Jak podvodná SMS vypadá a proč funguje

Zpráva je sestavená tak, aby vyvolala okamžitý stres. Podle varování Policie Karlovarského kraje z 16. června 2026 obsahuje typická podvodná SMS tyto prvky:

• Číslo spisu nebo jednací číslo, které dodává zdání úřednosti.
• Popis přestupku, nejčastěji překročení rychlosti nebo jiné porušení pravidel silničního provozu.
• Lhůtu k úhradě, zpravidla tři dny, s hrozbou dalšího vymáhání nebo poplatku za prodlení.
• Přímý odkaz na web, kde má platba proběhnout.

Odesílatel bývá zamaskovaný kombinací písmen, číslic a cizí domény. Celý trik stojí na třech pilířích: autoritě (policie), strachu (pokuta) a spěchu (třídenní lhůta). Řidič, který si není jistý, jestli někde nepřekročil rychlost, snadno klikne dřív, než začne přemýšlet.

Tři úrovně rizika, a ta poslední je nejhorší

Ne každé kliknutí znamená katastrofu. Riziko ale dramaticky roste s každým dalším krokem.

Samotné kliknutí na odkaz ještě nemusí způsobit škodu. Pokud člověk na podvodné stránce nic nevyplní a rovnou ji zavře, útočník zpravidla nezíská přihlašovací nebo platební údaje. Samotná návštěva podvodného webu ale není důvodem k tomu, aby člověk stránku dál používal nebo do ní cokoli zadával.

Zadání údajů z platební karty je už vážný problém. Podvodná platební brána může získat číslo karty, datum platnosti i bezpečnostní kód. Následně se útočníci mohou pokusit o zneužití karty nebo o další podvodné transakce.

Vyplnění přihlašovacích údajů do bankovnictví nebo bankovní identity je nejnebezpečnější varianta. Jak upozorňuje sekce Kyberkriminalita Policie ČR, červnová vlna cílí i na podvržený Portál občana. Útočník, který získá údaje umožňující přihlášení nebo potvrzení identity oběti, se může pokusit jejím jménem provést další úkony, například založit účet nebo sjednat finanční službu, pokud mu to daný systém umožní. Škody pak nemusí zůstat v řádu tisíců korun, ale mohou dosáhnout i výrazně vyšších částek a oběť se o nich může dozvědět až z výpisu nebo upomínky.

Že nejde o teoretické riziko, dokládá jihočeská policie na jiném případu z letošního léta: dva poškození po kliknutí na odkaz v SMS a vyplnění údajů přišli dohromady o více než 70 tisíc korun.

Nejde o jihočeský unikát, ale o celostátní kampaň

Časová osa ukazuje jasný vzorec. Už 30. dubna 2026 vydal CSIRT.CZ varování před podvodnými SMS s výzvou k úhradě pokuty a uvedl, že kvůli kampani ruší podvodné weby „na denní bázi“. O týden později, 7. května, zveřejnila první upozornění jihočeská policie. V polovině června pak přišla další vlna: 15. června Jihočeský kraj, o den později Karlovarský i Jihomoravský kraj. Obdobná varování se objevila i ve Středočeském kraji.

Jen během dopoledne 15. června přijala jihočeská policie bezmála deset telefonátů od lidí, kteří si chtěli ověřit, zda je SMS pravá. Konkrétní počet okradených u této vlny policie veřejně neuvedla, ale samotný počet dotazů ukazuje, že rozesílka zasáhla širší okruh příjemců.

Policie pokuty přes SMS neřeší. Nikdy

Zásadní informace, která si zaslouží vlastní odstavec: Policie České republiky neposílá SMS s odkazem na úhradu pokuty. Standardní postup při dopravním přestupku vypadá například takto:

• Příkaz na místě – policista uloží pokutu osobně, přestupce s ní souhlasí a zaplatí ji podle stanoveného postupu.
• Předvolání k podání vysvětlení – doručuje se zákonem stanoveným způsobem, například prostřednictvím datové schránky nebo doporučeného dopisu do vlastních rukou.
• Oznámení přestupku správnímu orgánu – věc řeší příslušný úřad, opět standardní úřední cestou.

Žádná z těchto cest nevede přes SMS s aktivním odkazem na zaplacení pokuty. Pokud vám taková zpráva přijde, je to důvod k maximální opatrnosti.

Co dělat, když SMS přišla, nebo když jste už klikli

Pokud jste zprávu jen dostali: neklikejte, nereagujte a číslo odesílatele můžete zablokovat. SMS si uložte jako důkaz a přepošlete ji na číslo 7726. Tuto cestu pro hlášení podvodných zpráv doporučuje policie, CSIRT.CZ i Český telekomunikační úřad.

Pokud jste už zadali jakékoli citlivé údaje, jednejte okamžitě:

• Volejte bance – informujte ji o situaci a řiďte se jejími pokyny. Podle toho, jaké údaje jste zadali, může být nutné zablokovat kartu, případně přijmout další opatření k ochraně účtu.
• Změňte hesla ke všem dotčeným službám, zkontrolujte aktivní přihlášení a zapněte dvoufaktorové ověření všude, kde to jde.
• Nemažte nic – SMS, snímky obrazovky podvodné stránky i potvrzení o případné platbě jsou důkazy.
• Oznamte věc policii – osobně na služebně nebo prostřednictvím linky 158.

Podvodníci sázejí na to, že strach z pokuty a třídenní lhůta vypnou kritické myšlení. Nejúčinnější obrana je jednoduchá: zastavit se, zkontrolovat a teprve potom jednat. Policie pokuty přes SMS s odkazem k úhradě neposílá. Pokud takovou zprávu dostanete, neklikejte na odkaz a ověřte si informace jinou cestou.

Čtyři kampaně, čtyři způsoby, jak přijít o peníze

Ne každá z těchto 75+ aplikací dělala totéž. Mechanismy krádeže se výrazně lišily:

• Falešná předplatná a Wap Click – kampaň CallPhantom (ESET) lákala uživatele k platbě za neexistující funkci zobrazení historie volání cizího čísla. Dr.Web popsal aplikace jako Junk Clean Master nebo Fast Cleaner, které aktivovaly placená předplatná přes Wap Click bez vědomí uživatele.
• Bankovní trojany – Kaspersky ve své čtvrtletní zprávě za 2. čtvrtletí 2026 popsala trojanizovaný PDF reader v Google Play, který po spuštění zobrazil falešnou výzvu k instalaci „aktualizace“ a tím nasadil bankovní trojan Anatsa. Ten pak sbíral přihlašovací údaje k bankovním aplikacím.
• Phishing na kryptopeněženky – 26 iOS aplikací z kampaně FakeWallet (Kaspersky) se tvářilo jako MetaMask, Coinbase, TokenPocket nebo Bitpie. Po spuštění vyžadovaly zadání obnovovací fráze nebo privátního klíče. Kdo je zadal, přišel o veškerá kryptoaktiva.
• Rootkit s perzistencí po resetu – operace NoVoice (McAfee) přepisovala systémovou knihovnu Androidu tak, že škodlivý kód běžel při spouštění každé aplikace. Na zařízeních s Androidem 7 a starším ani tovární reset infekci neodstranil.

Jak je možné, že to prošlo kontrolou

Útočníci schválně oddělují „schvalovatelnou“ a škodlivou část. U Androidu Kaspersky popsala podmíněné doručování škodlivého kódu: aplikace při kontrole v Google Play působila neškodně, škodlivý kód stáhla až po instalaci na reálné zařízení. U iPhonu šlo o takzvané „stub“ aplikace: navenek kalkulačka nebo hra, po spuštění ale otevřely phishingový web.

Apple sama přiznává, že část aplikací je nejdřív schválena jako běžná utilita a teprve po kontrole změní chování. Za rok 2025 kvůli takovým praktikám typu „návnada a výměna“ odstranila téměř 59 tisíc aplikací. Google ve stejném období zablokoval 1,75 milionu porušujících aplikací. Kontrola je tedy masivní, ale ne stoprocentní. A právě ta zbývající procenta stačí.

Jak zjistit, jestli máte problém v telefonu

Na Androidu otevřete Google Play, klepněte na svůj profil, zvolte „Správa aplikací a zařízení“ a projděte seznam nainstalovaných aplikací. Hledejte konkrétní názvy: Call History of Any Number, Phone Call History Tracker, Stream Hive, Prime Link, ShowLounge, PixStudio – Photo Editor, Smart File Cleaner, Junk Clean Master, Fast Cleaner, Easy Messages nebo Chat Messages. Na iPhonu projděte knihovnu aplikací přes vyhledávání a zkontrolujte historii nákupů v App Store. Podezřelé jsou zejména aplikace peněženek s názvy nebo ikonami blízkými MetaMask, Ledger, Trust Wallet, Coinbase nebo imToken.

Pokud něco z toho najdete, nestačí aplikaci jen odinstalovat. Postup by měl vypadat takto:

1. Odinstalovat aplikaci – to je první a nejsnazší krok.
2. Zkontrolovat předplatná – samotná odinstalace předplatné neruší. Na Androidu: Google Play → Platby a předplatná. Na iPhonu: Nastavení → Apple ID → Předplatná.
3. Požádat o vrácení peněz – na Google Play přes oficiální postup vrácení platby, na Apple přes reportaproblem.apple.com. Pozor: pokud platba šla mimo oficiální účtování obchodu, Apple ani Google vrácení peněz neřeší.
4. Změnit hesla – a to z jiného, čistého zařízení. U bankovních aplikací kontaktovat banku.
5. U kryptopeněženek – pokud jste zadali obnovovací frázi, okamžitě přesuňte prostředky do nové peněženky.
6. U podezření na NoVoice na starším Androidu – počítejte s tím, že může být nutný reflash čistého firmwaru.

Oficiální obchody jsou bezpečnější, ne bezpečné

Google sama uvádí, že mimo Google Play je malwaru více než padesátkrát víc než v oficiálním obchodě. NÚKIB doporučuje stahovat z autorizovaných obchodů, ale zároveň varuje před slepou důvěrou, zejména u náhle populárních aplikací a u těch, které vyžadují neobvyklá oprávnění.

