Kartu držíte v ruce vy, a přesto s ní někdo platí o stovky kilometrů dále. Podvodníkům stačí 13 minut na telefonu

Nový malware pro Android dokáže proměnit telefon v živý most mezi platební kartou v peněžence a terminálem podvodníka na druhém konci Evropy.

Zdroj fotografie: pxHere

Zní to jako sci-fi, ale mechanismus je brutálně prostý. Stačí třináct minut hovoru s falešným bankéřem, během nichž oběť nainstaluje aplikaci, přiloží kartu k telefonu a zadá PIN. Od té chvíle malware s názvem WindRelay zachytává NFC komunikaci čipu karty a v reálném čase ji přes internet přeposílá do zařízení útočníka, třeba o stovky kilometrů dál. Terminál na druhé straně nedostává kopii karty. Dostává živou komunikaci s kartou. Vaši kartu přitom pořád držíte v ruce. Bezpečnostní firma Group-IB tento útok veřejně popsala 12. srpna 2026 a jen o dva dny později vydal CSIRT.CZ české varování.

Co se stihne za 13 minut hovoru

V případu, který Group-IB detailně analyzovala, se celý podvod odehrál během jediného telefonátu. Volající se představil jako pracovník banky a oznámil problém s kartou. Vytvořil pocit akutního ohrožení, typicky legendou o podezřelé transakci nebo nutnosti provést bezpečnostní kontrolu.

Pak přišel první klíčový krok: odkaz na „bezpečnostní“ aplikaci ke stažení. Ne z Google Play, ale z externího zdroje. Oběť ji nainstalovala ručně. Jenže tato první aplikace nebyla samotný malware WindRelay. Šlo o SpyNote, nástroj pro vzdálené ovládání telefonu. Přes něj útočník následně do telefonu nainstaloval druhou aplikaci, samotný WindRelay, aniž oběť musela provést další instalaci.

Během téhož hovoru pachatel přes vzdálený přístup sjednal na jméno oběti půjčku v její mobilní bankovní aplikaci. A pak přišel finální úder: pokyn přiložit platební kartu k telefonu a zadat PIN „kvůli ověření“. V tu chvíli se telefon stal falešnou NFC čtečkou. Karta odpovídala na příkazy, WindRelay je v reálném čase odesílal útočníkovi a ten následně použil relayed komunikaci k platbě na skutečném terminálu. Třináct minut. Půjčka, karetní transakce, hotovo.

Jak relay funguje a proč terminál nic nepozná

Na technické úrovni jde o přeposílání takzvané APDU komunikace, tedy standardizovaných příkazů a odpovědí, kterými si čtečka a čip karty vyměňují data. Na straně oběti telefon s WindRelay funguje jako falešná čtečka: komunikuje s kartou a získaná data v reálném čase přeposílá přes internet útočníkovi. Na jeho straně druhý Android využívá technologii Host Card Emulation a vůči skutečnému terminálu se prezentuje jako karta.

Terminál posílá příkazy, ty putují přes internet ke kartě oběti, karta odpovídá a odpovědi se vracejí zpět. Terminál tedy nedostává statickou kopii karty, ale pokračující komunikaci s reálným čipem. Díky tomu může transakce proběhnout, přestože je mezi kartou a terminálem vložený vzdálený prostředník. Neznamená to však, že by byl takový útok z principu nedetekovatelný; relay komunikace může mít například specifické časové charakteristiky. V popsaném případě ale tento mechanismus útočníkům fungoval.

A vzdálenost? Group-IB u příbuzného ekosystému Ghost Tap dokumentuje scénář, kdy byla karta oběti v Thajsku a použita v Německu. U jednoho POS prodejce výzkumníci za období od listopadu 2024 do srpna 2025 identifikovali nejméně 355 tisíc dolarů v potvrzených podvodných transakcích.

