NGateの悪質なキャンペーン
サイバーセキュリティアナリストは、NGateとして知られるAndroidマルウェアファミリーの新たな亜種を特定しました。この亜種は、NFCGateに依存するのではなく、HandyPayという正規のアプリケーションを悪用するようになっています。この進化は、攻撃者の戦略の変化を浮き彫りにしています。攻撃者は、信頼できるツールを活用することで、悪意のある活動の有効性と隠蔽性を高めているのです。
攻撃者たちは、もともとNFCデータの中継用に設計されたアプリケーションであるHandyPayに悪意のあるコードを注入することで、アプリを改変した。このコードの一部は人工知能を用いて生成された可能性が示唆されている。
以前のNGateの亜種と同様に、この改変されたアプリケーションは、攻撃者が被害者の決済カードからNFCデータを傍受し、自身が制御するデバイスに転送することを可能にします。盗まれたデータは、その後、非接触型ATM引き出しや不正取引に悪用されます。
このマルウェアは、データ傍受に加えて、被害者の決済カードの暗証番号を傍受し、遠隔地のコマンド＆コントロール（C2）サーバーに送信する機能も備えており、金銭的な被害を受けるリスクを大幅に高めます。
目次
NFSkateからRatOnまで：マルウェアの拡大する戦略
NGate（NFSkateとも呼ばれる）は、2024年8月に研究者らが非接触型決済データを不正利用目的で収集するNFCリレー攻撃を実行する能力を実証したことで初めて公に知られるようになった。その後、その攻撃手法と運用戦術は進化を遂げている。
2025年までに、RatOnと呼ばれる関連キャンペーンが、TikTokの成人向けバージョンを装ったドロッパーアプリを導入した。これらの欺瞞的なアプリは、 NGateの展開やNFCリレー攻撃の実行に使用され、ソーシャルエンジニアリング技術の高度化が示された。
ブラジルに注目：標的を絞ったキャンペーンが浮上
今回のNGate攻撃キャンペーンは、地理的なターゲット設定において顕著な変化を示しており、ブラジルのユーザーを主な標的としている。これは、マルウェアが南米のユーザー向けに特化して作成されたことが確認された初めての事例となる。
配布方法は欺瞞に大きく依存している。攻撃者は、リオデジャネイロ州宝くじ機構が運営する宝くじ「リオ・デ・プレミオス」を装った偽ウェブサイトや、偽のカード保護アプリを宣伝する不正なGoogle Playストアページを利用している。これらの手段は、ユーザーを騙してHandyPayの改ざん版をダウンロードさせることを目的としている。
感染連鎖：被害者はいかにして操られるか
この攻撃手順は、綿密に計画されたソーシャルエンジニアリングとユーザーとのやり取りに依存している。
いったん実行されると、攻撃者は盗んだ認証情報を使用して、不正なATM引き出しや決済取引を実行できるようになります。
ステルス性と戦略：HandyPayが選ばれた理由
2025年11月頃に始まったとみられるこのキャンペーンは、ツールの意図的な変更を示している。悪意のあるHandyPayは公式のGoogle Playストアを通じて配布されたことは一度もなく、攻撃者が完全に欺瞞的な配信手法に依存していることが確認できる。
HandyPayを悪用するという決定には、いくつかの要因が影響したと考えられる。他のソリューションは月額400ドルを超えることが多いのに対し、HandyPayは利用料金が安いため、攻撃者にとって経済的な選択肢となる。さらに、このアプリケーションは特別な権限を必要とせず、デフォルトの決済アプリとして設定するだけで済む。これにより、疑念を抱かれにくくなり、インストールが成功する可能性が高まる。
HandyPayは、プラットフォームの悪用を受けて、社内調査を開始しました。
マルウェア開発におけるAI：高まる懸念
マルウェアの技術分析により、デバッグメッセージやシステムメッセージに絵文字が含まれているなど、異常な要素が明らかになった。この異常は、悪意のあるコードの生成または改変に大規模な言語モデルが関与している可能性を示唆している。
AIが原因であると断定することはまだできないものの、今回の調査結果は、サイバー犯罪者がマルウェア開発を効率化するために生成型人工知能をますます活用するという、より広範な業界動向と一致している。これにより参入障壁が低くなり、技術的な専門知識が限られている個人でも高度な脅威を作成できるようになる。
脅威の高まり：NFC詐欺が増加傾向
この新たなNGate亜種の出現は、NFCを利用した金融詐欺の傾向が強まっていることを示している。攻撃者は、NFCGateやマルウェア・アズ・ア・サービス（MaaS）プラットフォームといった既存のツールに頼るのではなく、NFC機能を内蔵した正規のアプリケーションを悪用するようになっている。
この手法は、運用効率と回避能力の両方を向上させるものであり、モバイル脅威戦術における憂慮すべき進化を示しており、モバイル決済セキュリティにおける警戒強化の必要性を改めて強調するものである。
