Des chercheurs de Group-IB ont découvert une nouvelle combinaison de logiciels malveillants à l’assaut des smartphones Android. Comme l’expliquent les chercheurs dans un rapport, le virus WindRelay a été associé à SpyNote, un cheval de Troie d’accès à distance. Grâce à cet arsenal, des cybercriminels orchestrent actuellement des arnaques bancaires sophistiquées et redoutablement efficaces.
Group-IB researchers identified a new Android NFC relay #malware, tracked as #WindRelay, which is deployed alongside #SpyNoteRAT in live-call fraud schemes. The combination gives threat actors remote access to Android devices while enabling real-time NFC card-data relay to an… pic.twitter.com/LFjwrNxPl8
— Group-IB Global (@GroupIB) August 12, 2026
L’offensive commence par un simple coup de fil. En se faisant passer pour un employé de banque du service sécurité ou un conseiller bancaire, le pirate va entrer en contact avec sa cible au téléphone. Il va alors évoquer un « problème » avec la carte de paiement de la victime. Ce prétexte permet généralement au truand de mettre la pression sur la victime et d’endormir ses défenses.
À lire aussi : Nouvelle fuite de données en France – 130 000 IBAN compromis après le hack d’une mutuelle
L’entrée en scène de SpyNote
Sans grande surprise, le pirate propose à sa cible de l’aider à régler le problème, évoquant des risques de prélèvements et de transactions frauduleuses. Pour ça, le faux employé demande d’installer une application dédiée à l’assistance. Cette application cache le code de SpyNote, un cheval de Troie d’accès à distance connu depuis 2021. Pour berner la cible, l’application va afficher le nom réel de la victime dans son interface, grâce à un outil de personnalisation intégré au kit de développement de SpyNote.
Une fois déployé sur le smartphone, le virus va réclamer des permissions d’accessibilité. Accordées par la victime, persuadée de discuter avec un employé de sa banque, les permissions vont permettre à SpyNote de prendre le contrôle du téléphone à distance, sans jamais recourir au partage d’écran.
À lire aussi : Une arnaque à la carte bancaire vise votre smartphone – des pirates chinois ont trouvé le moyen de vider votre compte
WindRelay et le piratage du NFC de votre smartphone
Avec cet accès étendu au smartphone, le pirate va installer en douce WindRelay. Ce logiciel malveillant est programmé pour s’emparer des données NFC des cartes bancaires. Sous couvert d’une « vérification de sécurité », le fraudeur demande à la victime, toujours en ligne, d’approcher sa carte bancaire de son téléphone et de saisir son code PIN.
À cet instant, WindRelay transforme le smartphone en faux terminal de paiement sans contact. Il enregistre l’échange en temps réel entre la puce de la carte et le lecteur factice, y compris le code d’authentification unique généré pour cette transaction. Toutes ces informations sont transmises aux pirates à l’origine de l’opération.
Avec les données NFC récupérées, les pirates vont pouvoir réaliser des transactions en débitant votre compte. Concrètement, les hackers vont pouvoir faire des paiements avec un smartphone, comme s’il s’agissait du vôtre ou de votre carte bancaire. Dans les magasins ou devant un distributeur automatique, les transactions vont passer inaperçues. En coulisses, les deux malwares vont agir comme un véritable relais, qui lie votre téléphone à l’appareil des pirates. L’intégralité de l’attaque ne prend pas plus de 13 minutes.
Une demande de crédit qui aggrave les choses
En parallèle, les cybercriminels vont en profiter pour ouvrir une demande de crédit au nom de la victime, directement depuis son application bancaire mobile. Les pirates cherchent en effet à maximiser les gains générés par la prise de contrôle du smartphone. L’argent, prêté par la banque, est ensuite exfiltré par le biais de transactions NFC. Le crédit gonfle artificiellement le solde disponible sur le compte de la victime, ce qui augmente les gains… et les pertes de la cible.
Group-IB souligne que cette attaque en deux temps constitue une évolution des tactiques de fraude habituelles. Les chercheurs ont recensé près d’une vingtaine d’échantillons de WindRelay entre novembre 2025 et juillet 2026. Les cibles identifiées se trouvent pour le moment en République tchèque, en Slovaquie et en Slovénie.
Pour se protéger, on vous recommande évidemment de vous méfier des communications non sollicitées de la part d’une banque ou d’une entreprise. Méfiez-vous même si votre interlocuteur dispose d’une montagne d’informations sur votre compte. En cas de doute, raccrochez et contactez directement le support client de votre banque. Group-IB recommande de ne jamais installer d’application pendant un appel. Selon Kaspersky, les attaques NFC contre les appareils Android ont bondi de 188 % sur les quatre premiers mois de 2026 par rapport à la même période en 2025, avec plus de 35 600 tentatives.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
