「WindRelay」という名前のAndroidマルウェアが、海外で確認されました。感染したスマホは、非接触決済のカード情報を盗む中継装置に変えられてしまいます。カードをスマホにかざす。たったそれだけの動作が、詐欺グループへの情報送信になるのです。
この記事では、WindRelayの仕組みと感染経路をやさしく解説します。自分のスマホを確認する手順や、被害に遭ったときの連絡先もまとめました。読み終えるころには、今日から何をすればいいかが分かります。
WindRelayとは？いま何が起きているのか
まずは全体像からつかみましょう。WindRelayがどんなマルウェアで、いつからどこで確認されているのか。基本を押さえるだけで、ニュースの見出しがぐっと理解しやすくなります。
WindRelayはどんなマルウェア？一言でいうと
WindRelayは、Androidスマホに感染するマルウェアです。一言でいうと「カードのタッチ決済情報を盗んで、遠くの犯人に転送するアプリ」です。
セキュリティ企業のGroup-IBが2026年8月に詳細を報告しました。感染したスマホにクレジットカードをかざすと、カードとスマホの間の通信が丸ごと盗まれます。盗まれた情報は、インターネット経由で犯人の端末へ即座に送られます。
普通のウイルスとの違いは「専門特化」にあります。パスワードを盗む機能は持ちません。タッチ決済の情報を中継すること。その1点だけに絞って作られています。
いつから・どこで確認されている？
WindRelayの検体は、2025年11月から2026年7月にかけて23個確認されています。実際の活動は2025年8月ごろから始まっていたと見られています。
被害が確認されているのは、チェコ・スロバキア・スロベニアなどの中欧です。2026年8月時点で、日本での被害報告はありません。ただし油断はできません。同じ仕組みのマルウェアは中国や東南アジアでも報告されています。手口が国境を越えて広がるのは時間の問題と考えて備えるのが安全です。
なぜ「中継装置」と呼ばれるのか？
WindRelayは、カード情報を保存しません。その場でリアルタイムに転送します。だから「中継装置（リレー）」と呼ばれるのです。
イメージは電話の転送に近いものです。カードと決済端末の会話を、スマホがこっそり別の場所へつなぎます。犯人の手元にある端末が、あなたのカードの「分身」として振る舞う仕組みです。保存しないからこそ検知されにくいという厄介な特徴があります。
NFCリレー攻撃とは？仕組みをやさしく解説
WindRelayが使う「NFCリレー攻撃」。言葉は難しそうですが、仕組みは意外とシンプルです。タッチ決済の基本から順番に見ていくと、なぜ情報が盗めるのかが見えてきます。
NFC（非接触決済）はどうやって通信している？
NFCは「Near Field Communication」の略です。日本語では近距離無線通信と呼ばれます。カードや端末を約10cm以内に近づけたときだけ通信できる技術です。
コンビニでカードをかざす場面を思い出してください。あの一瞬で、カードと読み取り機は暗号化されたデータをやり取りしています。通信距離が極端に短いこと。これがNFCの安全性の土台になっています。遠くから勝手に読み取られる心配は基本的にないのです。
リレー攻撃で決済情報はどう盗まれる？
では、距離の壁をどう破るのか。答えは「中継」です。感染したスマホが読み取り機のふりをして、カードから情報を受け取ります。
受け取った情報は、インターネットで犯人の端末へ送られます。犯人はその端末を本物の決済端末やATMにかざします。するとあなたのカードが目の前にあるのと同じ状態で決済が通ってしまうのです。距離の制限を、ネット中継で無効化する。これがリレー攻撃の本質です。
従来のスキミングと何が違う？
昔からある「スキミング」は、カード情報をコピーして偽造カードを作る手口でした。リレー攻撃は情報をコピーしません。通信をそのまま横流しします。
違いを整理すると次のとおりです。
| 項目 | スキミング | NFCリレー攻撃 |
|---|---|---|
| 盗む対象 | カード情報のコピー | 通信そのもの |
| 偽造カード | 必要 | 不要 |
| 犯行の場所 | カードの近く | 遠隔地でも可能 |
| 発覚しやすさ | 比較的高い | 低い |
偽造カードを作る手間がなく、遠隔で完結する点が、犯人側にとっての「進歩」です。だからこそ対策の重要度が上がっています。
WindRelayはどうやってスマホに入り込む？感染経路とは
WindRelayは、勝手にスマホへ入り込むわけではありません。入り口は1本の電話です。ここでは、感染までの流れを時系列で追いかけます。手口を知れば、途中で止められます。
入り口はなぜ「銀行を名乗る電話」なのか？
