Un appel téléphonique de treize minutes, deux applications installées, un prêt souscrit à l’insu de la victime et des achats physiques réglés avec une carte bancaire située à des kilomètres du terminal de paiement. Voilà le bilan d’une fraude documentée par Group-IB, qui révèle l’existence de WindRelay, une famille de malwares Android entièrement conçue pour capturer en temps réel les données NFC d’une carte bancaire et les relayer vers un complice équipé d’un faux terminal.
Les attaques exploitant la technologie NFC sur Android ont bondi de 188 % sur les quatre premiers mois de 2026 par rapport à la même période en 2025, avec 35 600 tentatives bloquées sur ce seul intervalle selon les données de Kaspersky. La trajectoire ne surprend plus personne dans le milieu de la lutte antifraude, mais la sophistication du tandem WindRelay-SpyNote, elle, marque un palier que les défenses classiques peinent encore à détecter.
Le scénario d’attaque repose sur un enchaînement d’une redoutable fluidité. Un faux conseiller bancaire appelle la cible, prétexte un problème sur sa carte, puis la guide pas à pas vers l’installation d’une première application, un cheval de Troie de type RAT (Remote Access Trojan) attribué à une variante de SpyNote. Le détail qui glace… l’application porte le prénom et le nom de la victime en guise de libellé, compilée sur mesure grâce au builder intégré à SpyNote, ce qui suppose une phase de reconnaissance préalable où le fraudeur a déjà collecté l’identité et le numéro de téléphone de sa proie. Aucun nom d’application suspect ne vient alors éveiller la méfiance au moment fatidique de l’installation.
SpyNote, une fois actif, exploite les services d’accessibilité d’Android pour déployer silencieusement WindRelay sur le même appareil, sans que la victime ait quoi que ce soit à valider ni même à voir. Aucun partage d’écran n’est déclenché à aucun moment, ce qui rend la compromission totalement opaque aux systèmes de détection fondés sur le screen sharing. Le fraudeur dispose alors d’un accès distant complet au téléphone et d’un relais NFC prêt à fonctionner, le tout en quelques minutes à peine.
A lire également
WindRelay a été pensé avec une économie de moyens qui trahit une ingénierie délibérée. Ses permissions dessinent exactement le périmètre de la fraude : NFC pour lire la puce de la carte, INTERNET pour exfiltrer le flux en direct, READ_CONTACTS pour identifier de futures cibles potentielles, DUMP (permission inhabituelle pour une application tierce) pour inspecter l’état du terminal, et des permissions personnalisées auto-déclarées destinées à isoler le malware des outils de sécurité installés sur l’appareil. Quand la victime, toujours en ligne avec son faux conseiller, approche docilement sa carte contre le dos du téléphone et saisit son code PIN, WindRelay se comporte comme un lecteur sans contact légitime, intercepte l’échange cryptographique entre la puce et le lecteur (y compris le code d’authentification à usage unique généré pour cette transaction) et le transmet instantanément à un second appareil tenu par le fraudeur, qui le présente à un vrai terminal de paiement ou à un distributeur automatique.
La double monétisation observée dans cette affaire donne la mesure de l’appétit des opérateurs. Le fraudeur a d’abord souscrit un crédit en ligne via l’application bancaire de la victime grâce à l’accès distant offert par SpyNote, puis encaissé des achats physiques par le biais du relais NFC, le tout avant que la banque ou la victime ne réagisse. Group-IB interprète le prêt comme un « add-on » opportuniste destiné à maximiser le gain dans la même session, et non comme une étape planifiée à part entière.
L’enquête a permis de relier WindRelay à 23 échantillons téléversés sur VirusTotal entre novembre 2025 et juillet 2026, ciblant des institutions en Tchéquie, en Slovaquie et en Slovénie, avec des interfaces rédigées dans la langue de chaque pays visé et, pour certains, des éléments d’interface personnalisés au nom de la victime. Quatre adresses IP de serveurs de commande et de contrôle ont été identifiées, confirmant l’existence d’une infrastructure distribuée et réutilisable d’une campagne à l’autre.
Que peut-on réellement opposer à un schéma qui ne déclenche ni partage d’écran, ni alerte de téléchargement depuis le Play Store, ni comportement anormal visible par l’utilisateur ? Group-IB recommande aux établissements bancaires de ne plus traiter la détection du screen sharing comme un indicateur fiable d’accès distant, de générer des alertes lorsqu’une application est installée depuis le package installer pendant un appel téléphonique actif, et d’appliquer des frictions supplémentaires (authentification renforcée, délai de refroidissement) sur les demandes de prêt soumises alors qu’un signal de risque coexiste sur le terminal. Pour le grand public, la parade reste d’une banalité presque cruelle : ne jamais installer une application à la demande d’un interlocuteur téléphonique, fût-il affable, fût-il convaincant, fût-il capable de vous appeler par votre nom.
