Falešné bankovní aplikace a malware – jak je poznat, jak se chránit a co dělat po instalaci

Falešné bankovní aplikace jsou škodlivé programy, které se tváří jako aplikace vaší banky, centrální banky, „bezpečnostní nástroj“ či „aktualizace“. Jejich cílem je ukrást přihlašovací údaje, zachytit potvrzovací kódy, odhalit údaje karty či získat vzdálené ovládání telefonu. Aplikace může vypadat věrohodně: má logo banky, podobný název a stejné barvy. Nejčastěji se šíří přes odkaz v SMS či e-mailu, na pokyn volajícího „bankéře“ nebo prostřednictvím inzerce a neoficiálních obchodů. Pokud je instalace úspěšná, útočník může přijít ke všem penězům, aniž by cokoli „prolomil“; oběť mu aplikací dá vše potřebné sama.

V tomto článku vysvětlujeme, jak falešné aplikace fungují, jak je poznat, proč a jak instalovat jen z oficiálních obchodů, jak zkontrolovat oprávnění a co dělat po instalaci škodlivé aplikace. Čerpáme z varování o podvodných aplikacích České spořitelny, z popisu kampaně s falešnou aplikací ČNB a přiložením karty, z přehledu Android malware útočící na české uživatele, z článku Svět Androida: falešné finanční aplikace a z nápovědy Google Play. Hrozby se rychle mění, proto sledujte aktuální varování své banky.

Další návody najdete v kategorii Mobil, bankovnictví a platby, například Bezpečnost mobilního bankovnictví, Bezpečnost mobilních zařízení a Push notifikace a potvrzení plateb.

Aktualizováno: listopad 2026.

Jak falešné aplikace fungují

Nejčastější techniky:

• Překryvné okno (overlay): škodlivá aplikace sleduje, kdy spustíte pravou bankovní aplikaci, a přes ni zobrazí falešné přihlašovací okno. Zadané údaje odešle útočníkovi.
• Zneužití oprávnění „Usnadnění“ (Accessibility): aplikace získá právo číst obsah obrazovky, vyplňovat pole a klikat za vás. Tato funkce je určena pro pomoc lidem se zdravotním postižením; škodlivé aplikace ji zneužívají k odposlechu hesel a potvrzení plateb.
• Přístup k SMS a oznámením: zachycení ověřovacích kódů a push zpráv.
• Vzdálený přístup: aplikace „na podporu“ či „zabezpečení“ umožní útočníkovi ovládat telefon; viz RAT trojan.
• Přečtení karty (NFC relay): v popsaných kampaních jste vyzváni „přiložit kartu k telefonu“ pro ověření a údaje jsou přeposlány útočníkovi; viz Bezpečnost NFC plateb.
• Skrytí aplikace a postupné stahování dalších modulů.

Aplikace často neumí nic užitečného: po otevření ukáže chybu či „probíhá aktualizace“ a pracuje na pozadí.

Orientační postup ochrany před falešnými aplikacemi – vlastní infografika

Jak falešnou aplikaci poznat

Varovné signály:

1. Odkaz k instalaci v SMS, e-mailu, na sociální síti či od volajícího: banky aplikaci do telefonu „neposílají“ a nikdy nenaléhají na instalaci mimo oficiální obchod.
2. Instalace mimo obchod (soubor APK, „bezpečný odkaz“, „certifikát“): u Androidu hrozí vyšší riziko; nepovolujte instalaci z neznámých zdrojů.
3. Vydavatel: u oficiální aplikace je v obchodu banka (nikoli osoba či neznámá firma), je tam mnoho hodnocení a historie aktualizací.
4. Název a ikona: velmi podobné, ale mírně odlišné; „průvodce“, „zabezpečení“, „ověření“.
5. Požadovaná oprávnění: pro ověření banky nepotřebujete „Usnadnění“, správce zařízení ani přístup ke všem SMS.
6. Naléhavost: „aplikace vyprší dnes“, „účet bude zablokován“.
7. Požadavek přiložit kartu, zadat PIN či sdělit kód: jde o podvod; viz Smishing.
8. Aplikace se po instalaci „ztratí“ z nabídky nebo vyžaduje podivná povolení.
9. Telefonát od „bankéře“ vás vede k instalaci: viz Push notifikace a potvrzení plateb.

Jak instalovat bezpečně

• Používejte oficiální obchody (Google Play, App Store) a ověřte vydavatele i počet stažení a hodnocení. Ani oficiální obchod není stoprocentní, proto kontrolujte detaily; viz nápovědu Google Play.
• Aplikaci banky najděte přes odkaz z oficiálního webu banky, který jste sami zadali.
• Nepovolujte „neznámé zdroje“ a po nutné instalaci je znovu vypněte.
• Neinstalujte aplikace pro vzdálenou správu na pokyn cizí osoby.
• Aktualizujte systém a aplikace; viz Bezpečnost mobilních zařízení.
• Zapněte ochranu zařízení (například Google Play Protect) a používejte ověřený mobilní antivir; viz Antivirové programy.
• Kontrolujte oprávnění po instalaci i pravidelně: v nastavení telefonu projděte, které aplikace mají právo Usnadnění, správce zařízení, čtení SMS či zobrazení přes jiné aplikace.
• Odinstalujte aplikace, které nepoužíváte.
• Nové zařízení: aplikaci banky aktivujte pouze podle postupu banky.

