WindRelay y SpyNote combinan control remoto y NFC para autorizar fraude bancario en minutos

Los delincuentes se hacen pasar por personal bancario y persuaden a la víctima para instalar una aplicación Android personalizada. El primer componente es SpyNote, un troyano de acceso remoto que abusa de Accesibilidad y puede instalar silenciosamente WindRelay.

Con el control del teléfono, el operador puede solicitar un préstamo desde la aplicación bancaria. Después pide a la víctima acercar su tarjeta física al móvil e introducir el PIN bajo un pretexto de verificación.

WindRelay reenvía el intercambio EMV APDU entre la tarjeta de la víctima y un terminal controlado por el atacante. El pago aparece como una transacción presencial con la tarjeta legítima, una modalidad conocida como NFC relay o ghost tapping.

Group-IB identificó 23 muestras entre noviembre de 2025 y julio de 2026 y objetivos en Chequia, Eslovaquia y Eslovenia. El caso observado completó la secuencia en 13 minutos.

La defensa depende de impedir la instalación lateral, detectar abuso de Accesibilidad y tratar las llamadas de supuestos bancos como un canal no confiable. Una entidad financiera legítima no debería pedir instalar APK ni acercar la tarjeta al teléfono durante una llamada inesperada.