Bezpečnost NFC plateb - rizika bezkontaktních karet a skimmingu

Bezkontaktní platby přes NFC (Near Field Communication) jsou dnes standardem - ať jde o klasickou platební kartu, telefon s Apple Pay/Google Pay nebo chytré hodinky. Skutečné riziko v roce 2026 ale neleží tam, kde by ho čekala většina lidí.

Klasický mýtus: přečtení karty v davu

Dlouho se rozšiřovala obava, že útočník může kartu "načíst" jen tím, že vám telefonem nebo čtečkou projde kolem kapsy či peněženky v tramvaji nebo v obchodě. V reálu je tato obava výrazně přehnaná - bankomaty i obchody u bezkontaktních transakcí bez PINu dodržují nízké limity (v ČR obvykle v řádu jednotek tisíc korun na transakci), po jejichž překročení terminál vyžádá PIN. Masivní zneužití tohoto konkrétního scénáře v Česku zatím nebylo zaznamenáno.

RFID blokovací pouzdra - potřebujete je?

Peněženky a pouzdra blokující RFID signál se prodávají jako ochrana proti "čtení karty na dálku". Podle aktuálních analýz jsou incidenty tohoto typu statisticky vzácné a podobná pouzdra přinášejí jen minimální reálnou ochranu navíc oproti běžné peněžence.

Skutečné riziko 2026: NFC relay malware

Podstatně závažnější a rychle rostoucí hrozbou je tzv. NFC relay (přeposílání) útok přes škodlivou aplikaci v mobilu - někdy označovaný jako NGate. Podle údajů bezpečnostní firmy Kaspersky vzrostly útoky tohoto typu v prvních měsících roku 2026 výrazně meziročně oproti stejnému období předchozího roku.

Jak podvod funguje krok za krokem

Podvodníci se vydávají za bankovní aplikaci nebo zaměstnance banky a telefonicky či přes falešnou appku přesvědčí oběť, aby si nainstalovala program, který vyžádá přiložení platební karty k zadní straně telefonu (na místo NFC antény) a zadání PIN kódu. Zachycená data o kartě pak putují k útočníkovi, který s nimi vybírá hotovost z bankomatu nebo provádí transakce - a pro banku to vypadá jako běžný výběr s čipem a PINem, ne jako online podvod.

Varovné signály

Žádná legitimní banka nikdy nepožaduje přiložení karty k telefonu přes nainstalovanou aplikaci, zvlášť ne na pokyn z telefonátu. Pokud vás k tomu někdo vyzývá - ať po telefonu nebo přes appku instalovanou z odkazu - jde s velmi vysokou pravděpodobností o podvod.

Starší hrozba: klasický skimming

Odlišnou a stále existující hrozbou je klasický skimming - falešné čtečky nainstalované na bankomatech nebo platebních terminálech, které kopírují data z magnetického proužku nebo čipu karty. Je to technicky úplně jiný princip než NFC relay, ale cíl je stejný - získat data karty bez vědomí majitele.

Jak se chránit

Používejte antivirus/bezpečnostní aplikaci v mobilu, která umí rozpoznat podezřelý malware typu NGate dřív, než způsobí škodu. Nikdy nepřikládejte kartu k telefonu na pokyn z telefonátu - při nátlaku v hovoru zavěste a zavolejte do banky na oficiální číslo z webu nebo z karty. Preferujte platby telefonem/hodinkami a virtuální karty pro online nákupy - obchod nikdy nevidí skutečné číslo karty. Při jakémkoli podezření kartu okamžitě zablokujte v bankovní appce - šance zastavit transakci klesá s každou minutou.

Vrácení peněz bankou

Banky obvykle neautorizované bezkontaktní platby, zejména provedené bez PIN kódu (např. pod limitem), klientům po reklamaci vrací. Úspěšnost se liší podle konkrétního způsobu, jakým peníze odešly, proto je klíčové jednat co nejrychleji po zjištění podvodu.

Mezinárodní srovnání limitů bez PIN

Limit pro bezkontaktní platbu bez zadání PIN kódu se v různých zemích liší a jednotlivé banky v ČR mohou mít vlastní nastavení v rámci zákonného rámce. Obecně platí, že po několika transakcích bez PIN za sebou (bez ohledu na částku) terminál nebo karta PIN vyžádá i pod limitem - jde o další vrstvu ochrany proti postupnému vybírání malých částek.

Visa a Mastercard - vlastní systémy detekce podvodů

Kartové asociace jako Visa a Mastercard provozují vlastní systémy pro detekci podvodného vzorce transakcí v reálném čase - neobvyklá transakce (např. nákup v jiné zemi bezprostředně po běžné platbě doma) může vyvolat automatickou blokaci karty bankou ještě dřív, než si podvodu všimne sám majitel.

Co dělat, pokud cestujete do zahraničí

Před cestou do zahraničí informujte banku (přes appku nebo telefonicky) o plánovaném výjezdu - u některých bank to snižuje riziko automatické blokace karty jako "podezřelé" transakce v zahraničí, zároveň platí stejná pravidla ostražitosti vůči NFC relay podvodům jako doma.

Často kladené otázky

Je bezpečnější platit telefonem než kartou?

Z technického hlediska ano - tokenizace u Apple Pay/Google Pay znamená, že obchod ani útočník se zkompromitovaným terminálem nikdy nevidí skutečné číslo karty, jen jednorázový token.

Jak poznám, že mám v telefonu NFC relay malware?

Běžný uživatel to vizuálně nepozná - proto je klíčová prevence (neinstalovat appky z odkazů v SMS/e-mailu, mít aktivní bezpečnostní software) spíš než spoléhat na pozdější odhalení.

Potřebuju RFID blokovací pouzdro na peněženku?

Podle aktuálních analýz přináší jen minimální reálnou ochranu navíc - větší prioritou je chránit se proti NFC relay malwaru v mobilu, ne proti teoretickému čtení karty v davu.

Co mám dělat, pokud jsem appce už přiložil(a) kartu a zadal(a) PIN?

Okamžitě zablokujte kartu v bankovní appce nebo zavolejte na blokační linku banky, appku odinstalujte a kontaktujte banku i ohledně možného doplnění trestního oznámení.

Platí tahle rizika i pro platby hodinkami?

Ano, princip tokenizace je stejný jako u telefonu - hodinky samy o sobě nejsou rizikovější, riziko vzniká stejně jako u telefonu až instalací škodlivé aplikace.