Nuova ondata di malware Android tra attacchi NFC Relay e il pericoloso Albiriox

Gli esperti di sicurezza informatica lo ripetono da tempo, ma questa volta, complice una moltiplicazione anomala delle campagne malevole e tecniche sempre più raffinate, l’allarme suona più forte del solito: gli utenti Android europei stanno affrontando una delle minacce più complesse e insidiose degli ultimi anni. Come spesso accade nel mondo della cybercriminalità mobile non parliamo di un singolo malware isolato, bensì di un intero ecosistema in evoluzione, che da un lato sfrutta le vulnerabilità dei pagamenti contactless (tramite NFC e Android HCE), e dall’altro introduce nuove famiglie come Albiriox, un RAT bancario capace di prendere il controllo completo del dispositivo senza che l’utente, ovviamente, se ne accorga.

Un contesto che preoccupa perché, per la prima volta, gli attaccanti riescono a portare a termine frodi senza clonare fisicamente le carte e senza dover rubare credenziali in modo diretto; in pratica, basta far installare l’app sbagliata.

Segui TuttoAndroid su Google Discover

NFC Relay: come funziona l’attacco che ruba i pagamenti senza la carta fisica

La prima ondata di campagne, scoperta inizialmente in Polonia nel 2023 e poi diffusasi in Repubblica Ceca, Russia e altri Paesi dell’Europa orientale, sfrutta l’Host Card Emulation (HCE) presente in Android; una tecnologia comoda e pensata per la gestione dei pagamenti digitali, che ora viene piegata a scopi meno nobili.

I ricercatori spiegano che il malware riesce a:

• catturare i campi dati EMV e rispondere ai comandi APDU come farebbe una carta reale
• inoltrare in tempo reale le richieste POS a server remoti controllati dagli aggressori
• manipolare la risposta dell’HCE per autorizzare automaticamente pagamenti fraudolenti
• sfruttare app bancarie false o PWA registrate come gestori di pagamento predefiniti

In pratica, l’attaccante approva una transazione NFC come se avesse lo smartphone della vittima in mano, e per il terminale POS quella carta virtuale è perfettamente valida; non serve clonare nulla, è una sorta di ghost tap da remoto.

Il fenomeno è tutt’altro che marginale, parliamo di oltre 760 app Android dannose individuate negli ultimi mesi, e di un’infrastruttura sotterranea composta da più di 70 server di comando e controllo, bot Telegram, canali privati e falsi store utili per distribuire le applicazioni incriminate.

Molte di queste app imitano servizi noti come Google Pay, o banche come ING, Santader, VTB, Tinkoff, Bradesco e molte altre. Un ecosistema ben coordinato che conferma quanto la minaccia sia ormai industrializzata.

Albiriox è un nuovo malware che controlla il telefono in tempo reale

Accanto ai malware NFC Relay, nelle ultime settimane i ricercatori hanno individuato Albiriox, una nuova famiglia di trojan bancari che, almeno sulla carta, rappresenta un salto di qualità impressionante. Scoperto per la prima volta nel settembre 2025, Albiriox è già venduto come malware-as-a-service, quindi alla portata anche di criminali meno esperti.

La sua architettura, sorprendentemente avanzata per un malware appena nato, include:

• controllo in tempo reale -> lo schermo dello smartphone viene trasmesso in streaming all’attaccante, che può toccare, digitare, aprire app e avviare bonifici come se fosse la vittima
• abuso massiccio dei servizi di accessibilità -> usati per automatizzare tap e leggere contenuti sensibili
• mascheramento dello schermo -> diventa nero mentre l’attaccante opera in background
• moduli RAT evoluti, loader dedicati e pannelli personalizzati per oltre 400 app bancarie, fintech e crypto
• overlay ingannevoli -> per rubare codici, PIN e altre credenziali

Il dettaglio più preoccupante è che la frode avviene direttamente sul dispositivo legittimo della vittima, nella sua sessione reale; questo permette di aggirare autenticazione a due fattori, impronte digitali, OTP via app e gran parte delle misure antifrode bancarie più diffuse.

Come proteggersi da un ecosistema criminale sempre più coordinato

Tanto i malware NFC Relay quanto Albiriox mostrano un livello di organizzazione che, fino a pochi anni fa, era appannaggio solo dei gruppi APT più sofisticati. Oggi invece, assistiamo a strumenti venduti o affittati, kit relay pronti all’uso, dropper distribuiti tramite link smishing e false pagine Google Play, campagne coordinate via Telegram, aggiornamenti continui delle varianti e dei metodi di persuasione.

In altre parole un mercato nero in piena espansione, sostenuto da gruppi che collaborano, condividono toolkit, acquistano moduli aggiuntivi e aggiornano i propri attacchi quasi alla stessa velocità con cui Google patcha Android.

Come sempre, ci sono una serie di comportamenti fondamentali da tenere a mente, spesso ignorati dagli utenti:

• non installare app da link SMS, email o messaggi privati
• evitare il sideload se non strettamente necessario
• controllare lo sviluppatore, il numero di download e le recensioni prima di installare qualunque app bancaria o finanziaria (ma anche di altre tipologie)
• mantenere Android, Play Services e le app bancarie costantemente aggiornati
• impostare un anti malware affidabile e che agisca in tempo reale
• verificare le autorizzazioni richieste dalle app (accessibilità in particolare)
• attivare l’autenticazione a due fattori e, se possibile, usare codici generati da app o dispositivi hardware

È dunque indispensabile prestare più attenzione del solito, perché queste nuove campagne, come sempre quando si diffondono con un mix di ingegneria sociale e tecniche avanzate, rischiano di colpire anche chi si ritiene troppo esperto per cascarci.

Guardando all’evoluzione rapidissima sia dei malware NFC Relay sia di Albiriox, è chiaro che ci troviamo davanti a un trend destinato a espandersi; i pagamenti contactless continuano a crescere, la frode mobile è sempre più redditizia e gli strumenti malware-as-a-service rendono le campagne accessibili a chiunque. La sensazione insomma, è che questa non sia una semplice ondata momentanea, ma l’inizio di una fase più complessa per la sicurezza mobile.