- 스파이노트로 스마트폰 원격 제어한 뒤 윈드릴레이 설치…카드 한 번 탭하면 결제 데이터를 가짜 단말기로 중계
그룹아이비(Group-IB)가 원격 접속 트로이목마(RAT) ‘스파이노트(SpyNote)’와 연동하는 신종 NFC 중계 악성코드 ‘윈드릴레이(WindRelay)’를 발견했다. 윈드릴레이는 감염된 스마트폰의 NFC 기능을 이용해 실물 비접촉식 카드 데이터를 원격의 가짜 결제 단말기로 실시간 전송한다. 공격자는 은행 직원을 사칭한 13분간의 통화에서 스파이노트와 윈드릴레이를 차례로 설치하고, 피해자 명의 대출 신청과 카드 결제를 동시에 진행했다. 피해자가 카드를 한 번 탭하고 PIN을 입력하면 해당 거래의 인증 데이터가 중계돼 결제가 승인된다.
13분 통화에서 대출과 카드 결제 동시 진행
공격은 은행 직원을 사칭한 전화 통화에서 시작됐다. 사기범은 피해자 이름이 앱 라벨에 표시된 스파이노트를 설치하도록 유도하고, 확보한 원격 접속 권한으로 별도의 피해자 조작 없이 윈드릴레이를 추가했다. 13분간 이어진 통화에서 사기범은 피해자 명의로 대출을 신청하는 동시에 실물 카드를 스마트폰에 접촉하고 PIN을 입력하도록 지시했다. 카드 데이터는 윈드릴레이를 거쳐 원격의 가짜 결제 단말기로 전송됐으며, 거래는 피해자가 직접 입력한 PIN으로 승인됐다. 스파이노트 설치 이후 윈드릴레이 추가와 대출 신청은 모두 공격자가 원격으로 수행했다.
카드 한 번 탭하면 인증 데이터 실시간 중계
윈드릴레이는 감염된 스마트폰을 가짜 비접촉식 카드 단말기처럼 작동시킨다. 피해자가 카드를 스마트폰에 대면 악성코드는 카드 칩과 단말기가 주고받는 데이터를 가로채며, 해당 거래에서 생성된 일회성 인증 코드도 함께 확보한다. 수집한 데이터는 인터넷을 통해 공격자가 보유한 두 번째 기기로 실시간 전송된다. 공격자의 기기는 실제 가맹점 단말기나 현금자동입출금기(ATM)에 피해자 카드인 것처럼 접속한다. 실물 카드와 정상 단말기 사이의 인증 과정이 원격으로 중계되기 때문에 거래는 정상적인 비접촉식 결제처럼 처리된다. 공격자는 카드 정보를 저장해 나중에 재사용하는 대신, 카드 탭 순간의 인증 데이터를 곧바로 중계해 결제하거나 현금을 인출한다.
NFC·인터넷·연락처 권한 묶어 악용
그룹아이비 연구진은 윈드릴레이가 카드 데이터를 읽는 근거리무선통신(NFC) 접근 권한과 수집한 정보를 실시간으로 전송하는 인터넷·네트워크 상태 접근 권한을 요구하는 사실을 확인했다. 연락처 읽기 권한으로는 추가 표적을 찾거나 후속 사회공학 공격에 활용할 정보를 확보한다. 기기의 시스템 상태를 검사하는 ‘DUMP’ 권한과 악성코드 전용 맞춤형 권한도 포함됐다. DUMP 권한은 보안 도구 설치 여부나 감염 상태를 확인하는 데 쓰일 수 있으며, 맞춤형 권한은 윈드릴레이의 내부 요소를 다른 앱과 분리한다. 보안 소프트웨어의 검사와 개입을 어렵게 만드는 방식이다.
NFC 공격 188% 증가…유럽서 23개 샘플 확인
그룹아이비는 앞선 ‘고스트 탭드(Ghost Tapped)’ 연구에서 2024년 11월부터 2025년 8월까지 중국어권 사이버 범죄 조직이 사기 서비스 형태로 유포한 NFC 안드로이드 악성코드 샘플 54개 이상을 확인했다. 단일 판매시점정보관리(POS) 공급업체와 연계된 사기 거래 규모는 최소 35만5000달러로 집계됐다.
유럽결제협의회(European Payments Council)는 2025년 ‘결제 위협 및 사기 동향’ 보고서에서 NFC 중계 사기를 증가세가 나타나는 사기 유형으로 분류했다. 독립 텔레메트리에서도 2026년 첫 4개월 동안 안드로이드 기기를 겨냥한 NFC 기반 공격이 전년 같은 기간보다 188% 늘어난 것으로 나타났다.
윈드릴레이 캠페인의 발원지는 중부·동유럽으로 추적됐다. 그룹아이비는 2025년 11월부터 2026년 7월까지 체코와 슬로바키아, 슬로베니아에서 바이러스토탈(VirusTotal)에 올라온 악성 샘플 23개와 카드 데이터 중계에 사용된 명령제어(C&C) 서버 4개의 연관성을 확인했다. 공격에 사용하는 기술이 특정 지역에 의존하지 않는 만큼 아시아·태평양 지역 수사 당국도 해당 수법을 주시하고 있다.
통화 중 사이드로드 앱 설치를 위험 신호로 분류
현재까지 확인된 피해 지역은 유럽이지만 스파이노트를 이용한 사이드로딩과 윈드릴레이의 결합은 지역에 관계없이 적용할 수 있는 공격 방식이다. 그룹아이비는 비접촉식·모바일 결제 이용률이 높은 한국의 금융기관과 모바일 뱅킹 사업자도 통화 중 앱 설치와 원격 제어, NFC 결제가 이어지는 패턴을 감시해야 한다고 설명했다.
금융기관에는 원격 접속 여부를 화면 공유 탐지만으로 판단하지 말고, 통화 중 설치된 사이드로드 앱과 접근성 서비스 악용 등 RAT 지표를 함께 확인하도록 권고했다. 공식 앱스토어 밖에서 이뤄지는 앱 설치는 독립적인 고위험 신호로 분류하고, 대출금 지급 직후 발생하는 카드 대면 거래와 연계해 분석해야 한다. 두 신호가 짧은 시간 안에 겹치면 대출과 카드 결제를 함께 노린 단일 실시간 사기 세션일 수 있다.
#그룹아이비 #윈드릴레이 #스파이노트 #NFC중계 #NFC악성코드 #원격접속트로이목마 #RAT #모바일뱅킹 #금융사기 #사이버보안