Loňská vlna SlopAds (224 aplikací, 38 milionů stažení) byla primárně reklamním podvodem: skryté WebView a miliardy falešných reklamních požadavků. Letošní kampaně jsou menší v počtu, ale tvrdší v dopadu. Nejde o podstrčenou reklamu. Jde o přímý zásah do bankovních účtů, kryptopeněženek a platebních údajů.

Největší problém není to, že škodlivá aplikace pronikne do oficiálního obchodu. Největší problém je, že po odhalení zůstává odpovědnost za úklid (odinstalace, zrušení předplatného, změna hesel, jednání s bankou) celá na uživateli.

Jak útok fungoval krok za krokem

Mediální zkratka „stačilo napsat chatbotu“ je zjednodušení, ale jádro sedí. Podle rekonstrukce 404 Media a ověření TechCrunch vypadal postup takto:

• Útočník otevřel chat s Meta AI Support Assistant a požádal o pomoc s přístupem k cílovému účtu.
• Chatbot nabídl připojení nové e-mailové adresy, té, kterou útočník ovládal.
• Na tento nový e-mail odeslal ověřovací kód.
• Útočník kód zadal zpět do chatu a chatbot spustil reset hesla.

V některých veřejně popsaných případech útočníci navíc použili VPN, aby jejich připojení odpovídalo regionu oběti. Celý proces trval řádově minuty. TechCrunch nezávisle ověřil, že kód skutečně dorazil do útočníkovy veřejně zobrazené e-mailové schránky. Žádná SMS na telefonní číslo vlastníka, žádný biometrický krok, žádná čekací lhůta.

Meta si průšvih připravila sama

Ironické je, že Meta v březnu 2026 svůj AI support veřejně propagovala jako nástroj, který vyřeší problémy s účtem „od začátku do konce“, včetně resetování hesel a změny profilových nastavení. Firma slibovala odpovědi do pěti sekund, nepřetržitou dostupnost a řešení přímo v aplikaci bez čekání na lidského operátora. Marketingový jazyk zněl: „řešení, ne jen návrh“.

Přesně ta vrstva, kterou Meta prodávala jako komfort, se stala útokovou plochou. Chatbot nedostal roli rádce, ale vykonavatele. A vykonavatel bez tvrdé autorizace jsou otevřené dveře.

Srovnání s konkurencí ukazuje, jak neobvyklé toto rozhodnutí bylo. Google u citlivých změn účtu vyžaduje ověření identity a může akci až na sedm dní zablokovat, pokud ověření neproběhne dostatečně silně. Apple staví změnu hesla na důvěryhodném zařízení, verifikačním kódu a případně vícedenní čekací lhůtě. Obě firmy v dokumentaci drží jasnou hranici mezi nápovědou a citlivou změnou. Meta ji smazala.

Oprava přišla, následky doznívaly

Andy Stone, mluvčí Mety, 1. června 2026 na síti X uvedl, že „problém byl vyřešen“ a firma zabezpečuje zasažené účty. Jenže ještě 3. června TechCrunch informoval, že Instagram stále rozesílal varovné e-maily uživatelům, u nichž „detekoval podezřelou aktivitu“, a nutil je resetovat hesla. Mezera tedy měla být uzavřená, ale reakce na incident běžela dál.

Meta veřejně neuvedla, kolik účtů bylo kompromitováno. TechCrunch výslovně napsal, že rozsah není jasný. Veřejně doložené jsou konkrétní případy převzetí hodnotných účtů, ale bez oficiálního součtu. Přesný technický popis opravy firma rovněž nezveřejnila.

Co udělat, pokud máte Instagram

Pokud jste mezi 31. květnem a 3. červnem 2026 dostali nečekaný e-mail o změně přihlašovací adresy, resetu hesla nebo hlášení o podezřelé aktivitě, jednejte hned. Ale i bez varovného signálu stojí za to projít základní kontrolu:

• Změňte heslo — unikátní, dlouhé, jiné než na ostatních službách.
• Zapněte dvoufaktorové ověření — Meta sama doporučuje autentizační aplikaci jako preferovanou variantu před SMS.
• Zkontrolujte přihlašovací aktivitu — neznámá zařízení odhlaste.
• Ověřte e-mail a telefon v nastavení účtu — ujistěte se, že tam není cizí adresa.
• Odstraňte neznámé propojené účty v Accounts Center a zrušte podezřelé přístupy třetích stran.

Pokud jste už přístup ztratili, Instagram nabízí postup obnovení pro napadené účty: odkaz „secure my account“ v e-mailu o změně adresy, žádost o přihlašovací odkaz a u účtů s fotkami obličeje video-selfie verifikaci. Tvrdý limit ale existuje: Meta sama upozorňuje, že pokud nemáte přístup k registračnímu e-mailu ani telefonu a účet nebyl propojený s Facebookem, přístup nemusí být schopna vrátit.

Skutečná lekce

Tento incident není příběhem o tom, že AI „něco poradila“. Je to příběh o produktovém rozhodnutí dát konverzační vrstvě klíče od celého domu. Meta chtěla nahradit pomalou lidskou podporu rychlým chatbotem a v procesu odstranila bezpečnostní brzdy, které tam byly z dobrého důvodu. Podle nás jde o jedno z nejzávažnějších veřejně doložených selhání AI v roli správce uživatelských účtů a zároveň o varování pro každou firmu, která zvažuje totéž.

