NFC 기능을 악용해 피해자의 비접촉식 카드 데이터를 실시간으로 가짜 결제 단말기에 전송하는 신종 악성코드가 포착됐다. 원격 접속 트로이목마(RAT)와 결합해 단일 통화 세션 안에서 디지털·물리적 금융 탈취를 동시에 수행한다는 점에서, 기존 NFC 중계 공격과 구별되는 새로운 위협 유형으로 분류된다.

Group-IB 사기 방지 팀이 기록한 실제 공격 사례에 따르면, 사기범은 은행 직원을 사칭한 전화 통화 중 피해자에게 SpyNote RAT를 설치하도록 유도했다.

이후 확보한 원격 접근 권한으로 WindRelay를 피해자 모르게 추가 설치한 뒤, 같은 13분 통화 내에 피해자 명의 대출 신청과 카드 NFC 데이터 실시간 중계를 동시에 진행했다.

피해자가 카드를 한 번 탭하고 PIN을 입력하는 순간 탈취한 데이터가 원격 가짜 단말기로 전송돼 현금 인출이 이뤄진 것으로 전해진다.

2025년 11월부터 2026년 7월 사이 체코·슬로바키아·슬로베니아에서 바이러스토탈(VirusTotal)에 업로드된 악성 샘플 23개와 명령·제어(C&C) 서버 4개 간의 연관성이 확인됐다.

독립적인 텔레메트리 데이터에 따르면 2026년 1~4월 안드로이드 기기 대상 NFC 기반 공격은 전년 동기 대비 188% 증가한 것으로 나타났다.

구체적으로 △화면 공유 탐지에만 의존하지 말고 통화 중 설치되는 사이드로드 앱·접근성 서비스 악용 등 RAT 지표 모니터링 강화 △공식 앱 마켓 외부 앱 설치를 독립적 위험 신호로 설정 △대출 지급과 동시에 발생하는 카드 대면 거래 상관 분석 도입을 권고했다고 밝혔다.