Jak se útok dostane do telefonu

Řetězec infekce začíná klasickým sociálním inženýrstvím. Oběť dostane odkaz přes SMS, messenger nebo sociální síť. Stránka se tváří jako web aerolinky, daňového úřadu nebo vládní služby a nabízí ke stažení APK soubor, tedy aplikaci mimo oficiální obchod Google Play. Po instalaci falešná aplikace požádá o několik nebezpečných oprávnění:

• Přístupnost (Accessibility) – umožní trojanu číst obsah obrazovky, ťukat a psát za uživatele.
• Překryvné vrstvy (Overlay) – dovolí zobrazit falešné přihlašovací okno přes skutečnou bankovní aplikaci.
• Výjimka z úspory baterie – pomáhá zajistit, aby systém trojan neomezoval na pozadí.

Jakmile uživatel Přístupnost povolí, získá operátor výrazně větší možnost telefon na dálku ovládat. Může prostřednictvím této funkce simulovat dotyky a psaní, zatímco překryvné vrstvy slouží například ke krádeži přihlašovacích údajů. Group-IB popisuje udělení Přístupnosti jako zásadní okamžik, od kterého může útočník zařízení výrazně ovládat.

Proč je pracovní profil tak nebezpečný trik

Běžný bankovní trojan krade přihlašovací údaje a provádí podvodné transakce ve stejném profilu, kde běží i bezpečnostní software. Bankovní aplikace i další bezpečnostní mechanismy tak mohou korelovat podezřelé chování: neznámá aplikace s Přístupností plus bankovní přihlášení ve stejném prostoru může vyvolat bezpečnostní kontrolu.

Gigabud s Vwork tuhle logiku rozbíjí. Po prvotní infekci v osobním profilu Vwork založí pracovní profil, naklonuje do něj cílovou bankovní aplikaci a operátor přesune transakční fázi útoku tam. Z pohledu bankovní aplikace může být problematické, že její bezpečnostní kontrola nevidí aplikace a aktivitu z druhého profilu. Z pohledu antiviru v osobním profilu se v pracovním prostoru nic podezřelého nemusí zobrazit, protože oba kontejnery jsou od sebe systémově oddělené.

Během samotné transakce navíc operátor může ztmavit obrazovku telefonu. Oběť vidí černý displej, zatímco na pozadí může prostřednictvím Přístupnosti probíhat ovládání zařízení a pokus o převod peněz.

Čísla z praxe ukazují, že nejde jen o laboratorní teorii. Jen v Indonésii Group-IB mezi únorem a červencem 2026 zaznamenala přibližně 1 469 kompromitovaných zařízení, 1 281 potenciálně kompromitovaných přihlášení a odhadovanou škodu kolem 960 tisíc dolarů, tedy přibližně 23 milionů korun. Group-IB zároveň upozorňuje, že jde o aktivitu, kterou sama pozorovala, nikoli o kompletní statistiku všech případů v zemi.

Koho se to týká, a koho zatím ne

Veřejně potvrzené nasazení varianty Gigabudu s Vwork je zatím zdokumentováno v Indonésii. Group-IB ale našla vzorky Gigabudu připravené pro spolupráci s Vwork, které cílily na Brazílii, Kolumbii, Egypt, Indonésii, Laos, Mexiko, Maroko, Filipíny, Thajsko, Turecko a jeden nejmenovaný stát Perského zálivu. Samotná existence těchto vzorků ale neznamená, že tam byly potvrzeny infekce nebo že se tam Vwork skutečně použil.

České banky ani české phishingové domény v dostupné dokumentaci nefigurují. To ale neznamená, že se technika nemůže přenést. Distribuce přes SMS, messengery a sociální sítě funguje jazykově nezávisle, stačí přeložit phishingovou stránku a upravit malware pro cílové bankovní aplikace. Technika je zdokumentovaná a pracovní profil je legitimní součástí Androidu, takže podobný model může být použit i v dalších kampaních.

Jak útok odhalit a co dělat

Nejčasnější varovný signál může být samotný vznik pracovního profilu na telefonu, který si uživatel ani jeho zaměstnavatel vědomě nenastavil. Konkrétní kontrolní body:

• V Nastavení → Účty nebo v části věnované účtům a profilům hledejte položku „Pracovní profil“ nebo „Work Profile“.
• V seznamu aplikací si všímejte duplicitní bankovní aplikace s malou ikonou aktovky.
• V Nastavení → Přístupnost zkontrolujte, zda nemá aktivní oprávnění neznámá aplikace.
• Vwork schová svou ikonu z launcheru, ale podle Group-IB může být dohledatelný ve správci souborů jako poskytovatel dokumentů.

