Reklamy na Facebooku lákají na aplikace pro dospělé a vy je stahujete. Luxují peníze z účtu a těžko zjišťujete, kdo je krade

Indické úřady odhalily síť placených reklam na Facebooku a Instagramu, které vedou k instalaci malwaru schopného vyprázdnit bankovní účet.

Zdroj fotografie: PickPik

Řetězec je jednoduchý a právě proto funguje. Na Facebooku nebo Instagramu se objeví reklama se sexuálně explicitním náhledem videa. Klik vede na web slibující stovky pornografických videí a nepřetržitý přístup. Jenže místo videa web nutí stáhnout soubor APK, instalační balíček mimo Google Play. Po instalaci aplikace požádá o oprávnění k takzvaným službám přístupnosti (Accessibility Services). A právě tady končí kontrola uživatele a začíná kontrola útočníka. Aplikace dokáže číst obrazovku telefonu, zachytit jednorázové ověřovací kódy i bankovní PIN a provádět finanční operace, jako by telefon ovládal sám majitel. Peníze odcházejí bez jediné notifikace, kterou by oběť stihla zastavit. A protože celý útok probíhá přes vzdálené ovládání, APK stažené mimo obchod a následné převody přes řetězec prostředníků, oběť vidí jen odchozí transakci ze svého účtu, ale skutečného pachatele nedohledá.

Sedm jmen, jedna metoda

Indická vládní jednotka pro analýzu kybernetických hrozeb (NCTAU), spadající pod ministerstvo vnitra, identifikovala podle varování citovaného agenturou Reuters sedm konkrétních názvů: Night Play, Reloop, Kyss, Vimo, Rivo, Nexo a Vixa. Žádná z nich nikdy nebyla v Google Play. Všechny se šířily jako APK soubory stahované z externích webů. Reuters doložil i konkrétní instalační soubor „Movexa.apk“ jako jednu z návnad.

Nejde o klasický phishing, kde útočník vyláká heslo na falešné přihlašovací stránce. Tady je situace horší. Po udělení oprávnění k přístupnosti se z telefonu stává nástroj proti vlastnímu majiteli. Podle oficiální dokumentace Androidu může služba přístupnosti číst stav obrazovky a při příslušné deklaraci i odesílat gesta, tedy klikat, posouvat obsah a potvrzovat platby. Útočník nepotřebuje vaše heslo. Potřebuje jen to, abyste jednou klepli na „Povolit“.

Proč Facebook reklamy nezastaví včas

Meta tvrdí, že podvodné reklamy maže ve velkém. Jen za rok 2025 podle vlastních údajů odstranila přes 159 milionů podvodných reklam a 10,9 milionu účtů napojených na podvodná centra. Má dokonce speciální pravidla právě pro sexualizované aplikace a odkazy vedoucí mimo platformu.

Realita ale vypadá jinak. Reuters po vydání indického varování dohledal nejméně 39 stále aktivních reklam propagujících tyto škodlivé aplikace. Zmizely až poté, co se na ně agentura přímo zeptala. Útočníci kontroly obcházejí rychlostí, maskováním obsahu reklam a zakládáním nových účtů a domén. Systém je hra na kočku a myš a myš má náskok.

V Česku to není žádná novinka

Konkrétní názvy Night Play nebo Kyss zatím nejsou veřejně doložené na českém Facebooku. Samotný typ útoku ale český prostor zná důvěrně. Už v roce 2018 NÚKIB varoval před aplikací QRecorder, která cílila přímo na klienty českých bank, snímala přihlašovací údaje a četla SMS s ověřovacími kódy. V roce 2024 pak NÚKIB popsal kampaň NGate zaměřenou na české občany, která kombinovala phishing s krádeží NFC dat z platebních karet.

NÚKIB dlouhodobě doporučuje stahovat aplikace výhradně z autorizovaných obchodů a pečlivě kontrolovat požadovaná oprávnění. Podle nás je právě tohle klíčový bod celého problému: největší bezpečnostní brzdou není antivirus ani heslo, ale rozhodnutí nestahovat nic mimo Google Play. Jakmile uživatel tuto hranici překročí, padají všechny záchranné sítě najednou.

Co dělat, když máte podezření

Příznaky napadeného telefonu jsou poměrně čitelné: neznámá aplikace, kterou jste neinstalovali z obchodu, nečekaná vyskakovací okna nebo překryvy na obrazovce, výrazné zpomalení, podivné chování bankovní aplikace nebo notifikace o transakcích, které jste neiniciovali. Google mezi varovné signály řadí i náhlý úbytek volného místa v úložišti.

Pokud něco z toho pozorujete:

• Okamžitě přepněte telefon do režimu letadlo, odříznete tak malwaru komunikaci se serverem útočníka.
• Zkontrolujte seznam aplikací a odeberte vše, co nepoznáváte. Pokud to nejde, restartujte telefon do bezpečného režimu (Safe Mode), na Pixelu při startu držte tlačítko snížení hlasitosti, na Samsungu podržte volbu „Vypnout“ a zvolte Safe Mode.
• Ověřte, že máte zapnutý Google Play Protect, ve výchozím stavu je aktivní a dokáže blokovat neověřené aplikace s citlivými oprávněními.
• Z jiného zařízení změňte hesla k bankovnictví a dalším citlivým službám.

Pokud už peníze zmizely, Policie ČR doporučuje jasné pořadí: nejprve kontaktovat banku a požádat o zablokování účtu či reklamaci transakce, uchovat výpisy a snímky obrazovky a teprve poté podat oznámení na policii. Vlastní pátrání po pachateli nedoporučuje, může zničit digitální stopy a zkomplikovat vyšetřování.

Celý útok stojí na jediném momentu: uživatel klikne na reklamu, stáhne soubor a povolí oprávnění. Tři klepnutí, která z jeho telefonu udělají bankomat pro někoho jiného.