enz. De Britse HSBC app staat niet eens mijn sideloaded Blackberry Keyboard toe.