Vypnutý internet vás neochrání. Nový malware na Androidu krade PIN a hesla přes cizí telefon ve vaší blízkosti

Malware Manic sbírá PINy a hesla přímo z legitimních aplikací, a když nemá internet, pošle je ven přes jiný nakažený telefon v okolí.

Zdroj fotografie: Pexels

Představte si situaci: váš telefon nemá mobilní data ani Wi-Fi, a přesto z něj právě unikají přihlašovací údaje k bance. Zní to absurdně, ale přesně tohle umí Manic, nově popsaná rodina androidového malwaru, kterou bezpečnostní firma ThreatFabric veřejně představila 20. srpna 2026. Krádež dat totiž nevyžaduje připojení k internetu. Manic ukradená hesla, PINy, SMS kódy i recovery fráze ke kryptopeněženkám uloží do lokální fronty, zašifruje je a čeká. Jakmile se v rádiovém dosahu objeví další už infikovaný Android (v kanceláři, v tramvaji, v čekárně), předá mu balík dat přes Wi-Fi Direct nebo Bluetooth. Ten ho pošle dál. Výchozí nastavení počítá až se čtyřmi takovými přeskoky, než data dorazí na server útočníka. Vypnutí internetu tak není pojistka. Je to jen zdržení.

Jak Manic krade PIN bez falešné bankovní obrazovky

Starší bankovní trojany jako BlackRock fungovaly jednoduše: přes cílovou aplikaci položily falešnou přihlašovací obrazovku a čekaly, až uživatel zadá údaje. Manic jde jinou cestou. Využívá službu Accessibility, systémovou funkci Androidu určenou pro usnadnění ovládání, jako keylogger. Čte vstupy přímo v legitimních aplikacích, aniž by je nahrazoval. U bankovního PINu překryje jen oblast číselníku transparentní vrstvou, zaznamená klepnutí a pak je přes Accessibility přepošle do skutečné aplikace. Uživatel nic nepozná. Banka nic nepozná. A data mezitím putují do fronty.

Nejde přitom jen o banky. ThreatFabric uvádí 169 sledovaných aplikací napříč kategoriemi: bankovnictví, kryptoměnové peněženky a burzy, eID, autentikátory, prohlížeče, e-maily, messengery, včetně vojensky zaměřených komunikačních nástrojů. Manic chce celou digitální identitu.

Cizí telefon v blízkosti: brána ven, ne vstupní vektor

Důležité upřesnění: „cizí telefon ve vaší blízkosti“ neznamená, že vás nakazí náhodný mobil spolucestujícího v metru. Samotná blízkost k nákaze nestačí. Aby Manic fungoval, musí být váš telefon už kompromitovaný, typicky přes phishingový web nebo podvrženou aplikaci vydávající se za užitečný nástroj. Podle The Hacker News, které cituje ThreatFabric, první známá verze wrapperu se tvářila jako rezervační aplikace.

Teprve po nákaze přichází na řadu okolní zařízení. Pokud je i další telefon v rádiovém dosahu infikovaný, poslouží jako přestupní uzel (gateway) pro odeslání zašifrovaného balíku dat na řídicí server útočníka. ThreatFabric neuvádí přesnou vzdálenost v metrech, jen formulaci „v rádiovém dosahu“. Wi-Fi Direct má obecně delší dosah než Bluetooth, který podle Bluetooth SIG může fungovat od méně než metru po více než kilometr v závislosti na hardwaru a podmínkách. Nejde o telefon kdekoli na světě, ale o zařízení ve vašem fyzickém okolí.

Princip není úplně bez precedentu. Už v éře Symbianu se červ Cabir šířil přes Bluetooth a v českém prostředí malware NGate zneužíval NFC relay k platebním podvodům. Manic ale přidává něco nového: víceúrovňovou store-and-forward exfiltraci s více skoky, kde každý nakažený telefon funguje jako článek řetězu.

Česko je na seznamu cílů

Hlavní zaměření Manicu je podle ThreatFabric Ukrajina, ale Česká republika figuruje v cílovém setu výslovně, jak v kategorii bankovních aplikací, tak u státních a eID služeb. Konkrétní seznam českých aplikací veřejná analýza nejmenuje, ale samotné zařazení mezi cílové země znamená, že útočníci mají české bankovní a státní aplikace v hledáčku.

K 7. září 2026 se nepodařilo dohledat veřejné varování české bezpečnostní instituce přímo k Manicu. To ale neznamená, že je téma mimo radar. Český CSIRT v srpnu 2026 varoval před jiným androidovým malwarem WindRelay/SpyNote a ESET už v květnu 2026 popsal nárůst NGate v Česku a na Slovensku. Mobilní bankovní malware cílený na české uživatele je realita, ne abstraktní hrozba ze zahraničních reportů.

Co zkontrolovat a čeho se vyvarovat

Manic se aktivně snaží zůstat neviditelný. Červencová verze podle ThreatFabric umí schovat ikonu z launcheru, obsahuje příkaz disable_gp pro pokus o vypnutí Google Play Protect přes automatizaci uživatelského rozhraní a maskuje činnost pod černé nebo falešné aktualizační obrazovky. Na pozadí běží workery s periodou 10–15 minut.

Přesto existují praktické kroky, které riziko výrazně snižují:

• Neinstalovat APK mimo důvěryhodný obchod. Google přes The Hacker News uvedl, že známé verze Manicu v době vyjádření na Google Play nenašel. Malware se šíří přes phishingové weby a podvržené aplikace.
• Nepovolovat restricted settings u aplikací instalovaných mimo obchod. Android 13 a novější toto omezení zavádí právě proto, aby zbrzdil sideloadovaný malware.
• Zkontrolovat oprávnění. Nejrizikovější kombinace: Accessibility, přístup k notifikacím, zobrazení přes jiné aplikace (SYSTEM_ALERT_WINDOW) a široký přístup k souborům (MANAGE_EXTERNAL_STORAGE). Pokud je má aplikace, kterou nepoznáváte nebo která k nim nemá zjevný důvod, odeberte je.
• Nechat zapnutý Play Protect. Není samospasitelný, ale je to první linie obrany, která je ve výchozím stavu aktivní a skenuje i aplikace z jiných zdrojů.
• Pokud máte podezření na infekci: škodlivou aplikaci odstraňte, zrevidujte oprávnění a hesla měňte z jiného, čistého zařízení. Ne z telefonu, který mohl být kompromitovaný.

Vypnutí dat nestačí

Největší omyl, který Manic odhaluje, je představa, že offline telefon je bezpečný telefon. Není, pokud už jednou dostala škodlivá aplikace privilegia. Krádež dat probíhá lokálně, bez připojení. Internet potřebuje až finální článek řetězu, a tím nemusí být váš telefon. „Vypnout data“ je v nejlepším případě nouzové omezení škod po kompromitaci. Spolehlivá ochrana začíná dřív, u toho, co do telefonu pustíte a jaká oprávnění tomu dáte.