Los investigadores de ciberseguridad de Group-IB han puesto el foco en una nueva familia de malware bautizada como WindRelay, diseñada específicamente para capturar los datos de tarjetas bancarias a través de la tecnología NFC y reenviarlos en tiempo real a los atacantes. Esta técnica, que ya se ha visto en otros fraudes como SuperCard X o NGate, ahora se combina con un troyano de acceso remoto para lograr un control total del dispositivo de la víctima sin que esta se percate.
La campaña, que ha afectado principalmente a usuarios de República Checa, Eslovaquia y Eslovenia, utiliza una llamada telefónica en la que el estafador se hace pasar por el banco de la víctima. En una conversación que puede durar tan solo 13 minutos, el atacante convence a la persona para que instale una aplicación maliciosa que lleva su propio nombre, lo que reduce las sospechas. A partir de ahí, el fraude se despliega en varias fases que combinan ingeniería social, acceso remoto y la intercepción de comunicaciones NFC.
Así funciona la estafa: de la llamada al vaciado de la cuenta
El modus operandi comienza con una llamada en la que el falso empleado del banco alerta de un supuesto problema con la tarjeta. La víctima, guiada paso a paso, instala una aplicación que en realidad es un troyano de acceso remoto conocido como SpyNote. Esta app está personalizada con el nombre de la víctima, un detalle que los investigadores de Group-IB han confirmado gracias a que el kit de construcción de SpyNote permite personalizar la etiqueta, el nombre y el paquete de la aplicación para cada objetivo.
Una vez que SpyNote obtiene el control remoto del dispositivo, el atacante instala silenciosamente una segunda aplicación: WindRelay. Esta utiliza la tecnología NFC para comunicarse con la tarjeta física de la víctima y una conexión a internet para retransmitir el intercambio de datos en tiempo real. El estafador también solicita permisos de accesibilidad y de inspección del sistema, algo inusual en una aplicación de terceros y que debería levantar todas las alarmas.
Durante la llamada, el atacante abre la aplicación bancaria legítima de la víctima y solicita un préstamo a su nombre. Además, pide a la víctima que acerque su tarjeta física al teléfono y que introduzca su PIN. Ese gesto, aparentemente inofensivo, permite que WindRelay capture los datos de la tarjeta y los envíe a un dispositivo controlado por los delincuentes, que pueden realizar compras o retirar efectivo en cajeros automáticos compatibles con contactless.
La clave: la retransmisión en tiempo real
Lo que hace especialmente peligroso a WindRelay es su capacidad para retransmitir los datos de la tarjeta en tiempo real. A diferencia de otros métodos de clonación, aquí no se copia un código estático, sino que se reproduce el intercambio criptográfico que se produce en cada transacción. Las tarjetas de pago modernas generan un código dinámico único por operación, por lo que la sincronización es esencial para que el fraude tenga éxito.
Los investigadores explican que el atacante mantiene una llamada activa con la víctima durante todo el proceso, lo que le permite responder a sus dudas, calmar sus sospechas y coordinar los momentos exactos en los que debe instalar la aplicación, acercar la tarjeta o introducir el PIN. Esta combinación de ingeniería social y control remoto es lo que hace que la estafa sea tan difícil de detectar.
Group-IB ha rastreado 23 muestras de WindRelay subidas a VirusTotal entre noviembre de 2025 y julio de 2026, todas ellas personalizadas con el nombre de la víctima y con textos en el idioma del país objetivo. También se han identificado cuatro direcciones IP de mando y control asociadas a esta actividad. Según los investigadores, no se ha encontrado ninguna aplicación con este malware en Google Play, y Google Play Protect ya está bloqueando las versiones conocidas.
Cómo protegerte de WindRelay y otros fraudes NFC
La mejor defensa contra este tipo de ataques sigue siendo la precaución del usuario. Los ciberdelincuentes necesitan que la víctima instale el software malicioso, por lo que emplean varias tácticas de manipulación para conseguirlo. Desconfía de llamadas o mensajes de personas desconocidas que te urgen a actuar rápidamente, y si tienes dudas, contacta con tu banco a través de los canales oficiales.
Nunca instales aplicaciones desde enlaces recibidos por mensaje o desde fuentes fuera de Google Play, y presta especial atención a los permisos de accesibilidad o control del dispositivo que solicitan las aplicaciones. Mantener activa una solución antimalware actualizada también puede ayudarte a detectar amenazas antes de que causen daños. Malwarebytes, por ejemplo, ya detecta SpyNote y WindRelay como Android/Trojan.NGate.ACRBCF9BBC3C1 y Android/Trojan.NGate.ACR2401245FC5.
Este caso demuestra que el fraude moderno rara vez se basa en una sola técnica. La combinación de una llamada de ingeniería social, un troyano de acceso remoto personalizado y un malware de retransmisión NFC permite a los atacantes realizar operaciones fraudulentas en tiempo real, sin necesidad de clonar físicamente la tarjeta. La víctima, mientras tanto, permanece al teléfono con el estafador, creyendo que está hablando con su banco.
La retransmisión en tiempo real es lo que hace que esta amenaza sea especialmente difícil de detectar, ya que la transacción se realiza contra la tarjeta real de la víctima y no parece un clon. Los expertos señalan que la latencia de la retransmisión podría ser medida por el terminal, pero la mayoría de los comercios no lo hacen. Por eso, la prevención y la educación del usuario son fundamentales para evitar caer en este tipo de estafas.
En definitiva, WindRelay representa una evolución significativa en el fraude financiero móvil, y aunque por ahora se ha centrado en Europa Central, la técnica podría extenderse a otros países. La combinación de ingeniería social, acceso remoto y retransmisión NFC convierte cualquier teléfono Android en una herramienta para vaciar cuentas bancarias, y la única forma de protegerse es mantenerse alerta y seguir las recomendaciones de seguridad básicas.
