Appka na videa vám potají vymění bankovnictví za podvrh. Hackerům může prozradit i PIN

Zaplatíte v aplikaci za nový obsah, naťukáte PIN a na displeji naskočí potvrzení, že je zaplaceno. Jenže se nic nezaplatilo a zadaná čísla už mají podvodníci. Nový škodlivý program pro Android tím ale nekončí a umí v telefonu nahradit pravé mobilní bankovnictví padělkem. Úplně potichu to naštěstí nezvládne, protože výměnu prozradí jedno nenápadné okno.

Falešná pokladna, která si pamatuje PIN

Trojského koně jménem Hirudo popsala v polovině října nizozemská firma ThreatFabric, která se zaměřuje na bezpečnost mobilů. Jedním z jeho triků je platební stránka, kterou přetáhne přes aplikaci jako průhlednou vrstvu. Nese logo banky nebo platební peněženky. Zadaný PIN odletí na server útočníků a aplikace místo chyby ukáže hlášení o úspěšné transakci.

PIN ale není jediný úlovek. Program umí také:

• vylákat hesla do bankovnictví;
• vyčíst gesto či heslo ze zamykací obrazovky;
• číst SMS.

Útočník se navíc může živě dívat na displej oběti a spustit obě kamery telefonu.

Hrozí to i v Česku?

Zatím spíš ne. Hlavním terčem je Indonésie, kde má malware připravené padělky osmi bankovních aplikací, za kterými stojí sedm různých bank. Krást přístupy umí také u bank v Číně, Indii, Mexiku, Maroku a Thajsku. Česko zpráva mezi cílovými zeměmi neuvádí.

Klid nemusí trvat dlouho. Výzkumníci upozorňují, že mechanismus výměny aplikací lze použít u dalších bank i v jiných regionech. Na volně přístupném serveru útočníků navíc objevili tisíce kradených přístupových údajů, počet obětí ale zůstává neznámý.

Klienti českých bank už přitom terčem byli. Firma ESET v srpnu 2024 popsala malware NGate, na který zákazníky tří tuzemských bank lákaly SMS o přeplatku na daních a web podobný Google Play. Útočníci pak přes NFC kopírovali jejich platební karty a vybírali z bankomatů.

Návnadou jsou seriály, videa i nákupy

Na začátku stojí podle výzkumníků placené reklamy na sítích Mety. Reklama vede na falešnou stránku Google Play s aplikací na krátké seriály, nákupy nebo videa pro dospělé. Ta opravdu funguje, takže nebudí podezření.

Pak ale zobrazí hlášku o údajné „aktualizaci“. Potvrzením si člověk nainstaluje vedle návnady ještě druhý program a teprve ten je vlastním trojským koněm. Hned chce zapnout usnadnění přístupu, tedy funkce pro lidi se zdravotním omezením. S nimi pak v telefonu sám klepe na tlačítka a píše.

Padělané bankovnictví pracuje pro útočníky

Malware v telefonu vyhledá bankovní aplikaci ze svého seznamu, odstraní ji a místo ní nainstaluje padělek se stejným názvem i číslem verze. Do kódu bankovní aplikace přibyl jen jeden řádek, který při každém otevření spustí nástroj útočníků.

Na vlastní bezpečnostní kontroly pak bankovnictví dostává odpovědi, které připravili útočníci. Před aplikací se schová i program, přes který podvodníci telefon ovládají. Nástroj navíc vyřadí pojistku, která v bankovnictví běžně brání pořízení snímku obrazovky. Útočník tak na dálku vidí vše, co aplikace ukáže, a může si to uložit.

Jedno okno, které vás může zachránit

Slabinou triku je podpis. Padělek nemá podpis banky, takže ho Android přes originál nenainstaluje. Původní bankovnictví proto musí nejdřív zmizet a systém se vlastním oknem zeptá, jestli ho opravdu chcete odebrat. Podle ThreatFabric může oběť akci zastavit právě v tu chvíli a pak ještě při instalaci kopie.

Okno, které se objeví bez vašeho přičinění, berte jako poplach a zrušte ho. Taková výzva zároveň prozrazuje, že škodlivý program už v telefonu je. Podle rady Googlu pak z telefonu smažte všechno, co nepochází z oficiálního obchodu nebo vzbuzuje nedůvěru.

Co si v telefonu zkontrolovat

Nové aplikace instalujte jen z Obchodu Google Play. Soubory APK z jiných obchodů a webů neinstalujte, ani když stránka vypadá jako Google Play. Varovným signálem je, když o usnadnění přístupu žádá přehrávač seriálů, nákupní aplikace nebo program nainstalovaný jako „aktualizace“.

Zkontrolujte také Google Play Protect. Google ho dodává zapnutý, radí ho nevypínat a prověřuje jím i programy mimo obchod. Přepínač najdete takto:

1. otevřete aplikaci Obchod Google Play,
2. klepněte na ikonu profilu,
3. zvolte položku Play Protect,
4. přejděte do Nastavení,
5. zkontrolujte, že je zapnutá možnost Kontrolovat aplikace pomocí Play Protect.

Systém telefonu navíc pravidelně aktualizujte.

Zdroje: https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/, https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html, https://securityaffairs.com/200970/malware/hirudo-android-trojan-replaces-banking-apps-to-steal-credentials.html, https://www.securityweek.com/novel-android-banking-rat-hirudo-replaces-banking-apps-with-trojanized-copies/, https://www.eset.com/cz/o-nas/pro-novinare/tiskove-zpravy/eset-objevil-malware-ngate-ktery-utocnici-vyuzili-k-vyberum-penez-zceskych-bankomatu/, https://www.lupa.cz/aktuality/hackeri-skrze-nfc-v-mobilech-klonovali-platebni-karty-cechu-a-vybirali-penize-z-bankomatu/, https://support.google.com/accounts/answer/2812853?hl=cs, https://support.google.com/accounts/answer/9924802?hl=cs&co=GENIE.Platform%3DAndroid, https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps