Přepínač místo checkboxu: detail, který podvrh odhalí

Falešná přihlašovací obrazovka KB, kterou Zimperium zveřejnilo, na první pohled vypadá věrohodně. Nese logo Komerční banky, pole „Přihlašovací ID“ a „Heslo“ i výrazné růžové tlačítko „PŘIHLÁSIT SE“. Pozadí je tmavé, modrozelené. Jenže stačí srovnat ji s oficiálním přihlášením Mobilní banky KB a rozdíly vyskočí.

Skutečná přihlašovací obrazovka je bílá, obsahuje slogan „Mějte své finance pod kontrolou“, nabízí ikonu nápovědy a u volby „Pamatovat ID“ používá klasický checkbox, tedy zaškrtávací políčko. Falešná verze má místo něj posuvný přepínač (switch) a odlišnou formulaci „Pamatujte si ID“. Právě tento detail je nejsnáze rozpoznatelný i pro člověka, který nemá oba screenshoty vedle sebe. Kdo si zvykl na zaškrtávací políčko a najednou vidí přepínač, měl by zpozornět a aplikaci okamžitě zavřít.

Čtyři kampaně, osm set zasažených aplikací

Dubnový report Zimperia nepopisuje jednoho trojana, ale rovnou čtyři souběžné kampaně pojmenované RecruitRat, SaferRat, Astrinox a Massiv. Dohromady cílí na více než 800 aplikací, od bankovních služeb přes kryptoměnové peněženky až po sociální sítě. Česká republika figuruje mezi zasaženými zeměmi a KB je veřejně doložena jako příklad lokalizovaného cílení.

Co tyto trojské koně spojuje:

• Šíření mimo Google Play – přes droppery maskované například jako aktualizace Obchodu Play, doručené odkazem v SMS nebo messengeru.
• Zneužití služby Usnadnění – legitimní androidová funkce, která umí číst obsah obrazovky a provádět akce jménem uživatele. Malware ji využívá k monitorování otevřených aplikací a k provádění transakcí bez vědomí oběti.
• Krádež PINu zařízení – falešná zamykací obrazovka vyláká PIN k odemčení telefonu, čímž útočník získá plný přístup k zařízení.
• Ochrana proti odinstalaci – SaferRat dokáže zachytit pokus otevřít správu aplikací a přesměrovat uživatele jinam. RecruitRat zase nahradí svou ikonu průhledným obrázkem, takže z nabídky aplikací prakticky zmizí.

Podle Googlu pochází více než 95 % instalací z hlavních malwarových rodin zneužívajících citlivá oprávnění k finančním podvodům právě z internetového sideloadingu, tedy z prohlížečů, messengerů nebo správců souborů. Ne z oficiálního obchodu.

KB varovala ještě před zveřejněním zprávy

Komerční banka na hrozbu falešných aplikací upozorňuje dlouhodobě. Už 26. března 2026 vydala tiskovou zprávu o nové vlně podvodů, při nichž útočníci po telefonu přesvědčují klienty k instalaci „bezpečnostní aplikace“. Začátkem března popsala i scénář s vylákáním karetních údajů včetně PINu. Na podpůrné stránce „Falešná bankovní aplikace“ banka jasně říká: nikdy po vás nebudeme chtít stahovat aplikaci po telefonu ani sdělit PIN.

Důležité je také to, že KB do své Mobilní banky integrovala bezpečnostní vrstvu IBM Trusteer, která identifikuje nebezpečné chování jiných aplikací v telefonu. Problém tedy není v „děravé“ bankovní aplikaci. Problém je v kompromitovaném zařízení a v tom, že uživatel pod nátlakem sám povolí oprávnění, která by jinak Android zablokoval.

Co dělat, když máte podezření

Varovné signály, že telefon může být napaden:

• Nainstalovali jste aplikaci z odkazu mimo Google Play.
• Aplikace požaduje povolení „restricted settings“ nebo přístup ke službě Usnadnění bez smysluplného vysvětlení.
• Objevila se neočekávaná obrazovka typu „Android Update“.
• Ikona nedávno nainstalované aplikace zmizela.
• V nastavení soukromí vidíte podezřelou aktivitu neznámé aplikace.

Pokud cokoliv z toho platí, přestaňte telefon používat pro bankovnictví. Volejte KB na linku +420 955 551 505 pro blokaci přístupu k účtu, kartu blokujte na +420 955 512 230. Zkontrolujte čekající i blokované transakce a další neznámá zařízení v KB Klíči. Telefon restartujte do nouzového režimu (safe mode) a odinstalujte podezřelou aplikaci jednu po druhé.

Android zpřísňuje pravidla, ale až od podzimu

Google na rostoucí vlnu bankovních trojanů reaguje novými pravidly pro instalaci aplikací. Klíčové datum je 30. září 2026, kdy začne platit povinná verifikace vývojářů, zatím ovšem jen v Brazílii, Indonésii, Singapuru a Thajsku. Globální rozšíření plánuje Google na rok 2027. Pro pokročilé uživatele má v srpnu 2026 celosvětově začít takzvaný „advanced flow“ s jednodenní čekací dobou a opětovnou autentizací.

Do té doby je hlavní obrannou linií zdravý rozum: instalovat aplikace výhradně z Google Play, nepovolovat službu Usnadnění aplikacím, které k tomu nemají důvod, a na žádný telefonát ani zprávu, která žádá o instalaci „bezpečnostní“ aplikace, nereagovat.

Přepínač místo checkboxu je detail, který vás může zachránit, ale nejlepší ochrana je vůbec se k falešné obrazovce nedostat.

Jak přihlašování na Netflixu funguje nyní

Současný stav je jednoznačně zdokumentovaný v české nápovědě Netflixu. Při přihlášení na telefonu, tabletu i webu platforma nabídne dvě cesty: buď zadáte e-mail nebo telefonní číslo a Netflix vám pošle jednorázový kód, nebo zadáte heslo. Háček je v tom, že i při volbě „Použít místo toho heslo“ systém často stejně vyžaduje ověřovací kód. SMS tedy není okrajová funkce ani záložní kanál, ale plnohodnotná součást každodenního procesu.

Telefonní číslo navázané na účet přitom Netflix využívá nejen k přihlášení, ale i k ověření identity a zvýšení bezpečnosti. Pokud by platforma tento kanál ze dne na den vypnula, dopad by nebyl abstraktně „bezpečnostní“. Byl by okamžitý – miliony lidí by přišly o jednu z cest, jak se reálně dostávají ke svému obsahu.

Co se má od 7. července změnit, a co z toho je doložené

Tady je potřeba být přesný. K 25. červnu 2026 Netflix ve svých veřejně dostupných zdrojích (české ani anglické nápovědě, tiskovém centru ani produktových oznámeních) nepublikoval konkrétní migrační plán s datem 7. července 2026. Nenajdete tam ani povinný přechod na dvoufázové ověřování, ani výčet nových metod typu passkeys nebo autentizačních aplikací, ani pravidla pro uživatele, kteří používají starší způsoby přihlášení.

Co ale doloženo je:

• Technický blog Netflixu z roku 2021 popisuje interní službu Resistor, která rozšiřuje vícefaktorové ověřování. V části „Co bude dál?“ zmiňuje jednorázové kódy, push notifikace a autentizační aplikace třetích stran jako směr, kterým se platforma chce vydat.
• Funkce Manage Access & Devices, spuštěná v listopadu 2022, ukazuje, že Netflix bezpečnost účtů a správu zařízení dlouhodobě řeší.
• Bezpečnostní e-maily při přihlášení z nového zařízení Netflix prokazatelně posílá už dnes.

Směr je tedy zřejmý. Konkrétní datum a závazný migrační plán ale zatím veřejně chybí. Formulace „od 7. července“ se tak opírá o neoficiální interpretace, nikoli o potvrzené oznámení Netflixu – což neznamená, že k změně nedojde, ale že harmonogram může být jiný.

Proč by Netflix chtěl SMS opustit

Důvod, proč by velká technologická firma přestala důvěřovat SMS, není žádná záhada. Americký Národní institut pro standardy a technologie (NIST) řadí SMS a hlasové hovory mezi takzvané „omezené autentizátory“, tedy metody se známými slabinami:

• zranitelnost protokolu SS7 umožňuje zachytit zprávy ještě před doručením
• znovupřidělení telefonního čísla operátorem může vést k tomu, že kód získá jiná osoba
• přesměrování SMS na jiné zařízení je technicky možné bez vědomí uživatele

Oproti tomu passkeys, tedy přístupové klíče založené na standardu FIDO2, jsou odolné proti phishingu, nesdílejí žádná tajemství se serverem a soukromý klíč nikdy neopustí zařízení uživatele. Fyzické bezpečnostní klíče, jako je YubiKey, jdou ještě dál: soukromý klíč nelze zkopírovat ani synchronizovat. Autentizační aplikace typu Google Authenticator pak generují jednorázové kódy přímo v telefonu bez závislosti na mobilní síti.

Z čistě bezpečnostního pohledu je přechod od SMS k těmto metodám logický krok. Netflix by nebyl první – podobným směrem se vydaly Google, Apple i Microsoft.

Jak si na to připravit účet, i když Netflix návod zatím nezveřejnil

Postup specifický pro Netflix zatím v nápovědě nenajdete. Obecné principy jsou ale jednoduché:

• Autentizační aplikace: v nastavení zabezpečení služby zvolíte „nastavit autentizační aplikaci“, naskenujete QR kód a aplikace začne generovat jednorázové kódy měnící se každých 30 sekund
• Passkey na Androidu: po přihlášení ke službě vytvoříte passkey a potvrdíte ji odemknutím zařízení, otiskem prstu, obličejem nebo PINem
• Fyzický bezpečnostní klíč: připojíte USB nebo NFC klíč a potvrdíte dotykem

Pokud Netflix takovou možnost spustí, pravděpodobně se objeví v nastavení účtu v sekci zabezpečení. Důležité upozornění: pokud ztratíte přístup k autentizační aplikaci nebo klíči, budete potřebovat záložní metodu – a tu Netflix zatím veřejně přesně nedefinoval.

Jak jsou na tom ostatní streamovací služby

Netflix by případným krokem předběhl konkurenci. Max (dříve HBO Max) dnes oficiálně nabízí přihlášení přes e-mail a heslo nebo přes mobilní číslo se šestimístným SMS kódem. Disney+ na televizích posílá šestimístný jednorázový kód na e-mail s možností přepnout na heslo. Ani jedna z těchto platforem ve veřejné nápovědě zatím výrazně neprosazuje passkeys, autentizační aplikace ani fyzické bezpečnostní klíče.

Pokud Netflix skutečně přejde na silnější metody ověřování, mohl by se mezi velkými streamovacími službami stát jedním z průkopníků. A zároveň tím, kdo na uživatele klade nejvyšší nároky na bezpečnostní nastavení.

Jedno je jisté už teď: ať změna přijde 7. července nebo později, směr od SMS k bezpečnějším metodám přihlašování je v celém technologickém průmyslu dlouhodobě nevratný. Kdo si chce ušetřit budoucí problémy, udělá dobře, když si autentizační aplikaci nastaví už dnes – ne kvůli Netflixu, ale kvůli každému dalšímu účtu, na kterém mu záleží.