WindRelayと呼ばれる新種のAndroid NFCリレー型マルウェアが、リモート管理ツール(RAT)であるSpyNoteと組み合わせて使用され、カードデータを盗み出してリアルタイムで攻撃者に送信していることが分かりました。
サイバーセキュリティ企業Group-IBが調査したある事例では、詐欺師が銀行員になりすまし、支払いカードに問題が発生したという口実で被害者に電話をかけました。
通話中、脅威アクターは被害者に対し、正規アプリを装ったSpyNote RATをサイドロードするよう指示し、ユーザー補助機能(Accessibility Service)の権限を付与させました。これにより、攻撃者はAndroid端末へのリモートアクセスを獲得しました。
信憑性を高めるため、攻撃者は悪意あるアプリのラベルに被害者の名前を個別に付与していました。
SpyNoteを通じて端末へのリモートアクセスを獲得した攻撃者は、被害者とのそれ以上のやり取りなしにWindRelayをインストールし、銀行アプリを使って被害者名義でローンを組みました。
さらに、被害者は支払いカードをスマートフォンにタップし、PINを入力するよう指示されました。WindRelayはスマートフォンを不正な非接触型リーダーに変え、カードの取引固有の認証データを含むNFC(近距離無線通信)によるライブ交換内容を攻撃者の端末に中継しました。
これにより、攻撃者は取得したカードデータを正規の決済端末での購入に使用できるようになりました。
Group-IBによると、一連の行為はわずか13分間の通話の中で行われ、取引は被害者本人が提供したPINを使って承認されたとのことです。
研究者らは、SpyNoteとWindRelayの組み合わせが、被害者端末への不正アクセスによる銀行取引だけでなく、直接的な換金手段も併せ持つツールキットの存在を示唆していると指摘しています。
また、画面共有やVNC機能をライブで備える現代の多くのAndroidマルウェアとは対照的に、この組み合わせは電話上でのソーシャルエンジニアリングのみで詐欺を成立させることを可能にしていました。
Android向けNFCマルウェアは深刻化しつつある問題であり、NFCShare、NGate、SuperCard X、そしてRelayNFCといったマルウェアファミリーがそれを示しています。
典型的な攻撃では、被害者は悪意あるアプリをインストールしてNFCへのアクセスを許可してしまいます。攻撃者はその後、ソーシャルエンジニアリングを駆使して、侵害されたスマートフォンに支払いカードをタップさせるよう被害者を誘導します。
スマートフォンはNFCインターフェースを使って非接触型決済カードと通信し、取得可能なデータを収集した上で、インターネット経由で攻撃者が管理する端末に送信します。
取得したデータや使用された手法によっては、攻撃者はそれを不正取引やATMでの現金引き出しなど、他の金融犯罪に利用できる可能性があります。
SpyNote RATおよびSpyMax、CypherRATといった亜種は少なくとも2021年から出回っており、マルウェアのソースコードが流出した後、2022年後半から2023年前半にかけて検出数の増加が記録されています。
このマルウェアは銀行データ、FacebookおよびGoogleアカウントの認証情報、Google Authenticatorのコード、GPS追跡情報、SMSメッセージを盗み出すことができます。また、端末のマイクとカメラを起動させたり、キー入力を汎用的に傍受したりすることも可能です。
Group-IBは、2025年11月から2026年7月の間にVirusTotalへ提出されたWindRelayの検体を約20件特定しており、これらは4つのコマンド&コントロール(C2)IPアドレスと通信していました。
研究者らによると、なりすまされた組織や使用されている言語から判断すると、標的はチェコ、スロバキア、スロベニアに集中している模様です。
発行元を把握し信頼できる場合を除き、Androidユーザーは Google Play以外からのAPKパッケージの入手を避け、NFCアクセスやその他の危険な権限を要求するアプリには十分注意することが推奨されます。
銀行を名乗る電話がかかってきて緊急の対応を求められた場合は、いったん通話を切り、その組織の公式サイトに記載されている電話番号にかけ直して、同じ担当者への取り次ぎを依頼することが望ましいでしょう。
攻撃者が有効な認証情報を手にすると、その行動のうち37%しか阻止できない
全体的な防御スコアだけでは、初期侵入後に何が起きているかが見えなくなってしまいます。攻撃者が有効な認証情報を使い始めると、防御の成功率は急激に低下します。
The Blue Report 2026は、顧客の実運用環境で実施された3億3,800万件のシミュレーションをもとに、手法ごとに防御力を測定しています。
