Pozor na tento nový hovor, ktorý sa rozmáha: Útočníci sa vydávajú za banku a chcú sa dostať do tvojho počítača

Kyberzločinci neustále hľadajú nové spôsoby, ako sa dostať k peniazom svojich obetí. Jedna z aktuálnych kampaní stavia na kombinácii falošných stránok bánk, telefonických hovorov a legitímnych nástrojov na vzdialené ovládanie počítača. Útočníci sa vydávajú za pracovníkov bankovej podpory alebo bezpečnostného oddelenia a klientov presviedčajú, aby im umožnili prístup k svojmu zariadeniu.

Bezpečnostní výskumníci zo spoločnosti Lab 539 túto aktivitu sledujú najmenej od marca 2026. Do októbra spojili s kampaňou a jej podpornou infraštruktúrou najmenej 383 registrovaných domén. Podvodníci sa zamerali na bežných zákazníkov aj firmy a napodobňovali stránky bánk, ako sú Revolut, Barclays, Lloyds, HSBC či Santander. Nevyhli sa ani službám Wise a ďalším finančným inštitúciám.

Falošnú stránku banky dopĺňa „overenie hovoru“ aj číslo prípadu

Základom útoku je webová stránka, ktorá napodobňuje zákaznícku podporu konkrétnej banky. Odkaz na ňu dostane obeť počas telefonátu s človekom, ktorý sa predstaví ako bankový pracovník alebo člen tímu pre riešenie podvodov. Výskumníci zatiaľ nezistili, ako útočníci telefonický kontakt nadväzujú. Podarilo sa im však odhaliť, čo nasleduje po presmerovaní obete na falošný web. Stránka obsahuje tlačidlá s názvami ako „Overiť hovor“, „Živý chat“, „Vygenerovať číslo prípadu“ či „Nahlásiť podvod“. Ich úlohou je vytvoriť dojem, že zákazník prechádza skutočným bezpečnostným postupom banky.

Po kliknutí na niektorú z možností stránka vyžiada overovací kód, ktorý obeti nadiktuje človek na telefóne. Ak systém kód prijme, sprístupní jej súbor na stiahnutie. Útočník potom používateľa navedie, ako ho spustiť. Takýto postup môže pôsobiť presvedčivo najmä vtedy, keď obeť verí, že banka práve rieši podozrivú transakciu alebo sa ju snaží ochrániť pred krádežou peňazí.

Výskumníci pri sledovaných verziách stránky nezistili priame získavanie prihlasovacích údajov do internetbankingu. V testovacej verzii širšieho systému však našli aj polia na zadanie používateľského mena a hesla. Infraštruktúra teda podporovala aj túto formu krádeže údajov.

Súvisí s tým

Google pridá do tvojho Androidu novú ochranu pred podvodmi. Falošný bankár to bude mať ťažšie

AnyDesk a ScreenConnect dávajú útočníkom vzdialený prístup k počítaču

Jedna z možností na falošnej stránke ponúkala stiahnutie programu AnyDesk. Ten pochádzal priamo z oficiálnej infraštruktúry jeho výrobcu, takže samotný inštalačný súbor neobsahoval škodlivý kód. Problém spočíval v tom, na čo ho útočníci využili. Obeť v domnení, že komunikuje s bankou, nainštalovala legitímny nástroj na vzdialený prístup a povolila spojenie s človekom na druhej strane.

Ďalšie možnosti ukrývali oveľa nebezpečnejší postup. Voľba na overenie hovoru napríklad ponúkala súbor verify_call.exe, ktorý sa vydával za bezpečnostný program ShieldWall Defender od spoločnosti SilverPeak Software. Analýza odhalila, že obsahoval inštalátor nástroja ScreenConnect a kód určený na získanie vyšších systémových oprávnení.

Škodlivý súbor sa zároveň pokúšal vypnúť alebo oslabiť viaceré ochranné mechanizmy Microsoft Defendera a funkcie SmartScreen, ktorá upozorňuje na potenciálne nebezpečné súbory a webové stránky. Druhá cesta využívala archív FraudReport.zip. Ten obsahoval legitímnu súčasť Microsoft Defendera spolu so škodlivou knižnicou mpclient.dll. Takáto kombinácia umožňuje útočníkovi zneužiť dôveryhodný program na načítanie vlastného kódu. Archív navyše obsahoval zašifrovanú kópiu rovnakého inštalátora ScreenConnect a skutočný informačný dokument britskej organizácie Action Fraud, ktorý mal zrejme zvýšiť dôveryhodnosť celého balíka.

