Malware WindRelay udělá z telefonu oběti falešnou čtečku platebních karet

Bezpečnostní firma Group-IB popsala 12. srpna novou rodinu androidového malwaru, kterou pojmenovala WindRelay. Telefon sám neovládá a jeho obrazovku vidět nepotřebuje: udělá z něj falešnou bezkontaktní čtečku a to, co si s ní karta vymění, posílá po internetu dál. Útočník má na druhém konci vlastní přístroj, kterým ve stejnou chvíli přiloží k platebnímu terminálu nebo k bankomatu.

Třináct minut na telefonu

Group-IB popisuje jeden doložený případ z vyšetřování pro svého klienta. Podvodník zavolal oběti, vydával se za zaměstnance banky a tvrdil, že je problém s její platební kartou. Během hovoru ji navedl, aby si nainstalovala aplikaci mimo obchod Google Play – byl to trojan pro vzdálený přístup SpyNote. Tím se hovor změnil v ovládací kanál: druhou aplikaci, tedy WindRelay, si podvodník na telefon nahrál sám a oběť už k tomu nemusela nic udělat.

Pak ji požádal, aby přiložila kartu k telefonu a zadala PIN. Celý útok trval třináct minut a skončil dvojím výnosem: podvodník si přes vzdálený přístup do bankovní aplikace vzal na jméno oběti úvěr a zároveň posílal data karty do zařízení ve svých rukou, kterým je uplatnil u platebního terminálu. Každá transakce prošla s PINem, který oběť zadala sama. Platby se na účtu objevily krátce po skončení hovoru a banka potvrdila, že souvisejí s přenosem NFC.

Proč musí přenos běžet v okamžiku placení

Bezkontaktní platební karta neposílá jen své číslo. Čip při každém přiložení vygeneruje jednorázový kód, kryptogram, který platí pro tu jedinou transakci a znovu použít se nedá. Uložit si zachycenou komunikaci a zaplatit s ní zítra tedy nejde – proto je u téhle třídy malwaru rozhodující okamžitost přenosu, jak vysvětluje Pieter Arntz z Malwarebytes. Přeposílání komunikace dalo celé kategorii anglické jméno NFC relay; slangem se jí říká „ghost tapping“.

Vyžádaná oprávnění napovídají, k čemu je aplikace stavěná

Group-IB vypsala, o co si WindRelay na telefonu řekl: NFC na samotné čtení karty, přístup k internetu na okamžité odesílání, čtení kontaktů (podle firmy nejspíš na hledání dalších cílů) a oprávnění DUMP, které u aplikace od třetí strany není běžné a podle firmy naznačuje, že útočník mohl nahlížet do stavu zařízení nebo systému. K tomu si aplikace definovala vlastní oprávnění, kterými oddělila své součásti od ostatních aplikací v telefonu, a tedy i od bezpečnostního softwaru.

Jmenovka aplikace nesla podle Group-IB jméno oběti

Tady se zdroje rozcházejí. Group-IB v rozboru výslovně píše, že jmenovka nainstalovaného trojana nesla jméno samotné oběti, ne napodobenou značku. Podvodník tím beze slov naznačil, že o volaném už něco ví. A podle firmy zmizelo právě to, na co jsou lidé u neznámé aplikace cvičení: podivné nebo obecné jméno. Stavebnice, se kterou se SpyNote šíří, podle firmy dovoluje pojmenovat každý balíček na míru. Rozbor Malwarebytes naproti tomu popisuje aplikaci označenou jménem banky. Group-IB k tomu má vlastní záznamy z napadeného zařízení, Malwarebytes vychází z jejího rozboru.

Kolik vzorků se našlo a kam mířily

Podle metadat zachycených aplikací spojila Group-IB tenhle případ s dalšími kampaněmi a našla 23 vzorků nahraných na VirusTotal mezi listopadem 2025 a červencem 2026. Mířily na oběti v Česku, na Slovensku a ve Slovinsku, napodobovaly instituce z těch zemí a text v rozhraní měly v jazyce cílové země. Firma k tomu vypsala čtyři řídicí adresy, na které se data karet přenášela. Národní tým CSIRT.CZ na nález upozornil 14. srpna a mluví o vzorcích vydávajících se za finanční instituce mimo jiné v Česku a na Slovensku; Slovinsko v jeho zprávě není.

Že by aplikace ležela v Google Play, se nepotvrdilo. Mluvčí Googlu řekl serveru Help Net Security, že podle současné detekce žádná aplikace s tímhle malwarem v obchodě není a že známé verze blokuje Play Protect, který je na zařízeních s Google Play Services zapnutý ve výchozím stavu – i u aplikací nainstalovaných mimo obchod.

Upravený NFCGate se poprvé doloženě zneužil v Česku

Přenášení NFC není nová myšlenka. Group-IB v úvodu rozboru připomíná, že první doložené útoky s upravenou verzí otevřeného nástroje NFCGate se odehrály na konci roku 2023 právě v Česku a že v březnu 2024 policie potvrdila zadržení dvaadvacetiletého muže poté, co přišla hlášení o výběrech z pražských bankomatů bez fyzické karty. Zimperium podle téhož rozboru sleduje kampaně napříč Polskem, Českem a Slovenskem a zjistilo u nich víc než sedmdesát řídicích serverů a distribučních míst. Čísla o růstu má Group-IB převzatá: Kaspersky za první čtyři měsíce roku 2026 zablokoval 35 600 útoků přes NFC na androidových zařízeních proti víc než 12 300 za stejné období roku 2025, tedy o 188 % víc.

Co s tím může udělat sám uživatel

Rady CSIRT.CZ jsou v tomhle případě krátké a dají se držet i pod tlakem. Aplikace se neinstalují z neznámých zdrojů a už vůbec ne podle instrukcí po telefonu. Když někdo takhle volá, hovor se ukončí a volaný si zavolá sám – bance, Policii ČR nebo instituci, za kterou se volající vydával, a na číslo, které si sám najde na jejích oficiálních stránkách. Malwarebytes k tomu dodává, že nečekaná žádost o oprávnění ke službám usnadnění (Accessibility) je varovný signál sama o sobě.

Jedna vlastnost téhle kombinace obranu ztěžuje: v popsaném případu ke sdílení obrazovky nedošlo ani jednou. Kdo se spoléhá na to, že vzdálený přístup pozná podle nabídky ke sdílení obrazovky, tenhle případ mine – a Group-IB to uvádí jako jedno z hlavních poučení pro bankovní systémy sledování podvodů.

Podvody s platbami v Česku přitom rostou i bez nové rodiny malwaru. Komerční banka za první pololetí letoška napočítala o 41 % víc případů než rok předtím.

Zdroje

• Group-IB: Gone with the WindRelay – A New Malware Combo Behind a Growing Fraud Scheme (12. 8. 2026)
• CSIRT.CZ: Nový malware zneužívá Android telefony k NFC platebním podvodům (14. 8. 2026)
• Help Net Security: New Android malware relays bank cards to fraudsters while victims still hold them (14. 8. 2026)
• Malwarebytes: New Android malware lets criminals use your bank card in real time (13. 8. 2026)