これまで確認されていなかったNFCリレー型マルウェアファミリーが、リモートアクセス型トロイの木馬(RAT)と組み合わされて13分間の一本の電話の中で展開され、詐欺師は被害者の名義でローンを組みつつ、電話を切らせないまま被害者のカードデータを偽の決済端末へ中継していたことが分かりました。
Group-IBは8月12日に公開した技術解説記事でこの事例を記録し、このNFCマルウェアを「WindRelay」として追跡するとともに、RATについてはSpyNoteの亜種であると特定しています。
詐欺師は銀行員を装って電話をかけ、被害者のカードに問題が生じていると告げた上で、最初のアプリのインストール手順を電話越しに案内しました。
NFCリレー詐欺についてさらに読む: Ghost Tapマルウェア、リモートNFC決済詐欺の急増を後押し
被害者自身の名前を冠したアプリ
このRATは、アプリストアを介さずサイドロードする際の標準的な経路であるデバイスのパッケージインストーラー経由で送り込まれました。アプリのラベルには、汎用的な名称や有名ブランドを装ったものではなく、被害者自身の名前が使われていました。
SpyNoteにはビルダーツールキットが付属しており、運用者がアプリ名、ラベル、パッケージ名を自由に設定できるため、こうした個人向けカスタマイズは手作業ではなく標準機能として組み込まれています。
Group-IBによれば、このラベルは通話前の下調べで被害者の氏名と電話番号があらかじめ収集されていたことを示すもので、これにより被害者が見慣れないアプリ名に不審を抱く余地がなくなっていたといいます。
RATが稼働すると、詐欺師はそのリモートアクセス機能を使って自らWindRelayをインストールしており、被害者側の追加操作は一切必要としませんでした。この間、画面共有が発動することも一度もありませんでした。
1回のタップで2つの不正利得
WindRelayが要求する権限は、その目的をそのまま反映していました。カード読み取り用のNFC、キャプチャした情報をリアルタイムで外部に送信するINTERNET、さらなる標的にアクセスするためのREAD_CONTACTS、そしてサードパーティ製アプリとしては異例な、デバイスの状態を検査するためのDUMPです。
被害者が指示どおりカードをタップすると、マルウェアは非接触型リーダーとして動作し、チップとリーダー間でやり取りされるその取引専用のワンタイムコードを含む通信内容をそのまま捕捉しました。この通信は詐欺師が保持する2台目の端末にストリーミングされ、その端末が実際の決済端末に対してカードそのものになりすましました。
詐欺師は同じアクセス権限を使い、被害者の銀行アプリを通じてローンを組んでもいました。Group-IBはこれを計画された手順というよりも、機会に乗じた追加行為だったと見ています。カードの取引は、通話が終了した直後から確認され始めました。
Group-IBは、2025年11月から2026年7月の間にVirusTotalへアップロードされた23件のサンプルをWindRelayに関連付けており、これらはチェコ、スロバキア、スロベニアの金融機関になりすましたものでした。
この詐欺を避けるための同社の推奨事項には、画面共有の検知をリモートアクセスの有無の代替指標として扱わないこと、通話が続いている最中に非公式ソースからアプリがインストールされた場合には警告を出すこと、そして物理的なカード取引と時期が重なるローン実行にフラグを立てることが含まれています。
翻訳元: https://www.infosecurity-magazine.com/news/windrelay-nfc-relay-spynote-rat/