České banky varují, i když WindRelay nejmenují

WindRelay není laboratorní kuriozita z bezpečnostní konference. CSIRT.CZ uvádí, že mezi listopadem 2025 a červencem 2026 bylo zaznamenáno 23 vzorků WindRelay vydávajících se za finanční instituce mimo jiné v Česku a na Slovensku. Group-IB zároveň uvádí, že tyto vzorky cílily také na oběti v Česku, na Slovensku a ve Slovinsku.

České banky přitom před podobným scénářem varují, byť často bez použití názvu WindRelay:

• Česká spořitelna popsala podvod s falešnou aplikací, přiložením karty a zadáním PINu.
• Komerční banka varuje před „falešnou bankovní aplikací“ a tlakem po telefonu.
• MONETA popisuje podobný NFC mechanismus v kampani, kterou označuje jako „červí díru“.

Nejde přitom o první vlnu. Už v roce 2024 ESET veřejně popsal malware NGate, Android malware využívaný v praxi k relay útokům na NFC data, tehdy mimo jiné při útocích na klienty českých bank. NGate využíval open-source nástroj NFCGate. Po zadržení podezřelého v Praze v březnu 2024 tehdejší vlna útoků podle zveřejněných informací utichla.

WindRelay jde dál v kombinaci jednotlivých technik: vlastní NFC relay doplňuje plnohodnotným vzdáleným ovládáním telefonu přes SpyNote RAT. Útočník tak může současně ovládat bankovní aplikaci a instalovat další malware, zatímco NFC část útoku zajišťuje přeposílání komunikace s kartou.

Jak podvod rozpoznat a co dělat, když už se stal

Rozpoznatelné signály existují a jsou poměrně konkrétní. Varovné příznaky, které by měly zastavit každý hovor:

• Volající se představuje jako banka, policie nebo ČNB a vytváří časový tlak.
• Posílá odkaz na aplikaci ke stažení mimo Google Play.
• Žádá přiložení platební karty k telefonu.
• Požaduje zadání PINu „kvůli ověření“ nebo „změně“.

Banka ani jiná legitimní instituce po telefonu nebude požadovat instalaci neznámé aplikace z odkazu ani zadání PINu k platební kartě. Pokud vám někdo takový postup nařizuje, hovor ukončete a banku kontaktujte sami prostřednictvím oficiálního čísla.

Pokud jste aplikaci nainstalovali nebo kartu k telefonu přiložili, prioritou číslo jedna je okamžitě zablokovat kartu a volat bance. Pak zablokovat přístup do mobilního bankovnictví a zkontrolovat účty. Podezřelé aplikace odinstalovat, zapnout Google Play Protect a provést kontrolu. Pokud přetrvávají známky kompromitace, může být nutný tovární reset telefonu. Hesla měňte z jiného, čistého zařízení.

Vrátí banka peníze?

Tohle je otázka, na kterou neexistuje jednoznačná odpověď. Zákon o platebním styku počítá s nápravou neautorizovaných platebních transakcí, zároveň ale upravuje situace, kdy klient může nést ztrátu v důsledku podvodu nebo úmyslného či hrubě nedbalého porušení svých povinností. Právě tady může vzniknout spor: banka bude posuzovat okolnosti konkrétního případu, včetně toho, jak klient s údaji a zabezpečovacími prvky nakládal a zda jeho jednání dosáhlo intenzity hrubé nedbalosti.

Praktický postup je jasný: okamžitá reklamace u banky s detailním popisem časové osy hovoru. Při zamítnutí reklamace lze postup dále řešit, mimo jiné prostřednictvím finančního arbitra, pokud případ spadá do jeho působnosti. ČNB doporučuje nejprve vyřídit stížnost přímo s finanční institucí.

Fyzická přítomnost karty v peněžence už sama o sobě neznamená, že je před podobným útokem zcela chráněná. Základní obranou zůstává jednoduché pravidlo: během telefonátu neinstalovat aplikaci z odkazu a nikdy nepřikládat kartu k telefonu na pokyn cizí osoby. Ani kdyby se představila jako vaše banka.