NFC Ghost Tap: podvod s bezkontaktními platbami vzrostl v roce 2025 35x

Přiložíte kartu, vezmete si kávu a odejdete. Bezkontaktní platby jsou rychlé, pohodlné a dnes také oblíbeným cílem kyberzločinců. Technika zvaná Ghost Tap zaznamenala od začátku roku 2025 35násobný nárůst a mění ukradená data karet v nevystopovatelné nákupy po celém světě.

Co je útok Ghost Tap?

Ghost Tap je NFC relay útok. Místo fyzického klonování karty útočníci zachytí NFC data vaší karty a v reálném čase je přepošlou na vzdálené zařízení, které za vás nakupuje. Postup vypadá takto:

1. Krádež dat karty — Prostřednictvím phishingu, malwarových překryvů bankovních aplikací nebo sociálního inženýrství útočníci získají číslo vaší karty a jednorázový kód (OTP)
2. Propojení s mobilní peněženkou — Ukradená data se nahrají do Apple Pay nebo Google Wallet v telefonu, který ovládá útočník
3. Přeposlání přes NFC proxy — Software jako NFCGate (původně výzkumný nástroj) přeposílá NFC signál síti „mul“ (bílých koní)
4. Přiložit a nakoupit — Muly chodí do obchodů po celém světě a provádějí bezkontaktní nákupy pod limitem transakce, takže se vyhnou zadávání PINu

Celý proces proběhne během několika sekund. Vaše karta nikdy neopustí vaši kapsu, a přesto s ní někdo v jiné zemi nakupuje elektroniku.

Proč je Ghost Tap těžké odhalit

Tradiční detekce podvodů hledá podezřelé vzorce — neobvyklá místa, vysoké částky, rychle po sobě jdoucí transakce. Ghost Tap tyto kontroly obchází:

Metoda detekce	Proč ji Ghost Tap obejde
Kontrola polohy	Nákupy probíhají na skutečných POS terminálech v běžných obchodech
Limity částek	Každá transakce zůstává pod bezkontaktním limitem (obvykle 50–100 $)
Příznak přítomnosti karty	NFC signál vypadá stejně jako legitimní přiložení
Kontrola četnosti	Muly rozkládají nákupy mezi různé obchodníky a města
Otisk zařízení	Každá mula používá jiný telefon

Banky vidí něco, co vypadá jako běžný nákup v obchodě. Transakce má platný NFC handshake, skutečný terminál obchodníka a malou částku. Nic nespustí upozornění, dokud si držitel karty nevšimne plateb, které neprovedl.

35násobný nárůst: co se změnilo

Explozi útoků Ghost Tap v roce 2025 způsobilo několik faktorů:

Open-source NFC nástroje

NFCGate, vyvinutý jako akademický nástroj pro výzkum NFC, se stal široce dostupným. Přestože vznikl pro legitimní bezpečnostní výzkum, jeho schopnosti přeposílat NFC jsou dnes popsány v podvodnických návodech na Telegramu a fórech dark webu.

Rozšíření mobilních peněženek

S tím, jak stále více bank umožnilo bezkontaktní platby přes Apple Pay a Google Wallet, rostla i plocha pro útok. Propojit ukradenou kartu s mobilní peněženkou je triviálně snadné, jakmile máte číslo karty a jednorázový ověřovací kód.

Organizované sítě mul

Zločinecké sítě verbují muly přes sociální sítě a nabízejí jim podíl z každého podvodného nákupu. Jediná ukradená karta může současně pohánět desítky drobných nákupů v několika zemích.

Obtížné stíhání

Protože člověk, který v obchodě přikládá telefon, může být tisíce kilometrů od toho, kdo data karty ukradl, vyšetřování orgánů činných v trestním řízení zasahuje do více jurisdikcí.

Kdo je nejvíce ohrožen?

