WindRelay: vishing bankowy i kradzież karty przez NFC

TL;DR

WindRelay zaczyna się od człowieka, który odbiera telefon i wierzy, że rozmawia z pracownikiem banku. Według ustaleń Group-IB napastnicy przygotowywali spersonalizowaną aplikację na Androida, dzwonili do celu jako rzekomi pracownicy banku i prowadzili rozmowę tak długo, aż użytkownik zainstalował wskazane oprogramowanie oraz przyłożył fizyczną kartę płatniczą do telefonu.

Pierwszy komponent dawał atakującym zdalny dostęp do urządzenia. Następnie instalowany był WindRelay, którego zadaniem było przekazanie komunikacji NFC karty do infrastruktury napastnika. W opisywanej aktywności zidentyfikowano 23 próbki powiązane z kampanią od listopada 2025 do lipca 2026. Nie należy zamieniać tej liczby w „23 potwierdzone ofiary” — publiczne materiały nie ustalają wiarygodnie dokładnej liczby poszkodowanych.

Dla programu security awareness najważniejsze są dwa punkty: nie należy instalować aplikacji na polecenie osoby dzwoniącej oraz nie przykładać karty do telefonu w ramach telefonicznej „weryfikacji”. To decyzje użytkownika uruchamiają techniczną część ataku.

Co potwierdzono o kampanii WindRelay

TechRadar, opisując ustalenia Group-IB, wskazuje aktywność w Czechach, na Słowacji i w Słowenii. Obserwowany okres obejmował mniej więcej siedem miesięcy — od listopada 2025 do lipca 2026.

Schemat był silnie personalizowany. Napastnicy znali dane pozwalające przygotować kontakt pod konkretną osobę, a część aplikacji zawierała elementy interfejsu lub etykiety nawiązujące do ofiary. Publiczne źródła nie potwierdzają jednak, skąd dokładnie pochodziły informacje wykorzystywane w rekonesansie. Wyciek danych jest możliwym źródłem, ale nie powinien być przedstawiany jako ustalony fakt.

Najważniejszym kanałem ataku była rozmowa telefoniczna. Oszust podawał się za pracownika banku, informował o problemie z kartą i prowadził użytkownika przez kolejne kroki. W jednym z opisanych przez Group-IB incydentów cała aktywność zmieściła się w około 13-minutowej rozmowie. Nie należy traktować tej liczby jako wiarygodnie ustalonej średniej dla całej kampanii; pokazuje raczej, jak szybko rozmówca może przeprowadzić ofiarę przez kolejne etapy.

Po uzyskaniu zdalnego dostępu przez SpyNote napastnik mógł doinstalować WindRelay bez dalszej interakcji użytkownika. W jednym z opisanych przypadków ten sam dostęp wykorzystano także do zaciągnięcia pożyczki w aplikacji bankowej, równolegle z fraudem opartym na karcie i NFC relay.

Jeśli chcesz najpierw uporządkować sam mechanizm phishingu głosowego, zobacz Co to jest vishing i jak działa w firmie. WindRelay jest jego bardzo konkretnym, bankowym przypadkiem — nie nową definicją vishingu.

Jak działa WindRelay krok po kroku

Łańcuch można sprowadzić do pięciu etapów.

1. Przygotowanie celu. Napastnik posiada informacje wystarczające, by rozmowa i aplikacja wyglądały na przygotowane dla konkretnej osoby.
2. Telefon od „banku”. Rozmówca tworzy problem związany z kartą lub bezpieczeństwem i przejmuje kontrolę nad tempem działania użytkownika.
3. Instalacja aplikacji. Ofiara ma zainstalować dostarczony poza oficjalnym sklepem wariant SpyNote — narzędzie klasy RAT dające zdalny dostęp do telefonu.
4. Drugi komponent. Po uzyskaniu dostępu napastnik może zdalnie wdrożyć WindRelay odpowiedzialny za obsługę komunikacji NFC.
5. Fizyczna karta przy telefonie. Użytkownik zostaje nakłoniony do przyłożenia karty do smartfona, co pozwala przechwycić i przekazać komunikację zbliżeniową dalej.

Rozmowa telefoniczna jest kanałem sterującym atakiem

W technicznym opisie łatwo skupić się na SpyNote, WindRelay i NFC. Z punktu widzenia odporności użytkownika ważniejsze jest jednak to, kto decyduje o kolejnych krokach. Malware nie przekonuje samodzielnie człowieka, że bank potrzebuje instalacji pliku spoza sklepu. To robi rozmówca.

Telefon pozwala napastnikowi reagować w czasie rzeczywistym. Gdy użytkownik pyta, dlaczego aplikacja nie pochodzi z oficjalnego sklepu, oszust może podać „wyjaśnienie bezpieczeństwa”. Gdy użytkownik dziwi się prośbie o przyłożenie karty do telefonu, rozmówca może nazwać to „weryfikacją”. Gdy pojawia się wahanie, można zwiększyć presję i przypomnieć o rzekomej blokadzie rachunku.

Dlatego tradycyjne szkolenie sprowadzone do „nie klikaj podejrzanych linków” jest za wąskie. WindRelay należy traktować jako przykład mobile phishingu poza e-mailem, gdzie telefon i aplikacja są jednym ciągłym scenariuszem socjotechnicznym.

NFC relay jest ostatnim etapem, nie początkiem oszustwa

Near Field Communication (NFC) działa normalnie na bardzo małą odległość. W ataku relay komunikacja między kartą a telefonem ofiary jest przekazywana przez sieć do urządzenia kontrolowanego przez przestępcę. Dzięki temu zdalna infrastruktura może wykorzystać dane z transakcji tak, jakby karta znajdowała się obok urządzenia napastnika.

