Group-IBの研究者が、NFC経由で決済カードのデータをリアルタイムで窃取し、攻撃者に転送する専用設計の新型NFCリレーマルウェアファミリーを発見しました。研究者らはこれを「WindRelay」と名付けています。
NFC(近距離無線通信)は、スマートフォンや決済カード、決済端末などの機器同士が非常に近い距離で通信できる無線技術です。攻撃者はこの仕組みを悪用し、物理的な銀行カードを盗む代わりに、感染したスマートフォン上のNFCアクティビティを捕捉して、犯罪者が管理する端末にリアルタイムで転送します。その端末を非接触型決済端末や、非接触型の現金引き出しに対応したATMにかざすことで、不正利用が行われる仕組みです。
研究者らは、銀行を装った13分間の電話が行われた事例を報告しています。この通話で被害者は、その銀行名を冠したAndroidアプリのインストールを促されました。しかしこのアプリの正体は、リモートアクセス型トロイの木馬(RAT)であるSpyNoteでした。SpyNoteによって攻撃者は端末を遠隔操作できるようになり、二つ目のアプリであるWindRelayを密かにインストールすることが可能になりました。
その後、攻撃者は被害者の正規の銀行アプリを遠隔で開き、被害者名義でローンを組む手続きを進めながら、同時に被害者に対して物理的な決済カードをスマートフォンにかざし、暗証番号を入力するよう求めました。このタップ操作によって、二つ目のアプリがカードの非接触型データをリアルタイムで犯罪者側に転送し、犯罪者はそのデータを使って買い物をしたり、場合によってはATMから現金を引き出したりすることが可能になったのです。
この一連の攻撃で重要なのは、役割分担がなされている点です。リモートアクセス型マルウェア(SpyNote)が攻撃者をスマートフォン内部に侵入させ、NFCリレーマルウェア(WindRelay)がその瞬間、被害者の物理カードを犯罪者が別の場所で使えるものへと変換するのです。
実際には、聞こえるほど単純な話ではありません。というのも、NFCにはいくつかの異なる「種類」が存在するためです。中には固定コードを生成するものもあります。例えば、私が住むアパートの入り口を開けるためのカードがそれに当たります。この種の信号は、私のFlipper Zeroのような機器に簡単にコピーでき、それを使ってドアを開けることができてしまいます。しかし、高度な非接触型決済カードは動的コードを使用します。タップして支払うたびに、カードのチップは一意で使い捨てのコード(しばしば「クリプトグラム」や「トークン」と呼ばれます)を生成し、これは再利用できません。
だからこそ、NFCリレーマルウェアの重要な特徴はリアルタイムでの中継にあります。決済カードの取引は動的で取引固有の暗号データを使用するため、このタイプの詐欺においてはタイミングが極めて重要な要素となるのです。
電話は単なる誘い文句にとどまりません。攻撃者にとっての制御チャンネルでもあるのです。この通話によって、被害者のためらいを克服し、混乱に即座に対応し、被害者がアプリをインストールし、カードをタップし、暗証番号を入力するといった正確なタイミングを調整することが可能になります。
これは「ゴーストタッピング」とも呼ばれる、既に確立され拡大しつつあるNFCリレー詐欺というカテゴリーの一部です。過去にも、同様のマルウェアファミリーであるNGateやSuperCard Xについて取り上げてきました。しかし、今回のキャンペーンが際立っているのは、SpyNoteとの組み合わせにあります。
身を守るための対策
多くのセキュリティ脅威と同様、最大の防御策はあなた自身です。この攻撃の背後にいるサイバー犯罪者は、あなたがスマートフォンにソフトウェアをインストールしない限り何もできません。だからこそ彼らは、あなたを説得するためにいくつもの段階を踏んでくるのです。
- 見知らぬ人物からの電話やメッセージ、特に緊急性を訴えるものには懐疑的な姿勢を持つこと。詐欺師は通常、あなたを慌てさせて素早く行動させようとします。一度電話でつながってしまうと、彼らは信頼関係を築き、冷静な判断や拒否をより難しくさせてきます。
- 行動を起こすよう促されたと感じたら、まず信頼できる人に相談してください。それでも要求が正当なものだと確信できる場合は、独自に確認を取りましょう。金融機関に連絡する際は、テキストメッセージやメールに記載された番号ではなく、公式の番号を使って電話してください。
- 予期せぬ連絡をしてきた相手に個人情報を教えてはいけません。また、相手の要求に応じて銀行取引の情報を変更することも絶対にしないでください。銀行が、カードを「保護する」ためと称してリンクやテキストメッセージ、ブラウザのダウンロード、その他非公式な経路からアプリをインストールするよう求めてくることはありません。
- サイドローディング(Google Playストア以外からのアプリインストール)は避け、ユーザー補助機能やデバイス制御の権限を予期せず求められた場合は、深刻な警告サインとして受け止めてください。
- デバイスを保護するため、常に最新の状態を保ったリアルタイム型のアンチマルウェアソリューションを使用してください。
Malwarebytes for Androidは、SpyNoteおよびWindRelayを以下のように検知します。
Android/Trojan.NGate.ACRBCF9BBC3C1Android/Trojan.NGate.ACR2401245FC5
詐欺師は、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシングや詐欺テキスト、悪意のあるサイトなどからあなたを守ります。リアルタイムAI搭載のScam Guardも標準搭載されています。
