Una sofisticata truffa sfrutta malware NFC e RAT per rubare dati di carte di credito e contrarre prestiti a nome della vittima, il tutto durante una singola telefonata.
Una nuova e allarmante tecnica di frode bancaria è stata documentata da Group-IB, che ha identificato una combinazione di malware NFC denominato WindRelay e una variante del Remote Access Trojan (RAT) noto come SpyNote. Questa sinergia malevola permette ai criminali di perpetrare furti d'identità e frodi finanziarie con una rapidità e un'efficacia senza precedenti, spesso concludendo l'operazione nel corso di una singola telefonata.
La truffa inizia con una telefonata da parte del malintenzionato, che si finge un impiegato di banca. L'obiettivo è quello di indurre la vittima a credere che ci sia un problema con la sua carta di credito. Durante la conversazione, il truffatore guida la vittima nell'installazione di un'applicazione apparentemente innocua. In realtà, questa applicazione è un RAT SpyNote camuffato. Una caratteristica particolarmente insidiosa di questo attacco è che l'etichetta dell'app installata non riporta un nome generico o ingannevole, ma bensì il nome della vittima stessa. Questo stratagemma, reso possibile dalle funzionalità di personalizzazione del builder di SpyNote, mira a minimizzare i sospetti dell'utente, che non vede un nome di app insolito sul proprio dispositivo.
Una volta che il RAT SpyNote è attivo sul dispositivo della vittima, il truffatore ottiene il controllo remoto. Senza richiedere ulteriori interazioni da parte dell'utente e senza attivare meccanismi di screen sharing (che potrebbero allertare la vittima), il criminale procede all'installazione autonoma del malware WindRelay. Questo malware è progettato specificamente per sfruttare la tecnologia Near Field Communication (NFC).
WindRelay richiede permessi specifici per operare: NFC per leggere la carta, INTERNET per trasmettere i dati rubati in tempo reale, READ_CONTACTS per espandere la rete di potenziali vittime e DUMP, un permesso insolito per un'app di terze parti, utilizzato per analizzare lo stato del dispositivo. Quando la vittima, seguendo le istruzioni del truffatore, avvicina la propria carta a un terminale (o a un dispositivo compromesso che simula un terminale), WindRelay agisce come un lettore contactless. Cattura l'intero scambio di dati tra il chip della carta e il lettore, inclusi i codici monouso generati per quella specifica transazione. Questi dati vengono immediatamente trasmessi a un secondo dispositivo in possesso del truffatore, che a sua volta li utilizza come se fosse la carta fisica per effettuare transazioni su un terminale legittimo.
L'attacco non si limita al furto dei dati della carta. Group-IB ha osservato che, sfruttando il controllo remoto garantito da SpyNote, i truffatori sono stati in grado di accedere all'app bancaria della vittima e contrarre un prestito a suo nome. Questo aspetto, sebbene non inizialmente pianificato come parte integrante della catena di attacco, dimostra la versatilità e la pericolosità della combinazione di questi strumenti malevoli. Le transazioni fraudolente con la carta di credito hanno iniziato a comparire poco dopo la conclusione della chiamata.
Group-IB ha collegato WindRelay a 23 campioni malevoli individuati su VirusTotal tra novembre 2025 e luglio 2026, con attacchi che hanno preso di mira istituzioni in Repubblica Ceca, Slovacchia e Slovenia. Le raccomandazioni fornite da Group-IB per difendersi da queste frodi includono:
Questo scenario evidenzia una crescente sofisticazione nel panorama delle frodi digitali, dove la combinazione di tecniche di ingegneria sociale e malware avanzati crea un rischio significativo per gli utenti, anche durante interazioni apparentemente innocue come una telefonata.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
