Karta zbliżeniowa i telefon z NFC rozmawiają ze sobą tą samą technologią, dzięki której płacimy, przykładając plastik do terminala w sklepie. Przestępcy nauczyli się to wykorzystywać. W ataku nazywanym NFC Relay złośliwa aplikacja zainstalowana na telefonie ofiary odczytuje dane karty przyłożonej do urządzenia i w czasie rzeczywistym przesyła je wspólnikowi, który korzysta z nich przy terminalu albo bankomacie, często w zupełnie innym miejscu. Ofiara nie oddaje karty z ręki, a mimo to jej dane trafiają do przestępcy.
12 października CSIRT KNF, czyli zespół reagowania na incydenty bezpieczeństwa działający przy Komisji Nadzoru Finansowego, ostrzegł przed nową odsłoną tego schematu. Fałszywa aplikacja na Androida podszywa się pod Bank Pekao i nakłania użytkownika do przyłożenia karty płatniczej do telefonu. Według zespołu wykorzystuje mechanizm NFC Relay i jest rozpowszechniana poza sklepem Google Play, m.in. przez wiadomości i fałszywe strony internetowe. Ostrzeżenie dotyczy podszywania się pod bank, a nie włamania do jego systemów: z komunikatu nie wynika, by zabezpieczenia samego Pekao zostały naruszone.
Jak działa oszustwo z przyłożeniem karty do telefonu?
Sam schemat nie jest nowy. CERT Polska opisywał go jesienią 2025 r. przy okazji złośliwego oprogramowania NGate, a CSIRT KNF w sierpniu 2025 r. ostrzegał przed fałszywą aplikacją podszywającą się pod PKO BP. W opisanych wtedy wariantach ofiara dostawała SMS lub e-mail o rzekomym problemie z kontem, czasem także telefon od osoby udającej pracownika banku. Link prowadził do pobrania aplikacji spoza oficjalnego sklepu. Aplikacja wyglądała jak bankowa i prowadziła użytkownika przez „weryfikację karty”: trzeba było przyłożyć kartę do tyłu telefonu i wpisać PIN. Dane odczytane z karty oraz PIN trafiały do przestępców, a wspólnik czekający przy bankomacie mógł niemal natychmiast wypłacić gotówkę za pomocą urządzenia emulującego kartę.
CSIRT KNF nie podał w ostrzeżeniu z 12 października wszystkich szczegółów nowej kampanii, w tym tego, czy aplikacja prosi także o PIN. Jedno jest jednak wspólne dla wszystkich wariantów: bank nie potrzebuje, żeby klient przykładał kartę do telefonu w ramach jakiejkolwiek „weryfikacji”. Prośba o to w aplikacji, która trafiła na telefon z linku w wiadomości, powinna być wystarczającym sygnałem alarmowym.
Jak odróżnić prawdziwą aplikację banku od fałszywej?
Najprostsza zasada brzmi: aplikację bankową instaluje się wyłącznie z oficjalnego sklepu, czyli Google Play lub App Store, albo z linku na oficjalnej stronie banku, wpisanej ręcznie w przeglądarkę. Fałszywe aplikacje w opisywanych kampaniach rozprowadzane są poza Google Play, co na Androidzie wymaga zgody na instalację z nieznanych źródeł. Jeśli telefon prosi o taką zgodę przy instalacji „aplikacji banku”, to już jest powód, żeby przerwać. Nie należy też klikać w linki z SMS-ów i e-maili, które straszą zablokowaniem konta czy koniecznością pilnej aktualizacji, ani wykonywać poleceń osoby, która dzwoni, przedstawiając się jako pracownik banku. Bezpieczniej rozłączyć się i samodzielnie zadzwonić na numer z karty albo ze strony banku.
Co zrobić, jeśli karta została już przyłożona do telefonu?
Liczy się czas, bo dane przechwycone w ataku NFC Relay są wykorzystywane od razu. Kartę trzeba natychmiast zastrzec, w aplikacji lub na infolinii banku. Można też skorzystać z całodobowego ogólnopolskiego numeru 828 828 828, który obsługuje karty wielu banków, w tym Pekao, choć nie wszystkich. Kolejny krok to odinstalowanie podejrzanej aplikacji, zmiana haseł do bankowości, kontakt z bankiem w sprawie ewentualnych transakcji i zgłoszenie sprawy na policję.
Ma to znaczenie także dla późniejszego sporu o pieniądze. Zgodnie z art. 46 ustawy o usługach płatniczych bank co do zasady musi zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca dnia roboczego następującego po jej zgłoszeniu, chyba że ma uzasadnione podejrzenie oszustwa ze strony klienta i zawiadomi o tym organy ścigania. Po zgłoszeniu utraty lub kradzieży karty klient nie odpowiada za kolejne nieautoryzowane transakcje, chyba że doprowadził do nich umyślnie. Przed zgłoszeniem jego odpowiedzialność jest co do zasady ograniczona do równowartości 50 euro, ale wzrasta do pełnej kwoty, jeśli działał umyślnie albo z rażącego niedbalstwa.
Właśnie o to toczą się najczęstsze spory w sprawach tego rodzaju. Banki argumentują, że klient, który sam przyłożył kartę i podał PIN, zachował się rażąco niedbale. Ustawa nie przesądza jednak sprawy na ich korzyść. Według art. 45 to dostawca usług płatniczych musi udowodnić, że transakcja była autoryzowana albo że klient umyślnie lub przez rażące niedbalstwo do niej doprowadził, a samo wykazanie, że kartą się posłużono, do tego nie wystarcza. To, czy w konkretnej sprawie klient zachował się rażąco niedbale, ocenia się indywidualnie, z uwzględnieniem okoliczności oszustwa. Odmowę zwrotu można zakwestionować reklamacją, a następnie zwrócić się do Rzecznika Finansowego lub do sądu.
W ocenie redakcji chf24.pl Ataki NFC Relay pokazują, że granica między bezpieczną i niebezpieczną czynnością przesuwa się szybciej niż nawyki klientów. Przyłożenie karty do terminala w sklepie jest codziennością, przyłożenie jej do własnego telefonu na prośbę „aplikacji banku” może kosztować oszczędności. Ostrzeżenia CSIRT KNF są potrzebne, ale trafiają głównie do osób, które śledzą komunikaty o cyberbezpieczeństwie. Najwięcej mogą zrobić same banki, powtarzając klientom jasno i w ich kanałach: nigdy nie prosimy o przykładanie karty do telefonu. |
Źródła: ostrzeżenie CSIRT KNF z 12 października 2026 r.; opis mechanizmu NGate opublikowany przez CERT Polska (za Malwarebytes, 6 listopada 2025 r.); ostrzeżenie CSIRT KNF dotyczące fałszywej aplikacji PKO BP (za Telepolis, 4 sierpnia 2025 r.); art. 45 i 46 ustawy z 19 sierpnia 2011 r. o usługach płatniczych; Rankomat o systemie zastrzegania kart 828 828 828 (aktualizacja z 21 września 2026 r.). Materiał ma charakter informacyjny i nie stanowi porady prawnej. Bank Pekao nie jest sprawcą opisanego oszustwa, a jedynie marką, pod którą podszywają się przestępcy. Stan na 12 października 2026 r. |