Výsledok oboch postupov bol rovnaký. Útočníci nainštalovali ScreenConnect s nastavením na vzdialený prístup bez potreby potvrdenia používateľom. To predstavuje zásadný rozdiel oproti jednorazovému spojeniu cez AnyDesk. Po nainštalovaní a nastavení služby ScreenConnect môže útočník pristupovať k počítaču aj po skončení telefonátu. Obeť tak nemusí vôbec tušiť, že jej zariadenie zostáva dostupné niekomu ďalšiemu.

Platný digitálny podpis mali aj škodlivé súbory

Výskumníci objavili aj ďalší znepokojujúci prvok. Dva škodlivé súbory niesli platné rozšírené digitálne podpisy, ktoré identifikovali vydavateľa ako Botania Games z Japonska. Podpisy pochádzali z certifikátov vydaných autoritami Sectigo a GlobalSign. Výskumníci ich platnosť kryptograficky overili a 9. októbra 2026 nahlásili oba certifikáty príslušným autoritám. Oba certifikáty následne zrušili. Platný podpis však sám osebe nepotvrdzuje bezpečnosť programu. V tomto prípade pomohol škodlivým súborom pôsobiť dôveryhodnejšie, hoci ich kód slúžil na inštaláciu nástroja na vzdialený prístup.

Výskumníci zároveň upozornili, že nemajú dôkazy o tom, či sa identifikovaná spoločnosť na podvodoch vedome podieľala, niekto jej odcudzil podpisové kľúče alebo útočníci inak zneužili jej identitu. Samotné uvedenie názvu firmy preto nie je dôkazom jej účasti na kampani.

Kampaň sa od jari postupne vyvíjala. Prvé verzie používali jednoduchšie stránky a spoločný overovací mechanizmus. Neskôr pribudli pokročilejšie spôsoby spracovania kódu, blokovanie opakovaných pokusov, šifrovaný obsah stránok a kontroly prehliadača. Zmenil sa aj spôsob distribúcie škodlivých súborov. Niektoré vzorky z mája využívali verejné služby na zdieľanie súborov, zatiaľ čo neskoršie verzie sťahovali obsah z infraštruktúry pod kontrolou útočníkov. Menili sa tiež domény, servery a DNS infraštruktúra. Bezpečnostní analytici preto sledujú nielen jednotlivé škodlivé súbory, ale aj prepojenia medzi doménami, servermi a ďalšími časťami kampane.

Zverejnená analýza obsahuje len časť historických domén a technických indikátorov. Kompletný zoznam aktuálnej infraštruktúry výskumníci nezverejnili, aby útočníkom neprezradili všetky metódy, ktoré bezpečnostné tímy využívajú na ich sledovanie.

Ak od teba údajná banka žiada AnyDesk, hovor radšej ukonči

Pri telefonáte, počas ktorého od teba niekto žiada inštaláciu programu alebo vzdialený prístup k počítaču, si najskôr over, s kým komunikuješ. Ani profesionálne pôsobiaca stránka s logom banky a číslom prípadu nepotvrdzuje, že na druhej strane je jej zamestnanec. Ak ti údajný pracovník banky odporučí nainštalovať AnyDesk, ScreenConnect alebo iný nástroj na vzdialené ovládanie, neudeľuj mu prístup len na základe telefonických pokynov. Kontaktuj banku prostredníctvom telefónneho čísla v jej oficiálnej aplikácii alebo na platobnej karte a over si, či skutočne rieši bezpečnostný problém.

Ak si už vzdialený prístup povolil, ukonči spojenie a z iného dôveryhodného zariadenia kontaktuj banku. Požiadaj ju o preverenie účtu a prípadné zablokovanie podozrivých transakcií. Zariadenie následne nechaj skontrolovať, pretože samotné odinštalovanie programu nemusí odstrániť všetky zmeny, ktoré útočník vykonal. Legitímne nástroje na vzdialenú správu majú svoje využitie, no podvodníkovi môžu poskytnúť prístup k počítaču, osobným údajom aj finančným účtom.