Tváří se jako vaše bankovní aplikace: Android malware Hirudo smaže tu pravou a krade PIN. Útočníci vidí i SMS a kameru

Získejte zdarma naše články jako první

Sledujte nás v Google Zprávách

Preferujte nás ve vyhledávání

Stáhnete si aplikaci na krátké seriály nebo na nakupování, ta normálně funguje a po chvíli vám nabídne aktualizaci. Za ní se skrývá Hirudo, nový škodlivý program neboli malware pro Android. Dokáže vaši skutečnou bankovní aplikaci smazat a nahradit ji věrnou kopií. Ukážeme, jak trik funguje, koho se zatím týká a podle čeho ho včas poznáte.

Pravou aplikaci smaže a podstrčí dvojníka

Když Hirudo v telefonu najde bankovnictví, pro které mají útočníci připravenou kopii, vypadá celá výměna jako běžná aktualizace. Na displeji vyskočí výzva k „aktualizaci“ a hned po ní systémové okno s dotazem na odinstalování bankovní aplikace. Malware si mezitím na pozadí stahuje upravenou kopii a po smazání originálu spustí její instalaci.

Na první pohled kopii od originálu nerozeznáte, protože většina jejího kódu pochází přímo od banky. Útočníci do ní přidali skrytý modul, který vypne její vlastní bezpečnostní kontroly, a pak vidí všechno, co v aplikaci děláte. Aplikace přitom nepozná, že telefon někdo ovládá na dálku, ani to, že je sama podvržená.

Běžné bankovní viry loví heslo falešnou přihlašovací obrazovkou a původní aplikaci banky nechávají na místě. Výměnu celé aplikace popsala nizozemská firma ThreatFabric, která se specializuje na bezpečnost mobilů. Svou zprávu zveřejnila 14. října 2026.

Česko na seznamu zatím chybí

Mezi cíli, které výzkumníci v kódu malwaru našli, české banky nejsou. Figurují tam finanční instituce z Indonésie, Thajska, Mexika, Maroka, Indie a Číny. Hotové kopie bankovních aplikací mají útočníci zatím jen pro Indonésii. Jde o osm aplikací od sedmi tamních bank.

Odebírejte náš 🚨 Spotřebitelský radar

Exkluzivní obsah, slevy, soutěže, testy a výhodné nabídky. Vybráno naší redakcí, každý den na váš e-mail. Pro první odběratele zdarma, využijte toho!

Odebírat

Posíláme jen to, co stojí za to. Řídíme se zásadami ochrany soukromí.

Díky, že čtete arecenze.cz

Jsme tým nadšenců, kteří tvoří obsah o všem, co má přímý dopad na peněženku nebo praktický život běžného Čecha — co koupit, jak ušetřit, čemu se vyhnout a kolik zaplatíte.

Klikněte a odebírejte naše články z boxíku na domovské stránce Seznam.cz

Podle výzkumníků se ale Hirudo dá snadno namířit i na banky v dalších zemích. Falešné aplikace navíc nejsou pro Čechy nic nového. Už jsme psali třeba o aplikaci, která zkopíruje platební kartu přiloženou k mobilu. Česká národní banka v říjnu 2025 varovala před trikem, na který upozornila bezpečnostní firma ESET. Lidem volá údajný pracovník ČNB, straší je ztrátou peněz a navádí je, aby si do telefonu stáhli falešnou aplikaci centrální banky.

Co všechno útočník z telefonu vytáhne

V napadeném telefonu mají útočníci k dispozici:

• SMS zprávy včetně těch, které posílá banka,
• hesla do bankovnictví a PIN k potvrzování plateb,
• přístup k přední i zadní kameře,
• přímý přenos obrazovky a ovládání telefonu na dálku,
• kód nebo gesto, kterým odemykáte telefon.

Kolik lidí už útočníkům naletělo, zatím nikdo neví. Výzkumníci ale na nezabezpečeném serveru útočníků napočítali tisíce ukradených přihlašovacích údajů.

Platební PIN umí Hirudo vylákat i mimo bankovní aplikaci. Kdo si v podvodné nákupní aplikaci něco objedná, dostane falešnou platební stránku. Když na ní zadá PIN, útočníci ho získají a aplikace mu naoko ohlásí, že platba proběhla.

