Na podvod zvaný „červí díra“ skáče stále více Čechů. Stačí telefonát a vybírají peníze přímo z vašeho účtu

Průměrná škoda na jednu oběť bankovního podvodu v Česku se za rok zdvojnásobila na 33 460 Kč. Za prudkým růstem stojí i scénář, kterému se říká „červí díra“.

Zdroj fotografie: pxHere

Název zní jako ze sci-fi, ve skutečnosti ale popisuje konkrétní způsob bankovního podvodu. Útočník zavolá oběti, představí se jako pracovník banky nebo policista a pod záminkou ohrožení jejího účtu ji přiměje nainstalovat falešnou aplikaci. Ta není dostupná v oficiálním obchodě s aplikacemi. Oběť ji místo toho stáhne prostřednictvím odkazu zaslaného v SMS, přes WhatsApp nebo z podvodné webové stránky. Pak přichází klíčový okamžik: volající požádá oběť, aby přiložila platební kartu k telefonu a zadala PIN. Škodlivá aplikace využije technologii NFC ke zprostředkování přenosu údajů z karty do zařízení útočníka. Ten mezitím stojí u bankomatu, přiloží k jeho čtečce svůj telefon a pokusí se vybrat hotovost. Pokud útok uspěje, bankomat transakci vyhodnotí jako běžný bezkontaktní výběr s použitím správných údajů ke kartě. K tomu není potřeba proniknout na bankovní server ani se nabourat do internetového bankovnictví. Oběť pod tlakem cizího hlasu sama provede kroky, které útočníkovi umožní pokusit se o neoprávněný výběr peněz.

Proč případů přibývá a škody rostou

Česká bankovní asociace zveřejnila za první čtvrtletí roku 2026 údaje, které ukazují znepokojivý trend. Počet útoků na klienty bank vzrostl jen mírně, z necelých 23 tisíc na 23 869. Celková škoda se však zvýšila z 364 milionů na téměř 799 milionů korun. Průměrná škoda na jeden evidovaný případ tak výrazně vzrostla.

Jedním z faktorů jsou sofistikovanější podvodné scénáře, mezi něž patří i útoky využívající takzvanou „červí díru“. Bezpečnostní firma ESET sleduje malware NGate, který umožňuje zneužít technologii NFC k přenosu údajů z platební karty, od roku 2023.

Od října 2025 však ESET zaznamenal výrazný nárůst jeho detekcí. V období od ledna do dubna 2026 evidoval v Česku a na Slovensku přibližně patnáctkrát více detekcí NGate než ve stejném období předchozího roku. Jejich počet navíc překonal celkový počet detekcí za celý rok 2025. Nejde tedy jen o jednorázový výkyv. Útočníci zdokonalují způsoby šíření malwaru, vytvářejí věrohodnější falešné aplikace a používají stále přesvědčivější příběhy, kterými své oběti manipulují.

Jak přesně útok probíhá krok za krokem

Celý scénář má čtyři fáze. Každá z nich je založena na tom, že oběť uvěří útočníkovi a splní jeho pokyny:

1. Telefonát. Volající se představí jako bankéř, policista nebo pracovník České národní banky. Tvrdí, že účet oběti je ohrožen, a naléhá na okamžité jednání. Využívá stres, časový tlak a autoritu své údajné funkce.
2. Instalace aplikace. Oběť dostane odkaz, obvykle prostřednictvím SMS nebo komunikační aplikace, a nainstaluje aplikaci mimo Google Play. ESET potvrdil, že malware NGate nebyl dostupný v oficiálním obchodě. Podvodné stránky však věrně napodobovaly rozhraní Google Play i webové stránky bank.
3. Přiložení karty a zadání PINu. Aplikace vyzve oběť, aby přiložila platební kartu k telefonu a zadala PIN. Škodlivý software následně zprostředkuje přenos potřebných údajů prostřednictvím NFC do zařízení útočníka.
4. Pokus o výběr z bankomatu. Pachatel přiloží svůj telefon ke čtečce bankomatu a zadá získaný PIN. Pokud se mu podaří potřebné údaje správně zprostředkovat a transakce projde bezpečnostními kontrolami, může vybrat hotovost. Celý pokus může proběhnout během několika desítek sekund.

Policie ČR výslovně upozorňuje, že skutečný pracovník banky ani policista po vás nebude chtít instalaci neznámé aplikace nebo přikládání platební karty k telefonu kvůli údajnému zabezpečení účtu.

