Podvod „přiložte kartu k telefonu“: jak funguje zneužití NFC a co dělat

Jak podvod probíhá

Podle případů, které popisuje Policie ČR, má podvod dvě části. První je klasický falešný bankéř, druhá je nová: kartu nepotřebuje podvodník ukrást, stačí, když ji oběť „zpřístupní“ přes vlastní telefon.

1. Hovor nebo zpráva. Volající se vydává za pracovníka banky, ČNB, policie nebo za investičního poradce. Účet je prý napadený, objevila se podezřelá platba nebo je potřeba „zabezpečit kartu“. Dál tlačí na rychlost.
2. První aplikace. Oběť si podle pokynů nainstaluje aplikaci, která se tváří jako bankovní nebo bezpečnostní. Odkaz přijde SMS, e-mailem nebo v chatu. V případech z Děčínska do ní lidé zadali přihlašovací údaje a potvrdili dvoufázové ověření, takže podvodníci získali přístup k účtům. Úspory si pak nechali převést na běžný účet nebo zvýšit limity karet.
3. Druhá aplikace a karta. Oběť nainstaluje aplikaci, která čte kartu přes NFC. Na pokyn podvodníka zapne NFC, přiloží kartu zezadu k telefonu a zadá PIN nebo potvrdí operaci ve Smart klíči.
4. Výběr. Podvodník stojí u bankomatu, často úplně jinde než oběť, a vybírá hotovost. Peníze se také převádějí na účty u zahraničních finančních firem, aby se hůř dohledávaly.

ESET v říjnu 2025 popsal variantu, kdy aplikace napodobuje přímo Českou národní banku nebo Národnú banku Slovenska. Takové aplikace se šíří mimo oficiální obchody s aplikacemi a podle ESET v Česku i na Slovensku komunikují se stejným řídicím serverem.

Proč to funguje, i když máte kartu u sebe

Podvodná aplikace udělá z vašeho telefonu falešnou bezkontaktní čtečku. Když kartu přiložíte, aplikace čte její čip a komunikaci posílá v reálném čase přes internet do zařízení podvodníka. Policie ČR to přirovnává k obousměrnému tunelu mezi vaší kartou a zařízením u bankomatu. Pro banku vypadá výběr jako běžné bezkontaktní použití vaší původní karty. Když zadáte PIN do aplikace, má ho i podvodník.

Podle výzkumníků ESET, kteří tuto techniku poprvé popsali v srpnu 2024 pod názvem NGate, nemusí mít oběť v telefonu nic „hacknutého“. Upravené zařízení potřebuje jen útočník. Proto stačí, aby člověk aplikaci nainstaloval a udělal, co mu volající řekne.

Nejde o nic okrajového. Policie ČR na Děčínsku evidovala od prosince 2025 do ledna 2026 nejméně devět případů se škodou přes 2,3 milionu korun. Pražští kriminalisté v jiném případu, kde pachatelé kombinovali skimming u bankomatů a falešného bankéře s přiložením karty, prokázali škodu přes 3 miliony korun za květen až červenec 2025. ESET v první polovině roku 2025 zaznamenal víc než 35násobný nárůst podvodů spojených s NFC, i když jde podle něj stále o relativně malá čísla.

Jak podvod poznat

Stačí jediný z těchto znaků:

• Někdo chce, abyste přiložili kartu k telefonu. ČNB, Policie ČR i ESET to říkají shodně: banka ani úřad tohle nikdy nepotřebují. Kartu přikládejte jen k platebnímu terminálu obchodníka nebo k bankomatu.
• Máte si podle hovoru nainstalovat aplikaci. Zvlášť přes odkaz z SMS, e-mailu nebo chatu. Banky ani ČNB aplikace po telefonu neposílají.
• Chce váš PIN, přihlašovací údaje nebo potvrzení ve Smart klíči. ČNB uvádí, že její zaměstnanci o PIN ani přihlašovací údaje nikdy nežádají.
• Volá ČNB nebo NBS. Centrální banky nevedou účty lidem. ČNB píše, že její zaměstnanci nikoho nekontaktují kvůli údajnému zneužití peněz.
• Spěch. „Musíme to vyřešit hned, jinak přijdete o peníze.“ Policie ČR upozorňuje, že skutečná banka na vás časem netlačí.

Už se to stalo? Co dělat hned

Postupujte v tomto pořadí:

1. Ukončete hovor a nepřijímejte další hovory od „bankéřů“ ani „policistů“.
2. Zavolejte bance na číslo z karty nebo z jejího webu. Nechte kartu zablokovat a řekněte, co se stalo: přiložená karta, zadaný PIN, nainstalovaná aplikace, zadané přihlášení. ČNB i Policie ČR radí kontaktovat banku co nejdřív a upozornit ji na možné zneužití účtu.
3. Zadali jste přihlašovací údaje nebo potvrdili operaci? Nechte zablokovat i přístup do internetového bankovnictví a zeptejte se, jestli jde odchozí převody ještě zastavit.
4. Odpojte telefon od internetu (Wi-Fi i mobilní data) a podvodné aplikace odinstalujte. Policie ČR upozorňuje, že podvodníci někdy používají i aplikace pro vzdálené ovládání, které umí skrýt aplikace a potlačit upozornění banky. Do bankovnictví se z tohoto telefonu nepřihlašujte, dokud ho nezkontroluje odborník nebo dokud ho neuvedete do továrního nastavení. Hesla měňte z jiného zařízení.
5. Oznamte to policii na lince 158 (v Česku i na Slovensku) nebo na služebně. Vezměte si výpis plateb, číslo, ze kterého volali, čas hovorů, název aplikace a odkaz, ze kterého jste ji stáhli.

Pokud jste kromě karty zadali údaje i na podvodné stránce, pokračujte návodem Zadal jsem údaje na podvodné stránce.

Jak se chránit

• Aplikace instalujte jen z Google Play nebo App Store a nikdy podle pokynů z hovoru (ČNB, ESET). Instalaci z neznámých zdrojů mějte v Androidu vypnutou.
• PIN patří jen do bankomatu a platebního terminálu. Do žádné aplikace ho nezadávejte.
• NFC vypínejte, když ho nepotřebujete (radí ESET). Samotné NFC ani placení telefonem nebezpečné nejsou – Policie ČR to výslovně zdůrazňuje –, ale vypnuté NFC je pojistka navíc.
• Zjistěte, jestli vaše banka umí ověřit volajícího v aplikaci. Které banky to nabízejí, najdete v návodu Volal mi falešný bankéř.
• Mluvte o tom s blízkými, hlavně se seniory a s lidmi, kteří s moderní technikou tolik nepracují. Policie ČR to doporučuje výslovně.

Kam to nahlásit

• Banka: hned, kvůli blokaci karty a bankovnictví.
• Policie: linka 158 v Česku i na Slovensku.
• Podvodný web nebo aplikaci: v Česku přes formulář CSIRT.CZ, na Slovensku přes formulář SK-CERT.

Podvod s přiložením karty se často pojí s jinými legendami – podle ESET začínala první vlna v roce 2023 falešnou SMS o přeplatku na dani, jindy navazuje na podvodnou investici.