그룹아이비, NFC 중계 악성코드 ‘윈드릴레이’ 발견

전화 사기범이 피해자 스마트폰에 원격 접속 트로이목마(RAT)를 설치한 뒤 근거리무선통신(NFC) 카드 정보를 실시간으로 빼내는 공격이 확인됐다.

그룹아이비(Group-IB)는 ‘윈드릴레이(WindRelay)’로 명명한 NFC 중계형 악성코드가 기존 원격 접속 트로이목마 ‘스파이노트(SpyNote)’와 함께 사용된 사례를 확인했다. 그룹아이비는 지난 12일 공식 블로그를 통해 연구 결과를 공개했다.

윈드릴레이는 감염된 스마트폰의 NFC 기능을 이용해 피해자의 실물 비접촉식 카드 정보를 원격에 있는 가짜 결제 단말기로 실시간 전달하는 악성코드다.

그룹아이비가 확인한 사례에서 공격자는 전화 통화 중 은행 직원을 사칭했다. 피해자가 자신의 이름이 표시된 악성 앱을 설치하도록 유도한 뒤 스파이노트를 이용해 기기에 원격으로 접근했다. 이후 피해자의 별도 조작 없이 윈드릴레이를 추가로 설치했다.

공격은 약 13분간 이어졌다. 공격자는 피해자 명의로 대출을 신청하는 동시에 윈드릴레이를 이용해 카드 데이터를 가짜 결제 단말기로 전송했다. 카드 거래는 피해자가 직접 입력한 개인식별번호(PIN)를 통해 승인됐다.

그룹아이비는 윈드릴레이에서 NFC 접근과 인터넷 통신, 연락처 접근 등에 필요한 권한을 확인했다. 보안 도구의 탐지를 피하기 위한 맞춤형 권한도 발견했다.

이번 캠페인은 중부·동유럽에서 시작된 것으로 분석됐다. 그룹아이비는 2025년 11월부터 올해 7월까지 체코와 슬로바키아, 슬로베니아에서 바이러스토탈(VirusTotal)에 올라온 악성코드 샘플 23개와 카드 데이터를 중계하는 데 사용된 명령제어(C&C) 서버 4개 사이의 연관성을 확인했다.

그룹아이비는 현재 확인된 캠페인이 유럽 피해자를 대상으로 했다고 설명했다. 다만 비접촉식 결제와 모바일 금융 서비스가 확산된 국가에서도 같은 공격 방식이 쓰일 가능성이 있다며 금융회사가 통화 중 외부 앱 설치나 접근성 서비스 악용 등 원격 접속 악성코드의 징후를 함께 확인해야 한다고 권고했다.