Nákaza začíná u aplikace, která opravdu funguje

Přímo se Hirudo do telefonu nedostane. Cestu mu otevře návnada, tedy aplikace s videi pro dospělé, s krátkými seriály nebo s nabídkou zboží. Mezi návnadami jsou například aplikace ZoyaTV, Shopora, KoiShort a 1V1 X.

Foto: VesnaArt / Shutterstock

Hirudo se do telefonu dostane přes aplikace na seriály, videa nebo nákupy, které na první pohled fungují bez problémů.

Ke stažení návnady se lidé podle všeho dostanou přes placenou reklamu na sociálních sítích, které patří firmě Meta. Odkaz z ní vede na web, který vzhledem kopíruje Obchod Google Play. Teprve uvnitř návnady vyskočí falešná „aktualizace“, která do telefonu přidá samotný malware jako druhou aplikaci. Malware si pak řekne o oprávnění k funkcím usnadnění přístupu, přes které umí telefon ovládat místo vás.

Jak se bránit

Výměnu bankovní aplikace můžete včas poznat a zastavit. Malware musí pravou bankovní aplikaci nejdřív smazat, takže vám na displeji vždy vyskočí systémový dotaz, jestli ji chcete odinstalovat. Pokud jste o nic takového nežádali, malware už v telefonu nejspíš je. Dotaz odmítněte stejně jako instalaci, která po něm přijde. Pomohou tyto zásady:

• Aplikace stahujte jen z Google Play a vyhýbejte se odkazům z reklam a webům, které obchod jen napodobují.
• Bankovnictví aktualizujte jen přes Google Play. Když vám „aktualizaci“ nabízí jiná aplikace nebo po vás chce smazat bankovní aplikaci, telefon hned zkontrolujte podle návodu níže.
• Oprávnění k usnadnění přístupu nedávejte aplikacím na videa, nákupy ani hry.
• Nechte zapnutou ochranu Google Play Protect. Běží automaticky a hlídá i aplikace stažené mimo Google Play. Ověříte ji v Obchodě Play po klepnutí na ikonu profilu a volbě Play Protect.

Pokud tušíte, že vám v telefonu běží něco cizího, hned volejte bance na oficiální číslo, ať vám zablokuje bankovnictví i karty.

Jak telefon zkontrolovat

Jestli už telefon neovládá cizí aplikace, ověříte v nastavení:

1. Otevřete Nastavení › Usnadnění › Instalované aplikace. Názvy se na některých telefonech liší.
2. U každé aplikace v seznamu uvidíte, jestli má přístup povolený. Podezřelá je každá aplikace, o které nevíte, kde se v telefonu vzala, a také každá aplikace na videa nebo nákupy. U takové aplikace přístup vypněte a potom ji smažte přes Nastavení › Aplikace.
3. Když aplikace smazat nejde, restartujte telefon do nouzového režimu a zkuste to v něm. Stažené aplikace jsou v tomto režimu vypnuté, takže vám malware smazání nepřekazí. Režim na mnoha telefonech spustíte tak, že v nabídce vypnutí podržíte tlačítko Vypnout. Jinak postup najdete na stránkách výrobce telefonu.
4. Pokud jste kvůli „aktualizaci“ potvrdili smazání bankovní aplikace, smažte i tu současnou a stáhněte ji znovu z Google Play.

Nakonec věc nahlaste policii a z vyčištěného telefonu si změňte heslo i PIN do bankovnictví.

Zdroje: Autorský text, https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps, https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html, https://www.securityweek.com/novel-android-banking-rat-hirudo-replaces-banking-apps-with-trojanized-copies/, https://support.google.com/googleplay/answer/2812853?hl=cs, https://mobilmania.zive.cz/clanky/spyware-pro-android-se-muze-branit-heslem-proti-odinstalaci-v-tom-pripade-se-hodi-vedet-jak-zapnout-bezpecny-rezim/sc-3-a-1362366/default.aspx, https://support.google.com/android/answer/7665064?hl=cs, https://www.cnb.cz/cs/cnb-news/aktuality/Podvodnici-nasli-novy-trik.-Snbsppomoci-falesne-aplikace-umi-zneuzit-platebni-kartu/, https://www.kyberturvallisuuskeskus.fi/en/news/national-cyber-security-centre-finlands-weekly-review-182024, https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/

Získejte zdarma naše články jako první

Sledujte nás v Google Zprávách

Preferujte nás ve vyhledávání