Samotný pracovní profil ještě nemusí znamenat napadení, může jít o legitimní firemní nasazení. Ale druhá instance bankovní aplikace v pracovním profilu, kterou jste si sami nevytvořili, je důvod k okamžité kontrole telefonu.

Pokud jste nedávno instalovali APK z neoficiálního zdroje a povolili mu Přístupnost, Malwarebytes doporučuje kontaktovat banku přes ověřený kanál, odebrat podezřelé aplikaci oprávnění Přístupnosti, odinstalovat ji a spustit kontrolu přes Google Play Protect. V případě podezření na kompromitaci je vhodné zvážit také tovární reset. Případnou podezřelou transakci co nejdříve reklamujte u banky. Pravidla pro vrácení prostředků se liší podle okolností a toho, zda šlo o skutečně neautorizovanou transakci, proto není možné automaticky slíbit její proplacení. V Česku se lze obrátit i na finančního arbitra nebo ČNB.

Antivirus nestačí, klíčová je prevence oprávnění

Nejúčinnější obrana neleží jen v antiviru, ale také v tom, co uživatel neudělá. Neinstalovat APK mimo Google Play. Nepovolovat Přístupnost aplikaci, která ji zjevně nepotřebuje. Mít zapnutý Play Protect. Aktualizovat systém i bankovní aplikaci. A pro bankovnictví preferovat další faktor ověření, který není navázaný jen na SMS. Stejná doporučení uvádí i Group-IB.

Gigabud s Vwork ukazuje posun, který stojí za pozornost: útočníci už se nesnaží obejít jen samotnou bankovní aplikaci, ale také způsob, jakým bezpečnostní mechanismy vyhodnocují dění v telefonu. Oddělený profil, který měl chránit firemní data před osobními, se v tomto případě stává prostředím, které může útočník využít k oddělení podvodné aktivity od malwaru v hlavním profilu.

Jak přesně funguje AI uvnitř viru

Klasický mobilní malware má v kódu napevno zapsané souřadnice tlačítek a názvy prvků rozhraní. Stačí, aby výrobce telefonu změnil launcher nebo Google posunul položku v nastavení o pár pixelů, a celý útok selže. PromptSpy tohle obchází elegantně: pošle Gemini textový prompt spolu s XML výpisem aktuální obrazovky (typy prvků, jejich texty, souřadnice). Gemini vrátí JSON s konkrétními pokyny: kam klepnout, co podržet, kudy přejet prstem. Malware instrukce provede přes služby přístupnosti.

Důležité upřesnění: Gemini nekrade peníze. Nekontroluje bankovní účet, nepřepisuje příkazy k platbě. Jeho role je čistě „údržbářská“, pomáhá malwaru přežít na různých zařízeních, zamknout se v seznamu posledních aplikací a zablokovat pokusy o odstranění. Samotné ovládnutí telefonu pak zajišťuje vestavěný VNC modul, který útočníkům dává plný vzdálený přístup k displeji.

Co se stane po instalaci

Řetězec útoku podle ESETu vypadá takto:

• Oběť klikne na odkaz z SMS, e-mailu nebo podvodného webu a stáhne si dropper, aplikaci, která vypadá jako bankovní.
• Dropper otevře falešnou bankovní stránku ve španělštině a nabídne „aktualizaci“. Ta je ve skutečnosti hlavním škodlivým kódem.
• Po spuštění payload požádá o služby přístupnosti a zobrazí klidnou obrazovku „Loading, please wait“.
• Na pozadí se spojí s řídicím serverem, získá klíč k Gemini API a začne pracovat.

Od té chvíle malware umí zachytit PIN nebo heslo z uzamčené obrazovky, nahrávat displej i gesta, pořizovat snímky obrazovky a předat útočníkům plné vzdálené ovládání přes VNC. Aktivuje se i po restartu díky systémové události BOOT_COMPLETED, nejde tedy o jednorázový kód, ale o nástroj navržený k dlouhodobému přežití.

