Fałszywa aplikacja Bank Pekao: przyłóż kartę do telefonu

CSIRT KNF, zespół reagowania na incydenty bezpieczeństwa komputerowego polskiego sektora finansowego, ostrzegł 12 października 2026 r. przed fałszywą aplikacją na Androida podszywającą się pod Bank Pekao. Program każe klientowi przyłożyć kartę płatniczą do telefonu i może umożliwić oszustom jej zdalne wykorzystanie. Nie instaluj aplikacji Pekao z linku w wiadomości i nie przykładaj karty na jej polecenie. Jeśli już to zrobiłeś, skontaktuj się z bankiem przez numer na karcie lub na jego oficjalnej stronie.

Jak wygląda fałszywa aplikacja Pekao

CSIRT KNF wskazał SMS-y, e-maile, komunikatory oraz strony podszywające się pod bank jako drogi rozpowszechniania aplikacji. Nie pochodzi ona z Google Play.

Przykład, nie cytat z aplikacji: „Aby zweryfikować kartę Pekao, przyłóż ją do telefonu”. Taki opis oddaje zachowanie wskazane w ostrzeżeniu, a nie ustalone, dosłowne brzmienie ekranu.

Według relacji Interii z demonstracji CSIRT KNF fałszywa aplikacja może również poprosić o PIN. Rzecznik Pekao przekazał redakcji, że wykrytą aplikację zgłoszono i zablokowano. To nie dowodzi, że każdy kolejny link będzie bezpieczny.

Co zdradza tę kampanię

• Nazwa Pekao na aplikacji pobranej z linku: instalator pochodzi z wiadomości lub podstawionej strony, nie z Google Play.
• Karta przy telefonie: program żąda fizycznego zbliżenia karty do urządzenia z Androidem.
• Żądanie PIN-u: w opisywanej demonstracji po przyłożeniu karty pojawia się kolejna prośba o poufny kod.
• Pozorna weryfikacja: czynności dotyczące karty odbywają się w niezweryfikowanej aplikacji podszywającej się pod bank.

Co zrobić po wiadomości, instalacji lub przyłożeniu karty

Dostałeś tylko wiadomość lub link. Nie pobieraj aplikacji, nie otwieraj podstawionej strony ponownie. Podejrzaną stronę albo wiadomość zgłoś przez incydent.cert.pl; SMS z linkiem możesz przekazać do CERT Polska na 8080.

Kliknąłeś lub zainstalowałeś aplikację. Jeśli tylko otworzyłeś stronę, nie podawaj danych ani nie pobieraj pliku. Jeśli aplikacja jest już na telefonie, przestań z niej korzystać i skontaktuj się z Bankiem Pekao przez numer na karcie albo na oficjalnej stronie banku.

Przyłożyłeś kartę lub podałeś PIN. Pilnie skontaktuj się z Pekao i zastrzeż kartę. Jeśli z konta zniknęły pieniądze, zgłoś stratę Policji. Nie wpisuj PIN-u w tej aplikacji.

Dlaczego przyłożenie karty jest niebezpieczne

W ataku NFC Relay komunikacja między kartą a telefonem może zostać przekazana do urządzenia oszusta, co otwiera drogę do nieautoryzowanego użycia karty. Podobny mechanizm opisuje artykuł o WindRelay i kradzieży przez NFC, a ryzyko instalowania takich programów wyjaśnia materiał o fałszywych aplikacjach APK.

Wiadomość zawierająca link do podstawionej aplikacji jest także formą smishingu, czyli oszustwa SMS, jeśli przynęta dociera SMS-em. W tej kampanii szczególnie istotne jest polecenie użycia fizycznej karty w obcej aplikacji.