Proč banka útok nezastaví

Přirozená otázka zní: Jak je možné, že banka takový útok nezastaví? Odpověď je nepříjemně jednoduchá. Bankomat může transakci vyhodnotit jako běžný bezkontaktní výběr, pokud obdrží potřebné údaje a správný PIN. Z jeho pohledu tak nemusí být na první pohled patrné, že kartu ve skutečnosti drží oběť a transakci se snaží provést někdo jiný prostřednictvím svého telefonu.

Banky přitom část podvodů dokážou zachytit. Podle České bankovní asociace se v prvním čtvrtletí roku 2026 podařilo klientům uchránit téměř 3,4 miliardy korun. U útoků využívajících „červí díru“ je ale situace komplikovanější: oběť sama provede požadované kroky a předá údaje, které mohou umožnit autorizaci transakce.

Vrácení peněz proto nemusí být jednoduché. Transakce může z pohledu bankovních systémů vypadat jako řádně autorizovaná karetní operace. Banka pak musí posoudit konkrétní okolnosti případu, způsob provedení transakce i to, zda klient dodržel bezpečnostní pravidla. Samotné zadání PINu však automaticky neznamená, že klient nemá na vrácení peněz nárok.

Kdo je terčem a jak se bránit

Bylo by pohodlné myslet si, že podobným trikům podléhají pouze starší nebo méně technicky zdatní lidé. Dostupná data ale ukazují, že situace je složitější. Podle kampaně Red Flags, kterou v dubnu 2026 spustila Česká bankovní asociace společně se společností Mastercard, si 72 % lidí ve věku 18 až 24 let myslí, že by podobný útok dokázali rozpoznat. Zároveň však 43 % z nich přiznává, že už někdy klikli na nebezpečný odkaz nebo otevřeli podezřelou přílohu.

Rozhodující tedy není jen věk nebo technická gramotnost, ale především psychologický tlak v konkrétní situaci. Když někdo tvrdí, že jsou vaše peníze v bezprostředním ohrožení, může být obtížné zachovat chladnou hlavu.

Varovné signály, které by měly okamžitě vzbudit podezření:

• Volající tvrdí, že váš bankovní účet je bezprostředně ohrožen.
• Žádá vás o instalaci aplikace prostřednictvím odkazu místo stažení z oficiálního obchodu.
• Chce, abyste přiložili platební kartu k telefonu.
• Požaduje PIN, ověřovací kódy nebo jiné citlivé přihlašovací údaje.
• Komunikuje přes WhatsApp, Telegram nebo jiný messenger a vydává se za pracovníka banky či policistu.

Pokud jste na cizí pokyn přiložili kartu k telefonu a zadali PIN, okamžitě kontaktujte svou banku, požádejte o zablokování karty a oznamte incident Policii ČR. Nečekejte, zda se na účtu objeví podezřelá transakce.

Nejde jen o Česko

ESET sleduje šíření malwaru NGate i za hranicemi České republiky. Na podzim roku 2025 zachytil falešné aplikace vydávající se za Českou národní banku a slovenskou Národní banku Slovenska (NBS). Napodobenina aplikace NBS se objevila také v Rakousku.

V Brazílii pak bezpečnostní výzkumníci ve druhé polovině roku 2025 zaznamenali variantu malwaru PhantomCard. Na jaře 2026 se objevila také nová verze NGate ukrytá v upravené, škodlivé verzi platební aplikace HandyPay. Podle ESETu přibližně 90 % detekovaných aplikací s malwarem NGate komunikovalo se stejným řídicím serverem. To je významný ukazatel, že za velkou částí těchto útoků může stát stejná organizovaná skupina.

Česká národní banka v reakci na rostoucí hrozbu vytvořila pracovní skupinu pro prevenci podvodů, do které zapojila banky, policii i mobilní operátory. Jde o konkrétní krok směrem k širší spolupráci při obraně proti podobným útokům.

Otázkou zůstává, zda tato opatření dokážou držet krok s vývojem podvodných metod. Útočníci svůj scénář zdokonalují už několik let a každá další varianta může působit věrohodněji. O to důležitější je pamatovat na základní pravidlo: skutečná banka ani policie po vás nebude chtít, abyste kvůli zabezpečení účtu instalovali neznámou aplikaci a přikládali k ní platební kartu.