Klíčový API klíč k Gemini si přitom PromptSpy neukládá natvrdo do vlastního kódu. Přijímá ho ze serveru útočníků, což znamená, že AI vrstva je provozně řízená a dá se aktualizovat bez vydání nové verze malwaru.

Nejde smazat? Jak se ho přesto zbavit

Formulace „nejde smazat“ neznamená, že je malware nesmrtelný. Znamená, že běžný postup (otevřít nastavení, najít aplikaci, klepnout na Odinstalovat) nefunguje. PromptSpy zneužívá služby přístupnosti k tomu, aby přes kritická tlačítka (stop, end, clear, Uninstall) položil neviditelné obdélníky. Uživatel klepá, ale dotyk zachytí překryvná vrstva.

Řešení existuje a je poměrně přímočaré:

• Restartovat telefon do Safe Mode, v tomto režimu se aplikace třetích stran dočasně vypnou, včetně PromptSpy. Postup se liší podle výrobce, ale typicky stačí podržet tlačítko vypnutí a pak dlouze klepnout na „Vypnout“ nebo „Restartovat“, dokud se neobjeví nabídka Safe Mode.
• V Safe Mode přejít do Nastavení → Aplikace a MorganArg klasicky odinstalovat.
• Zkontrolovat Google Play Protect, nainstalovat dostupné bezpečnostní aktualizace.
• Z jiného čistého zařízení změnit hesla k bankovnictví, e-mailu a dalším důležitým službám.

Hrozí to i v Česku?

Přímé veřejné varování českých institucí konkrétně na PromptSpy se nám k září 2026 dohledat nepodařilo. Známé vzorky míří primárně na Argentinu: název MorganArg ESET interpretuje jako „Morgan Argentina“, podvržené rozhraní je ve španělštině a čtyři pokročilejší vzorky byly nahrány z argentinských IP adres. ESET navíc přiznává, že PromptSpy dosud nezachytil ve vlastní telemetrii, a nevylučuje, že může jít o proof of concept.

To ale neznamená, že se českých uživatelů netýká. Podobné androidové bankovní kampaně v Česku už doložené jsou. V roce 2024 ESET popsal malware NGate, který cílil na klienty tří českých bank a umožňoval výběry z bankomatů přes přeposílání NFC komunikace; NÚKIB to následně potvrdil. A v srpnu 2026 CSIRT.CZ varoval před dalším androidovým malwarem vydávajícím se za finanční instituce včetně českých a slovenských. Technika se mění, princip zůstává: falešná bankovní aplikace mimo Google Play, povolení instalace z neznámých zdrojů, žádost o služby přístupnosti.

Tohle je důležitější, než se zdá

Největší posun není v tom, že malware „používá AI“, to zní jako marketingová fráze. Podstatné je, co mu AI prakticky dává: nezávislost na konkrétním modelu telefonu, verzi Androidu nebo typu launcheru. Klasický bankovní trojan fungoval na Samsungu s One UI, ale na Xiaomi s MIUI selhal, protože tlačítka byla jinde. PromptSpy se prostě zeptá Gemini, kde jsou teď.

ESET v pololetní zprávě H1 2026 zařadil PromptSpy mezi klíčové příklady nových hrozeb a poznamenal, že absence dalších podobných vzorků může souviset s tím, že Google aktivně monitoruje zneužití Gemini API. Jinými slovy: obrana funguje, ale závod začal.

Kdo instaluje aplikace výhradně z Google Play a neuděluje neznámým aplikacím oprávnění přístupnosti, má riziko výrazně nižší. Kdo ale klikne na odkaz v SMS a povolí vše, co mu telefon nabídne, dává PromptSpy přesně to, co potřebuje, a zbavit se ho pak bude muset v Safe Mode.

Proč je Gemini v malwaru tak nebezpečná novinka

Běžné škodlivé aplikace pro Android mívají napevno zadané součásti a selektory obrazovek. Fungují spolehlivě na jednom konkrétním telefonu s jednou verzí systému, ale jakmile výrobce změní rozložení menu nebo Google aktualizuje nastavení, malware ztratí orientaci. PromptSpy tohle omezení obchází. Gemini vyhodnotí aktuální stav rozhraní bez ohledu na značku, verzi Androidu nebo systémovou nadstavbu a vrátí další krok. Útočník tak není svázán jedním modelem ani jedním jazykem systému.

