Bezpečnost mobilního bankovnictví - jak chránit bankovní appku

Proč je mobilní bankovnictví jiný případ než bankovnictví v prohlížeči

Mobilní bankovní aplikace má jinou bezpečnostní architekturu než přihlášení přes webový prohlížeč na počítači. Appka běží v uzavřeném prostředí telefonu, obvykle využívá biometrické ověření a tzv. app attestation - mechanismus, kterým appka kontroluje, že běží na nezměněném (neodrootovaném) systému a že sama appka nebyla upravená. Zároveň je telefon pořád malý kapesní počítač, na kterém mohou běžet škodlivé aplikace, pokud si uživatel nedá pozor, co instaluje.

Bankovní trojské koně pro Android - reálná a trvalá hrozba

Bezpečnostní firmy dlouhodobě sledují několik rodin tzv. bankovních trojských koní pro Android, které cílí přímo na přihlašování do bankovních appek:

• SharkBot - šířen přes falešné "antivirové" nebo systémové aplikace na Google Play, podle analýz Check Pointu měl kolem 15 000 instalací, než byl odstraněn. Zneužívá Accessibility Services (funkce pro usnadnění přístupu) k zachycení přihlašovacích údajů a umí i automaticky vyplnit a odeslat platební příkaz přímo v legitimní bankovní appce (tzv. Automatic Transfer System, ATS) - obchází tak i detekci podvodů založenou na "neobvyklém zařízení".
• Vultur - šířen přes "dropper" aplikace s desítkami tisíc stažení, cílí primárně na banky v Itálii, Španělsku, Velké Británii, Nizozemsku, Německu a Francii. Umí vzdáleně ovládat obrazovku telefonu a sledovat, co uživatel dělá v reálném čase.
• Chameleon - maskovaný za falešné appky (např. napodobující kryptoburzy nebo bankovní appky), zneužívá Accessibility Services, umí v některých variantách obejít i biometrické přihlášení přepnutím na PIN, který následně odchytí.

Společný rys všech těchto hrozeb: nešíří se hackováním samotné banky, ale přes podvodnou aplikaci, kterou si uživatel sám nainstaluje (často mimo oficiální obchod, nebo jako na první pohled nevinnou appku na Google Play). Proto je nejsilnější obranou kontrola zdroje aplikací, ne jen "silné heslo".

Biometrie a app attestation jako standard zabezpečení

Většina moderních bankovních appek v ČR dnes nabízí přihlášení otiskem prstu nebo rozpoznáním obličeje místo zadávání PIN kódu nebo hesla při každém spuštění. Biometrické přihlášení je prakticky odolné proti klasickému "přepsání" na dálku - útočník potřebuje přímý fyzický přístup k odemčenému zařízení. Zároveň appky kontrolují integritu zařízení (root/jailbreak detekci) a řada bank rootnutý nebo jailbreaknutý telefon pro přihlášení do appky rovnou odmítá, protože na takovém zařízení jsou bezpečnostní mechanismy operačního systému oslabené.

Push notifikace místo SMS kódu

Novější trend u bank je nahrazení SMS kódů (jednorázových hesel zasílaných textovou zprávou) tzv. push potvrzením přímo v appce - uživatel dostane notifikaci "Potvrdit platbu 500 Kč do XY" a stačí kliknout na Potvrdit/Zamítnout, ideálně i s náhledem detailu platby. Tento přístup je bezpečnější, protože SMS zprávy lze zachytit přes SIM swapping (podvodný převod telefonního čísla na cizí SIM kartu) nebo přes právě zmíněné bankovní trojské koně, které čtou obsah SMS schránky.

Jak se chránit - praktická doporučení

• Instalujte appky jen z Google Play nebo App Store, nikdy z APK souboru staženého mimo obchod nebo z odkazu v SMS/e-mailu.
• Nepoužívejte rootnutý nebo jailbreaknutý telefon pro bankovnictví - některé banky to rovnou blokují, ale i tam, kde to technicky jde, je riziko vyšší.
• Zapněte si limity a notifikace na všechny pohyby na účtu, abyste podvodnou transakci odhalili co nejdřív.
• Aktualizujte appku i systém telefonu - bezpečnostní opravy se často týkají přesně takových zranitelností, které malware zneužívá.
• Nikdy nezadávejte přihlašovací údaje po kliknutí na odkaz v SMS/e-mailu - otevřete appku přímo, ne přes odkaz (klasický vektor phishingu/smishingu cílený na bankovní klienty).