Group-IBが調査した事例では、犯人は銀行員を名乗って電話をかけてきました。「あなたのカードに問題があります」という内容です。
なぜ電話なのか。理由は人の不安につけ込むと、普段ならしない操作をさせられるからです。カードが止まるかもしれない。お金が盗まれるかもしれない。そう思わせた上で「確認用アプリを入れてください」と誘導します。技術ではなく心理を突く。これが最初の突破口です。
実際の事例では、電話開始からわずか13分で不正決済まで完了していました。考える時間を与えないスピード感も、この手口の特徴です。
SpyNoteとは？遠隔操作アプリの正体
電話で誘導されてインストールするのは、WindRelayではありません。「SpyNote」という別のマルウェアです。SpyNoteはRAT（遠隔操作型ウイルス）の一種で、犯人にスマホの操作権限を渡してしまいます。
インストール時に「ユーザー補助（Accessibility Service）」の許可を求められます。これを許可すると、画面の読み取りやタップ操作を犯人が代行できるようになります。事例では、アプリ名に被害者の実名が入っていました。自分の名前が表示されると、正規のアプリだと信じ込みやすくなる心理を悪用したものです。
気づかないうちに2つ目のアプリが入る理由とは？
SpyNoteで遠隔操作を握った犯人は、次にWindRelayを送り込みます。このとき被害者の操作は一切不要です。画面共有の通知も出ません。
ユーザー補助の権限があれば、アプリのインストール画面を犯人が裏で操作できるからです。最初の1個を許可した時点で、2個目以降は素通しになってしまいます。だからこそ「最初のアプリを入れない」ことが最大の防御になるのです。
カードをスマホにかざすと何が起きる？被害の流れ
感染後、犯人は被害者に「カードをスマホの裏にかざしてください」と指示します。ここからが被害の本番です。かざした瞬間に何が起きるのか。順を追って見ていきます。
「本人確認のためカードをかざして」と言われたら？
犯人の指示は「本人確認のため」という名目でした。カードをスマホにかざし、暗証番号（PIN）も入力するよう求められます。
一見、銀行アプリの認証のように思えます。しかし実際はWindRelayがカードの通信を読み取っている瞬間です。入力したPINも犯人に渡ります。銀行がこの形式で本人確認を求めることはありません。「かざして」＋「PIN入力」の組み合わせが出たら詐欺と覚えておいてください。
盗まれた情報はどこへ送られる？
読み取られたNFC通信は、犯人が用意したサーバーを経由して転送されます。Group-IBは、中継に使われた4つのサーバーを特定しています。
転送先は、犯人が持つ別のスマホです。その端末が「あなたのカード」として機能します。犯人は本物の店舗の決済端末で買い物をしたり、ATMで現金を引き出したりできます。転送はリアルタイムなので、カードが手元にあっても被害は止まりません。
勝手にローンまで組まれるのはなぜ？
実際の事例では、カード情報の窃取だけで終わりませんでした。犯人は遠隔操作で被害者の銀行アプリを開き、本人名義のローンまで申し込んでいたのです。
SpyNoteがスマホの操作権限を握っているためです。銀行アプリへのログインも、借入の申請も、画面の向こうで完結します。被害額がカードの残高を超えて膨らむのは、この二段構えが理由です。カードと口座、両方を守る意識が必要になります。
自分のスマホは大丈夫？感染をチェックする方法
不安になったら、まず確認です。特別なツールは要りません。Androidの設定画面だけで、怪しいサインの多くは見つけられます。3つの確認ポイントを順番に見ていきましょう。
見覚えのないアプリを確認する手順とは？
最初にアプリの一覧を確認します。手順は次のとおりです。
- 「設定」を開く
- 「アプリ」をタップする
- 一覧を上から順に確認する
チェックすべきは、自分で入れた記憶のないアプリと、電話中にインストールしたアプリです。特に「本人確認」「サポート」といった名前には注意してください。自分の名前が入ったアプリ名も危険信号です。
見つけても、すぐ削除する前に名前を控えておきましょう。後でカード会社や警察に説明する際の証拠になります。
ユーザー補助（Accessibility）設定で何を見ればいい？
次に確認するのが「ユーザー補助」の設定です。「設定」→「ユーザー補助」と進むと、権限を持つアプリの一覧が表示されます。
ここに見覚えのないアプリがあれば要注意です。ユーザー補助は本来、画面読み上げなど障がいサポートのための機能です。普通のアプリがこの権限を求めることはほとんどありません。心当たりのないアプリがオンになっていたら、その場でオフにしてください。
電池消耗や通信量の異変はサインになる？
マルウェアは裏で通信を続けます。そのため、電池の減りが急に早くなることがあります。データ通信量の急増も同じです。