Důležité je ale říct, co Gemini v tomto případě nedělá. Neslouží k samotnému bankovnímu phishingu ani k prolamování hesel. Jeho role je udržet malware aktivní, zamknout aplikaci v paměti, zablokovat pokusy o její vypnutí a navigovat se v systémovém prostředí, které nezná předem. ESET to označuje jako první známý androidový malware využívající generativní AI přímo v průběhu útoku.

Co přesně PromptSpy umí a jak se šíří

Řetězec infekce vyžaduje několik kroků od samotného uživatele. Oběť nejprve navštíví falešný web (ESET identifikoval domény mgardownload.com a m-mgarg.com) a stáhne takzvaný dropper. Ten se tváří jako bankovní aplikace a po spuštění vyzve k instalaci „aktualizace“, což je samotný PromptSpy. Následně vyzve k povolení služby usnadnění. Teprve po tomto kroku získá plnou kontrolu.

Co pak malware dokáže:

• Vzdálené ovládání displeje přes vestavěný VNC modul, útočník vidí obrazovku a provádí gesta na dálku.
• Výpis nainstalovaných aplikací a hlášení právě aktivní aplikace.
• Snímky obrazovky a nahrávání displeje v reálném čase.
• Zachycení PINu nebo hesla z uzamykací obrazovky.
• Blokace odinstalace překrytím tlačítek typu „Odinstalovat“, „Zastavit“ nebo „Vymazat“ neviditelnými obdélníky.

Android 12 sice zavedl omezení pro nedůvěryhodné překryvné prvky, ale okna vytvořená přes služby usnadnění patří mezi výjimky, proto trik proti odinstalaci funguje i na novějších verzích systému.

PromptSpy se nikdy neobjevil na Google Play. Podle české tiskové zprávy ESETu z 23. února 2026 jsou uživatelé Androidu po sdílení zjištění s Googlem automaticky chráněni službou Google Play Protect proti známým verzím tohoto malwaru, a to i v případě aplikací stažených mimo oficiální obchod.

Koho se to týká a hrozí to i v Česku

Dosud potvrzeným cílem kampaně je Argentina, čemuž odpovídá španělská lokalizace, název „Morgan Argentina“ i distribuční infrastruktura. ESET navíc přiznává, že PromptSpy dosud nezachytil ve vlastní telemetrii, takže může jít i o proof of concept s omezeným nasazením. První vzorky předchůdce VNCSpy se na VirusTotal objevily 13. ledna 2026 z Hongkongu, pokročilejší vzorky PromptSpy pak 10. února z Argentiny. Vývoj s vysokou pravděpodobností probíhá v čínsky mluvícím prostředí, v kódu se našly ladicí řetězce ve zjednodušené čínštině.

V Česku zatím PromptSpy potvrzen není. Ale technika falešných bankovních aplikací tu má historii. ESET už v srpnu 2024 popsal phishing přes PWA a WebAPK aplikaci, které mířily na klienty české banky, a ve stejném měsíci odhalil malware NGate cílící na klienty tří českých bank. Lokalizace PromptSpy pro jiný trh by díky Gemini byla výrazně snazší než u klasického malwaru, a právě to je podle nás hlavní důvod, proč tuto hrozbu brát vážně i mimo Argentinu.

Jak PromptSpy odstranit: nouzový režim jako jediná cesta

Standardní odinstalace nefunguje, tlačítka jsou překrytá neviditelnými prvky a PromptSpy dotek zachytí dříve než systém. Řešením je nouzový režim (Safe Mode), ve kterém se aplikace třetích stran dočasně vypnou a malware nemůže blokovat své vlastní smazání.

Na telefonech Pixel a většině Androidů s čistým systémem: podržte tlačítko napájení, v nabídce dlouze podržte volbu „Vypnout“ nebo „Restartovat“ a přejděte do nouzového režimu. Případně telefon úplně vypněte a při zapínání držte tlačítko pro snížení hlasitosti.

Na telefonech Samsung: z nabídky napájení podržte „Vypnout“ a vyberte „Nouzový režim“. Alternativně při startu vypnutého telefonu po zobrazení loga Samsung držte tlačítko snížení hlasitosti.

Po spuštění do nouzového režimu otevřete Nastavení → Aplikace, přejděte na MorganArg a odinstalujte ji. Po běžném restartu ověřte, že aplikace je odstraněná a v nastavení Služeb usnadnění nezůstal žádný záznam.

