보안 기업 그룹아이비(Group-IB)가 'WindRelay'라는 새로운 NFC(근거리무선통신) 중계 악성코드를 발견했습니다. 사기범은 은행 직원을 사칭해 전화 통화 중 피해자에게 원격제어 악성코드 'SpyNote'를 설치하게 한 뒤, 스마트폰을 몰래 조종해 WindRelay까지 심습니다. 피해자가 카드를 스마트폰에 한 번만 갖다 대고 비밀번호를 입력하면, 그 정보가 사기범의 가짜 결제 단말기로 실시간 전송되어 무단 결제에 사용됩니다. 이 모든 과정이 단 13분 안에 이뤄진 사례가 확인됐으며, 2025년 11월부터 올해 7월까지 체코·슬로바키아·슬로베니아에서 관련 악성 샘플 23개와 명령제어 서버 4개가 발견됐습니다. 금융기관은 고객 통화 중 공식 앱스토어 외부 앱 설치나 접근성 서비스 남용 등 이상 징후를 즉시 탐지하고 안내하는 체계를 갖춰야 합니다.
그룹아이비가 신종 NFC 중계 악성코드 WindRelay를 발견했다. 사기범은 은행 직원을 사칭한 전화 통화 중 RAT(원격 접속 트로이목마) SpyNote로 피해자 스마트폰을 장악한 뒤 WindRelay를 추가 설치해 실물 카드 데이터를 실시간으로 가짜 결제 단말기로 전송했다.
피해자가 카드를 한 번 스마트폰에 접촉하고 PIN을 입력하는 것만으로 카드 정보가 탈취되어 무단 결제가 승인된다. 2025년 11월~2026년 7월 체코·슬로바키아·슬로베니아에서 악성 샘플 23개, C&C 서버 4개가 확인됐다.
NFC 중계 악성코드와 RAT을 결합한 복합 공격 기법이 사용됐다. 피해자가 사회공학적 전화 사기에 속아 비공식 앱을 설치한 것이 감염의 시작점이다.
그룹아이비는 금융기관에 통화 중 공식 앱스토어 외부 앱 설치 및 접근성 서비스 악용 등 원격제어 악성코드 징후를 실시간으로 탐지·점검하는 체계를 갖출 것을 권고했다.
고객이 전화 통화 중 앱 설치 요청을 받는 상황 자체가 사기의 핵심 수법이다. 금융사 앱·고객센터는 '직원이 전화로 앱 설치를 요청하는 경우는 없다'는 안내를 반복 강조해야 한다. 접근성 서비스 권한 요청 앱에 대한 단말 수준 차단도 검토가 필요하다.
본문
윈드릴레이(WindRelay) NFC 및 스파이노트(SpyNote) 원격 접속 트로이목마를 활용한 뱅킹 사기 공격 방식 개요(자료=그룹아이비)
사기범이 전화 통화 중 피해자의 스마트폰을 원격 제어하고 비접촉식 카드 정보를 실시간으로 빼내 결제에 이용하는 신종 악성코드가 발견됐다.
그룹아이비(Group-IB)는 새로운 근거리무선통신(NFC) 중계형 악성코드 'WindRelay'를 확인했다고 2일 밝혔다.
WindRelay는 감염된 스마트폰의 NFC 기능을 이용해 실물 카드 데이터를 원격에 있는 가짜 결제 단말기로 실시간 전송하도록 설계됐다.
공격에는 원격 접속 트로이목마(RAT) 'SpyNote'가 함께 사용됐다. 사기범은 은행 직원을 사칭해 피해자에게 SpyNote를 설치하도록 유도한 뒤 스마트폰을 원격 제어해 WindRelay를 추가로 설치했다.
그룹아이비가 확인한 사례에서는 이 과정이 13분간의 전화 통화 안에서 이뤄졌다. 사기범은 피해자 명의로 대출을 신청하는 동시에 카드 정보를 가짜 결제 단말기로 전송했다. 피해자가 실물 카드를 한 차례 스마트폰에 접촉하고 비밀번호(PIN)를 입력하자 해당 정보가 실시간 중계돼 거래 승인에 이용됐다.
그룹아이비는 이번 공격이 NFC 중계 악성코드를 단독으로 사용하는 대신 원격제어 악성코드와 결합한 것이 특징이라고 설명했다. 2025년 11월부터 올해 7월까지 체코·슬로바키아·슬로베니아에서 WindRelay 관련 악성 샘플 23개와 명령제어(C&C) 서버 4개가 확인됐다.
그룹아이비는 금융기관에 통화 중 공식 앱스토어 외부에서 설치되는 앱이나 접근성 서비스 악용 등 원격제어 악성코드의 징후를 함께 점검할 것을 권고했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