Kontrolní seznam – vlastní infografika

Kontrola oprávnění krok za krokem

U Androidu zkontrolujte v Nastavení → Aplikace → Zvláštní přístup (názvy se liší podle výrobce): Usnadnění, Správci zařízení, Zobrazení přes jiné aplikace, Instalace neznámých aplikací, Přístup k oznámením a Přístup k SMS. Pokud se u aplikace, kterou neznáte či nepotřebujete, objeví některé z těchto oprávnění, odeberte jej a aplikaci odinstalujte. U iPhonu se riziko tohoto typu vyskytuje méně, protože systém omezuje instalaci mimo App Store a aplikace nemohou číst obrazovku jiných aplikací, ale phishingové stránky, „profily“ a pokyny k instalaci certifikátů jsou stále rizikem; instalujte pouze aplikace z App Store a profily jen od důvěryhodných zdrojů. Další postupy najdete v nápovědě výrobce telefonu.

Co dělat, když jste škodlivou aplikaci nainstalovali

Čas je rozhodující:

1. Ihned volejte banku z jiného telefonu a požádejte o zablokování bankovnictví a karet; viz Okamžité platby a podvodné převody.
2. Přepněte telefon do letadlového režimu (přeruší spojení s útočníkem) a neodesílejte žádné další údaje.
3. Odinstalujte podezřelou aplikaci; pokud to nejde (aplikace má právo správce), odeberte práva v nastavení či restartujte telefon do nouzového režimu a odinstalujte ji. Nejjistější je obnova továrního nastavení po záloze nezbytných dat.
4. Z jiného zařízení změňte hesla: e-mail, Apple/Google účet, bankovnictví, sociální sítě; zapněte ověření ve dvou krocích; viz Silné heslo.
5. Zkontrolujte pohyby na účtech a nahlaste neoprávněné platby.
6. Zkontrolujte telefon antivirem a po obnově nastavte aplikace znovu jen z oficiálních zdrojů.
7. Kontaktujte operátora, pokud je podezření na přesměrování SMS či SIM swap; viz SIM swapping.
8. Uložte důkazy (odkaz, SMS, číslo volajícího) a podejte oznámení policii.
9. Varujte rodinu a kolegy, pokud se zpráva šířila přes kontakty.

Další varianty podvodu

• Falešné aplikace pro čtení QR kódů či „správce hesel“; viz QR platby a bezpečnost.
• Falešná „aplikace centrální banky“ či „úřadu“, kterou vám doporučí volající.
• Padělky v oficiálních obchodech: čas od času se tam objeví klony; kontrolujte vydavatele a počet stažení.
• Aplikace „tichého“ sledování (stalkerware), které sledují zprávy a polohu; viz Bezpečnost mobilních zařízení.
• Rozšíření prohlížeče a falešné stránky; viz Phishing.
• Přeposílání SMS kódů prostřednictvím aplikace „pro synchronizaci“.

Firmy a kancelář

Ve firmách s firemním bankovnictvím je nutné omezit instalaci aplikací na zařízeních, využívat správu zařízení (MDM), seznamy povolených aplikací, oddělení osobních a pracovních dat a školení zaměstnanců o podvodných aplikacích. Platby by měly vyžadovat dvojí schválení a oprávněné osoby by neměly používat osobní telefony s nezkontrolovanými aplikacemi. Při podezření postupujte podle plánu reakce na incident; viz Zabezpečení firemního účtu a 2FA pro týmy.

Časté otázky v praxi

Jak poznám pravou aplikaci?: vydavatel je banka, hodnocení jsou početná a aplikaci jste našli v obchodě sami. Zaviní falešnou aplikaci jen Android?: riziko je vyšší, ale phishing hrozí všude. Postačí antivirus?: pomůže, ale zásadní je neinstalovat z odkazů. Co když jsem aplikaci nainstaloval?: ihned volat banku. Může banka poslat odkaz?: na instalaci aplikace ne.

Falešné aplikace v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro uživatele mobilů – vlastní infografika

Související články

Další návody najdete v kategorii Mobil, bankovnictví a platby: Ztráta či krádež telefonu s bankovnictvím, 3D Secure, Limity na kartách a platbách a PayPal: bezpečnost.

Shrnutí

Falešné bankovní aplikace se šíří odkazy a telefonáty a zneužívají oprávnění telefonu. Instalujte jen z oficiálních obchodů, nikdy nepoužívejte odkazy z SMS a e-mailů, kontrolujte oprávnění a při podezření ihned volejte banku. Aktuální varování najdete například u České spořitelny.

Často kladené otázky k falešným bankovním aplikacím