NFC w telefonie: co to jest i na czym polega NFC relay

Fałszywa aplikacja Banku Pekao na Androida, przed którą 12 października 2026 roku ostrzegł CSIRT KNF, każe przyłożyć kartę płatniczą do telefonu. Według zespołu może to pozwolić przestępcom przechwycić komunikację NFC i spróbować ukraść pieniądze. Ryzykuje więc każdy, kto zainstaluje “aplikację banku” z linku w SMS-ie albo e-mailu, bo tej aplikacji nie ma w Google Play. Samo NFC w telefonie nie jest tu słabym punktem. Atak zaczyna się od instalacji programu spoza sklepu i przyłożenia do niego karty. Do wypłaty z bankomatu oszuści potrzebują jeszcze PIN-u, a o niego według opisu cytowanego przez Interię aplikacja też prosi.

Fałszywa aplikacja Pekao: co ostrzega CSIRT KNF

CSIRT KNF to zespół reagowania na incydenty polskiego sektora finansowego, działający przy Komisji Nadzoru Finansowego. W ostrzeżeniu z 12 października napisał: “Atak jest wymierzony w użytkowników urządzeń z Androidem i wykorzystuje metodę NFC Relay. Po uruchomieniu aplikacja prosi o przyłożenie karty płatniczej do telefonu. Może to umożliwić przestępcom przechwycenie komunikacji NFC i podjęcie próby kradzieży środków”. Według zespołu aplikacja może trafiać do ludzi przez fałszywe e-maile i SMS-y, komunikatory oraz strony podszywające się pod bank.

Na grafice dołączonej do ostrzeżenia widać ekran fałszywej aplikacji z logo banku. Wyświetla polecenie “Przyłóż kartę tylną stroną do urządzenia, chipem do góry” i komunikat “Oczekiwanie na kartę”. Ostrzeżenia banków są w tej sprawie jednoznaczne: bank nie prosi o taką “weryfikację” karty ani o PIN w aplikacji zainstalowanej z linku.

O PIN-ie samo ostrzeżenie nie mówi. Mówi o nim opis CSIRT KNF przytoczony przez Interię. Po przyłożeniu karty aplikacja prosi o kod PIN, a identyfikator karty trafia na odległość do innego urządzenia. Przestępcy przykładają to urządzenie do czytnika i wpisują przechwycony PIN. Rzecznik Pekao Paweł Jurek powiedział Interii, że bank zgłosił aplikację właściwym służbom i że udało się ją szybko zablokować.

Czego jeszcze nie wiadomo

Nie znamy liczby poszkodowanych ani kwot. KNF nie podał nazwy złośliwego oprogramowania ani tego, czy doszło do skutecznych kradzieży. Nie wiadomo też, czy przestępcy chcieli wykorzystać przechwyconą komunikację w bankomatach, czy przy płatnościach w sklepach. Schemat nie jest nowy. BNP Paribas ostrzegał przed nim 30 maja 2025 roku: fałszywa aplikacja bankowa, prośba o przyłożenie karty i podanie PIN-u, potem wypłata z bankomatu. Fałszywa aplikacja może udawać dowolny bank, więc schemat nie ogranicza się do klientów Pekao.

Co to jest NFC w telefonie

NFC (Near Field Communication, komunikacja bliskiego zasięgu) to zestaw technologii bezprzewodowych, które według dokumentacji Androida zwykle wymagają zbliżenia urządzeń na 4 cm lub mniej. Funkcja NFC pozwala przesłać niewielką porcję danych między telefonem a kartą, naklejką NFC albo drugim urządzeniem. W praktyce telefon trzeba niemal położyć na terminalu.

Najczęściej telefon używa NFC do płacenia. Karta dodana do Portfela Google albo Apple Pay zamienia telefon w kartę zbliżeniową. Ten sam moduł odczytuje naklejki NFC i karty dostępowe, jeśli telefon ma do tego aplikację. Płatność kartą fizyczną i płatność telefonem wyglądają przy kasie tak samo, ale różnią się zabezpieczeniem. Telefon przed zapłatą wymaga odblokowania ekranu, czyli PIN-u, wzoru, hasła albo biometrii. Tak opisuje to pomoc Portfela Google. Plastikowa karta przy płatności zbliżeniowej poniżej limitu ustalonego przez bank nie wymaga nawet PIN-u.

Telefon z NFC może więc sam “udawać” kartę, a także odczytać kartę, którą ktoś do niego przyłoży. Z tej drugiej możliwości korzystają oszuści.

Pierwsza Misja AI · Kodożercy

Zagrożenia AI rozumie ten, kto wie, jak ona działa

Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.