Chatbot odpovídal do pěti sekund. Hackerům to bohatě stačilo.

Jak se malware dostane do telefonu

Žádné vzdálené napadení, žádná tajemná zranitelnost systému. Vstupní branou je vždy sociální inženýrství, a je krásné. RecruitRat láká oběti přes falešné pracovní portály: uchazeč vyplní formulář, dostane odkaz na „firemní aplikaci“ a stáhne APK mimo Google Play. SaferRat slibuje prémiový streaming zdarma. Astrinox provozuje phishingovou doménu, která na Androidu nabízí APK a na iPhonu napodobuje Apple App Store, aby fungovala důvěryhodně. Massiv se maskuje jako IPTV aplikace distribuovaná přes kanály na Telegramu a weby, kde je stahování mimo oficiální obchod běžnou praxí.

Společný jmenovatel: pocit naléhavosti, výhody nebo legitimního procesu. Google ve své bezpečnostní zprávě za rok 2024 uvádí, že více než 95 % instalací finančně motivovaných malwarových rodin pocházelo z internetových sideloadingových zdrojů, tedy z prohlížeče, messengeru nebo správce souborů. Ne z Obchod Play.

Překrytí útok krok za krokem

Jakmile je falešná aplikace v telefonu, o přístup k Accessibility Service, funkce Androidu původně určená pro uživatele se zdravotním postižením. Tím získám klíč ke všemu.

Malware od té chvíle sleduje, jaká aplikace běží v popředí. Ve chvíli, kdy oběť spustí cílovou bankovní aplikaci, vykreslí přes ani celoobrazovkovou vrstvu, HTML stránku nebo WebView, která vizuálně kopíruje rozhraní. U RecruitRat se podvodné HTML stahuje jako archiv a ukládá lokálně; SaferRat naopak načítá vzdálené phishingové endpointy v reálném čase. Uživatel zadá jméno, heslo, někdy i údaje o kartě. Všechno odchází útočníkovi.

A pak přijde OTP kód. Malware ho zachytí hned několika cestami najednou:

• čtením příchozích SMS,
• monitorováním notifikací,
• keyloggingem přes Accessibility,
• snímání obrazovky přes MediaProjection.

Když OTP nepřečte z SMS, uvidí ho v notifikační liště nebo přímo na displeji. Redundance je záměrná.

U rodin Astrinox a Massiv jde útok ještě dál. Přes celou obrazovku se zobrazí neprůhledná vrstva s nápisem „Android Update“ a pod ní malware provádí kliky a gesta, jako by telefon ovládal sám uživatel. Massiv dokonce využívá strukturovaný režim „UI-tree“, který umožňuje dálkové ovládání i tam, kde pouhý snímek obrazovky nestačí. ThreatFabric ve svém rozboru z února 2026 popsal případy, kdy útočníci na jméno oběti zakládali nové bankovní účty a služby sloužící k praní peněz. Nejde tedy jen o krádež hesla, jde o plné převzetí zařízení a zneužití identity.

Proč oběť nic neznámá

Starší bankovní trojany jako BankBot nebo Anubis uměly overlay a blokování SMS už před lety. Nová generace ale přidala vrstvy stealth technik, které detekci dramaticky ztěžují:

• Skrytá ikona – po instalaci se ikona v launcheru nahradí průhledným obrázkem, appka zmizí z očí.
• Blokace odinstalace – SaferRat přesměruje uživatele pryč z obrazovky odinstalace, kdykoli se pokusí appku smazat.
• Vícefázový kapátko – samotný škodlivý kód se stáhne až po instalaci nevinně vypadající „obálky“, takže první sken nic nezachytí.
• Detekce prostředí – Massiv kontroluje, zda zařízení nemá root nebo nainstalovaný antivirový nástroj; pokud ano, může činnost ukončit a zůstat v tichém režimu.

Načasování overlaye v přesný okamžik spuštění legitimní aplikace, vizuální věrnost phishingové vrstvy a překrytí systémových dialogů při udělování oprávnění dohromady tvoří iluzi, kterou běžný uživatel nemá šanci zobrazit.

Co to znamená pro českého uživatele

Zimperium nepublikuje kompletní seznam všech 800 a více cílených aplikací, veřejně uvádí souhrnné počty a reprezentativní ukázky overlayů. Konkrétně RecruitRat cílí na více než 700 aplikací, Massiv na 78 bankovních a krypto peněženek. Jmenovitě české banky, Česká spořitelna, ČSOB, Raiffeisenbank, v publikovaném materiálu nejsou uvedeny. Bez plného je ale nelze zodpovědně ani vyloučit.

Ve čtvrtletním přehledu hrozeb NÚKIB za první čtvrtletí 2026 tyto čtyři rodiny explicitně nefigurují. Veřejné potvrzení konkrétní infekce v Česku k polovině května 2026 jsme nedohledali. To ale neznamená bezpečí, znamená to absence veřejného záznamu.

Důležitý je i právní rozměr. Česká národní banka, že pokud transakci předcházelo silné ověření a klient ji potvrdil, být nevědomky přes ztrátu vrstvy, může unést podvod, který subjektivně považuje za neautorizovanou. Automatický nárok na vrácení peněz neexistuje.