「設定」→「ネットワークとインターネット」→「データ使用量」で、アプリごとの通信量を確認できます。使った覚えのないアプリが上位にいたら疑ってください。ただし異変がない＝安全、とは言い切れません。あくまで補助的なサインとして、アプリ一覧と権限の確認を優先しましょう。
感染が疑われるときの削除・対処手順とは？
怪しいアプリが見つかったら、落ち着いて順番に対処します。手順を間違えると、削除の操作すら犯人に妨害されることがあります。正しい順序を押さえておきましょう。
まず機内モードにすべき理由とは？
最初にやるべきは削除ではありません。機内モードをオンにして、通信を遮断することです。
WindRelayもSpyNoteも、インターネット経由で動きます。通信を切れば、情報の転送も遠隔操作も止まります。犯人がスマホを操作して削除を妨害する事態も防げます。Wi-Fiも忘れずにオフにしてください。機内モードでもWi-Fiだけ生きている設定があるためです。
セーフモードでアプリを削除する方法
通信を切ったら、セーフモードで起動します。多くのAndroidでは、電源ボタン長押し→「電源を切る」を長押し、で切り替えられます。
セーフモードでは、後から入れたアプリが動作しません。マルウェアの抵抗を受けずに削除できます。手順は次のとおりです。
- セーフモードで起動する
- 「設定」→「アプリ」から怪しいアプリを選ぶ
- 「ユーザー補助」の権限を先にオフにする
- アンインストールを実行する
削除できたら通常モードで再起動します。Google Play プロテクトでのスキャンも併せて実行しておくと安心です。
初期化が必要になるのはどんなとき？
アンインストールがグレーアウトして押せない。削除してもアプリが復活する。そんなときは、マルウェアが管理者権限を握っている可能性があります。
この場合は、工場出荷状態への初期化（ファクトリーリセット）が確実です。写真や連絡先は事前にバックアップしてください。ただしアプリのバックアップから復元すると、マルウェアごと戻ってしまうことがあります。復元は写真などのデータのみに絞りましょう。判断に迷うなら、携帯ショップやメーカーサポートに相談するのが安全です。
被害に遭ったらどこに連絡すればいい？
カードをかざしてしまった。PINも入力してしまった。そんなときは、連絡の速さが被害額を左右します。連絡先と伝える内容を、あらかじめ整理しておきましょう。
カード会社・銀行への連絡で伝えることは？
最優先はカード会社への連絡です。カード裏面の電話番号にかけて、利用停止を依頼してください。多くの会社は24時間受け付けています。
伝えるべき内容は次のとおりです。
| 伝える項目 | 内容の例 |
|---|---|
| 状況 | 詐欺電話でアプリを入れ、カードをかざした |
| 日時 | 電話を受けた日時、かざした日時 |
| 操作 | PINを入力したかどうか |
| アプリ名 | インストールしたアプリの名前 |
銀行口座やローンの被害が疑われる場合は、銀行にも連絡します。「PINを入力した」事実は必ず伝えてください。補償の判断に関わる重要な情報です。
警察・相談窓口はどこを使う？
カードを止めたら、次は警察です。緊急でなければ、警察相談専用電話「#9110」にかけてください。サイバー犯罪の窓口につないでもらえます。
被害届を出す場合は、最寄りの警察署へ。控えておいたアプリ名や、犯人からの着信履歴が証拠になります。消費生活センター（188）も相談先として使えます。どこに相談したか、いつ相談したかの記録は、後の補償手続きでも役立ちます。
不正利用分は補償される？確認すべきポイント
クレジットカードの不正利用は、多くの場合、会員規約に基づいて補償されます。ただし条件があります。一般的に、連絡から60日以内の被害が対象です。
注意したいのはPINの扱いです。暗証番号を自分で入力した取引は、補償の対象外になる場合があります。だからこそ、だまされて入力した経緯を正確に伝えることが大切です。詐欺被害の状況次第で判断が変わるため、諦めずに交渉してください。明細の確認は、被害発覚後も数か月は続けましょう。
WindRelayを防ぐ5つの対策
ここまでの手口を踏まえると、防御のポイントは絞れます。難しい設定は要りません。5つの習慣で、WindRelayの侵入経路はほぼ塞げます。1つずつ確認していきましょう。
1. 電話で指示されたアプリは絶対に入れない
WindRelayの入り口は、電話での誘導でした。つまり「電話中にアプリを入れない」だけで、攻撃の起点を断てます。
銀行やカード会社が、電話でアプリのインストールを指示することはありません。相手が本物か不安なら、一度電話を切ってください。公式サイトに載っている番号にかけ直せば確認できます。かけ直しを嫌がる相手は、ほぼ詐欺です。
2. 公式ストア以外からのインストールを許可しない
