WindRelayとSpyNote RATの組み合わせ、Androidを銀行詐欺用NFCカードリレーに変える

詐欺師との一本の電話が、同じ通話の中で被害者名義のローン契約と銀行カードの不正利用につながる事態が起きています。Group-IBの研究者らは、脅威アクターがSpyNoteリモートアクセス型トロイの木馬と、これまで確認されていなかったAndroidマルウェア「WindRelay」を組み合わせる新たな攻撃手口を発見しました。WindRelayの役割は明確かつ単一で、NFC経由で銀行カードデータをリアルタイムに攻撃者が管理する端末へ送信します。

わずか13分の攻撃:手口の全貌

Group-IBが調査した事例では、攻撃の開始から終了まで約13分しかかかっていませんでした。詐欺師は銀行員を装って被害者に電話をかけ、カードに問題が発生したと偽りました。発信者の指示に従って、被害者はSpyNoteを隠し持つアプリケーションをインストールしてしまいます。この手口の信憑性を高めるため、攻撃者は悪意あるアプリケーションに被害者自身の名前を付けていました。

SpyNoteが密かに制御を掌握

SpyNoteがインストールされると、攻撃者は端末所有者の協力をもはや必要としなくなります。このトロイの木馬はAndroidのアクセシビリティサービスへのアクセス権を取得し、その後、攻撃者は画面共有を一切表示させることなく、第二の悪意あるペイロードであるWindRelayをリモートインストールしました。画面のブロードキャストが一度も有効化されなかったため、リモート制御セッションを検知するよう設計されたセキュリティ機構は、この侵入を全く検知できなかった可能性があります。同じセッション中に、攻撃者は被害者の銀行アプリを使って被害者名義のローンを契約しました。

WindRelay:スマートフォンを非接触型リレー端末に変える

その後、詐欺師は被害者に対し、スマートフォンに銀行カードをかざしてPINコードを入力するよう求めました。WindRelayは感染端末を、事実上の非接触型決済端末として機能させます。重要な点として、このマルウェアは単に静的なカード番号を読み取るだけではありませんでした。カードのチップとリーダーの間でやり取りされるライブの暗号鍵交換、すなわちその特定の取引のために生成されたワンタイムの取引認証データまで傍受していたのです。そのデータは直ちにインターネット経由で攻撃者の端末へ送信されました。

攻撃者の端末は、今度は実際の決済端末やATMに対して、被害者本物の銀行カードであるかのように振る舞います。事実上、カードと端末は本物同士のデータをやり取りし続けますが、その間には詐欺師のインフラが目に見えない形で介在し、離れた場所にメッセージを中継していました。決済ネットワークから見れば、この取引は通常の非接触型購入や現金引き出しにしか見えません。この手口は「Ghost Tap」攻撃の手法と極めて似ています。今回記録された事例では、通話終了後まもなく、物理カードを使った取引が被害者の口座に記録されました。

WindRelayの権限要求がその目的を裏付ける

WindRelayが要求する権限を分析すると、その専門性が裏付けられます。このマルウェアはNFC、インターネット、連絡先へのアクセス権を要求するだけでなく、DUMP権限も求めています。これはサードパーティ製アプリケーションとしては異例の権限で、システム状態情報へのアクセスを可能にするものです。さらに、このアプリケーション自体の権限設定は、他のプログラムが内部コンポーネントにアクセスすることを制限しており、その動作を精査から一層遠ざけています。

23の検体、4つのC2アドレス、中欧全域が標的に

Group-IBは、2025年11月から2026年7月の間にVirusTotalへアップロードされた、関連する23個のWindRelay検体と、4つのコマンド&コントロール(C2)IPアドレスを特定しました。これらのアプリケーションはチェコ、スロバキア、スロベニアに拠点を置く組織を装っており、それぞれの国の言語による文字列が含まれていました。SpyNote自体と同様、検体の一部は個々の被害者向けに特別に作成されており、被害者の名前がアプリケーション内に直接組み込まれていました。