Jak se bránit a podle čeho poznat problém

Android 17. dubna 2026 oznámila nová systémová varování zaměřená přímo na appky zneužívající přístupnost overlaye nebo skrývající ikonu. Platforma tedy dohání konkrétní triky, které výzkumníci právě popsali. Než se ale ochrana dostane ke všem zařízením, nejúčinnější štít je chování:

• Nainstalujte výhradně z Google Play a nechte zapnutý Play Protect, který skenuje i sideloadované appky.
• Nepovolujte Accessibility Service žádnou aplikaci, u které přesně nevíte, proč ji potřebuje.
• varovné signály: appka po spuštění žádá netypická oprávnění, objeví se celoobrazovková „aktualizace systému“, přihlášení požaduje údaje o kartě nebo PIN k zařízení, tlačítko Zpět nereaguje.
• Zkontrolujte Nastavení → Aplikace → Oprávnění: hledejte neznámou aplikaci s kombinací přístupnosti, SMS a notifikací.
• Při podezření na infekci: odinstalujte podezřelou appku, změňte heslo do bankovnictví a při stejných příznacích proveďte tovární reset.

Nejsofistikovanější část celého útoku není kód, je to moment, kdy člověk pod příslibem práce, zábavy nebo aktualizace sám otevře dveře.

Mezi uniklými daty byly veškeré informace k dalším podvodům

Incident s uniklými daty firmy PayPal se týká produktu PayPal Working Capital (PPWC). Je to nástroj pro podnikatele, kteří si mohou na základě historie prodejů přes PayPal zažádat o financování. Právě v rámci tohoto systému byla 12. prosince 2025 odhalena chyba v aplikaci, která dle společnosti existovala déle než pět měsíců, konkrétně od 1. července do 13. prosince 2025, uvedl TechRadar.

Kvůli této chybě mohly být zpřístupněny citlivé informace žadatelů. Mluvíme o uživatelských jménech, e-mailových adresách, telefonních číslech, firemních adresách, datech narození a v některých případech i číslech sociálního zabezpečení (SSN). Z pohledu kyberbezpečnosti je to obrovský průšvih. Umožňuje to totiž přesvědčivé phishingové útoky nebo pokusy o krádež identity.

Neoprávněné transakce společnost vyřešila vratkou

PayPal ve svém oznámení uvedl, že „několik zákazníků“ zaznamenalo i neoprávněné transakce na účtu. Přesné číslo firma nezveřejnila, nicméně minimálně sto zákazníků bylo osloveno ohledně této chyby, takže s jistotou lze mluvit o více jak stovce klientů, spíše stovkách. Společnost zdůraznila, že neoprávněný přístup byl zastaven, hesla resetována a peníze poškozeným vráceny, popsal Forbes.

Firma zdůraznila, že nedošlo k průniku do hlavních systémů PayPalu. Šlo „pouze“ o chybu v konkrétní části aplikace, ne o klasický hackerský útok zvenčí. I tak ale incident ukazuje, že slabé místo může vzniknout pouhou interní úpravou kódu. Dotčeným zákazníkům nabízí Paypal 2leté bezplatné monitorování úvěruschopnosti a ochranu identity společností Equifax. To je v podobných případech běžný postup.

Uniklá data lze využít k podvodům nebo otevření účtu

Únik takzvaných osobně identifikovatelných údajů (tedy PII – Personally Identifiable Information) je obzvláště nebezpečný. Tento pojem označuje informace, které je možné využít k jednoznačné identifikaci konkrétní osoby, vysvětluje americký Národní institut standardů a technologií (NIST).

Útočník tak může vytvořit velmi věrohodný e-mail, vydávat se přímo za PayPal nebo uživatele banku a přimět oběť k zadání přihlašovacích údajů. V horším scénáři lze na základě těchto dat zkusit otevřít nový účet anebo rovnou požádat o půjčku na dané jméno.

Přestože firma tvrdí, že její hlavní infrastruktura přímo napadena nebyla, uživatelé by měli zpozornět. Za redakci Mobify proto doporučujeme:

• Změnit heslo k účtu PayPal a zapnout dvoufázové ověření
• Pečlivě kontrolovat příchozí e-maily a neklikat na podezřelé odkazy
• Pravidelně kontrolovat pohyby na účtu a výpisy z banky

Majitelé Androidů by měli zpozornět. Odborníci upozorňují na aplikaci, která se vydává za antivir, ale ve skutečnosti krade přihlašovací údaje a další citlivá data. Redakce Mobify zaregistrovala, že útočníci zneužili otevřenou platformu pro sdílení AI nástrojů zvanou Hugging Face. Jakmile si ji uživatel stáhne a dá jí oprávnění, získá útočník vzdálený přístup k zařízení.

Otevřená AI platforma posloužila k šíření malwaru

Takzvané Hugging Face je centrum pro vývojáře a výzkumníky v oblasti AI. Umožňuje sdílení modelů strojového učení, datových sad i různých typů souborů. Co ale zní jako výhoda, může být i slabinou. Útočníci zde umístili instalační balíčky (APK soubory) aplikace, která na první pohled působí jako antivir, varuje CyberGuy.

