보안 기업 그룹아이비(Group-IB)가 'WindRelay'라는 새로운 악성코드를 발견했습니다. 이 악성코드는 스마트폰의 NFC(근거리 무선 통신) 기능을 몰래 이용해 피해자의 실제 카드 정보를 사기범의 가짜 결제 단말기로 실시간 전송합니다. 사기범은 은행 직원을 사칭해 전화 통화 중에 피해자를 속여 원격 제어 앱(SpyNote RAT)을 설치하게 한 뒤, 피해자 몰래 WindRelay를 추가로 심어 단 13분 만에 대출 신청과 카드 현금 인출을 동시에 저질렀습니다. 현재까지는 체코·슬로바키아·슬로베니아 등 중동부 유럽에서 피해가 확인됐으나, 모바일 결제 사용률이 높은 국내 금융 환경도 위험에서 자유롭지 않습니다. 금융기관은 공식 앱 스토어 외부에서 앱이 설치되는 징후나 접근성 서비스 악용 같은 원격 제어 지표를 적극 모니터링해야 합니다.
그룹아이비가 신종 NFC 중계 악성코드 'WindRelay'를 발견했다. 이 악성코드는 기존 원격 접속 트로이목마 SpyNote와 결합해, 피해자의 비접촉식 카드 데이터를 사기범의 가짜 결제 단말기로 실시간 전송하는 방식으로 뱅킹 사기에 악용됐다.
피해자의 카드 데이터와 PIN이 동시에 탈취돼 현금 인출이 가능해진다. 단일 통화 세션(13분) 내에 대출 신청과 물리적 현금 인출이 동시에 이뤄졌으며, 체코·슬로바키아·슬로베니아에서 실제 피해가 확인됐다.
사기범이 은행 직원을 사칭해 전화로 피해자를 설득, SpyNote RAT를 설치하게 했다. 이후 원격 제어 권한으로 WindRelay를 몰래 추가 설치해 카드 NFC 데이터를 탈취했다.
그룹아이비는 금융기관에 화면 공유 탐지를 넘어 사이드로드 앱 설치·접근성 서비스 악용 등 RAT 지표를 세밀히 감시할 것을 권고했다. 또한 공식 앱 스토어 외부 설치를 강력한 위험 신호로 분류하고, 대출 지급과 카드 대면 거래의 연관성을 함께 분석하도록 촉구했다.
통화 중 앱 설치 유도는 즉각적인 위험 신호다. 금융 앱은 반드시 공식 스토어(Google Play 등)에서만 설치해야 하며, 은행 직원을 사칭한 전화로 앱 설치를 요구받으면 즉시 거절하고 공식 번호로 재확인해야 한다.
본문
WindRelay NFC 및 SpyNote 원격 접속 트로이목마를 활용한 뱅킹 사기 공격 방식 개요(이미지 제공-그룹아이비)
그룹아이비가 원격 접속 트로이목마와 연동해 실물 카드 데이터를 가짜 단말기로 중계하는 신종 NFC 중계 악성코드를 확인했다.
그룹아이비는 2일 신종 NFC 중계형 악성코드 'WindRelay'를 발견했다고 밝혔다. 이 악성코드는 감염된 기기의 NFC 기능을 악용해 피해자의 비접촉식 카드 데이터를 원격의 가짜 결제 단말기로 실시간 전송하도록 설계됐다. 알려진 원격 접속 트로이목마인 SpyNote와 결합해 단일 세션에서 디지털과 물리적 현금 인출을 동시에 일으킨다.
사기범들은 은행 직원을 사칭해 피해자와 실시간으로 통화하며 개인 이름이 표시된 SpyNote 앱 설치를 유도했다. 원격 제어 권한을 확보한 뒤 피해자의 추가 조치 없이 WindRelay를 몰래 추가 설치했다. 13분 동안 이어진 통화에서 사기범은 피해자 명의로 대출을 신청하고 WindRelay로 카드 데이터를 가짜 단말기에 전송해 현금을 가로쐈다. 모든 거래는 피해자가 직접 입력한 PIN을 통해 승인됐다.
WindRelay는 단독으로 쓰이지 않고 기존 RAT와 결합해 치밀한 공격 툴킷으로 활용됐다. 연구진이 권한을 분석한 결과 카드 데이터를 잡기 위한 NFC 접근 권한, 실시간 데이터 유출을 위한 인터넷 접근 권한, 연락처 접근 권한, 보안 도구 탐지 회피용 맞춤형 권한이 포함됐다. 유럽결제협의회 보고서에 따르면 NFC 중계 사기는 꾸준히 증가하는 추세다. 안드로이드 기기 대상 NFC 기반 공격도 전년 동기 대비 급증했다.
이번 공격 캠페인은 중부 및 동유럽 지역에서 발원했다. 지난해 11월부터 올해 7월까지 체코, 슬로바키아, 슬로베니아 등지에서 악성 샘플과 명령 및 제어 서버 간의 연관성이 확인됐다. 유럽 피해자를 중심으로 나타났으나 모바일 결제 사용률이 높은 국내 금융 환경 역시 안전지대가 아니다.
그룹아이비 관계자는 "금융 기관들이 화면 공유 탐지에만 머물지 말고 통화 중 설치된 사이드로드 앱이나 접근성 서비스 악용 같은 RAT 지표를 세밀히 살펴봐야 한다"며 "공식 앱 스토어 외부에서 앱이 설치되는 상황을 강력한 위험 신호로 간주하고 대출 지급과 카드 대면 거래의 연관성을 함께 분석해야 한다"고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
