CSIRT KNF ostrzegł 12 października 2026 r. przed złośliwą aplikacją podszywającą się pod Bank Pekao. Program atakuje telefony z Androidem i wykorzystuje metodę NFC Relay. Prosi o przyłożenie karty płatniczej do telefonu, co może pozwolić przestępcom przechwycić komunikację NFC i ukraść pieniądze.
Jak działa fałszywa aplikacja NFC Relay
Fałszywa aplikacja bankowa po uruchomieniu wyświetla logo Banku Pekao i prosi o przyłożenie karty do telefonu. Na grafice CSIRT KNF widać polecenie, by zbliżyć kartę tylną stroną, chipem do góry. Aplikacja czeka następnie na odczyt karty.
Metoda NFC Relay polega na zdalnym przekazywaniu komunikacji NFC między telefonem ofiary a infrastrukturą przestępców. Dane odczytane z karty trafiają przez zainfekowany telefon do urządzenia atakującego. Według CSIRT KNF oszuści mogą ich użyć do zbliżeniowej wypłaty z bankomatu lub płatności w terminalu.
Ostrzeżenie z 12 października nie wspomina o kodzie PIN. W podobnych atakach z 2025 r. część aplikacji wyświetlała jednak okno imitujące klawiaturę do wpisania kodu PIN. Według CSIRT KNF przestępcy próbowali w ten sposób zdobyć kod potrzebny do wypłaty z bankomatu.
Jak rozpowszechniana jest złośliwa aplikacja
Aplikacji nie ma w sklepie Google Play. CSIRT KNF podaje, że może trafiać do ofiar przez fałszywe SMS-y i e-maile, komunikatory oraz strony podszywające się pod bank. Jej instalacja wymaga więc pobrania pliku spoza oficjalnego sklepu.
To nie pierwszy taki atak. W 2025 r. CSIRT KNF kilka razy ostrzegał przed aplikacjami NFC podszywającymi się pod PKO BP, Santander, ING i SGB Bank. Za każdym razem instalacja odbywała się z pominięciem Google Play. Więcej o podobnych schematach piszemy w tekście o oszustwach w bankowości mobilnej.
CSIRT KNF przypomina, by instalować aplikacje wyłącznie z zaufanych źródeł. Bank Pekao w komunikacie z 12 października radzi nie instalować aplikacji wskazanych przez nieznane osoby. Bank nie prosi też przez telefon o kody PIN ani pełne dane karty. Wcześniej Pekao ostrzegał przed oszustami udającymi pracowników banku.
Co zrobić po przyłożeniu karty lub podaniu PIN-u
Bank Pekao zaleca zastrzeżenie karty, gdy istnieje podejrzenie, że jej numer lub PIN poznały osoby nieuprawnione. Można to zrobić w aplikacji PeoPay lub serwisie Pekao24: w zakładce Produkty po wybraniu karty i opcji Zablokuj. Zastrzeżenie przyjmuje też infolinia 519 222 222 oraz oddziały banku.
Przy podejrzeniu oszustwa Pekao radzi też zablokować dostęp do bankowości elektronicznej. Służy do tego ścieżka Ustawienia → Bezpieczeństwo → Blokowanie kanałów dostępu w PeoPay lub Pekao24. Oszustwo należy zgłosić na infolinii banku. Zawiadomienie o przestępstwie trzeba złożyć na policji lub w prokuraturze i poinformować o nim bank.
Nieautoryzowane transakcje Pekao przyjmuje pod numerem 519 299 893, czynnym przez całą dobę, siedem dni w tygodniu. Bank zachęca również do zgłaszania prób oszustwa do CERT Polska. Ogólne zasady opisujemy w poradniku jak zgłosić nieautoryzowaną transakcję.
Kto odpowiada za nieautoryzowane transakcje
Ustawa o usługach płatniczych nakazuje niezwłocznie zgłaszać bankowi nieuprawnione użycie karty lub nieuprawniony dostęp do niej. Po takim zgłoszeniu klient nie odpowiada za nieautoryzowane transakcje, chyba że doprowadził do nich umyślnie.
Bank musi zwrócić kwotę nieautoryzowanej transakcji najpóźniej do końca dnia roboczego po jej stwierdzeniu lub zgłoszeniu. Wyjątkiem jest sytuacja, gdy ma udokumentowane podstawy do podejrzenia oszustwa i pisemnie zawiadomi organy ścigania.
Klient odpowiada w pełnej wysokości, jeśli doprowadził do transakcji umyślnie albo umyślnie lub przez rażące niedbalstwo naruszył obowiązki dotyczące karty. Ciężar udowodnienia tych okoliczności spoczywa na banku. Samo zarejestrowane użycie karty nie wystarcza jako dowód.
Źródła:
- CSIRT KNF – ostrzeżenie przed aplikacją podszywającą się pod Bank Pekao (12.10.2026)
- CSIRT KNF – Raport Roczny Cyberbezpieczeństwa 2025 (PDF)
- CSIRT KNF – Przegląd wybranych oszustw internetowych, marzec 2026
- Bank Pekao – zastrzeżenie karty
- Bank Pekao – zgłoś podejrzenie oszustwa
- Bank Pekao – komunikat bezpieczeństwa z 12.10.2026
- Ustawa o usługach płatniczych (t.j. Dz.U. 2026 poz. 623), art. 42, 45 i 46