SpyNoteは、Google Play以外から入れる「サイドロード」で配布されます。設定でこの経路を塞げます。
「設定」→「アプリ」→「特別なアプリアクセス」→「不明なアプリのインストール」と進んでください。ブラウザやメッセージアプリの許可がオンになっていたら、オフにします。公式ストアには審査があるため、マルウェアの大半はここで弾かれます。
3. ユーザー補助権限の要求を安易に許可しない
SpyNoteの遠隔操作は、ユーザー補助の権限が土台でした。この権限の許可を求めるアプリには、立ち止まってください。
画面読み上げアプリなど、正当な理由があるものだけ許可します。「本人確認アプリ」がユーザー補助を求めてきたら、それは詐欺のサインです。許可画面には「画面の内容の取得」「操作の実行」と書かれています。この文言を見たら、一度手を止める習慣をつけましょう。
4. Google Play プロテクトを有効に保つ
AndroidにはGoogle Play プロテクトという無料の防御機能があります。既知のマルウェアを検出し、警告してくれます。
確認方法は簡単です。Google Playを開き、右上のアイコン→「Play プロテクト」と進みます。「スキャン」を押せば手動チェックも可能です。設定が無効になっていないか、月1回は確認してください。詐欺師は「このアプリを入れるにはプロテクトをオフに」と誘導してくることがあります。オフを求められた時点で詐欺確定です。
5. カードをスマホにかざす指示には応じない
最後の砦がこれです。他人の指示でカードをスマホにかざさない。この1点を守れば、WindRelayに感染していても情報は盗まれません。
正規の本人確認で、カードをスマホにかざしてPINを入力させる手続きはありません。「かざして」と言われた瞬間に電話を切る。家族にもこのルールを共有しておきましょう。シンプルですが、最も確実な防御線です。
タッチ決済はもう使わないほうがいい？
ここまで読んで、タッチ決済そのものが怖くなった人もいるはずです。結論から言うと、使うのをやめる必要はありません。その理由と、不安を減らす設定を整理します。
NFCをオフにすれば安全になる？
NFCをオフにすれば、確かにリレー攻撃は防げます。ただし、おサイフケータイやタッチ決済も使えなくなります。
そして重要な点があります。WindRelayの被害は、NFC設定ではなく「だまされてアプリを入れたこと」から始まっています。NFCをオフにしても、遠隔操作やローンの不正申込は防げません。オフにするなら「使わないときだけ」で十分です。根本対策はアプリの管理にあります。
タッチ決済自体が危険ではない理由とは？
タッチ決済の通信は暗号化されています。決済のたびに使い捨ての認証データが生成される仕組みです。同じデータを2回使うことはできません。
WindRelayが成立したのは、この仕組みを破ったからではありません。本人にカードをかざさせ、PINまで入力させたからです。つまり弱点は技術ではなく、人がだまされる部分にあります。普段の買い物でレジの端末にかざす行為は、これまでどおり安全に使えます。
それでも不安なときにできる設定は？
それでも心配なら、リスクを下げる設定があります。次の3つが実用的です。
- 使わないときはクイック設定からNFCをオフにする
- カードアプリの利用通知をオンにして、決済を即座に把握する
- 少額決済でも認証を求める設定に変更する
特に利用通知は被害の早期発見に直結します。身に覚えのない決済に、その日のうちに気づけるからです。「防ぐ設定」と「気づく設定」の両方を整える。これが現実的な落としどころです。
家族を守るには？高齢の親に伝えたいこと
この手口で狙われやすいのは、電話に出る習慣がある世代です。自分が対策できても、家族が狙われては意味がありません。離れて暮らす親に何を伝えるか。具体的に考えます。
なぜ電話詐欺と組み合わされるのか？
WindRelayは、技術的には高度です。しかし入り口は昔ながらの「オレオレ詐欺」と同じ電話でした。
理由は明確です。電話は相手を急かし、考える時間を奪えるからです。「今すぐ確認しないとカードが止まる」と言われると、冷静な判断が難しくなります。スマホ操作に不慣れな人ほど、言われるがまま画面をタップしてしまいます。技術と話術の組み合わせ。これが被害を広げる構造です。
家族で決めておきたいルールとは？
複雑な説明は伝わりません。ルールは短く絞りましょう。おすすめは次の3つです。
- 電話でアプリを入れろと言われたら切る
- カードをスマホにかざせと言われたら切る
- 切ったあと、必ず家族に電話する
ポイントは「判断させない」ことです。詐欺かどうかを見分けるのではなく、この場面が来たら機械的に切る。「切ってから家族に相談」を合言葉にするだけで、被害の大半は防げます。
代わりに設定してあげられる項目は?
