Group-IB ha scoperto una nuova campagna criminale che prende di mira gli utenti Android combinando due strumenti pericolosi: il trojan di accesso remoto SpyNote e un malware di tipo “NFC relay” chiamato WindRelay. L’unione dei due permette ai truffatori non solo di sottrarre i dati della carta di credito della vittima, ma anche di operare direttamente dall’app bancaria originale del malcapitato per richiedere un prestito a suo nome. A differenza delle classiche truffe che si limitano a svuotare un conto corrente, qui l’attacco sfrutta contemporaneamente lo smartphone della vittima e la sua carta fisica, rendendo il danno potenzialmente molto più ampio.
Tutto parte da una telefonata del “finto bancario”
Secondo i ricercatori di Group-IB, l’attacco comincia con una chiamata: qualcuno che si spaccia per un dipendente della banca avvisa la vittima di un presunto problema con la propria carta di pagamento. Per “risolverlo”, la convince a installare un’applicazione che, in realtà, è SpyNote, un trojan di accesso remoto (RAT) travestito da software legittimo. Una volta installata l’app, il finto operatore guida la vittima passo passo a concedere i permessi del servizio di accessibilità di Android, la porta d’ingresso che consente ai criminali di prendere il controllo remoto del dispositivo e di interagire con lo schermo come se lo avessero fisicamente in mano.
Il prestito richiesto con l’app bancaria vera, non una copia falsa
È qui che l’attacco si distingue dalle truffe più comuni. Invece di creare una app bancaria clone per rubare le credenziali, gli aggressori usano SpyNote per pilotare da remoto l’app bancaria autentica già presente sul telefono della vittima, e attraverso l’accessibilità la utilizzano per presentare una richiesta di finanziamento a nome del titolare stesso. Il tutto avviene sul dispositivo reale, con l’app reale, rendendo l’operazione molto più difficile da individuare per i sistemi antifrode della banca.
WindRelay: quando anche la carta fisica diventa un bersaglio
Non finisce qui. Durante la stessa telefonata, il criminale chiede alla vittima di avvicinare la carta di pagamento fisica al telefono, in alcuni casi anche di digitare il PIN. Il componente WindRelay trasforma lo smartphone infetto in un lettore NFC improvvisato, che intercetta i dati della carta e li inoltra in tempo reale ai server degli attaccanti. Questi ultimi possono quindi sfruttare quei dati per effettuare pagamenti fraudolenti presso terminali POS reali, come se avessero la carta fisicamente in mano. La combinazione di accesso remoto al telefono, manipolazione dell’app bancaria e furto dei dati NFC della carta rende questo schema più insidioso e potenzialmente più dannoso rispetto a un semplice malware ruba-dati.
Come difendersi
Group-IB indica alcune regole basilari ma fondamentali per non cadere in questo tipo di trappola:
- Non installare mai file APK ricevuti via email, SMS o app di messaggistica da mittenti sconosciuti.
- Se proprio serve installare un’app al di fuori del Play Store, verificare sempre con estrema attenzione l’affidabilità della fonte.
- Diffidare di chiunque telefoni spacciandosi per la propria banca: nessun istituto chiede di installare app, avvicinare la carta allo smartphone o digitare il PIN al telefono.
- In caso di dubbio, riagganciare e richiamare autonomamente il numero ufficiale riportato sul sito della banca o sul retro della carta.
- Controllare periodicamente quali app hanno accesso al servizio di accessibilità di Android e revocare i permessi sospetti.
Il caso documentato da Group-IB mostra come, ormai, non basti più proteggere solo lo smartphone: anche l’app bancaria ufficiale e la carta di pagamento fisica possono diventare strumenti nelle mani dei truffatori se il dispositivo viene compromesso. Prestare attenzione alla provenienza delle app installate e non seguire mai istruzioni ricevute per telefono resta, oggi più che mai, la miglior difesa.
