「WindRelay」と呼ばれる新種のAndroidマルウェアが、リモートアクセス型トロイの木馬(RAT)「SpyNote」と組み合わせて使用され、リアルタイムのNFCカードリレー詐欺による金銭窃取に悪用されていることが分かりました。
この攻撃は、電話を使ったソーシャルエンジニアリング、デバイスの遠隔操作、そして非接触決済の悪用を一体化させた、極めてスピーディーな手口となっています。
今回の事例は、詐欺グループがもはや被害者の物理的なカードそのものを必要としていないことを示しています。攻撃者は代わりに、被害者に感染済みのAndroid端末へ銀行カードをかざすよう仕向けます。
その後WindRelayが、この生のNFC通信をキャプチャして攻撃者が管理する別の端末へ中継し、実店舗での不正決済やATMからの不正引き出しを可能にします。
NFCリレー詐欺は急速に拡大しています。Kasperskyの報告によれば、NFCを悪用したAndroid攻撃は2026年の最初の4カ月間で、2025年の同時期と比較して188%増加しました。
この手口は、正規の決済カードと正規の決済端末との間に悪意あるデバイスを割り込ませ、取引データをリアルタイムで中継するというものです。
確認された事例では、詐欺は銀行員を装った攻撃者からの電話連絡から始まりました。発信者は被害者の決済カードに問題が発生していると主張し、Androidアプリケーションのインストールを指示しました。
この最初のアプリは、被害者ごとにカスタマイズされたSpyNote RATでした。汎用的な表示名を使う代わりに、このマルウェアは被害者自身の名前を表示していたと報告されています。
この細かな工夫により、悪意あるアプリケーションはより信頼できるものに見え、また攻撃者が電話をかける前に基本的な個人情報をすでに把握していたことがうかがえます。
SpyNoteは、大規模な監視・データ窃取・端末の遠隔操作が可能なことで知られるAndroid向けRATです。
これまでにもアクセシビリティサービスの悪用、SMSや連絡先の窃取、音声録音、キーロギングといった、侵害性の高い機能との関連が指摘されてきました。
その遠隔操作機能により、攻撃者は従来型の画面共有ソフトウェアを使わずとも端末機能を操作できる可能性があります。
SpyNoteが起動した後、詐欺師はWindRelayを遠隔からインストールしました。
これにより、被害者自身が2つ目のマルウェア検体をダウンロード・承認する必要がなくなりました。攻撃者は同じ通話を続けながら、残りの手順を被害者に案内できたのです。
この事例は、二重の詐欺モデルも示しています。SpyNoteを通じて銀行アプリを操作している最中、脅威アクターは被害者名義でローンを申し込んでいたとされています。
続いてWindRelayを使ってカード対面型の不正利用を実行し、被害者や銀行が気付いて対応する前に金銭的被害を最大化していました。WindRelayはNFCリレー攻撃専用に設計されています。
Group-IBによれば、WindRelayはその役割を果たすための権限を要求します。具体的には、非接触型カードと通信するためのNFCアクセス権限と、取得した決済情報をリアルタイムで送信するためのインターネットアクセス権限です。Group-IBが述べています。
被害者は、感染したスマートフォンに銀行カードをかざし、カードのPINコードを入力するよう指示されます。このマルウェアは単純にカード番号をコピーするのではなく、ICチップと決済端末の間でやり取りされるリアルタイム通信そのものを中継します。
被害者の物理カードが認証プロセスにまだ関与している間に、攻撃者側の2台目のデバイスが実際の加盟店端末やATMに対してその取引情報を提示できてしまうのです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視性を獲得し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/windrelay-and-spynote-attack/
