Kartu nedáte z ruky, přesto s ní podvodník zaplatí. Takto funguje nový trik

Vishing je podvod založený na telefonátu. Název vznikl spojením slov „voice“ a „phishing“. Útočník se při něm vydává například za pracovníka banky, policistu nebo jinou důvěryhodnou osobu a snaží se oběť přesvědčit, aby mu prozradila citlivé údaje, provedla určitou operaci nebo si nainstalovala aplikaci.

V tomto případě podvodníci podle ComSource telefonicky napodobovali bankovní zaměstnance a využívali česky mluvící osoby, aby hovor působil věrohodně. Cílem nebylo pouze získat informace. Útočníci se snažili oběť přimět také k instalaci škodlivého softwaru, který následně umožnil další část útoku.

Nejneobvyklejší část útoku představuje malware WindRelay. Využívá takzvaný NFC relay útok, tedy přeposílání bezkontaktní komunikace mezi dvěma zařízeními.

NFC je technologie, díky které spolu na krátkou vzdálenost komunikují například bezkontaktní platební karta, telefon a platební terminál. Při relay útoku malware zachytí komunikaci mezi fyzickou kartou a telefonem oběti a v reálném čase ji přes internet přeposílá na zařízení ovládané útočníkem. To pak může komunikovat s platebním terminálem, jako by byla skutečná karta u něj. Fyzickou kartu tedy není nutné oběti ukrást ani ji fyzicky získat.

Princip útoku může vypadat například tak, že falešný bankéř oběť přesvědčí, že je potřeba kvůli bezpečnosti nebo údajnému problému s účtem ověřit její kartu. Člověk si na telefon nainstaluje škodlivou aplikaci a následně podle instrukcí přiloží svou fyzickou platební kartu k telefonu.

Právě v tu chvíli může WindRelay zachytit NFC komunikaci karty. Útočník ji následně přepošle na své zařízení, které může být použito u platebního terminálu. Podle zveřejněné analýzy tedy nejde o klasické zkopírování čísla karty, ale o živé přepojení komunikace mezi kartou a terminálem.

Výzkumníci popsali případ, při němž útok začal telefonátem údajného bankovního pracovníka. Oběť byla přesvědčena k instalaci aplikace pro Android. Ta obsahovala trojského koně SpyNote, který útočníkovi umožnil získat vzdálený přístup k telefonu a následně do něj nainstalovat WindRelay.

Celý postup byl podle analýzy velmi rychlý. V jednom popsaném případu trval telefonát přibližně 13 minut. Útočník během něj získal přístup k telefonu, přiměl oběť pracovat s platební kartou a následně byly zaznamenány neoprávněné karetní transakce.

Právě spojení sociálního inženýrství s technickým útokem je na celé kampani podle bezpečnostních expertů nejnebezpečnější. Samotný telefonát má oběť přesvědčit, aby útočníkovi otevřela dveře. Malware pak umožní získat kontrolu nad telefonem a další program se postará o zneužití NFC komunikace.

„WindTapper ukazuje, kam se posouvá sociální inženýrství – útočníci si najímají česky mluvící osoby, aby telefonáty působily důvěryhodně, a kombinují to s malwarem, který dokáže v reálném čase zneužít fyzickou platební kartu oběti,“ uvedl Jaroslav Cihelka, expert na kybernetickou bezpečnost a spolumajitel společnosti ComSource.

Podle údajů zveřejněných bezpečnostními výzkumníky byly vzorky WindRelay mezi listopadem 2025 a červencem 2026 spojovány mimo jiné s cíli v Česku, na Slovensku a ve Slovinsku. Český CSIRT na hrozbu upozornil v srpnu a uvedl, že malware může umožnit zneužití karty k platbám nebo výběrům hotovosti.

Obrana proti podobnému útoku začíná u samotného telefonátu. Pokud volající tvrdí, že je pracovníkem banky, není vhodné pokračovat v hovoru podle jeho instrukcí ani instalovat aplikaci, kterou doporučuje.

Podezřelý hovor je nejlepší ukončit a banku kontaktovat samostatně prostřednictvím oficiálního telefonního čísla. Zásadní je také neinstalovat do telefonu aplikace z neznámých zdrojů a nepřikládat platební kartu k telefonu na základě instrukcí člověka, který nečekaně volá a vydává se za pracovníka banky. Český CSIRT před instalací podobných aplikací na základě telefonických pokynů výslovně varuje.