Group-IB ha scoperto una nuova famiglia di malware Android denominata WindRelay, progettata per catturare e inoltrare in tempo reale i dati NFC delle carte di pagamento contactless. Il 13 agosto 2026 Malwarebytes ha pubblicato un'analisi dettagliata che riporta i risultati della ricerca: l'attacco abbinato al RAT SpyNote consente ai criminali di controllare da remoto il dispositivo della vittima durante una chiamata telefonica di ingegneria sociale, trasformando il telefono in un relay attivo per la frode fisica a distanza.
- WindRelay è una famiglia di malware NFC relay scoperta da Group-IB e riportata da Malwarebytes: cattura dati contactless e li inoltra in tempo reale ai criminali.
- SpyNote, un RAT Android, viene installato durante chiamate di ingegneria sociale che impersonano enti bancari e consente l'installazione silenziosa di WindRelay.
- La chiamata telefonica funge simultaneamente da lure e da canale di controllo sincrono per coordinare i tempi dell'attacco.
- Il meccanismo sfrutta i codici crittografici dinamici one-time delle carte contactless, rendendo necessario il relay in tempo reale anziché la clonazione statica.
Il meccanismo: da chiamata bancale finta a relay attivo
Il vettore iniziale è una telefonata. I criminali contattano la vittima impersonando un operatore bancario e, nel corso di una conversazione di circa 13 minuti, la convincono a installare un'applicazione fraudolenta che porta il nome della banca. Secondo il report citato da Malwarebytes, quell'app contiene SpyNote, un RAT Android che garantisce agli attaccanti il controllo remoto completo del dispositivo.
Da quel momento, SpyNote consente l'installazione silenziosa di una seconda applicazione: WindRelay. I criminali aprono da remoto l'app bancaria legittima installata sul telefono della vittima e, in almeno un caso documentato, ottengono un prestito a suo nome. La vittima viene poi indotta ad avvicinare la carta fisica al telefono e a inserire il PIN. In quel preciso istante, WindRelay cattura i dati contactless e li inoltra in tempo reale al dispositivo controllato dai criminali.
"The telephone call isn't just the lure. It's also the attackers' control channel." — Malwarebytes
Perché il relay batte la clonazione: la divisione dei compiti
La novità tecnica di WindRelay non risiede nella clonazione della carta — impossibile con le carte contactless moderne — bensì nel relay in tempo reale dei cryptogrammi dinamici. Le carte contactless generano codici crittografici one-time che non possono essere riutilizzati. Per questo motivo, il malware deve catturare e inoltrare ogni singola transazione nel momento esatto in cui avviene.
Secondo la fonte, questa divisione di ruoli è l'elemento significativo: SpyNote gestisce l'accesso remoto e il controllo del telefono, WindRelay gestisce la parte NFC. I due malware lavorano in sequenza, coordinati dalla chiamata telefonica che funge da orologio comune. L'attaccante sa esattamente quando la vittima sta per avvicinare la carta e può sincronizzare il relay.
Questa architettura separata supera il limite delle precedenti tecniche di skimming NFC, che richiedevano la vicinanza fisica o la registrazione statica dei dati. Con WindRelay, la distanza geografica tra vittima e punto di utilizzo fraudolento diventa irrilevante, purché la connessione di relay sia stabile nel momento della transazione.
Il caso documentato: 13 minuti per compromettere un conto
Il dossier riporta un attacco concreto in cui la durata della chiamata di ingegneria sociale è misurata: circa 13 minuti. In quel lasso di tempo, la vittima ha installato l'app malevola, ha concesso i permessi necessari, ha eseguito le istruzioni dell'"operatore" e ha avvicinato la carta al telefono. Gli attaccanti hanno ottenuto un prestito intestato alla vittima e hanno completato il relay dei dati contactless.
La fonte non specifica il numero totale di vittime, l'ambito geografico delle campagne osservate né i dettagli del protocollo di relay utilizzato da WindRelay per trasmettere i dati ai server o ai dispositivi dei criminali. Non emerge inoltre se il malware sia distribuito esclusivamente tramite sideloading indotto o se sia presente su store alternativi. Il dossier non documenta varianti per iOS: tutti i dettagli tecnici si riferiscono alla piattaforma Android.
Cosa fare adesso
Per gli utenti Android, la diferta principale è riconoscere le chiamate di ingegneria sociale che impersonano banche. Nessuna istituzione finanziaria legittima richiede l'installazione di applicazioni esterne al proprio store ufficiale durante una telefonata. La durata di 13 minuti del caso documentato mostra che i criminali investono tempo per costruire fiducia: interrompere la chiamata e contattare autonomamente la banca interrompe la catena d'attacco.
Per le istituzioni finanziarie, il caso WindRelay impone di trattare le transazioni contactless avviate durante chiamate vocali attive come fattore di rischio elevato. Il relay in tempo reale rende inefficaci i controlli basati solo sulla geolocalizzazione o sul pattern storico della carta: la vittima e i dati NFC sono fisicamente nello stesso luogo, anche se il criminale è a distanza.
Per i team di sicurezza mobile, Malwarebytes conferma la rilevazione di SpyNote e WindRelay nelle proprie soluzioni Android. La presenza di un RAT come SpyNote è l'indicatore precoce: il suo rilevamento deve attivare la scansione completa del dispositivo prima che WindRelay possa essere installato.
Un confine che si sposta: dal phish alla frode fisica
La rilevanza di WindRelay sta nel modo in cui ricompone la catena del crimine. L'ingegneria sociale telefonica, tradizionalmente associata al furto di credenziali o all'installazione di infostealer, qui diventa il connettore tra frode remota e frode fisica. Il telefono non è più solo il veicolo della truffa: è lo strumento che rende possibile la truffa stessa, fungendo da ponte tra la carta in mano alla vittima e il terminale di pagamento in mano al criminale.
Per il settore finanziario, questo meccanismo solleva interrogativi che il dossier non esplora: le attuali contromisure anti-frode basate sulla geolocalizzazione della transazione o sul comportamento dell'utente risultano parzialmente inadeguate quando il relay avviene in tempo reale durante una chiamazione vocale attiva. La distinzione tra "utente legittimo che paga" e "utente indotto a pagare sotto controllo remoto" si assottiglia in modo problematico.
Malwarebytes conferma che rileva SpyNote e WindRelay nelle proprie soluzioni Android. La scoperta di Group-IB, riportata dalla fonte, conferma che il modello di minaccia sta evolvendo verso una maggiore integrazione tra strumenti di accesso remoto e strumenti di interfacciamento hardware — NFC in questo caso — che sfruttano le periferiche dello smartphone in modo che il malware stesso non avrebbe potuto raggiungere pochi anni fa.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.