Stačí 13 minut po telefonu a mají přístup k vaší kartě: Nový podvod okrade i toho, kdo ji nepustí z ruky

Většina lidí spoléhá na jednoduchou poučku: dokud mám platební kartu bezpečně u sebe, nikdo mi z ní peníze nevytáhne. Nová vlna podvodů, která se v posledních měsících objevila i v Česku, tuhle jistotu boří. Oběť kartu celou dobu drží ve vlastní ruce, a přesto s ní někdo jiný zaplatí v obchodě nebo vybere hotovost z bankomatu klidně na druhém konci republiky.

Karta zůstává v peněžence, peníze přesto mizí

Celý trik stojí na technologii NFC, tedy tom samém bezkontaktním čipu, díky kterému běžně platíte přiložením karty nebo telefonu k terminálu. Podvodníci ho zneužijí pomocí škodlivé aplikace, kterou dostanou do mobilu oběti. Stačí, aby oběť podle instrukcí přidržela kartu u zadní strany mobilu. Aplikace v tu chvíli odposlechne signál bezkontaktního čipu a okamžitě ho pošle po síti do telefonu, který má v ruce podvodník.

To druhé zařízení pak u pokladny nebo bankomatu předstírá, že je vaší kartou. Terminál vidí naprosto běžnou bezkontaktní platbu a nic podezřelého nepozná. Odborníci téhle metodě říkají NFC relay, případně Ghost Tap. Kartu není potřeba nikomu ukrást ani okopírovat její číslo, útočníkovi stačí ji na pár vteřin propojit s telefonem oběti.

Přečtěte si také: Senioři v Česku vůbec neví, že od roku 2026 předčasný důchod má tuhle 1 výhodu. Je škoda to nevyužít

Třináct minut stačilo

Že jde o rychlou záležitost, ukázal jeden zdokumentovaný případ. Během zhruba třináctiminutového telefonátu se falešný bankéř dostal do mobilu oběti, navedl ji k manipulaci s kartou a z účtu už mezitím odešly nepovolené transakce. Právě tahle rychlost dělá z podvodu takový problém, oběť většinou nestihne nic zaregistrovat.

Za útoky stojí dvojice škodlivých programů, které se doplňují. Nejdřív se do mobilu dostane trojský kůň SpyNote, který útočníkovi otevře vzdálený přístup k zařízení. Ten pak potají doinstaluje samotný nástroj pro zneužití NFC, aniž by oběť musela o cokoli dalšího žádat. Novou rodinu tohoto malwaru popsali jako první analytici bezpečnostní firmy Group-IB a dali jí označení WindRelay.

Proč falešnému bankéři tolik lidí uvěří

Síla podvodu nespočívá ani tak v technologii, jako v tom, jak pečlivě je připravený samotný hovor. Útočníci si podle bezpečnostních expertů najímají česky mluvící volající, takže telefonát zní věrohodně a bez cizího přízvuku. Skupinu, která za kampaní stojí, sledují odborníci pod názvem WindTapper.

Přečtěte si také: Důchodci můžou dostat až 3 600 Kč. Rozhodne se o tom do konce září

Jméno i telefonní číslo oběti navíc znají už předem. Instalační soubor škodlivé aplikace proto může nést přímo vaše jméno, což celé situaci dodá zdání oficiálnosti. Volající pak typicky tvrdí, že s účtem nebo kartou něco není v pořádku a je nutné ji „ověřit“ nebo změnit PIN. Tahle záminka má oběť dovést přesně k tomu, aby si stáhla aplikaci mimo oficiální obchod a přiložila kartu k mobilu.

„WindTapper ukazuje, kam se posouvá sociální inženýrství,“ uvedl pro Novinky.cz Jaroslav Cihelka, expert na kybernetickou bezpečnost a spolumajitel společnosti ComSource. Dodává, že právě propojení uvěřitelného hovoru se škodlivým programem, který si poradí s živou platební kartou, dělá z téhle metody tak účinný nástroj.

Jak podvod poznáte a co dělat

Obrana je naštěstí jednodušší, než by se zdálo, a začíná hned u telefonu. Žádná banka po vás při běžném hovoru nebude chtít, abyste si do mobilu cokoli instalovali nebo přikládali kartu k telefonu. Pokud tohle volající požaduje, jde téměř jistě o podvod.

Přečtěte si také: Babišova otočka dopadne i na voliče ANO: Nové daně zasáhnou 3 oblasti, o kterých se před volbami mlčelo

Když se do takové situace dostanete, pomůžou tři jednoduchá pravidla:

• Nečekaný hovor, ve kterém někdo řeší údajný problém s vaším účtem, je nejlepší rovnou ukončit.
• Banku pak kontaktujte sami na oficiálním čísle, které najdete na kartě nebo na webu banky, nikdy ne na čísle, ze kterého vám volali.
• Aplikace do telefonu instalujte výhradně z oficiálního obchodu a nikdy ne na pokyn cizího člověka po telefonu.

Právě před instalací aplikací na pokyn telefonátu výslovně varoval v srpnu i český tým CSIRT.

Přečtěte si také: Schillerová řekla 300 korun, Juchelka pak přiznal něco jiného. O kolik si důchodci nakonec polepší?

Když jste některým z kroků už prošli, co nejdřív zavolejte bance a nechte si kartu zablokovat. U bezhotovostních plateb máte šanci neautorizované transakce reklamovat, u hotovosti vybrané z bankomatu bývá vrácení peněz výrazně těžší. Pár vteřin nedůvěry k neznámému volajícímu vás tak může ušetřit nepříjemné a často marné honby za penězi.

Zdroje: https://csirt.cz/cs/kyberbezpecnost/aktualne-z-bezpecnosti/novy-malware-zneuziva-android-telefony-k-nfc-platebnim-podvodum/, https://www.svetandroida.cz/nfc-malware-windrelay-ceske-banky/, https://www.group-ib.com/blog/windrelay-nfc-spynote-rat-combo-fraud/, https://www.denik.cz/ekonomika/novy-podvod-kybersmejdu-aplikace-sama-zkopiruje-kartu-banky/, https://www.novinky.cz/clanek/internet-a-pc-bezpecnost-kartu-nedate-z-ruky-presto-s-ni-podvodnik-zaplati-takto-funguje-novy-trik-40595454