Google musel z obchodu odstranit populární aplikaci. Kdo si ji stáhl, mohl přijít o přístup ke svému bankovnímu účtu

8. října 2026 zveřejnil bezpečnostní tým Zscaler ThreatLabz na síti X varování: v oficiálním obchodě Google Play se ukrývá aplikace vydávající se za běžnou čtečku PDF souborů, která ve skutečnosti instaluje bankovní malware. Stránka aplikace s technickým identifikátorem com.railforge.footplate.documentreader_pdfviewer dnes vrací chybu 404, listing byl odstraněn. Jenže smazání z obchodu neznamená smazání z telefonu. A hlavně neznamená, že škodlivý kód, který si aplikace mezitím stáhla, zmizel spolu s ní.

Jak PDF čtečka kradla bankovní přihlášení

Samotná aplikace PDF Reader fungovala zpočátku normálně. Otevírala dokumenty, nevykazovala podezřelé chování a prošla automatickou kontrolou Google Play. Právě v tom spočívá osvědčený trik operátorů Anatsy: nejdřív legitimní funkce, pak škodlivá aktualizace.

Po dosažení dostatečného počtu instalací (v tomto případě přes 10 tisíc) aplikace stáhla z řídicího serveru další stupeň malwaru. Ten si vyžádal oprávnění služby Dostupnost (Accessibility), což je klíčový moment celého útoku. S tímto oprávněním Anatsa dokáže číst obsah obrazovky, simulovat dotyky a překrývat jiné aplikace falešnými okny.

Postup útoku pak vypadá takto:

• Malware zjistí, které bankovní aplikace jsou v telefonu nainstalované.
• Z řídicího serveru si stáhne falešnou přihlašovací obrazovku přesně odpovídající konkrétní bance.
• Když uživatel otevře bankovní aplikaci, zobrazí se mu překryvné okno, které vypadá identicky jako skutečné přihlášení.
• Zadané údaje (jméno, heslo, případně PIN) odešle útočníkům.

Vedle toho Anatsa disponuje keyloggerem, přístupem k SMS zprávám a schopností provádět takzvaný podvod převzetím zařízení. To znamená, že útočníci mohou iniciovat transakce přímo z napadeného telefonu. Pro banku pak vypadá převod jako legitimní operace provedená z ověřeného zařízení klienta.

Proč odinstalace nestačí

Zásadní problém, který se v běžných zprávách o škodlivých aplikacích ztrácí: PDF Reader byl jen obal. Dropper. Vstupní brána. Skutečný malware se do telefonu dostal jako samostatný balíček maskovaný třeba jako systémová aktualizace.

Když uživatel smaže původní PDF čtečku, druhý stupeň, ten, který skutečně krade data, může v zařízení klidně zůstat. Podle technické analýzy Zscaleru novější varianty Anatsy používají šifrování za běhu, anti-emulační kontroly a poškozené archivní struktury, které ztěžují detekci i bezpečnostním nástrojům.

Pokud jste měli PDF Reader nainstalovaný a současně používáte mobilní bankovnictví, doporučujeme postupovat podle tohoto pořadí:

• Odpojte telefon od internetu.
• Z jiného zařízení změňte heslo k bankovnímu účtu a dalším službám, kde jste používali stejné přihlašovací údaje.
• Kontaktujte svou banku.
• Na telefonu zkontrolujte seznam aplikací s oprávněním Dostupnost, cokoli neznámého odeberte.
• Spusťte Google Play Protect a projděte výsledky skenování.
• Pokud přetrvávají podezřelé příznaky (překryvná okna, samovolná odhlášení, neznámé transakce), přistupte k továrnímu resetu.

Před resetem nezapomeňte ověřit přístup ke svému Google účtu a spustit zálohu. Reset smaže veškerá data.

Nejde o výjimku, ale o systém

Anatsa není nováček. Poprvé se objevila kolem roku 2020 a od té doby se pravidelně vrací v nových obálkách. Dřívější kampaně cílily na 650 a později přes 830 finančních a kryptoměnových aplikací po celém světě. ThreatFabric na přelomu let 2023 a 2024 potvrdil rozšíření i do Česka, Slovenska a Slovinska.

U říjnové vlny 2026 nebyl zveřejněn seznam cílených bank ani zemí. České uživatele ale nelze vyloučit, historický vzorec ukazuje, že operátoři Anatsy průběžně rozšiřují geografický záběr.

A nejde jen o Anatsu. Zscaler v listopadu 2025 napočítal 239 škodlivých aplikací přímo v Google Play s celkovým součtem 42 milionů instalací. O rok dříve to bylo přes 200 aplikací a 8 milionů stažení. Kategorie „Nástroje“, tedy přesně ta, kam patří PDF čtečky, správci souborů a QR skenery, tvoří podle Zscaleru téměř 40 % nejčastěji zneužívaných typů aplikací. Generická utilita s neutrálním názvem není náhoda. Je to návnada, která funguje.

Jak rozpoznat vzorec dřív, než bude pozdě

Důležitější než zapamatovat si název „PDF Reader“ je rozpoznat opakující se schéma. Vypadá pokaždé podobně: nenápadná aplikace z kategorie nástrojů, tisíce instalací budujících důvěryhodnost, pak aktualizace nebo dynamicky stažený kód, požadavek na oprávnění Dostupnost a nakonec útok na bankovní aplikace.

Varovné signály, které by měly spustit alarm:

• Nově nainstalovaná utilita žádá oprávnění Dostupnost nebo přístup k SMS.
• Při otevření bankovní aplikace se přihlašovací obrazovka chová nezvykle, bliká, načítá se pomaleji nebo vypadá mírně jinak.
• Play Protect zobrazuje upozornění na potenciálně škodlivou aplikaci.
• V nastavení telefonu najdete službu s oprávněním Dostupnost, kterou jste sami nepovolili.

Český uživatel může podezření na napadení nahlásit prostřednictvím portálu NÚKIB nebo na adresu [email protected]. Prvním krokem při podezření na kompromitaci bankovního účtu ale vždy zůstává kontakt s vlastní bankou.

Řídicí servery použité v říjnové kampani sdílejí IP adresy s dřívějšími vlnami Anatsy. Nejde o jednorázový incident jedné podvodné aplikace, je to infrastruktura, která se opakovaně nasazuje v nových převlecích a čeká na další tisíce stažení.