Stačí jeden telefonát a přiložení karty k mobilu. Útočníci v Česku zneužívají NFC a vybírají peníze z bankomatů

Bezpečnostní firma ESET v Česku a na Slovensku za první čtyři měsíce roku 2026 zaznamenala 15krát více detekcí malwaru NGate.

Zdroj fotografie: Unsplash

Celý podvod funguje jako pečlivě připravený řetězec kroků. Oběti zavolá někdo, kdo se vydává za pracovníka banky nebo České národní banky, a naléhavým tónem ji přesvědčuje, že její účet je v ohrožení. Během hovoru ji navede ke stažení falešné aplikace mimo oficiální obchod. Pak přijde klíčový krok: oběť má přiložit platební kartu k zadní straně telefonu a zadat PIN. Škodlivá aplikace využije NFC k zachycení komunikace s čipem karty a předá ji přes internet do zařízení pachatele, který už může stát u bezkontaktního bankomatu. Ten následně komunikuje se zařízením útočníka, které se pokouší vystupovat jako karta oběti. Pokud se útok podaří, pachatel může vybrat hotovost, aniž by mu oběť kartu fyzicky předala. Právě to je na celé metodě nejzrádnější.

Jak útok krok za krokem probíhá

Všechno začíná telefonátem. Volající zná jméno oběti, někdy i část čísla jejího účtu, a vytváří dojem naléhavosti. Tvrdí například, že se někdo právě pokouší převést její peníze a že je nutné okamžitě jednat. Oběti pošle odkaz na stránku, která připomíná web její banky nebo obchod Google Play. Tam si stáhne aplikaci, která se vydává například za „Klíč“ od ČSOB, George Klíč nebo aplikaci České národní banky.

Po instalaci aplikace vyzve uživatele, aby přiložil platební kartu k telefonu. Nejde o přidání karty do Google Pay, ale o fyzické přiložení plastové karty k NFC anténě telefonu. Malware NGate se pokusí přenést data získaná při komunikaci s bezkontaktním čipem na zařízení útočníka. Pokud oběť zadá také PIN, může mít pachatel u bankomatu potřebné informace k pokusu o výběr hotovosti. Podle Policie ČR mohou útočníci navíc prostřednictvím vzdáleného přístupu k bankovnictví zvyšovat limity na kartě, aby se pokusili vybrat vyšší částky. Pokud se přenos NFC komunikace nepodaří, mohou jako záložní variantu využít běžný převod peněz na jiný účet.

Patnáctinásobný nárůst a milionové škody

Česko patřilo mezi první země, kde společnost ESET v roce 2024 veřejně popsala malware NGate. Od října 2025 však bezpečnostní analytici zaznamenali výrazný nárůst aktivity těchto kampaní. V tiskové zprávě z 12. května 2026 ESET uvedl, že přibližně 90 % zachycených aplikací NGate komunikovalo se stejným serverem. To naznačuje, že za útoky může stát jeden aktér nebo organizovaná skupina.

Nejde přitom jen o statistiky z bezpečnostních systémů. Policie ČR zdokumentovala i konkrétní případy:

• Březen 2024: V Praze 1 byl zadržen dvaadvacetiletý cizinec, u kterého policisté našli více než 160 tisíc korun v hotovosti. Z jedné platební karty toho dne vybral necelých 40 tisíc korun. Šlo přitom jen o část celkové škody. Muž byl obviněn a vzat do vazby.
• Květen až červenec 2025: Policie prokázala případy, při nichž škoda způsobená obdobným podvodným schématem přesáhla 3 miliony korun.

Podobný trend je patrný i ve světě. ESET v první polovině roku 2025 zaznamenal více než pětatřicetinásobný nárůst detekcí NFC podvodů oproti předchozímu pololetí. Ve druhé polovině roku následoval další nárůst o 87 %. Útočníci zdokonalili metody sociálního inženýrství, začali získávat kontakty obětí a kombinovat přenos NFC komunikace s dalšími funkcemi pro vzdálené ovládání telefonu. Česko a Slovensko přitom nejsou jedinými zasaženými zeměmi. Podobné hrozby byly zaznamenány také v Polsku, Maďarsku, Německu, Gruzii nebo Brazílii.

Proč je Android zranitelnější

Všechny dosud popsané kampaně s malwarem NGate cílily na Android. Důvod souvisí mimo jiné s technologií HCE (Host-based Card Emulation), která umožňuje aplikacím emulovat platební kartu a komunikovat s NFC čtečkou. Útočníci mohou tuto vlastnost zneužít tak, že zařízení u bankomatu předstírá komunikaci s kartou oběti, zatímco ta zůstává u svého majitele.

Na iPhonu je situace odlišná. Apple od iOS 17.4 v Evropském hospodářském prostoru umožnil za určitých podmínek využívat HCE i aplikacím třetích stran. To však vyžaduje zvláštní oprávnění, splnění regulačních požadavků a schválení konkrétního způsobu použití. Bylo by proto nepřesné tvrdit, že iPhone je vůči podobným útokům zcela imunní. Veřejně popsané kampaně s NGate však cílily na Android.

Jak podvod poznat a co dělat

Skutečný pracovník banky ani policista po vás nebude požadovat, abyste si přes zaslaný odkaz instalovali neznámou aplikaci, přikládali platební kartu k telefonu nebo sdělovali PIN po telefonu. Mezi hlavní varovné signály patří:

• Tlak na okamžité jednání a zastrašování tvrzením, že je váš účet napadený.
• Požadavek stáhnout aplikaci mimo Google Play.
• Výzva přiložit platební kartu k telefonu a zadat PIN.
• Aplikace, která se vydává za produkt banky, ČNB nebo NBS, ale není dostupná v oficiálním obchodě.

Pokud jste podobný hovor absolvovali a kartu k telefonu přiložili, jednejte okamžitě. Zavolejte své bance na oficiální telefonní číslo, požádejte o zablokování karty a upozorněte ji na možné zneužití účtu. Zároveň podejte oznámení Policii ČR. Pokud máte podezření, že útočníci získali přístup také k vašemu telefonu nebo bankovnictví, řešte s bankou i zabezpečení účtu. Pachatel se totiž může právě v tu chvíli pokoušet vybrat peníze z bankomatu.

Největší síla tohoto podvodu nespočívá jen v technologii NFC. Spočívá především v psychologické manipulaci: oběť celou dobu věří, že chrání své peníze, zatímco ve skutečnosti útočníkům nevědomky pomáhá s jejich odcizením.