• Kdokoli s bezkontaktní kartou — Standard u většiny karet vydaných od roku 2020
• Uživatelé mobilních peněženek — Zejména ti, kteří nemají zapnuté biometrické ověření u každé transakce
• Lidé, kteří reagují na phishing — Vstupním bodem bývá falešná SMS nebo e-mail žádající o ověření karty
• Cestovatelé — Na neznámých místech transakcí je těžší všimnout si podvodných plateb

Jak se chránit

Okamžité kroky

1. Zapněte oznámení o transakcích — Upozornění v reálném čase na každou platbu kartou jsou vaší první linií obrany
2. Nastavte nízké bezkontaktní limity — Mnoho bank umožňuje nastavit vlastní limity pro bezkontaktní platby v aplikaci
3. Používejte biometrické ověření — Zapněte Face ID nebo otisk prstu pro každou transakci mobilní peněženkou
4. Nikdy nesdílejte OTP — Žádná banka vám nezavolá ani nenapíše s žádostí o jednorázové heslo
5. Kontrolujte výpisy každý týden — Drobné podvodné platby (10–30 $) jsou navrženy tak, aby je člověk přehlédl

Pokročilá ochrana

• Používejte virtuální čísla karet — Služby generující jednorázová čísla karet omezují škody, pokud jsou data ukradena
• Vypněte NFC, když ho nepoužíváte — Na Androidu lze NFC vypnout v rychlém nastavení
• Vyžadujte PIN u všech transakcí — Některé banky umožňují bezkontaktní transakce bez PINu úplně zrušit
• Zmrazte nepoužívané karty — Většina bankovních aplikací umožňuje okamžitě zmrazit kartu, kterou aktivně nepoužíváte

Chraňte své citlivé údaje online

Ghost Tap začíná ukradenými daty — čísly karet, OTP kódy, osobními údaji. Každá citlivá informace, kterou sdílíte online, je potenciálním vstupním bodem. Při sdílení hesel, finančních údajů nebo soukromých odkazů používejte šifrované kanály místo prostého textu ve zprávách.

LOCK.PUB vám umožňuje sdílet citlivé informace prostřednictvím odkazů chráněných heslem, kterým lze také nastavit platnost (Pro). Místo posílání údajů o kartě nebo bezpečnostních kódů přes Messenger či iMessage, kde zůstávají v historii chatu neomezeně dlouho, vytvořte chráněný odkaz a s Pro nastavte, aby po otevření příjemcem přestal fungovat.

Co dělat, pokud jste se stali obětí

1. Okamžitě zmrazte kartu v bankovní aplikaci
2. Zavolejte na oddělení podvodů své banky — Většina bank neautorizované bezkontaktní transakce proplácí
3. Podejte trestní oznámení na policii — Mnoho bank ho u reklamací podvodů vyžaduje
4. Zkontrolujte všechny propojené peněženky — Ověřte, na kterých zařízeních je vaše karta zaregistrovaná v Apple Pay, Google Pay nebo Samsung Pay
5. Změňte heslo k bankovní aplikaci — Pokud útočník získal váš OTP, mohly být kompromitovány i přihlašovací údaje k aplikaci

Širší souvislosti

Ghost Tap je příznakem zásadního napětí v platebnictví: pohodlí versus bezpečnost. Bezkontaktní transakce byly navrženy tak, aby proběhly bez jakéhokoli tření. A právě tuto absenci tření útočníci zneužívají.

Banky a platební sítě pracují na lepší detekci — analyzují časové anomálie NFC, ověřování zařízení (device attestation) a behaviorální biometriku. Nasazení těchto obran na miliony POS terminálů po celém světě však potrvá.

Do té doby je vaší nejlepší obranou informovanost. Vězte, že Ghost Tap existuje, zapněte si oznámení a každou žádost o OTP z neznámého zdroje berte jako varovný signál.

Bezpečnost vašich finančních informací sahá dál než jen k vašim kartám. Každé heslo, každý přihlašovací údaj, každý kousek osobních dat, který sdílíte, je součástí vaší zranitelné plochy. Nástroje jako LOCK.PUB pomáhají tuto plochu zmenšit tím, že citlivá data nezůstávají v nechráněných kanálech.

Buďte ostražití. Přiložení karty může být pohodlné, ale vždy by mělo být vaše.