Szersze badanie Group-IB „Ghost Tapped” pokazuje, że model smishing/vishing → złośliwy APK → przyłożenie karty → zdalne użycie NFC nie jest pojedynczym eksperymentem. W ekosystemie przestępczym istnieją narzędzia i usługi zaprojektowane właśnie do takiej monetyzacji przejętych danych płatniczych.

To istotne rozróżnienie: sam NFC relay jest techniką. Atakiem na człowieka jest proces, który sprawia, że ofiara dobrowolnie instaluje aplikację i przykłada kartę do telefonu.

Polski kontekst: podobny łańcuch jest już dobrze udokumentowany

Nie ma podstaw, by z dostępnych źródeł wyciągać wniosek, że sama kampania WindRelay została już potwierdzona w Polsce. Mamy jednak lokalny kontekst dotyczący bardzo podobnego mechanizmu.

CERT Polska analizował kampanię NGate wymierzoną w użytkowników polskich banków. Ofiara dostawała phishingową wiadomość o rzekomym problemie, następnie dzwonił „pracownik banku”, który uwiarygadniał instalację złośliwej aplikacji. Użytkownik miał przyłożyć fizyczną kartę do telefonu i podać PIN, a ruch NFC był przekazywany do urządzenia napastnika przy bankomacie.

CSIRT KNF również ostrzegał w 2026 roku przed fałszywymi aplikacjami podszywającymi się pod banki, które posiadały uprawnienia związane z NFC i mogły być wykorzystywane w atakach relay.

Wniosek dla polskiego użytkownika jest więc praktyczny nawet bez potwierdzonego lokalnego WindRelay: telefon od banku + instalacja nieznanej aplikacji + prośba o użycie fizycznej karty przy smartfonie to bardzo silny sygnał oszustwa.

Gdzie użytkownik może zatrzymać atak

Najlepsza obrona nie wymaga rozpoznania nazwy malware. Wystarczy zatrzymać proces przy jednym z nietypowych poleceń.

• Ktoś podający się za pracownika banku dzwoni i każe instalować aplikację — przerwij rozmowę.
• Rozmówca wysyła APK albo link do instalacji poza oficjalnym sklepem — nie instaluj.
• „Procedura bezpieczeństwa” wymaga przyłożenia fizycznej karty do telefonu — nie wykonuj jej.
• Rozmówca każe pozostać na linii i nie kontaktować się z nikim innym — zakończ połączenie.
• Sprawę trzeba zweryfikować — samodzielnie uruchom oficjalną aplikację banku lub wybierz znany numer.

W środowisku firmowym te same nawyki warto ćwiczyć w ramach testów phishingowych dla firm, szczególnie tam, gdzie pracownicy obsługują płatności, karty służbowe albo bankowość elektroniczną.

Co zrobić, jeśli to już się stało

Jeśli użytkownik zainstalował aplikację wskazaną przez osobę podszywającą się pod bank, telefon należy potraktować jako potencjalnie przejęty. Najbezpieczniej przerwać połączenie, odłączyć urządzenie od sieci i nie używać go do dalszego kontaktu z bankiem ani do zmiany haseł.

Z bankiem trzeba skontaktować się z innego, zaufanego urządzenia. Należy powiedzieć wprost, czy:

• aplikacja została zainstalowana,
• przyznano jej uprawnienia lub dostęp zdalny,
• fizyczna karta została przyłożona do telefonu,
• podano PIN albo inne dane autoryzacyjne,
• pojawiły się nieznane transakcje, wnioski lub zmiany na rachunku.

Po stronie firmy taki przypadek powinien wejść w normalny proces obsługi incydentu. Urządzenie wykorzystywane do MFA, poczty lub aplikacji służbowych wymaga dodatkowej analizy aktywnych sesji, metod logowania i potencjalnego dostępu do zasobów organizacji.

Co powinna ćwiczyć organizacja

WindRelay jest dobrym scenariuszem edukacyjnym, bo pokazuje, że odporność człowieka nie kończy się na skrzynce pocztowej. W programie security awareness warto mierzyć również reakcję na rozmowę, komunikator, aplikację i prośbę o działanie na telefonie.

Dla zespołów finansowych i osób odpowiedzialnych za płatności scenariusz można powiązać z zasadami dla branży finanse i bankowość. Celem nie jest odtwarzanie prawdziwego malware, tylko sprawdzenie zachowania: czy pracownik zatrzyma nietypowy proces, zweryfikuje rozmówcę innym kanałem i zgłosi próbę manipulacji.

Dobra procedura powinna odpowiadać na cztery pytania:

1. Czy pracownik wie, że rozmowa telefoniczna nie potwierdza tożsamości rozmówcy?
2. Czy ma jasną zasadę zakazującą instalacji oprogramowania na polecenie niezweryfikowanej osoby?
3. Czy wie, jak niezależnie potwierdzić kontakt z bankiem, helpdeskiem lub dostawcą?
4. Czy potrafi szybko zgłosić incydent obejmujący prywatny telefon używany do celów służbowych?

Wniosek

WindRelay jest ważnym przykładem nie dlatego, że wprowadza nową technikę NFC. Pokazuje raczej, jak kilka znanych elementów można połączyć w jeden wiarygodny proces: personalizacja, telefon, presja, instalacja aplikacji, zdalny dostęp i fizyczna karta.

Technologia staje się skuteczna dopiero wtedy, gdy człowiek wykona kolejne instrukcje. Dlatego najprostsza reguła pozostaje bardzo mocna: jeżeli osoba dzwoniąca jako bank każe instalować aplikację albo przykładać kartę do telefonu, zakończ rozmowę i samodzielnie wróć do banku oficjalnym kanałem.