Group-IBの研究者は、NFC(近距離無線通信)経由で決済カードのライブデータを取得し、攻撃者へリアルタイムで中継する新種のAndroidマルウェア「WindRelay」を発見しました。WindRelayは、攻撃者に被害者のデバイスへのリモートアクセスを許すリモートアクセス型トロイの木馬「SpyNote」と組み合わせて使用されます。
攻撃チェーンの概要(出典: Group-IB)
詐欺の手口
この詐欺は一本の電話から始まります。詐欺師は被害者の銀行を名乗り、カードに問題があると告げます。詐欺師の指示に従って一つずつ手順を進めるうちに、被害者は自らアプリをインストールしてしまいます。
そのアプリの正体がSpyNoteであり、被害者の警戒心を解くための仕掛けが施されています。アプリのラベルには、見慣れない名称や汎用的な名称ではなく、被害者自身の名前が表示されるのです。Group-IBの研究者によると、SpyNoteのビルダーツールキットを使えば、攻撃者は標的ごとにアプリのラベル・名前・パッケージを展開前にカスタマイズできます。
SpyNoteによるリモートアクセスを確保すると、詐欺師は被害者にそれ以上の操作をさせることなく、2つ目のアプリ(WindRelay)をデバイスにインストールします。WindRelayはNFCを使って決済カードと通信し、インターネット接続を通じてそのやり取りをリアルタイムで中継します。また、連絡先へのアクセスや、サードパーティ製アプリとしては異例のシステム検査権限も要求します。
「わずか13分間の通話の中で、被害者は自らのデバイスにRATをインストールしてしまいました。それ以降のすべての操作は詐欺師によって行われたのです。通話が終わる頃には、詐欺師は被害者のモバイルアプリへのリモートアクセスを通じて被害者名義でローンを組み、さらに偽の加盟店端末へ被害者のカードデータをストリーミング配信していました」とGroup-IBは説明しています。
「すべての取引は、被害者自身が入力したPINによって承認されていました。被害者はこの一連の被害の間、ずっと詐欺師との通話をつなぎっぱなしにしていたのです」と同社は付け加えています。
通話が終了してからさほど時間が経たないうちに、被害者の口座にカード取引の履歴が現れ始めました。
規模と標的
Group-IBは、2025年11月から2026年7月の間にVirusTotalへアップロードされたWindRelayの検体23件を追跡し、チェコ、スロバキア、スロベニアの被害者を狙ったキャンペーンとの関連を確認しました。研究者はまた、このNFC中継活動に関連するコマンド&コントロール用IPアドレスを4件特定しています。
複数の検体には被害者固有の名前や、標的国の言語に合わせたインターフェース文言が含まれており、これらのアプリが個々の被害者や地域に合わせて作り込まれていたことがうかがえます。
「今回の事例は、現代の詐欺が単一の手口だけに頼ることがほとんどないことを示しています。今回、詐欺師はリアルタイムのソーシャルエンジニアリング通話、デバイスをリモート制御するための個別化されたRAT、そして物理的な現金化のためのNFC中継マルウェアという3つの機能を1回のセッションの中で組み合わせていました」とGroup-IBは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/08/14/windrelay-android-nfc-relay-malware/
