- WindRelayキャンペーンはビッシングとカスタムマルウェアを組み合わせ、スマートフォンをPOS型スキマーに変える
- 被害者は個別化されたRATとNFCマルウェアをインストールさせられ、リアルタイムでのカード情報窃取を許してしまう
- 攻撃は東欧全域で極めて標的を絞った形で行われ、被害者はごく少数にとどまる
ハッカーたちが人々のスマートフォンを悪意あるPOS(Point of Sale)端末に変え、被害者の決済カードから直接金銭を盗んでいると、専門家が警告しています。
セキュリティ研究者集団Group-IBは、東欧各地で複数の同種の攻撃を確認し、このキャンペーンを攻撃で使用されたカスタム開発のマルウェアにちなんでWindRelayと名付けました。
レポートによると、これは被害者一人ひとりに合わせて特別に設計された、極めて高度でカスタマイズ性の高い攻撃だとされています。攻撃はまず何らかの偵察活動から始まり、その過程で攻撃者は被害者の身元や電話番号、その他おそらく様々な情報を把握します。研究者たちはこの点について言及していませんが、攻撃者が無関係のデータ漏洩や流出事件からこれらの情報を入手した(あるいは購入した)可能性は十分に考えられます。
ビッシングとマルウェア
標的についてある程度把握した後、攻撃者たちは作業に取り掛かります。まず、SpyNoteという名前のリモートアクセス型トロイの木馬(RAT)を準備します。彼らはこのアプリのラベルを、汎用的な名称や有名ブランドを偽装したものではなく、被害者自身の名前を使ってカスタマイズし、被害者の信頼を得ようとします。
「このような手口は、被害者が本来持っている警戒心や疑念を弱める上で非常に効果的です」と研究者たちはレポートの中で述べています。「見慣れないアプリをインストールする前に人々が確認するよう教えられている唯一の手がかり、すなわち奇妙な、あるいは汎用的なアプリ名という手がかりを、まさに人が最も躊躇しやすい瞬間に取り除いてしまうのです」
その後、攻撃者は被害者に電話をかけ、標的の銀行の職員だと名乗ります。そして被害者の銀行カードに問題が発生していると主張し、デバイスのパッケージインストーラー(公式アプリストア以外からアプリをサイドロードする標準的な方法)を通じてSpyNoteを導入するよう指示します。
SpyNote自体はオーソドックスなRATであり、攻撃者はこれを使って第2段階のマルウェアを自ら展開します。この次の段階では、被害者に操作させるのではなく攻撃者自身の手で、非接触決済カードのデータをカードがスマートフォンにタッチされた瞬間にリアルタイムで取得するよう設計されたカスタムNFC(近距離無線通信)マルウェア、WindRelayをインストールします。
つまり、このマルウェアはスマートフォンをPOS端末に変えてしまい、被害者がカードをタッチすると、その情報が攻撃者の端末へと転送される仕組みです。
ビッシング+マルウェア
ビッシングとマルウェアを組み合わせた手口自体は目新しいものではありません。これまでも何度も使われてきており、ShinyHuntersはおそらくその中でも最も象徴的な例と言えるでしょう(この言葉遊びは意図的なものです)。ここ数年、ShinyHuntersは被害者に電話をかけ、IT部門の担当者になりすまし、偽のログインポータルにログインさせることで認証情報を攻撃者側に転送させるという手口を用いてきました。
その後、盗み取った認証情報を使って被害者のSaaS製品にアクセスし、可能な限り機密性の高いデータを窃取した上で、盗んだファイルを削除する見返りとして身代金を要求します。
しかし今回の新たなキャンペーンは、この手口がさらに進化したことを物語っています。ShinyHuntersの実行犯は被害者がログインするまでしか電話を続けませんが、今回の犯罪者たちは必要な限り通話を続けます。Group-IBによると、通話の平均時間は約13分に及び、その時点までに被害者はSpyNoteとWindRelayの両方をインストールし、銀行カードをスマートフォンにタッチさせられ、意図しない決済を行わされてしまっているといいます。
少なくとも1件のケースでは、攻撃者は被害者の口座にあった資金だけでなく、被害者が銀行でローンの申し込みまで行い、将来得るはずだった資金までも窃取することに成功しています。
現時点で攻撃者の正体は不明です。被害者の正確な人数も分かっていませんが、攻撃が極めて個別化された性質を持つことを踏まえると、被害者はごく少数にとどまっていたと考えて差し支えないでしょう。
Group-IBは、チェコ、スロバキア、スロベニアで攻撃を確認したとしており、この脅威アクターが主に東欧の被害者を標的にしていることをうかがわせます。また研究者たちは、2025年11月から2026年7月の間にVirusTotalへアップロードされた23件のサンプルを特定したとも述べており、これはこのキャンペーンが約7カ月間にわたって活動を続け、23人の個人を標的にしてきたことを意味します。
「これらのサンプルは標的となった各国のさまざまな機関を模倣しており、標的国それぞれの言語のテキストが含まれています」と研究者たちは述べています。「一部のサンプルには、個別化されたRATと同様に、被害者の名前などの個別化されたUI要素やラベルが含まれています。これは、これらのキャンペーンの背後にいる脅威アクターが、個々の被害者に合わせて悪意あるアプリケーションを動的に構築する能力をおそらく有していることを示唆しています」
Group-IBは、ユーザーに対し、個別化されたアプリ名は危険信号として扱うべきであり、ローンの申し込みに対してはより慎重な確認手順を設けるべきだと呼びかけています。