A protože platforma podporuje veřejná úložiště, mohly být škodlivé soubory dostupné bez jakéhokoli podezření. Když byly nahlášeny, došlo sice hned k jejich odstranění, ale podle bezpečnostních zjištění se téměř identické verze rychle objevily zase znovu, jenom s drobnými úpravami v názvu anebo popisu.

Falešný antivir jménem TrustBastion klamal lidi

Aplikace vystupovala pod názvem TrustBastion a slibovala ochranu před phishingem i malwary. Po instalaci ale uživatele hned varovala, že je jeho zařízení údajně infikované, a vyzvala k instalaci „nutné aktualizace“. Takový postup je typickým příkladem tzv. scarewaru, tedy taktiky, která vyvolává strach a nutí člověka jednat bez přemýšlení, vysvětluje Wikipedia.

Teprve ona aktualizace obsahovala skutečný škodlivý kód. Ten dokázal pořizovat snímky obrazovky, ukazovat falešné přihlašovací formuláře bankovních aplikací, zaznamenávat PIN kód k odemčení telefonu a odesílat získaná data na vzdálený server. Útočník tak může získat přístup k internetovému bankovnictví a převést si peníze.

Google se k situaci také vyjádřil

Google se k situaci vyjádřil, že podle jeho detekcí se malware nenacházel v oficiálním obchodě Google Play a že uživatele chrání služba Google Play Protect, uvedl Forbes. Ta skutečně automaticky kontroluje aplikace a varuje před známými hrozbami. Ale spoléhat na to na 100 % také není ideální.

Spoléhat výhradně na vestavěnou ochranu dnes už prostě nestačí, alespoň my si to myslíme. Uživatelé by měli instalovat aplikace výhradně z oficiálních obchodů, pečlivě číst recenze, kontrolovat oprávnění a vyhnout se stahování APK souborů z externích webů. Základní kroky ochrany zahrnují:

• Aktivaci dvoufázového ověření (2FA) u Google účtu
• Používání silného a originálního hesla uloženého ve správci hesel
• Pravidelné kontroly oprávnění aplikací
• Instalaci kvalitního bezpečnostního řešení s ochranou v reálném čase
• Obezřetnost vůči aplikacím, které samy tvrdí, že našly kritickou hrozbu

Na sociálních sítích se znovu začaly objevovat sdílené příspěvky varující před únosem malé holčičky z dětského hřiště či obchodního centra. Redakce Mobify zaznamenala, že pokaždé je příspěvek upravený dle konkrétního města, kde bydlí uživatel, a doplněný fotografií dítěte i odkazem na údajné video pachatele. Ve skutečnosti jde o odporný podvod k získání osobních údajů.

Podvod útočí na emoce skrz dítě v nebezpečí

Po internetu se začala šířit poplašná zpráva, která tvrdí, že například „v Olomouci byla unesena osmiletá Veronika Hovorková“. Text schválně cílí na city, apeluje především na rodiče a vyzývá ke sdílení. Součástí příspěvku je i odkaz na článek, který se snaží vypadat jako známé zpravodajství nebo další oficiální facebooková stránka.

Jakmile na něj uživatel klikne, je požádán o přihlášení, údajně kvůli ověření věku, aby se mohl podívat na video s údajným únoscem. Ve skutečnosti jde o falešnou přihlašovací stránku Facebooku. Jen kopíruje vzhled originálu, ale adresa webu se liší. Pokud zde člověk zadá jméno a heslo opravdu zadá, údaje se odešlou podvodníkovi.

Ten pak může bez potíží účet převzít, rozesílat třeba škodlivé odkazy kontaktům, číst soukromé zprávy a v některých případech i zneužít platební karty propojené s profilem.

Pro všechny je scénář stejný, ale město se mění

Tento typ podvodu přitom není novinkou. Už v roce 2022 koloval skoro stejný příspěvek o údajném únosu jiné dívky, tehdy s odlišným jménem i lokalitou, informovala Krimi-Plzeň. Fotografie, která se objevuje v nynějších verzích, navíc pochází ze zahraničního případu z roku 2019 a s Českem absolutně nijak nesouvisí.

Podvodníci pouze upravují název města, aby zpráva působila aktuálně, a navíc lokálně dle toho, kde je detekována IP adresa uživatele, který příspěvek vidí. Právě tento prvek mu dodává na důvěryhodnosti. Lidé tak mají pocit, že se incident odehrál „u nich doma“, a reagují s emocemi.

Útok je účinný, protože zasahuje emoční stránku

V tomto případě útoku se jedná o formu phishingu, tedy podvodu, který má za cíl získat osobní údaje, jak vysvětluje Wikipedia. Útok s falešným únosem sází na strach o děti. To je silná zbraň a často převálcuje jakoukoli opatrnost.

