사기범이 최근 발견된 신종 악성코드인 '윈드릴레이(WindRelay)'를 통해 피해자의 스마트폰을 원격으로 제어하고 비접촉식 카드 정보를 빼내 결제에 이용하는 사례가 발생했습니다. 그룹아이비는 이 악성코드가 새로운 근거리무선통신(NFC) 중계를 이용한다고 2일 밝혔습니다.
윈드릴레이는 감염된 스마트폰의 NFC를 이용하여 실물 카드 데이터를 원격으로 가짜 결제 단말기로 실시간 전송하는 방식으로 설계되었습니다. 이 악성코드는 원격 접속 트로이목마(RAT) '스파이노트'와 함께 사용되어 은행 직원을 사칭한 사기범이 피해자에게 스파이노트를 설치하고 스마트폰을 제어하여 윈드릴레이를 추가로 설치하는 과정을 거치게 됩니다.
이번에 확인된 사례에서는 13분간의 전화 통화 동안 사기범이 피해자의 명의로 대출을 신청하고 카드 정보를 가짜 결제 단말기로 전송하는 사실이 확인되었습니다. 이후 피해자가 실물 카드를 스마트폰에 접촉하고 비밀번호(PIN)를 입력하면 해당 정보가 실시간으로 중계되어 거래가 승인되는 과정이 진행된 것으로 나타났습니다.
그룹아이비는 이번 공격이 NFC 중계 악성코드를 단독으로 사용하는 것이 아닌 원격제어 악성코드와 결합된 새로운 형태라고 설명했습니다. 이 악성코드는 최근 체코, 슬로바키아, 슬로베니아에서 확인된 총 23개의 샘플과 4개의 명령제어(C&C) 서버를 통해 확산됐으며, 금융기관은 외부 앱 설치나 접근성 서비스 악용 등 원격제어 악성코드의 징후를 주의깊게 살펴봐야 할 것을 권고했습니다.