PromptSpy zatím není masová nákaza, ale technický precedens. Poprvé ukázal, že generativní AI dokáže malwaru nahradit to, co dosud vyžadovalo ruční přizpůsobení každému telefonu, a to je posun, který se nevrátí zpět.

Kdy přesně které tablety přišly o podporu

Samsung modely nevyřazuje naráz. Proces je rozfázovaný a odvíjí se od data uvedení každého zařízení na trh. Podle dostupných informací z oficiálního bezpečnostního seznamu Samsungu a specializovaného serveru SamMobile to vypadá takto:

• Galaxy Tab A7 Lite a Galaxy Tab S6 Lite (verze 2020 i 2022) přišly o podporu v červnu 2025 po revizi bezpečnostního bulletinu.
• Galaxy Tab S7 FE ztratil podporu v červenci 2025.
• Galaxy Tab Active3 nemá přesný měsíc vyřazení dohledatelný, ale model v aktuálním seznamu už nefiguruje a spadal do starší čtyřleté politiky.
• Galaxy Tab W21 5G a Galaxy Tab W22 5G už v seznamu nefigurují.

Důležitý detail: Samsung přesné datum konce podpory nikde veřejně neoznamuje. Uživatel to pozná tak, že jeho model prostě zmizí ze stránky Security Updates Scope. Žádný e-mail ani notifikace v tabletu nepřijde.

Proč může bankovní aplikace přestat fungovat přes noc

Konec bezpečnostních záplat je jedna věc. Druhou, pro běžného uživatele často bolestivější, je ztráta kompatibility s aplikacemi. A ta může přijít skutečně ze dne na den. Stačí, aby nastal jeden ze tří scénářů.

Za prvé: banka vydá novou verzi aplikace s vyšší minimální úrovní Androidu (technicky řečeno zvýší parametr minSdkVersion). Google Play pak aplikaci na starém systému jednoduše přestane nabízet, zmizí z výsledků vyhledávání a nepůjde stáhnout ani aktualizovat.

Za druhé: i když uživatel má starší verzi aplikace nainstalovanou, banka může na svém serveru odříznout zastaralé verze. KB+ to říká výslovně: pokud klient nestahuje aktualizace, banka negarantuje správné fungování a starší verzi aplikace může kdykoli deaktivovat.

Za třetí: banka zpřísní bezpečnostní kontrolu při přihlášení a starý systém bez aktuálních záplat jí neprojde.

Z pohledu uživatele je výsledek vždy stejný: ráno aplikace fungovala, odpoledne už ne. Žádné varování předem, žádné přechodné období.

Co požadují české banky

Konkrétní minimální požadavky se liší banka od banky, ale trend je jasný: laťka se postupně zvedá. KB+ aktuálně vyžaduje Android 10 a novější a doporučuje výhradně pravidelně aktualizovaná zařízení. MONETA Smart Banka podporuje Android 9 a vyšší, ovšem s podstatným háčkem: oficiálně podporuje provoz jen na telefonech s Androidem a iPadech s iOS 16+. Na tabletech s Androidem tedy MONETA správné fungování negarantuje.

Tablety z našeho seznamu sice většinou běží na Androidu 13 nebo 14, takže čistě verze systému zatím stačí. Problém je jinde: bez bezpečnostních záplat zařízení postupně přestává splňovat podmínku „pravidelně aktualizované“, kterou banky čím dál důrazněji vyžadují. A jakmile banka zvýší minimální verzi třeba na Android 15, starý tablet už žádnou cestou nepřekročí.

Na co se starý tablet ještě hodí, a na co už ne

Podle nás je konec bezpečnostní podpory praktická hranice, ne kosmetická nepříjemnost. Ale neznamená to, že tablet patří do šuplíku. Galaxy Tab S7 má pořád skvělý AMOLED displej, Tab S6 Lite slušné pero S Pen a Tab A7 Lite je solidní zařízení na video a čtení. Pro tyto účely (sledování seriálů, čtení knih, recepty v kuchyni, dětské hry offline) tablet bez záplat funguje dál a riziko je minimální.

Hranice nastává u všeho, co pracuje s citlivými daty: bankovnictví, přihlašování do e-mailu, správa hesel nebo pracovní dokumenty. Tady doporučujeme přesunout tyto činnosti na podporované zařízení, ať už telefon, počítač nebo novější tablet. Kdo chce zůstat u Samsungu, v aktuálním seznamu podpory stále figurují mimo jiné Tab S10 FE, Tab S9 FE, celá řada S8 i Tab S6 Lite ve verzi 2024.

