Android端末を狙った新たなサイバー攻撃が確認されました。セキュリティ企業のGroup-IBによると、今回の攻撃では、スマートフォンを遠隔操作できるマルウェアとNFCを悪用するツールを組み合わせることで、被害者のクレジットカード情報を盗み取るだけでなく、本人が利用している銀行アプリから融資まで申し込む手口が使われています。
単に口座から預金を盗み出す従来型の攻撃とは異なり、被害者の端末と実物のカードを同時に悪用する点が今回の攻撃の大きな特徴です。
銀行員を装った電話から攻撃が始まる
Group-IBが確認した事例では、攻撃者が銀行員を装って被害者に電話をかけ、決済カードに問題が発生したなどと説明するところから始まります。
そのうえで、問題を解決するために必要なアプリなどと偽り、被害者にAndroid端末へSpyNoteと呼ばれるリモートアクセス型トロイの木馬（RAT）をインストールさせます。
さらに、攻撃者は被害者にAndroidのアクセシビリティサービス権限を付与させます。この権限を悪用することで、攻撃者は端末を遠隔操作し、画面上でさまざまな操作を実行できるようになります。
ここからが今回の攻撃の厄介なところです。
攻撃者はSpyNoteを使って端末を操作しながら、WindRelayと呼ばれるNFCリレー用のマルウェアを仕込みます。そして、被害者が普段利用している正規の銀行アプリを使って、本人になりすまして融資を申し込むとされています。
つまり、偽の銀行アプリを用意して認証情報を盗むのではなく、被害者自身の端末に入っている正規アプリを直接操作するわけです。
NFCを利用して実物のカードまで悪用
さらに攻撃者は電話を通じて、被害者に決済カードをスマートフォンへかざすよう指示します。その際、暗証番号の入力を求めるケースも確認されています。
WindRelayはスマートフォンをNFCリーダーのように利用し、カードから取得した認証データをリアルタイムで攻撃者側へ中継します。
攻撃者はこうして取得した情報を利用し、実際の店舗に設置された決済端末で不正な取引を行える可能性があります。
今回の手口では、スマートフォンへの遠隔アクセス、銀行アプリの操作、NFCによるカード情報の中継という複数の攻撃手法が組み合わされています。そのため、単純にクレジットカード情報を盗み出すタイプのマルウェアよりも被害が深刻になる可能性があります。
知らないAPKをインストールしないことが最大の対策
こうした攻撃から身を守るうえで、まず重要なのが、知らない相手から送られてきたAPKファイルを安易にインストールしないことです。
Google Playストアで配信されていないアプリを利用するため、APKを手動でインストールするケースもありますが、少なくともメールやメッセンジャーなどを通じて突然送られてきたファイルは避けたほうが安全です。どうしてもサイドロードする必要がある場合も、信頼できる配布元かどうかを慎重に確認する必要があります。
また、銀行を名乗る人物から電話がかかってきても、その場で指示に従わないことが重要です。アプリのインストールやカードをスマートフォンへかざす操作、暗証番号の入力などを求められた場合は、特に警戒したほうがよいでしょう。
本当に銀行からの連絡なのか確認したい場合は、いったん電話を切り、銀行の公式サイトやカードの裏面などに記載された正規の連絡先へ自分から電話をかけ直すのが安全です。
今回の事例は、スマートフォンそのものだけでなく、正規の銀行アプリや実物の決済カードまで組み合わせて悪用される可能性を示しています。Android端末では、アプリのインストール元を慎重に選ぶことに加え、電話で指示された操作をそのまま実行しないことが、これまで以上に重要になりそうです。