Už v minulosti policie opakovaně důrazně potvrzovala, že žádný takový případ v uváděných městech neřešila. Informace jsou kompletně smyšlené a jejich šířením se nadále zabývají příslušné orgány, byť je to poměrně marný boj. Pamatujte na několik věcí, pokud nechcete obdobným útokům naletět:

• Neklikejte na podezřelé odkazy v obdobných příspěvcích
• Nezadávejte přihlašovací údaje mimo oficiální web (zkontrolujte adresu stránky)
• Pokud jste údaje vyplnili, okamžitě si změňte heslo a zapněte dvoufázové ověření
• Příspěvek nesdílejte, i to pomáhá podvodníkům

Podobné kampaně se cyklicky vrací, jestliže měly určitý úspěch. Proč vymýšlet něco nového, když to funguje. Pokud tedy narazíte na „únos ve vašem městě“, nejprve si informaci ověřte u oficiálních zdrojů nebo přímo u policie. Panika je přesně to, s čím podvodníci počítají.

Odborníci objevili 5 nových rozšíření pro Google Chrome, která působí jako legitimní nástroje, ale ve skutečnosti kradou přihlašovací údaje. Redakce Mobify zjistila, že podobné doplňky jsou stále dostupné na webech třetích stran, i když byly odstraněny z oficiálního obchodu Chrome. Po instalaci se skrývají, přitom sbírají soubory cookie a umožňují útočníkům získat kontrolu nad účtem.

Rozšíření shromažďují soubory cookie a maskují se

Z obchodu Chrome byly odstraněny doplňky pro Workday, NetSuite či SuccessFactors, i když z alternativních webů je stále možné je stáhnout. Třeba DataByCloud 1 a 2 nebo DataByCloud Access požadují oprávnění k přístupu ke cookie, správě skriptů a úložišti. Každých 60 sekund posílají sesbírané soubory na server útočníků. Takto lze obejít dvoufázové ověření a převzít účet oběti.

Doplněk Tool Access 11 blokuje přístup k administrativním stránkám, včetně správy ověřování, IP adres nebo relací, takže nejde zasáhnout proti neoprávněnému přístupu. DataByCloud 2 rozšiřuje funkce blokování a zasahuje do správy zařízení 2FA, změny hesel a protokolů auditů. Obě rozšíření navíc šifrují komunikaci s útočníkovým serverem (C2), což ztěžuje jejich detekování.

Software Access je asi nejzrádnější. Kromě toto, že krade soubory cookie, umožňuje třetí straně vložit tyto cookie soubory přímo do prohlížeče a převzít relaci uživatele. Funkce pro ochranu vstupních polí heslem brání oběti zjistit, že její údaje jsou sledovány. Takto může útočník získat přístup k firemním datům a přihlašovacím informacím, aniž by byl odhalen, popsal theHackerNews.

Koordinovaná kampaň i přes jiné dodavatele

Dle bezpečnostního výzkumníka Socketu Kush Pandyi je patrné, že všech 5 rozšíření využívá podobný seznam 23 bezpečnostních nástrojů pro Chrome, aby ověřily, zda jsou v zařízení monitorovací doplňky, a zabránily jejich zásahu. Vypadá to na koordinovanou operaci, i když jsou rozšíření publikována pod různými vydavateli.

Podle nás útočníci záměrně kombinují krádež souborů cookie, blokování administrativních stránek a přímý únos relace, aby vytvořili situaci, kde běžné bezpečnostní zásahy selhávají. Uživatelé často nezpozorují, že jejich údaje mizí, dokud se nepokusí provést změny v účtu nebo nepřijdou o přístup.

Co dělat, pokud jste nainstalovali tato rozšíření?

Pokud jste si některé z rozšíření nainstalovali, doporučujeme:

• Ihned je ze svého prohlížeče odstranit
• Změnit hesla ke všem zasaženým účtům
• Zkontrolovat historii přihlášení a zařízení pro známky neoprávněného přístupu
• Aktivovat dvoufázové ověření, pokud není již nastaveno

Dodatečně doporučujeme pravidelně kontrolovat, zda se v Chromu nenachází podezřelá rozšíření a stahovat doplňky pouze z oficiálního obchodu, aby se minimalizovalo riziko.

Škodlivá rozšíření prohlížečů nejsou žádnou novinkou. Redakce Mobify ostatně už psala o viru propašovaném do rozšíření prohlížeče, který uživatelům cpal reklamy. Nynější případ je ale unikátní svou propracovaností a dobou, po kterou zůstal bez povšimnutí. Dvě rozšíření pro Chrome vydávaná za nástroj pro testování rychlosti a VPN službu ve skutečnosti fungují jako špionážní nástroj.

Dvě rozšíření byla zamaskovaná za jiné nástroje

Bezpečnostní výzkumníci odhalili dvě rozšíření se stejným názvem Phantom Shuttle, vydaná stejným vývojářem, jenom v různých letech. Jedna verze byla publikována už v roce 2017, druhá v roce 2023. Dohromady je používaly tisíce uživatelů, kteří věřili, že si instalují legitimní nástroj pro testování sítě nebo VPN.

Uživatelé navíc za službu ještě platili předplatné v rozmezí 9,9 až 95,9 čínských jüanů, což je přibližně 30 až 300 korun. Právě to, že se jednalo o placené modely, vytvářelo dojem důvěryhodnosti a profesionality, vysvětluje theHackerNews.

Útočníci vše viděli a mohli na to reagovat

Když si uživatel rozšíření zaplatil, získal tzv. VIP status a automaticky se mu aktivoval speciální proxy režim. Proxy server (zjednodušeně prostředník mezi vaším PC a klientem, vysvětluje Wikipedia) přesměrovával provoz přes servery ovládané útočníky. To útočníkům umožnilo fungovat jako man-in-the-middle (MitM), tedy někdo, kdo vidí a může měnit veškerou komunikaci.