Jak zjistit, jestli se vás to týká

Postup je jednoduchý: otevřete na tabletu Nastavení → O tabletu a podívejte se na název modelu. Pak ho porovnejte s oficiálním seznamem Samsung Security Updates Scope. Pokud váš model mezi měsíčně, čtvrtletně nebo pololetně aktualizovanými zařízeními nenajdete, pravidelná podpora už skončila. Pozor na záměnu: Tab S6 Lite existuje ve verzi 2020, 2022 i 2024, a právě ta poslední je stále v podpoře.

Pro srovnání: Apple v červnu 2025 stále drží v kompatibilitě s iPadOS 26 i iPad 8. generace z roku 2020. Samsung se u nových zařízení sedmiletým slibem Applu přibližuje, ale starší generace tabletů tuto výhodu jednoduše nemají, spadly do éry kratších pravidel, která právě dobíhá. Kdo na některém z šesti jmenovaných modelů stále spravuje finance, neměl by čekat na den, kdy mu aplikace řekne ne.

Jak celý podvod funguje krok za krokem

Řetězec začíná nenápadně. Pachatel získá přístup k cizímu facebookovému profilu, nejčastěji přes vyklánění ověřovacího kódu, slabé heslo nebo phishingový odkaz maskovaný jako „hlasování v soutěži“. Policie v lednu 2026 popsala variantu, kdy oběť klikla na odkaz v chatě, zadala telefonní číslo a nevědomky propojila svá zařízení s útočníkem. Ten pak tiše převzal účet.

Jakmile má pachatel profil pod kontrolou, přijde seznam přátel a začne psát. Legenda se mění, někdy jde o naléhavou žádost o půjčku, jindy o žádost o přeposlání kódu „ze soutěže“. Společný jmenovatel je tlak na rychlost. Žádná chvilka na rozmyšlenou, žádný prostor pro pochybnosti.

V polském prostředí, odkud se aktuální vlna šíří, pachatel typický vyláká šestimístný kód systému BLIK:

• Oběť vygeneruje jednorázový kód v bankovní aplikaci.
• Pachatel ho zadá do bankomatu.
• Systém pošle žádost o potvrzení zpět do aplikace oběti.
• Oběť potvrdím PINem, bankomat vydá hotovost.

Celý proces? Kód platí dvě minuty. Od potvrzení v aplikaci k výběru hotovosti uplyne pár vteřin. Banka transakce vidí správně autorizovanou uživatelem, nemá důvod ji zastavit.

V Česku BLIK nemáme. Riziko ale ano

BLIK je polský platební systém, v Česku se běžně nepoužívá. Funguje v Polsku a na Slovensku, vstup do Rumunska má schválený. Jenže to neznamená, že se problém českých uživatelů netýká.

Podle České národní banky má přístup k okamžitému platbám v systému CERTIS už 99 % klientů bank na českém trhu . Taková platba proběhne, sedm dní v týdnu a běžně je hotová zhruba tři sekundy. Technický strop pro rozhodnutí systému je šest sekund. To je vše, co dělí potvrzení od nevratného odeslání peněz.

Air Bank na svých stránkách uvádí přímo: většinu plateb odesílá okamžitě a po odeslání nelze vrátit, vrátit je může jen příjemce. Když je příjemcem podvodník, šance na dobrovolné vrácení je prakticky nulová.

Psychologický mechanismus je tedy v Česku plně přenositelný. Nepotřebujete BLIK kód. Stačí, aby vás zpráva od „kamarády“ přesvědčila poslat okamžitou platbu na neznámý účet. Tři sekundy, a hotovo.

Proč je telefonát poslední lidská pojistka

Zpráva z Messengeru vypadá jako důkaz identity. Jenže po převzetí účtu už důkazem není. Jediný, co útočník snadnom. zfalšovat reálné v čase, je hlas skutečného člověka na konci druhého linky

Policie ČR opakovaně doporučuje ověřit každou žádost o peníze jiným komunikačním kanálem, ideálně telefonátem. Stejnou radu dávám i samotný BLIK ve svých bezpečnostních doporučeních: kód nikdy neposílejte, dokud si jen neověříte, s kým komunikujete.

