銀行を名乗る電話がかかってきてから、わずか13分。電話を切る頃には、本人名義の融資が勝手に組まれ、手元にあるはずのカードで、どこか遠くの店の支払いが済まされていた——。チェコ・スロバキア・スロベニアで確認された詐欺の手口を、セキュリティ企業のGroup-IBが2026年8月12日に報告しました。カードは一度も財布から出ていません。被害者がしたのは、言われるままにカードをスマホの背面にかざし、暗証番号を入力しただけです。
13分の電話で起きたこと
Group-IBが調査で詳しく取り上げたのは、ある1件の事例です。攻撃者はまず、銀行のサポート窓口を装って被害者に電話をかけ、「お使いのカードに問題があります」と切り出しました。そして通話を続けたまま、「確認のためのアプリ」と称して、被害者自身にアプリを1つインストールさせます。
このアプリの正体は、SpyNote（スパイノート）という遠隔操作ツールでした。2016年には犯罪者向けフォーラムに流出していた古株のマルウェアです。しかも今回見つかった検体は、アプリの表示名が被害者本人の名前になっていました。SpyNoteには、アプリ名やアイコンを一人ひとり向けにカスタマイズして量産できるビルダーが付属しており、電話の前に相手の名前と電話番号を調べたうえで、その人専用のアプリを用意していたと見られます。知らない相手からの電話なのに、画面に自分の名前が出る——「銀行は自分のことを知っているのだから本物だろう」と思わせる、よくできた仕掛けです。
遠隔操作の入口さえ開けば、あとは攻撃者の独壇場です。被害者に気づかれないまま、2つ目のアプリを勝手にインストールしました。これがWindRelay（ウィンドリレー）と呼ばれる、今回新たに確認されたマルウェアです。さらに攻撃者は、遠隔操作で被害者のバンキングアプリを開き、本人名義の融資まで申し込んでいました。Group-IBは、この融資は取り分を最大化するための「ついで」だったと見ています。
そして電話の仕上げに、攻撃者はこう指示します。「本人確認のため、カードをスマホの背面にかざしてください」「暗証番号を入力してください」。電話が終わってまもなく、被害者の口座には身に覚えのないカード決済が並び始めました。
NFCリレー攻撃の急増という背景
カードをスマホにかざす——コンビニやスーパーのタッチ決済で毎日やっている、あの動作です。カードとスマホは、NFC（近距離無線通信）という仕組みで、数センチの距離でデータをやりとりします。この通信を悪用する「NFCリレー攻撃」は、ここ数年で急速に増えています。Group-IBのブログが引用したKasperskyの集計では、AndroidへのNFC攻撃は2026年の最初の4か月だけで35,600件がブロックされており、前年の同じ期間に比べて188%の増加でした。
類似の手口には、2024年に見つかったNGateや、Ghost Tap（ゴーストタップ）と呼ばれるものがあります。Ghost Tapは中国の犯罪コミュニティで売買されているマルウェアを使うもので、Group-IBによれば、2024年11月から2025年8月までの間に、関連する不正取引だけで35万5,000ドル（約5,000万円強）を超える被害が確認されています。今回のWindRelayは、この系譜に連なる新顔ということになります。
ただ、ここで疑問が浮かびます。カードをスマホにかざしただけで、なぜ遠くの店で支払いができてしまうのでしょうか。カード番号を抜き取って偽造カードを作った、という話ではありません。実は、そもそも何も「盗んで」いないのです。
「盗む」のではなく「中継」する仕組み
タッチ決済でカードを店の端末にかざすとき、カードのICチップと端末の間では、そのとき限りの認証コードを含むやりとりが交わされています。この一往復のやりとりが成立して初めて、決済が通ります。使い捨てのコードなので、あとから録音を再生するように使い回すことはできません。だからタッチ決済は安全だ、とされてきました。
WindRelayがやっているのは、このやりとりの「中継」です。被害者がカードをスマホにかざすと、WindRelayは本物の決済端末になりすましてカードと会話を始めます。そしてその会話の中身を、インターネット経由で、攻撃者が持つもう1台の端末へリアルタイムに流します。攻撃者側の端末は、遠くの店のレジやATMの前で、今度は「本物のカード」になりすまして、流れてきた会話をそのまま取り次ぎます。
つまり、被害者の手元にあるカードと、遠くの店の決済端末が、その瞬間、直接会話しているのです。攻撃者のスマホ2台は、間に挟まった見えない電話線にすぎません。決済端末から見れば、目の前に本物のカードがあって、本物のやりとりが今まさに成立している。だから取引は、何の異常もなく正常に通ります。電話中に入力させられた暗証番号は、この不正な決済や引き出しを承認するために使われていました。使い捨てコードで守られているはずのタッチ決済が、「使い捨てのやりとりを、その場で遠くへ届ける」という発想で破られた形です。
Group-IBによれば、WindRelayの検体は2025年11月から2026年7月までに23個がVirusTotal（マルウェア検査サービス）に上がっており、それぞれ対象国の金融機関などを装い、対象国の言語で作られていました。中には被害者の名前入りの画面を持つものもあり、SpyNote同様、一人ひとり向けに作り分けられていたようです。攻撃者が何者かは特定されていません。
自衛の目安
手口は巧妙ですが、幸い、覚えておくべきことは1つに絞れます。電話で指示されて、カードをスマホにかざす——この状況になったら詐欺です。銀行がその操作を電話で求めることはありません。
もう1つ手前の段階で言えば、この攻撃はカードをかざしただけで成立するわけではありません。入口は、電話中に誘導されてインストールした遠隔操作アプリです。今回の事例では、アプリは公式ストアを経由せず、電話で案内された先から直接インストールさせる形（サイドロード）でした。電話やメッセージで誘導されてアプリを入れる、という時点で立ち止まれれば、その先の被害はすべて防げます。NFC自体が危険なわけではなく、タッチ決済を今日からやめる必要もありません。
なお、今回の報告はAndroid端末を対象にしたもので、対象国は中欧の3か国です。日本での確認例は報告されていませんが、日本でもタッチ決済とNFC対応スマホは広く普及しています。同じ構図の電話がかかってこない保証はないので、「電話＋カードをかざす指示」の組み合わせだけは覚えておいて損はありません。今回の事案そのものの被害額や被害者数は公表されておらず、出所はGroup-IBの調査レポート1本である点も添えておきます。
出典
Gone with the WindRelay: A New Malware Combo Behind a Growing Fraud Scheme（Group-IB、2026年8月12日）
コメント