帰省のタイミングで、親のスマホを一緒に設定するのも有効です。やることは3つだけです。
- 「不明なアプリのインストール」をすべてオフにする
- Google Play プロテクトが有効か確認する
- カード利用通知をオンにする
5分もかかりません。設定の意味を説明しながら進めると、本人の警戒心も育ちます。「変な画面が出たら写真を撮って送って」と伝えておくのも実用的です。遠隔で状況を確認でき、相談のハードルも下がります。
よくある質問（FAQ）
WindRelayについて、検索されやすい疑問をまとめました。気になる項目から読んでください。
WindRelayはiPhoneにも感染しますか？
2026年8月時点で、WindRelayはAndroid専用です。iPhoneでの感染は確認されていません。
iOSはアプリの配布経路が厳しく制限されているためです。ただし電話で誘導する詐欺そのものは、iPhoneユーザーも標的になります。構成プロファイルのインストール誘導など、別の手口が存在します。「電話の指示で操作しない」原則は、機種を問わず有効です。
日本でも被害は出ていますか？
Group-IBの報告で確認された被害地域は、チェコ・スロバキア・スロベニアなどの中欧です。2026年8月時点で、日本での被害報告はありません。
ただし、類似のNFCリレー型マルウェアは中国などでも報告されています。手口はコピーされて広がるのが常です。日本語の詐欺電話に応用されるリスクは十分にあります。海外の事例のうちに対策しておくのが賢明です。
カードをかざしただけで本当に不正利用されますか？
感染したスマホにかざした場合、通信は読み取られます。ただし高額の決済には、多くの場合PINが必要です。
事例では、犯人がPINの入力まで誘導していました。つまり「かざす」＋「PIN入力」がそろうと被害が最大化します。逆に言えば、PINを教えなければ被害は限定されます。かざしてしまった時点で、カード会社への連絡は必須です。
無料のセキュリティアプリで検出できますか？
Google Play プロテクトは無料で、既知のSpyNote系マルウェアを検出できます。まずはこれを有効にしてください。
ただし、新しい亜種は検出をすり抜けることがあります。WindRelayは、セキュリティソフトの存在を調べて抵抗する機能も持っています。検出ツールは「最後の網」と考えましょう。アプリを入れない・権限を渡さないという入り口対策のほうが確実です。
NFCを常にオフにしておけば完全に防げますか？
NFCリレー攻撃そのものは防げます。しかし「完全」ではありません。
WindRelayの事例では、遠隔操作による銀行アプリの不正利用やローンの申込も起きています。これらはNFCと無関係に進行します。NFCオフは対策の1つであって、全体の防御にはならないと理解してください。アプリ管理と権限管理が本丸です。
まとめ
WindRelayの被害は、マルウェアの技術力だけで成立したものではありません。銀行を名乗る電話、実名入りのアプリ、13分で完結する誘導。人の心理を突く設計が土台にあります。だからこそ、設定よりも先に「電話の指示で操作しない」という習慣が効きます。
今日できる一歩は3つです。スマホのアプリ一覧とユーザー補助の設定を確認する。カードの利用通知をオンにする。家族と「かざせと言われたら切る」を共有する。日本での被害報告が出る前の今が、備えるのに最も条件の良いタイミングです。あわせて、警察庁や各カード会社が公開している最新の注意喚起を定期的に確認する習慣も持っておくと、次の新しい手口にも早く気づけます。
参考文献
- 「WindRelay Android Malware Turns Victims’ Phones Into NFC Relays for Payment Fraud」- The Hacker News
- 「Android malware combo takes out loans and relays victims’ credit cards」- BleepingComputer
- 「WindRelay Malware (Android) – Malware removal instructions」- PCrisk
- 「非接触決済における NFC のセキュリティ」- Stripe
- 「かざすだけの『NFCタッチ決済』は便利だが個人情報を盗む怖い攻撃に遭う恐れも」- ASCII.jp