A tady je klíčový varovný signál: pokud druhá strana odmítá hovor, tvrdí, že má „rozbitý mikrofon“, nebo vás tlačí do okamžité reakce a zakazuje ověřit, je to samo o sobě důvod nic neposílat. Legitimní přítel, který skutečně potřebuje pomoc, nemá důvod bránit vám v tom, abyste mu zavolali.

Telefonát samozřejmě není všelék. Politika popisuje i propracovanější varianty, kdy pachatel komunikuje z nového čísla nebo kombinuje více triků. Proto je telefonát nejúčinnější v kombinaci s dalšími opatřeními: dvoufázovým ověřením, unikátním heslem a kontrolou souhrnu každé transakce před potvrzením.

Co dělat, když už je pozdě

Zjistili jste, že jste peníze poslali podvodníkovi? Počítá se každá minuta. Pořadí kroky:

• Okamžitě volejte banku, žádejte blokaci účtu, karty a další autorizační prostředky.
• Změňte heslo k napadenému účtu na sociální síti a odhlaste všechna cizí zařízení.
• Varujte své kontakty, že váš profil mohl být zneužit, ať nereaguje na žádné zprávy.
• Shromážděte důkazy, screenshoty chatu, potvrzení transakce, čísla účtů, časové údaje.
• Podejte oznámení na Policii ČR, v naléhavém případě přes linku 158.

Šance na vrácení peněz u okamžitých plateb je nízká. Banka může příjemce vyzvat k vrácení, ale donutit ho nemůže. Policie za rok 2025 evidovala přes 21 tisíc skutků v kyberprostoru s objasněností 15,1 %. Pachatelé jsou dopadáni, v Praze policie po dvouletém vyšetřování zadržela devítičlennou skupinu se stovkou poškozených a škodou téměř tři miliony korun, ale jde o běh na dlouhou trať.

Jak si účet zabezpečit, než se něco stane

Prevence je nesrovnatelně účinnější než řešení. Meta od roku 2025 zavádí na Facebooku přihlašování přes passkeys, tedy biometriku nebo PIN zařízení místo hesla. Autor doporučuje Security Checkup a dvoufázové ověření pro Facebook a Instagram.

Minimum, které by měl mít nastavit každý:

• Silné a unikátní heslo, žádné recyklování napříč službami.
• Dvoufázové ověření (2FA), nejlépe přes autentizační aplikaci, není jen SMS.
• Pravidelná kontrola přihlášených zařízení, neznámé přístupy okamžitě odhlásit.
• Neklikat na „hlasovací“ a jiné podezřelé odkazy v chatě, i když je posílá kamarád.
• Nikdy nesdělovat SMS kódy ani autorizační kódy, žádná banka ani služba je po vás přes chat nechce.

Nejde o problém jedné platformy. Zásady stejný postup popisuje na Facebooku, WhatsApp a dalších komunikátorech. Společným jmenovatelem není konkrétní aplikace, ale převzatá identita a rychlost, s jakou se dá autorizovat nevratná platba.

Než pošlete komukoli peníze na základě chatových zpráv, vyčtete jeho číslo. Deset sekund hovoru vás může ušetřit deset tisíc korun.

Útočníci neprolamují aplikaci, prolamují pozornost

Představa hackera, který z temné místnosti proniká do bankovního systému, je dnes spíš filmové klišé. Realita vypadá jinak: zavolá vám zdvořilý hlas, představí se jako bankéř, upozorní na „podezřelý pohyb na účtu“ a požádá vás, ať si nainstalujete aplikaci pro vzdálený přístup. Nebo vám přijde SMS s odkazem na stránku, která vypadá přesně jako přihlášení do banky. Zadáte údaje a pak v legitimní bankovní aplikaci potvrdíte push notifikaci, jenže tu vyvolal útočník, ne vy.

Podle průzkumu Ipsos Kybernetická rizika z června 2024 má 31 % respondentů zkušenost s kyberútokem a pětina napadených přišla o peníze. Česká bankovní asociace zároveň upozorňuje na výrazný meziroční nárůst útoků na klienty bank. Přesný údaj jen pro mobilní bankovnictví veřejně dostupný není, ale trend je jednoznačný: nejslabším článkem řetězu je okamžik, kdy klient ve stresu schválí něco, co sám nezačal.

