Fałszywa aplikacja bankowa 2026: atak NFC Relay podszywa się pod Pekao - jak nie stracić oszczędności

CSIRT KNF, czyli Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego polskiego sektora finansowego, ostrzegł 12 października 2026 r. przed fałszywą aplikacją podszywającą się pod Bank Pekao, która wykorzystuje technikę NFC Relay (zdalne przekazywanie komunikacji między kartą a terminalem). Aplikacja po instalacji prosi o przyłożenie karty płatniczej do telefonu i podanie kodu PIN - to wystarczy, by przestępcy sklonowali kartę i wypłacili gotówkę z bankomatu.

To nie jest kolejny banalny SMS z linkiem do "dopłaty za paczkę". Mamy do czynienia z jednym z technicznie najgroźniejszych scenariuszy, bo ofiara sama, własnymi rękami, przekazuje przestępcom pełną kontrolę nad kartą - i robi to przekonana, że instaluje aktualizację swojego banku.

Jak działa atak NFC Relay - dlaczego przyłożysz kartę i tracisz pieniądze?

Atak NFC Relay polega na przechwyceniu i przekazaniu w czasie rzeczywistym komunikacji NFC (Near Field Communication - zbliżeniowej) między Twoją kartą a urządzeniem przestępcy. Fałszywa aplikacja czyta dane EMV z karty (standard chipowych kart płatniczych) w momencie, gdy przykładasz ją do telefonu, a następnie przesyła je na drugie urządzenie z Androidem, którym posługuje się oszust przy bankomacie.

Scenariusz zaczyna się klasycznie - od wiadomości e-mail, SMS albo komunikatu w komunikatorze o rzekomym problemie technicznym lub incydencie bezpieczeństwa. Link prowadzi do instalacji aplikacji spoza Google Play, bo złośliwe oprogramowanie nigdy nie przechodzi weryfikacji sklepu. Po uruchomieniu aplikacja wyłudza identyfikator klienta banku, datę urodzenia i PIN, a na końcu prosi o przyłożenie karty do tyłu telefonu. W tym momencie karta jest już w rękach przestępcy - tyle że wirtualnie.

Kamil Sadkowski, analityk laboratorium antywirusowego ESET, opisał mechanizm dalszego ataku: przestępca dzwoni do ofiary podszywając się pod pracownika banku, a mając przechwycone dane karty i PIN jest w stanie wypłacać gotówkę z bankomatów oraz dowolnie zmieniać limity wypłat na koncie (ESET Polska, 2026). Pierwowzorem tej techniki była aplikacja NGate, ujawniona przez ESET w 2024 r., która masowo atakowała klientów banków w Czechach, w Polsce, na Węgrzech i w Gruzji.

"Pobranie i instalacja fałszywej aplikacji rozpoczyna ciąg zdarzeń. Gdy ofiara wprowadzi w złośliwej aplikacji bankowej swoje dane uwierzytelniające, atakujący może uzyskać dostęp do jej konta." - Kamil Sadkowski, analityk laboratorium antywirusowego ESET (ESET Polska, 24 lutego 2025)

Ile Polacy tracą na oszustwach - jaka jest skala zjawiska wg NBP?

Wartość oszustw przy użyciu poleceń przelewu sięgnęła 245,9 mln zł w I kw. 2026 r., przy 39,2 tys. takich operacji - to wzrost wartości o 56% i liczby o 18% w stosunku do poprzedniego kwartału (dane NBP). Dla porównania, oszustwa kartami płatniczymi to 84,7 tys. operacji o wartości 21,0 mln zł, a tu akurat wartość spadła o 14,1% kw/kw.

Średnia pojedyncza transakcja oszukańcza wyniosła 2 154,4 zł. Te liczby pokazują pewien paradoks. Oszustwa stricte kartowe maleją, bo karty są coraz lepiej zabezpieczone - dlatego przestępcy kombinują, jak obejść zabezpieczenia inną drogą. NFC Relay jest właśnie taką drogą: formalnie to transakcja kartą, ale uruchomiona danymi wyłudzonymi przez aplikację. Według danych NBP łączna liczba transakcji oszukańczych instrumentami bezgotówkowymi wzrosła o 3,4%, ale ich wartość aż o 46,8% - rośnie więc średni "łup" z jednego ataku.

Skalę potwierdza ESET: oszustwa związane z technologią NFC wzrosły w I połowie 2025 r. (grudzień-maj) ponad 35-krotnie wobec drugiej połowy 2024 r. To nie jest margines. Dla kontekstu makro - polskie gospodarstwa domowe trzymają w bankach ponad bilion złotych depozytów, a ochrona Bankowego Funduszu Gwarancyjnego (BFG) sięga równowartości 100 tys. euro, czyli 431 280 zł na deponenta - ale gwarancja BFG dotyczy upadłości banku, a nie pieniędzy wyprowadzonych przez oszusta z Twojego konta.

Czy bank odda pieniądze, jeśli sam przyłożyłeś kartę i wpisałeś PIN?

Bank ma obowiązek zwrócić środki za nieautoryzowaną transakcję w trybie D+1 (do końca następnego dnia roboczego po zgłoszeniu), ale przy NFC Relay ten obowiązek nie jest tak oczywisty jak przy zwykłym phishingu. Kluczowa różnica: tu ofiara aktywnie wpisuje PIN i przykłada kartę, więc bank może powołać się na rażące niedbalstwo klienta i odmówić zwrotu.

