Malwarebytesは8月13日(米国時間)、「New Android malware lets criminals use your bank card in real time｜Malwarebytes」において、スマートフォンに決済カードをかざすことで、カードとのNFC通信を攻撃者へリアルタイムに転送するAndroidマルウェア「WindRelay」が発見されたと報じた。

攻撃者は銀行員を装って被害者に電話をかけ、マルウェアを導入したスマートフォンにカードをかざすよう誘導。遠隔地からタッチ決済やATMでの現金引き出しに悪用する可能性があるという。

  • スマートフォンに決済カードをかざすことで、カードとのNFC通信を攻撃者へリアルタイムに転送するAndroidマルウェア「WindRelay」が発見された　Photo:PIXTA

    スマートフォンに決済カードをかざすことで、カードとのNFC通信を攻撃者へリアルタイムに転送するAndroidマルウェア「WindRelay」が発見された　Photo:PIXTA

銀行員を装い「カードをスマホにかざして」と誘導

WindRelayを使った攻撃の詳細は、セキュリティ企業「Group-IB」の調査レポートで明らかにされている。研究者が特定した攻撃チェーンの概要は次のとおり。

  • 攻撃者は銀行員を装い、標的に電話をかけて決済カードに問題があると指摘する
  • 決済カードの問題を解決するために必要などと説明し、被害者に遠隔操作型トロイの木馬(RAT: Remote Administration Trojan)「SpyNote」をインストールさせる
  • スマートフォンの遠隔操作が可能になった攻撃者は、RATの機能を使用して本件マルウェア「WindRelay」をひっそりとインストールする
  • 最後に攻撃者は決済カードをスマートフォンにかざすように要求する。決済にPINコードが必要な場合は、PINコードの入力も要求する
  • WindRelayはカードとのNFC通信を攻撃者のスマートフォンへリアルタイムに中継する
  • これにより攻撃者のスマートフォンはカードそのものとして振る舞い、物理カードが手元になくても、遠隔地からタッチ決済やATMの操作が可能になる

注目すべきは、この一連の攻撃が1度の通話中に完結したとされる点だ。さらに、初期侵入に使われたSpyNoteを含むAPKパッケージには被害者の名前が含まれていた。つまり、攻撃者は標的の個人情報を事前に収集し、パーソナライズされた攻撃手段を準備していたことになる。

  • WindRelayを使用する攻撃チェーンの概要 引用：Group-IB

    WindRelayを使用する攻撃チェーンの概要 引用：Group-IB

アプリのインストールやカードの読み取り要求に注意

この手法は「ゴーストタッピング」と呼ばれるNFCリレー攻撃手法に分類される。過去にも類似のマルウェアが発見されているが、本件はSpyNoteとWindRelayで役割を分担している点が特徴的と評価されている。

Malwarebytesはゴーストタッピング攻撃を回避するために、Androidユーザーに次の対策の実施を推奨している。

  • 詐欺師からの突然の電話およびメッセージに警戒する。緊急性を訴えるものは詐欺の可能性が高い
  • 金融機関を名乗る連絡を受けても、その場で指示に従わない。不審に感じた場合は一度通話を終了し、金融機関の公式窓口へ直接問い合わせる
  • 予期しない電話およびメッセージを介した個人情報の開示は行わない
  • 電話やメッセージを介したアプリのインストール、リンクのクリック、ダウンロードの要求には従わない。金融機関がこれら方法を採用することはない
  • アプリのサイドローディング(非公式ストアの利用)は行わない。アプリが予期しないアクセシビリティー権やデバイス制御権を要求した場合は、重大な警告サインとして認識する

今回の攻撃では、金融機関の担当者を装ってアプリをインストールさせたうえで、決済カードをスマートフォンにかざすよう誘導している。金融機関を名乗る人物からこうした操作を求められた場合は、その場で指示に従わず、金融機関の公式窓口に直接確認することが重要だ。