Rozšíření využívalo upravené JavaScriptové knihovny, například „jquery-1.12.2.min.js“, do kterých byl vložený škodlivý kód. Ten pak automaticky reagoval na jakoukoli žádost o přihlášení na stránkách a aniž by o tom uživatel věděl, vkládal pevně dané přihlašovací údaje do různých formulářů, které byly k dispozici. Podle odborníků mohli útočníci získat:

• přihlašovací jména a hesla
• čísla platebních karet
• autentizační cookies (umožňují přihlášení bez hesla)
• historii prohlížení a data z formulářů
• API klíče a přístupové tokeny (kritické hlavně pro vývojáře)

Seznam sledovaných domén obsahoval přes 170 známých webů, kupříkladu GitHub, Amazon Web Services, ale i sociální sítě, nebo dokonce stránky s obsahem pro dospělé. Právě poslední zmíněné mohly snadno sloužit jako nástroj k vydírání obětí.

Rozšíření pochází nejspíše z Číny

Aby toho nebylo málo, útočníci ještě každých 5 minut odesílali tzv. „heartbeat“ zprávy na řídicí server, které obsahovaly třeba e-mail, heslo a další metadata uživatele v prostém textu. Stopy pravděpodobně vedou do Číny. Nasvědčuje tomu jazyk popisu, platební metody Alipay a WeChat Pay i využití Alibaba Cloudu. Identita autorů ale zůstává neznámá.

Důrazně uživatelům doporučujeme podezřelá rozšíření ihned odstranit, změnit všechna hesla a nejlépe zapnout dvoufaktorové ověřování. Firmy by měly zavést seznam povolených rozšíření a sledovat, která mají oprávnění k proxy nebo síťovému provozu.

Dvoufaktorové ověřování je základ bezpečnosti on-line účtů. Nicméně redakce Mobify poslední dobu zaznamenává rostoucí počet útoků, při kterých hackeři tuto ochranu obchází. Dokážou totiž uživatele přimět, aby jim ověřovací kód odevzdali sami od sebe. Ani si v tu chvíli neuvědomí, že právě přišli o celý účet.

Stále se jedná jen o kód, který lze obejít

Princip dvoufaktorového ověřování (2FA) je jednoduchý. Kromě hesla musíte zadat ještě jednorázový kód (OTP), který přijde SMS zprávou, e-mailem či v aplikaci. Problém je, že kód je pořád jen informace, která se dá ukrást. A hackeři dnes vytváří falešné přihlašovací stránky, které vypadají jako originály. Oblíbený je k tomuto tzv. Spiderman, který dovede tvořit dokonalé repliky, uvádí theHackerNews.

Jakmile na takové podvrhnuté stránky zadá uživatel své údaje, stránka ho vyzve i k zadání ověřovacího kódu. Ten je v reálném čase odeslán útočníkovi, který ho okamžitě použije k přihlášení do skutečného účtu. A aby pak byly skryty stopy, po provedení tohoto úkonu ho web přesměruje zpátky na legitimní stránku, popsal Zscaler.

Zvlášť zranitelné jsou účty, které používají jako druhý faktor SMS. Jakmile útočník získá heslo, stačí mu přimět oběť opsat kód. Bezpečnější jsou tzv. hardwarové klíče nebo přístupové klíče (passkeys), které nelze jen tak opsat nebo přeposlat. Přesto je většina lidí stále nepoužívá. Většinou proto, že o nich vůbec neví. Často jsou napadány účty Disney, Netflixu, DHL, UPS apod.

Phishing je dnes výdělečný profi byznys

Moderní phishing už není plný chyb a podivných adres, naopak. Útočníci využívají automatizované nástroje, umělou inteligenci a techniky, které skrývají škodlivý obsah před bezpečnostními kontrolami. Některé systémy dokonce umí rozpoznat, zda stránku navštívil reálný člověk, či bezpečnostní nástroj. Chovají se pak dle toho jinak.

Tato „profesionalizace“ útoků je za nás největší problém. Phishing totiž už dávno není ledajaká amatérská činnost, ale regulérní byznys, kde se nástroje prodávají na černém trhu klidně za stovky eur (a příkladově třeba 300 eur je zhruba 7 500 Kč). Pro co největší bezpečnost je klíčové dodržovat několik zásad:

• Nezadávat ověřovací kód na stránce, na kterou jste se dostali z e-mailu nebo SMS.
• Kontrolovat adresu webu (i drobná odchylka může znamenat podvod).
• Používat aplikace pro ověřování nebo passkeys místo SMS.
• Mít zapnutá upozornění na přihlášení z nového zařízení.

Abychom vás neuvedli v omyl, dvoufaktorové ověřování má stále smysl. Už ale není všelékem, jak si mnoho lidí myslí. Hackeři se přizpůsobují rychleji než uživatelé a spoléhají na lidské chyby. Pokud si z tohoto varování odnesete jedinou věc, pak tu, že opatrnost a kritické myšlení jsou stejně důležité jako samotná technologie.