사기범이 전화 통화 중 피해자의 스마트폰을 원격 제어하고 비접촉식 카드 정보를 실시간으로 빼내 결제에 이용하는 신종 악성코드가 발견됐다.
그룹아이비는 새로운 근거리무선통신(NFC) 중계형 악성코드 '윈드릴레이(WindRelay)'를 확인했다고 2일 밝혔다.
윈드릴레이는 감염된 스마트폰의 NFC 기능을 이용해 실물 카드 데이터를 원격에 있는 가짜 결제 단말기로 실시간 전송하도록 설계됐다.
공격에는 원격 접속 트로이목마(RAT) '스파이노트'가 함께 사용됐다. 사기범은 은행 직원을 사칭해 피해자에게 스파이노트를 설치하도록 유도한 뒤 스마트폰을 원격 제어해 윈드릴레이를 추가로 설치했다.
그룹아이비가 확인한 사례에서는 이 과정이 13분간의 전화 통화 안에서 이뤄졌다. 사기범은 피해자 명의로 대출을 신청하는 동시에 카드 정보를 가짜 결제 단말기로 전송했다. 피해자가 실물 카드를 한 차례 스마트폰에 접촉하고 비밀번호(PIN)를 입력하자 해당 정보가 실시간 중계돼 거래 승인에 이용됐다.
그룹아이비는 이번 공격이 NFC 중계 악성코드를 단독으로 사용하는 대신 원격제어 악성코드와 결합한 것이 특징이라고 설명했다. 2025년 11월부터 올해 7월까지 체코·슬로바키아·슬로베니아에서 윈드릴레이 관련 악성 샘플 23개와 명령제어(C&C) 서버 4개가 확인됐다.
그룹아이비는 금융기관에 통화 중 공식 앱스토어 외부에서 설치되는 앱이나 접근성 서비스 악용 등 원격제어 악성코드의 징후를 함께 점검할 것을 권고했다.
박진형 기자 jin@etnews.com
