Aplikace, které denně používáte, vám potají kradou hesla i přístup k bankovnictví. Instalujete si je dobrovolně

Jen na Děčínsku přišli lidé za dva měsíce o více než 2,3 milionu korun. Stačila jedna aplikace, kterou si sami nainstalovali.

Zdroj fotografie: Pixnio

Nejde o žádné hollywoodské hackování. Nikdo se neláme do vašeho telefonu přes vzdálenou zranitelnost. Celý podvod stojí na tom, že si škodlivou aplikaci stáhnete sami, sami jí udělíte oprávnění a sami do ní zadáte přihlašovací údaje k bance. Zní to absurdně, ale funguje to, protože ta aplikace vypadá přesně jako něco, co byste si normálně stáhli: čtečka PDF, správce souborů, skener QR kódů. Nebo rovnou „ochranná“ aplikace, kterou vám doporučí údajný bankéř po telefonu.

Které aplikace jsou problém, a které ne

Důležité upřesnění hned na začátek: nebezpečná není každá aplikace, kterou máte v telefonu. Problém představují konkrétní kategorie nenápadných utilit, které si lidé stahují bez velkého přemýšlení a pak je nechávají mezi svou každodenní výbavou. Bezpečnostní analytici ze Zscaler ThreatLabz v srpnu 2025 identifikovali droppery maskované jako čtečky dokumentů, konkrétně balíčky jako com.synexa.fileops.fileedge_organizerviewer nebo com.applicationsresearchgroup.docxploremanagerviewer. Firma ThreatFabric ve své analýze jmenuje aplikace typu „PDF Reader – Edit & View PDF“, „All Document Reader & Editor“ nebo „All Document Reader and Viewer“.

Všechny měly společné rysy:

• Byly dostupné v oficiálním Google Play
• Měly pozitivní recenze a skutečně fungovaly tak, jak slibovaly
• Škodlivou část aktivovaly až později, po instalaci, jako „aktualizaci“

V českém prostředí pak ESET popsal šest různých aplikací cílených na klienty tří tuzemských bank, šířených přes falešné webové stránky napodobující Google Play. A právě tady vstupuje do hry druhá rovina: falešný bankéř, který vám po telefonu vysvětlí, proč si tu „ochrannou“ aplikaci musíte nainstalovat.

Jak přesně vám taková aplikace vybílí účet

Řetězec je promyšlený a má několik fází. Nejdřív si stáhnete zdánlivě neškodnou utilitu. Ta buď sama, nebo po „aktualizaci“ začne požadovat oprávnění: přístup k SMS zprávám, ke službám přístupnosti (Accessibility), k souborům. Oprávnění k přístupnosti je klíčové, protože umožňuje aplikaci číst obsah obrazovky, zachytávat zadávané znaky a provádět akce jménem uživatele.

Pak přijde rozhodující moment. Aplikace překryje legitimní bankovní přihlášení vlastním formulářem, který vypadá identicky. Zadáte přihlašovací jméno, heslo, potvrdíte jednorázový kód. Všechno odchází na server útočníka.

V české kampani popsané ESETem šel útok ještě dál. Oběť na pokyn falešného bankéře zadala PIN platební karty a přiložila kartu k telefonu. Malware NGate přes NFC přečetl data z karty a přeposlal je útočníkovi, který s nimi vybral hotovost z bankomatu. Policie ČR na Děčínsku evidovala od prosince 2025 do ledna 2026 nejméně devět takových případů.

A proč to oběť nepozná? Protože aplikace normálně funguje. Škodlivá část se aktivuje jen v určitých zemích, na vybraných zařízeních a v konkrétním čase. Běží na pozadí i po zavření. Překryvná vrstva bankovní přihlašovací stránky je vizuálně nerozeznatelná od originálu.

Proč to projde i přes Google Play

Logická otázka: jak je možné, že oficiální obchod s aplikacemi tohle pustí? Google sám uvádí, že každou aplikaci prověřuje kombinací automatizovaného a lidského hodnocení a provádí přes 10 000 bezpečnostních kontrol. Jenže útočníci na kontrolu nechodí s hotovým malwarem. První verze aplikace je čistá, funkční, neškodná. Škodlivý kód přijde až později jako „update“ stažený mimo standardní cestu, nebo se aktivuje jen pro uživatele v konkrétní zemi.

Google přitom uvádí, že mimo oficiální obchod je výskyt malwaru více než padesátkrát vyšší než v Google Play. Oficiální obchod tedy pomáhá, ale není zárukou. A falešné stránky napodobující Google Play, které útočníci používají v českých kampaních, vypadají pro běžného uživatele naprosto věrohodně.

NÚKIB v lednu 2025 vydal doporučení k obezřetnosti u náhle populárních aplikací a k důslednému hlídání oprávnění. Stručně řečeno: ani pět hvězdiček a tisíce stažení vám neřeknou, co aplikace dělá pod kapotou.

Android versus iPhone: stejné riziko to není

Tato konkrétní vlna je primárně androidová. Stojí na zneužití služeb přístupnosti, přístupu k SMS a v některých případech NFC, tedy mechanismů, které jsou na Androidu dostupnější. iPhone není bez rizika (Check Point doložil škodlivou aplikaci odstraněnou i z App Store), ale pro klasické převzetí mobilního bankovnictví je v těchto veřejně popsaných případech Android výrazně častějším terčem.

Co udělat teď: praktický návod

Projděte si telefon. Na Androidu: Nastavení → Aplikace → konkrétní aplikace → Oprávnění. Druhou cestou přes Nastavení → Soukromí → Privacy Dashboard uvidíte, které aplikace naposledy sahaly na citlivá data. Pokud jednoduchá utilita požaduje přístup k přístupnosti nebo chce „povolit omezená nastavení“ (funkce od Androidu 13), je to samo o sobě silný varovný signál. Na iPhonu: Nastavení → Soukromí a zabezpečení, kde projdete oprávnění po kategoriích. Zelený a oranžový indikátor ve stavovém řádku signalizují aktivní kameru nebo mikrofon.

Pokud máte podezření, že už k úniku mohlo dojít:

• Okamžitě volejte bance: blokace karty, mobilního bankovnictví, podezřelých transakcí
• Z jiného zařízení změňte hesla k bankovnictví, e-mailu a účtu Google/Apple
• Podezřelou aplikaci odinstalujte a zkontrolujte Play Protect
• Projděte pohyby na účtu a podejte oznámení policii

Česká spořitelna po nasazení nového algoritmu v aplikaci George hlásí pokles škod klientů o 40 %. Komerční banka na svém webu upozorňuje, že banka nikdy nežádá instalaci aplikace po telefonu ani sdělení PINu. Jenže žádný algoritmus nepomůže ve chvíli, kdy klient sám potvrdí podvodnou transakci, a přesně na to celý scénář spoléhá.

Nejúčinnější obrana není technická. Je to vědomí, že ta neškodně vypadající čtečka PDF, kterou jste si stáhli minulý týden, nemusí být tím, za co se vydává.