Na novou kampaň upozornila ve své analýze česká společnost ComSource. Podle ní skupina označovaná jako WindTapper v uplynulých týdnech cílila na finanční sektor a kombinovala telefonické podvody v češtině s malwarem WindRelay.
Vishing je podvod založený na telefonátu. Název vznikl spojením slov „voice“ a „phishing“. Útočník se při něm vydává například za pracovníka banky, policistu nebo jinou důvěryhodnou osobu a snaží se oběť přesvědčit, aby mu prozradila citlivé údaje, provedla určitou operaci nebo si nainstalovala aplikaci.
V tomto případě podvodníci podle ComSource telefonicky napodobovali bankovní zaměstnance a využívali česky mluvící osoby, aby hovor působil věrohodně. Cílem nebylo pouze získat informace. Útočníci se snažili oběť přimět také k instalaci škodlivého softwaru, který následně umožnil další část útoku.
NFC relay útok
Nejneobvyklejší část útoku představuje malware WindRelay. Využívá takzvaný NFC relay útok, tedy přeposílání bezkontaktní komunikace mezi dvěma zařízeními.
NFC je technologie, díky které spolu na krátkou vzdálenost komunikují například bezkontaktní platební karta, telefon a platební terminál. Při relay útoku malware zachytí komunikaci mezi fyzickou kartou a telefonem oběti a v reálném čase ji přes internet přeposílá na zařízení ovládané útočníkem. To pak může komunikovat s platebním terminálem, jako by byla skutečná karta u něj. Fyzickou kartu tedy není nutné oběti ukrást ani ji fyzicky získat.
Princip útoku může vypadat například tak, že falešný bankéř oběť přesvědčí, že je potřeba kvůli bezpečnosti nebo údajnému problému s účtem ověřit její kartu. Člověk si na telefon nainstaluje škodlivou aplikaci a následně podle instrukcí přiloží svou fyzickou platební kartu k telefonu.
Právě v tu chvíli může WindRelay zachytit NFC komunikaci karty. Útočník ji následně přepošle na své zařízení, které může být použito u platebního terminálu. Podle zveřejněné analýzy tedy nejde o klasické zkopírování čísla karty, ale o živé přepojení komunikace mezi kartou a terminálem.
Výzkumníci popsali případ, při němž útok začal telefonátem údajného bankovního pracovníka. Oběť byla přesvědčena k instalaci aplikace pro Android. Ta obsahovala trojského koně SpyNote, který útočníkovi umožnil získat vzdálený přístup k telefonu a následně do něj nainstalovat WindRelay.
Celý postup byl podle analýzy velmi rychlý. V jednom popsaném případu trval telefonát přibližně 13 minut. Útočník během něj získal přístup k telefonu, přiměl oběť pracovat s platební kartou a následně byly zaznamenány neoprávněné karetní transakce.
Kyberšmejdi kombinují několik metod najednou
Právě spojení sociálního inženýrství s technickým útokem je na celé kampani podle bezpečnostních expertů nejnebezpečnější. Samotný telefonát má oběť přesvědčit, aby útočníkovi otevřela dveře. Malware pak umožní získat kontrolu nad telefonem a další program se postará o zneužití NFC komunikace.
„WindTapper ukazuje, kam se posouvá sociální inženýrství – útočníci si najímají česky mluvící osoby, aby telefonáty působily důvěryhodně, a kombinují to s malwarem, který dokáže v reálném čase zneužít fyzickou platební kartu oběti,“ uvedl Jaroslav Cihelka, expert na kybernetickou bezpečnost a spolumajitel společnosti ComSource.
Podle údajů zveřejněných bezpečnostními výzkumníky byly vzorky WindRelay mezi listopadem 2025 a červencem 2026 spojovány mimo jiné s cíli v Česku, na Slovensku a ve Slovinsku. Český CSIRT na hrozbu upozornil v srpnu a uvedl, že malware může umožnit zneužití karty k platbám nebo výběrům hotovosti.
Banka po telefonu nechce instalovat aplikace
Obrana proti podobnému útoku začíná u samotného telefonátu. Pokud volající tvrdí, že je pracovníkem banky, není vhodné pokračovat v hovoru podle jeho instrukcí ani instalovat aplikaci, kterou doporučuje.
Podezřelý hovor je nejlepší ukončit a banku kontaktovat samostatně prostřednictvím oficiálního telefonního čísla. Zásadní je také neinstalovat do telefonu aplikace z neznámých zdrojů a nepřikládat platební kartu k telefonu na základě instrukcí člověka, který nečekaně volá a vydává se za pracovníka banky. Český CSIRT před instalací podobných aplikací na základě telefonických pokynů výslovně varuje.
Jak se bránit?Ukončete nečekaný hovor z banky. Pokud vám někdo volá kvůli údajnému problému s účtem či kartou, hovor ukončete a banku si zavolejte sami na oficiální číslo.Nikomu po telefonu nesdělujte citlivé údaje. Banka po vás nebude chtít přihlašovací údaje, hesla ani bezpečnostní kódy k tomu, aby „zachránila“ vaše peníze.Neinstalujte aplikace na pokyn volajícího. Pokud vás někdo po telefonu přesvědčuje, abyste si nainstalovali aplikaci kvůli bezpečnosti účtu, jde o výrazný varovný signál.Nepovolujte neznámé aplikaci vzdálený přístup k telefonu. Takový přístup může útočníkovi umožnit sledovat dění v telefonu nebo ho ovládat.Nepřikládejte platební kartu k telefonu podle instrukcí neznámého volajícího. Právě tím může v popsaném útoku dojít k zachycení NFC komunikace mezi kartou a telefonem.Při podezření jednejte okamžitě. Pokud jste už údaje prozradili, nainstalovali podezřelou aplikaci nebo podle pokynů pracovali s kartou, ihned kontaktujte svou banku a nechte zablokovat kartu či další ohrožené služby.Nejčastější podvody, jak je odhalit a nenechat se okrást
Policejní statistiky zaplavují v posledních měsících příběhy nešťastníků, kteří sedli na lep internetovým podvodníkům. Kyberšmejdi přitom používají pořád dokola stejné triky, jejichž prostřednictvím se snaží důvěřivce napálit a často i oškubat. Připravte se na ně a podívejte se, jak se nejčastějším podvodům na síti bránit.
