Nový malware na Androidu krade peníze z banky, i když je telefon offline. Česko je na seznamu ohrožených zemí

Bezpečnostní firma odhalila Android malware, který umí vytáhnout bankovní přihlašovací údaje i ze zařízení bez přímého připojení k internetu.

Zdroj fotografie: Pexels

Dne 20. srpna 2026 zveřejnila nizozemská bezpečnostní společnost ThreatFabric rozsáhlý technický report o dosud neznámé rodině škodlivého softwaru pro Android, kterou pojmenovala Manic. Nejde o běžný bankovní trojan. Manic v sobě spojuje schopnosti bankovního malwaru, spywaru a nástroje pro kompletní vzdálené ovládání telefonu. Česká republika figuruje v reportu dvakrát: mezi zeměmi s cílenými bankovními aplikacemi i mezi zeměmi, jejichž státní a eID služby malware sleduje. A klíčový detail, který odlišuje Manic od všeho, co jsme dosud na Androidu viděli v běžném provozu: ukradená data dokáže odeslat i tehdy, když infikovaný telefon nemá přímý přístup k internetu. Využije k tomu jiný nakažený telefon v okolí.

Jak funguje krádež „offline“ a co to vlastně znamená

Slovo „offline“ v tomto kontextu neznamená, že malware magicky odesílá data z telefonu ležícího v šuplíku bez jakéhokoli signálu. Znamená to, že infikované zařízení nepotřebuje vlastní internetové připojení k tomu, aby ukradené údaje doručilo útočníkům. Manic funguje jako store-and-forward relay. Zachycené PINy, hesla, jednorázové ověřovací kódy z SMS i notifikací ukládá do lokální šifrované fronty chráněné algoritmem AES-GCM. Pak hledá další infikovaný telefon v dosahu přes Wi-Fi Direct, Bluetooth RFCOMM nebo BLE GATT. Jakmile najde zařízení, které má přístup k internetu, předá mu balík dat. Podle reportu ThreatFabric může řetězec přeskočit až čtyři infikovaná zařízení, než data dorazí na řídicí server útočníků.

Finanční škoda pak nevzniká v okamžiku krádeže dat, ale následně, když útočníci použijí ukradené přihlašovací údaje k přístupu do bankovní aplikace nebo když vzdáleně převezmou legitimní bankovní relaci přímo na napadeném telefonu.

Manic je nebezpečnější než klasický bankovní trojan

Většina známých bankovních trojanů pro Android pracuje s takzvaným overlay útokem: přes legitimní bankovní aplikaci zobrazí falešnou přihlašovací obrazovku a čeká, až uživatel zadá údaje do podvrhu. Manic tohle nedělá. Místo toho zneužívá pravou číselnou klávesnici legitimní aplikace. Technika nazvaná pinPadOverlay čte přímo vstupy z reálného rozhraní banky, takže uživatel při zadávání PINu nevidí nic podezřelého. Žádná podivně vypadající obrazovka, žádné přebliknutí.

K tomu přidejte další vrstvy:

• Accessibility keylogger – po získání oprávnění k usnadnění přístupu zaznamenává veškeré vstupy na obrazovce, včetně hesel a e-mailových přihlášení.
• SMS a notifikační přístup – sbírá jednorázové ověřovací kódy dřív, než si jich uživatel všimne.
• Vzdálené ovládání přes WebRTC – útočník může sledovat obrazovku telefonu v reálném čase a provádět akce za uživatele.
• 169 sledovaných aplikací – nejde jen o banky. Manic monitoruje platební služby, kryptoměnové peněženky, autentikátory, messengery, prohlížeče, e-mailové klienty i státní a eID aplikace.

Červencový build navíc po instalaci zmizí z launcheru. V seznamu aplikací ho nenajdete. Maskuje se pod názvy napodobujícími systémové komponenty, například dev.huawei.media.helper nebo tech.intel.dialer.updater.

Česko na seznamu: co přesně víme a co ne

Report výslovně jmenuje Českou republiku mezi bankovními i gov/eID cíli. Na seznamu ohrožených zemí jsou dále Ukrajina, Rusko, Polsko, Slovensko, Rakousko, Německo, Francie, Španělsko, Nizozemsko, Estonsko, Litva a Spojené království. Zařazení Česka není obecné; malware obsahuje konfiguraci zaměřenou na konkrétní české bankovní a státní aplikace. Jejich přesné názvy ale ThreatFabric ve veřejné verzi reportu nezveřejnil.

Důležitý kontext: veřejně nejsou dostupná čísla o tom, kolik zařízení v Česku bylo skutečně nakaženo. Jde o reálně existující a aktivní hrozbu s potvrzeným zacílením na české aplikace, nikoli o potvrzenou masovou nákazu. Google prostřednictvím mluvčího pro server BleepingComputer uvedl, že na Google Play nenašel aplikace obsahující Manic a že známé verze blokuje Play Protect na zařízeních s Google Play Services.

Časová osa přitom ukazuje, že přípravy běžely měsíce: první infrastruktura útočníků pochází z února 2026, první zachycené vzorky malwaru z konce května a silnější build s pokročilou ochranou proti analýze z července.

Jak se chránit a co dělat při podezření

Riziko výrazně roste u lidí, kteří instalují aplikace mimo Google Play, z odkazů v SMS, e-mailech nebo chatových zprávách. Právě sideloading falešných APK je nejpravděpodobnější cesta nákazy. Praktická kontrola telefonu zabere pár minut:

• Accessibility služby: Nastavení → Usnadnění přístupu – projděte aktivní služby. Cokoli, co tam nepatří k vědomě nainstalované asistenční aplikaci, vypněte.
• Přístup k notifikacím: Nastavení → Aplikace → Speciální přístup → Přístup k oznámením – zkontrolujte, které aplikace čtou vaše notifikace.
• Play Protect: Otevřete Google Play → klepněte na profil → Play Protect. Měl by být zapnutý a ukazovat poslední sken. Podle Googlu Play Protect denně skenuje přes 350 miliard aplikací.
• Podezřelé názvy aplikací: Hledejte cokoli připomínající systémovou komponentu, co jste sami neinstalovali, zejména s názvy obsahujícími „updater“, „helper“, „processor“ nebo „executor“ v kombinaci se značkami výrobců.

Pokud máte podezření na nákazu, nepoužívejte bankovní aplikaci z podezřelého telefonu. Zkuste Safe Mode, který dočasně vypne všechny stažené aplikace; pokud problém zmizí, viníkem je pravděpodobně některá z nich. Hesla k bankovnictví a dalším důležitým službám měňte výhradně z jiného, čistého zařízení. Jako krajní řešení zbývá tovární reset.

Manic ukazuje směr, kterým se mobilní hrozby posouvají. Už nejde jen o falešné přihlašovací obrazovky a primitivní SMS trojany. Jde o platformu, která telefon tiše převezme, vytěží z něj vše cenné a k odeslání dat nepotřebuje ani váš internet.