I tu zaczyna się problem, którego media opisujące ten atak zwykle nie dotykają. Przy klasycznym wyłudzeniu danych do przelewu linia obrony klienta jest mocna - nie autoryzował przecież żadnej operacji. Przy NFC Relay klient własnoręcznie udostępnił PIN i kartę, a to budzi mój największy niepokój w całej tej historii, bo daje bankowi gotowy argument. Prawnicy banków będą podnosić, że ujawnienie PIN-u jest naruszeniem umowy ramowej i podstawą do odmowy zwrotu środków.

Po stronie klienta stoi jednak orzecznictwo. Trybunał Sprawiedliwości UE (TSUE) w 2026 r. zawęził pojęcie rażącego niedbalstwa - sam fakt, że ktoś dał się oszukać dobrze przygotowaną aplikacją podszywającą się pod bank, nie przesądza automatycznie o niedbalstwie klienta. Mechanizm zwrotu i granice odpowiedzialności rozłożyliśmy szczegółowo w analizie kradzieży z konta i zwrotu D+1. Warto to znać, bo statystyka jest nieubłagana: banki pokrywają dziś tylko 11% wartości strat z oszustw, resztę ponoszą klienci (dane NBP, I kw. 2026). Swój werdykt co do bezpiecznego rozłożenia środków sprawdzisz w Decyzjomacie Lokata-Konto.

Kalendarium ataków NFC - od NGate do fałszywego Pekao

Od ujawnienia NGate w 2024 r. do ostrzeżenia CSIRT KNF z października 2026 r. technika NFC Relay przeszła drogę od ciekawostki laboratoryjnej do realnego zagrożenia dla polskich kont. Poniższe kalendarium pokazuje, jak szybko metoda ewoluowała.

Treść ostrzeżenia nie pozostawia złudzeń. "Ostrzegamy przed złośliwą aplikacją podszywającą się pod Bank Pekao. Atak jest wymierzony w użytkowników urządzeń z Androidem i wykorzystuje metodę NFC Relay. Po uruchomieniu aplikacja prosi o przyłożenie karty płatniczej do telefonu" - podał CSIRT KNF w komunikacie z 12 października 2026 r. CERT Polska potwierdza, że w ostatnich miesiącach obserwuje nowe próbki mobilnego malware powiązanego z atakami NFC Relay na klientów polskich banków.

Co to oznacza dla Twoich oszczędności i jak się chronić?

Przy oszczędnościach rzędu 480 tys. zł rozłożonych na konto osobiste, lokaty i obligacje jeden udany atak NFC Relay niekoniecznie wyczyści całość - ale jeśli przestępca podniesie dzienny limit wypłat i transakcji, w kilka godzin potrafi wyprowadzić kilkanaście, a nawet kilkadziesiąt tysięcy złotych, zanim zablokujesz kartę. To właśnie zmiana limitów przez telefon jest tu najgroźniejsza, bo omija Twoje własne ustawienia ostrożnościowe.

Praktyczna obrona jest prostsza, niż się wydaje, i nie wymaga wiedzy technicznej. Po pierwsze - żaden bank nigdy nie prosi o przyłożenie karty do telefonu "w celu weryfikacji" ani o podanie pełnego PIN-u w aplikacji czy przez telefon. Po drugie - aplikacje bankowe instaluj wyłącznie z Google Play lub App Store, nigdy z linku z SMS-a. Po trzecie - ustaw niski dzienny limit wypłat z bankomatu i transakcji zbliżeniowych, a podniesienie go zablokuj dodatkowym potwierdzeniem.

"Dużą część ataków możemy zablokować przez własne odpowiedzialne zachowania, np. pobierając aplikacje wyłącznie z oficjalnych sklepów, weryfikując uprawnienia aplikacji, ignorując podejrzane linki oraz przykładając fizyczną kartę tylko w momentach, gdy jesteśmy absolutnie pewni jej zasadnego użycia" - Lukáš Štefanko, ekspert cyberbezpieczeństwa ESET, specjalista ds. zagrożeń malware (ESET Polska, 2025)

Konkretny krok, który radzę zrobić dziś: rozdziel pieniądze tak, by na koncie z kartą podpiętą do płatności codziennych leżała kwota operacyjna, a gros kapitału trzymaj na rachunku oszczędnościowym lub lokacie bez karty. Aktualne oferty porównasz w rankingu lokat i rankingu kont osobistych, a to, ile trzymać płynnie, a ile zamrozić, policzysz w Decyzjomacie Nadpłata. Jeśli korzystasz z płatności telefonem, pamiętaj, że cyfrowy portfel jest tu bezpieczniejszy od fizycznej karty - mechanizm sesji Elixir i przelewów natychmiastowych opisaliśmy w tekście ile idzie przelew między bankami.

Na osłabienie tego wektora ataku pracuje też ustawodawca - poselski projekt dotyczący ograniczania błędnych i oszukańczych przelewów (druk 3176) opisaliśmy w analizie BLIK na telefon a art. 396a. Jeśli nie korzystasz z bankowości na co dzień, rozważ podstawowy rachunek płatniczy z minimalnym limitem. Więcej analiz finwire.pl na temat bezpieczeństwa i finansów osobistych znajdziesz w hubie kategorii finanse.

Najgroźniejsze w tej fali oszustw nie jest to, że technika jest skomplikowana - jest. Groźne jest to, że działa na ludzkim odruchu zaufania do "aplikacji banku". Dopóki ten odruch będzie silniejszy od nawyku weryfikacji, kolejne 35-krotne wzrosty w statystykach ESET są kwestią czasu, nie przypadku.

Narzędzia do Twojej decyzji

• Decyzjomat Nadpłata - oszczędzać czy nadpłacać
• Ranking lokat
• Ranking kont oszczędnościowych
• Kalkulator procentu składanego
• Kalkulator inflacji