Rozdíl mezi riziky na Androidu a iOS

Drtivá většina bankovních trojských koní (SharkBot, Vultur, Chameleon) cílí výhradně na Android, protože ten umožňuje instalaci aplikací mimo Google Play (sideloading) a zneužití Accessibility Services k čtení obsahu obrazovky. iOS je uzavřenější systém - aplikace lze instalovat jen přes App Store (pokud uživatel nepoužije speciální firemní distribuci nebo neobejde omezení), což riziko instalace podvodné appky výrazně snižuje. To neznamená, že je iOS neprůstřelný - phishing (vylákání údajů přes falešnou stránku nebo zprávu) funguje na obou platformách stejně, protože nezávisí na slabině operačního systému, ale na chybě uživatele.

Konkrétní bankovní politiky k rootovaným telefonům

Některé banky mají explicitní zásadu, že appka na rootnutém nebo jailbreaknutém telefonu nepoběží vůbec - jde o preventivní opatření, protože na takovém zařízení jsou prolomené bezpečnostní mechanismy systému, které appka běžně využívá k ochraně přihlašovacích údajů a biometrie. Pokud vaše bankovní appka hlásí chybu kvůli rootu, nejde o bug, ale o záměrnou bezpečnostní pojistku.

Často kladené otázky

Je bezpečnější SMS kód, nebo potvrzení přímo v appce?

Potvrzení přímo v appce (push notifikace) je obecně bezpečnější, protože SMS zprávy lze zachytit přes SIM swapping nebo malware čtoucí obsah schránky zpráv. SMS kód je stále lepší než žádné druhé ověření, ale moderní banky postupně přechází na appku jako primární kanál.

Potřebuju antivirus na telefon pro bezpečné bankovnictví?

Na Androidu má smysl spoléhat primárně na Google Play Protect (vestavěná kontrola appek) a opatrnost při instalaci aplikací - klasický "virus" v tradičním smyslu je na mobilu vzácný, většina rizika jde přes podvodné appky, ne přes infekci systému zvenčí. Na iOS je klasický virus prakticky nemožný díky uzavřenému systému appek.

Je bezpečné bankovat na rootnutém telefonu, když appka funguje?

I když appka funguje, root oslabuje bezpečnostní mechanismy systému a usnadňuje malwaru (pokud se na telefon dostane) přístup k datům jiných aplikací včetně bankovnictví. Řada bank proto root detekuje a buď appku omezí, nebo odmítne spustit.

Co je to Automatic Transfer System (ATS) u bankovního malwaru?

Je to funkce některých bankovních trojských koní (např. SharkBot), která po získání přístupu do appky automaticky vyplní a odešle platební příkaz přímo uvnitř legitimní bankovní aplikace, bez nutnosti zadávat heslo znovu - čímž obchází detekci podvodu založenou na "přihlášení z neznámého zařízení".

Stačí mi, když mám silné heslo do appky?

Ne - silné heslo nepomůže proti malwaru, který čte, co se děje přímo na obrazovce telefonu (např. přes Accessibility Services), ani proti phishingu, kde vám podvodník heslo přímo vyláká. Důležitější je kombinace: biometrie, kontrolovaný zdroj appek a notifikace o pohybech na účtu.

Jak bankovní trojské koně napadají mobilní bankovnictví

Moderní bankovní malware (rodiny jako SharkBot, Vultur nebo Chameleon) se na Android zařízení typicky nedostává přímo z Google Play, ale přes falešnou aplikaci staženou z neznámého zdroje nebo přes odkaz v podvodné SMS/e-mailu. Po instalaci požádá o oprávnění Accessibility Services (určené primárně pro usnadnění přístupu zdravotně postiženým uživatelům) - se zneužitím tohoto oprávnění může malware číst obsah obrazovky, zaznamenávat zadávané údaje a v některých případech i automaticky provádět transakce (tzv. Automated Transfer System, ATS) bez vědomí uživatele.

Proč je důležité instalovat appky jen z oficiálních obchodů

Google Play Protect i App Store procházejí aplikace bezpečnostní kontrolou před zveřejněním - není to stoprocentní záruka, ale drastně snižuje riziko oproti instalaci APK souboru z neznámého webu nebo odkazu v SMS. Banky v ČR nikdy nevyžadují instalaci appky mimo Google Play/App Store.

Jak poznám, že mobilní bankovnictví napadl malware?

Varovné signály: appka žádá o neobvyklá oprávnění (Accessibility Services), telefon se zpomalí nebo se objevují neznámé aplikace, případně se objeví transakce, které jste nezadali. V takovém případě okamžitě kontaktujte banku a zablokujte appku.

Je bezpečnější potvrzovat platby SMS kódem nebo přes appku?

Banky dnes obecně preferují potvrzení přes appku s biometrikou - SMS kódy lze zachytit přes SIM swapping nebo malware čtoucí SMS, zatímco potvrzení v appce vyžaduje fyzický přístup k odemčenému telefonu.