Pocit bezpečí versus skutečná dovednost

Čísla odhalují paradox. Celých 82 % uživatelů internetového nebo mobilního bankovnictví tvrdí, že je banka informuje o rizicích dostatečně. Jenže jen 56 % uvádí alespoň střední znalost kybernetických hrozeb. A konkrétní test odhalí ještě víc: 44 % lidí nepoznalo podezřelý e-mail a 36 % by na něj reagovalo rizikovým způsobem.

Proč se varování nepropíšou do chování? Částečně proto, že hlavním zdrojem informací o kyberrizicích nejsou banky, ale média (42 %) a sociální sítě (27 %). Komunikace bank se umístila až za těmito zdroji. Varování v aplikaci tak soutěží o pozornost s desítkami jiných notifikací a často prohrává. MONETA Money Bank například uvádí, že upozornění na nové typy podvodů zobrazuje přímo ve své aplikaci. Problém ale není v množství varování. Je v tom, že se z nich nestane návyk.

Pět pravidel, která zaberou desítky sekund

Bankovní aplikace v Česku stojí na společné evropské regulatorní základně: silném ověření klienta podle PSD2 a harmonizovaných požadavcích na digitální odolnost podle nařízení DORA. Rozdíly mezi jednotlivými bankami jsou spíš v nadstavbách: granularitě limitů, typu notifikací nebo možnosti ověřit si identitu bankéře přímo v aplikaci. Základní bezpečnostní minimum je ale na straně uživatele:

• Instalace jen z oficiálního obchodu. App Store, Google Play nebo AppGallery. Žádná aplikace stažená z odkazu v SMS nebo e-mailu. NÚKIB i banky to opakují jako jeden ze základních bezpečnostních principů.
• Aktuální systém, žádný root ani jailbreak. Upravený telefon obchází bezpečnostní vrstvy, na které se aplikace spoléhá. Aktualizace systému i aplikace nejsou otravná notifikace, ale záplata známých zranitelností.
• Nepotvrzovat nic, co jste sami nezačali. Push notifikace o přihlášení, které jste neiniciovali? Autorizační kód, o který jste nežádali? Neschvalujte. Tohle jediné pravidlo by zabránilo velké části úspěšných podvodů.
• Notifikace zapnout, limity nastavit rozumně. Upozornění na pohyby na účtu patří mezi nejúčinnější způsoby, jak odhalit zneužití účtu včas. Limity pro platby a výběry najdete typicky v nastavení karty nebo účtu. Změna trvá desítky sekund a účinkuje okamžitě.
• Při podezření: blokovat, volat, měnit hesla. Nepotvrzujte nic dalšího, zkontrolujte historii transakcí a okamžitě kontaktujte banku, buď přes funkce v aplikaci, nebo na nonstop lince. Pokud jste nainstalovali podezřelou aplikaci, odinstalujte ji a změňte přístupové údaje z jiného zařízení.

Biometrie pomáhá, ale není všelék

Otisk prstu nebo sken obličeje dnes používá většina uživatelů bankovních aplikací. Apple u Face ID ukládá biometrická data v zabezpečené části zařízení a data neopouštějí telefon. Android rozlišuje různé úrovně biometrického ověření, přičemž bankovní aplikace zpravidla vyžadují nejvyšší úroveň zabezpečení podporovanou zařízením. Moderní biometrie je bezpečná a praktická. Ale záložní PIN zůstává kritický; pokud je to 1234, celá vrstva padá. A hlavně: ani sebelepší biometrie nepomůže ve chvíli, kdy sami potvrdíte operaci, kterou jste nezahájili.

Co dělat, když zavolá „bankéř“

NÚKIB opakovaně upozorňuje na podvodné telefonáty, při nichž volající naléhá na okamžitý převod peněz na „bezpečný účet“ nebo na instalaci aplikace pro vzdálený přístup. Skutečný bankéř nikdy nebude po telefonu žádat PIN, heslo, autorizační kód ani instalaci softwaru třetí strany. Pokud máte pochybnosti, zavěste a zavolejte na oficiální číslo banky, které máte uložené v kontaktech nebo které najdete na oficiálních stránkách banky, ne na číslo, které vám volající nadiktoval.

Nejdražší chyba v mobilním bankovnictví roku 2026 nestojí na selhání šifrování ani na chybě v kódu aplikace. Stojí na třech sekundách nepozornosti, kdy palec potvrdí push notifikaci, aniž by oči přečetly, co vlastně schvalují.