Golpe usa RAT SpyNote e malware WindRelay para clonar cartão via NFC e tomar empréstimo durante ligação falsa do banco
Um novo malware Android batizado WindRelay está sendo distribuído junto com o RAT SpyNote para executar fraudes bancárias completas em poucos minutos: o criminoso liga se passando por atendente do banco, induz a vítima a instalar um app personalizado com seu nome, assume o controle remoto do aparelho e, sem nenhum compartilhamento de tela, retransmite ao vivo os dados NFC do cartão físico enquanto solicita empréstimos pelo próprio app bancário da vítima. Pesquisadores documentaram um ataque completo — do primeiro contato ao saque — em cerca de 13 minutos.
Pesquisadores da comunidade de segurança identificaram uma nova combinação de malwares para Android sendo usada em fraudes bancárias no mundo real: o RAT SpyNote, já conhecido por dar controle remoto total do aparelho ao criminoso, agora está sendo pareado com o WindRelay, um malware inédito especializado em retransmitir dados de cartões via NFC. Diferente da maioria dos golpes de acesso remoto, que dependem de compartilhamento de tela ao vivo (facilmente bloqueável por bancos e operadoras), esse combo funciona inteiramente por engenharia social telefônica e abuso de permissões do Android, o que o torna mais difícil de detectar em tempo real.
O ataque segue um roteiro bem definido. O criminoso liga para a vítima se passando por funcionário do banco e mantém a chamada ativa como canal de controle durante todo o golpe — uma tática clássica de vishing. Ainda ao telefone, convence a vítima a instalar um APK fora da Play Store, geralmente compilado sob medida com o nome da própria vítima no rótulo do aplicativo, o que reduz a desconfiança. Esse primeiro app é o SpyNote, que abusa do serviço de Acessibilidade do Android para dar controle remoto ao atacante sem precisar de compartilhamento de tela. A partir daí, o criminoso instala silenciosamente o WindRelay, acessa o aplicativo do banco da vítima para solicitar um empréstimo e, na sequência, pede que ela 'aproxime o cartão do celular' sob algum pretexto de verificação. Nesse momento o WindRelay lê os dados do chip NFC e os retransmite pela internet, em tempo real, para o dispositivo do criminoso — que o usa como se fosse o próprio cartão em uma maquininha de pagamento legítima em outro local. Documentou-se um golpe completo, do primeiro contato ao saque físico, em cerca de treze minutos.
Os sinais de alerta são identificáveis: qualquer solicitação para instalar um aplicativo durante uma ligação não solicitada — mesmo que o app pareça oficial ou personalizado com o nome do usuário — deve ser tratada como golpe. Bancos não pedem para o cliente instalar apps de terceiros por telefone, nem para 'aproximar o cartão da tela do celular'. Permissões de NFC combinadas com acesso à internet em um app recém-instalado, fora da Play Store, são um indicador técnico forte para soluções de segurança móvel e para o próprio usuário revisar nas configurações do Android.
Para quem já caiu no golpe ou suspeita de exposição, a resposta rápida é decisiva: desligar a chamada, ligar para o número oficial do banco impresso no cartão (não um número passado durante a ligação), bloquear o cartão e revogar acessos do dispositivo. Instituições financeiras podem reduzir o dano cruzando sinais — por exemplo, correlacionar a abertura de um empréstimo com uma compra física presencial na sequência imediata, ou adicionar fricção extra (biometria, callback) para solicitações de crédito originadas durante uma sessão com app de origem desconhecida instalado minutos antes.