Poznaj pełny program →

Na czym polega NFC relay i czym różni się od płatności zbliżeniowej

NFC relay, po polsku przekazywanie sygnału zbliżeniowego, to atak, w którym komunikacja karty z czytnikiem zostaje przeniesiona przez internet w inne miejsce. Przy zwykłej płatności zbliżeniowej karta rozmawia z terminalem, który leży kilka centymetrów od niej. W ataku relay karta rozmawia z telefonem ofiary. Złośliwa aplikacja przesyła tę rozmowę do telefonu przestępcy, a ten przykłada swój telefon do bankomatu albo terminala, jakby trzymał w ręku kartę ofiary.

Najlepiej opisany przypadek takiego ataku zbadał ESET. W raporcie z 22 sierpnia 2024 roku opisał złośliwe oprogramowanie NGate, użyte przeciw klientom trzech czeskich banków od listopada 2023 do marca 2024 roku. To przykład mechanizmu, a nie rozpoznanie kampanii z Pekao, bo nikt nie połączył jej z NGate. Przebieg w Czechach wyglądał tak:

1. Ofiara dostawała SMS o rzekomym zwrocie podatku z linkiem do fałszywej strony banku.
2. Oszust dzwonił jako pracownik banku i mówił, że konto zostało przejęte.
3. Dla “ochrony pieniędzy” ofiara instalowała z kolejnego linku aplikację do “weryfikacji karty”. W Google Play jej nigdy nie było.
4. Aplikacja prosiła o PIN do karty i o włączenie NFC, a potem o przyłożenie karty do tyłu telefonu.
5. Dane z karty szły przez serwer do zrootowanego Androida przestępcy. Ten udawał kartę przy bankomacie.

Telefon ofiary nie musiał mieć roota. Czeska policja zatrzymała 22-latka, który wypłacał pieniądze z bankomatów w Pradze. Miał przy sobie 160 tys. koron, a według policji pochodziły one tylko od trzech ostatnich ofiar.

Do samego przechwycenia i przekazania komunikacji NFC PIN nie jest potrzebny. Potrzebny jest do wypłaty z bankomatu, dlatego fałszywe aplikacje próbują go wyłudzić. ESET zwraca uwagę, że kartą bez PIN-u da się najwyżej płacić zbliżeniowo w granicach limitu ustawionego przez bank.

Czy NFC jest bezpieczne

Tak, w tym sensie, że opisany przez KNF atak nie polega na zdalnym opróżnieniu konta przez NFC telefonu leżącego w kieszeni. W opisanych atakach przestępcy potrzebują rzeczy, które daje im ofiara: zainstalowanej aplikacji spoza oficjalnego sklepu i karty przyłożonej do telefonu, a do wypłaty z bankomatu także PIN-u. Wyłączenie NFC tylko utrudnia jeden krok. Złośliwa aplikacja po prostu poprosi o włączenie NFC, tak samo jak prosi o PIN. Tak działał NGate.

ESET opisuje też teoretyczne ryzyko bez telefonu ofiary. Ktoś z czytnikiem może odczytać kartę zbliżeniową przez torebkę albo plecak w tłumie. Według firmy taki atak ogranicza się do małych płatności, bo nie daje PIN-u. Karta w telefonie jest tu lepiej chroniona niż plastik. Od kwietnia 2024 roku Portfel Google wymaga potwierdzenia przy każdej płatności NFC, podobnie jak Apple Wallet.

W raporcie ESET zalecenia ochrony brzmią tak:

• sprawdzać adres strony, zanim cokolwiek się na niej wpisze;
• pobierać aplikacje tylko z oficjalnych sklepów, takich jak Google Play;
• trzymać PIN do karty w tajemnicy;
• używać na telefonie programu ochronnego, który blokuje złośliwe aplikacje;
• wyłączać NFC, gdy nie jest potrzebne;
• nosić karty w etui blokującym odczyt RFID;
• korzystać z cyfrowych wersji kart w telefonie, chronionych biometrią.

Z tej listy najwięcej daje pierwsza połowa. O tym, czy program antywirusowy ma sens na telefonie, piszemy w osobnym poradniku o antywirusie na telefon. Instalacja aplikacji z pliku APK, poza sklepem, jest od początku kampanii najważniejszym sygnałem ostrzegawczym. Google zmienia zresztą zasady takiej instalacji, co opisaliśmy przy weryfikacji twórców aplikacji na Androidzie.

Jak włączyć i wyłączyć NFC w telefonie

Na Androidzie NFC włącza się i wyłącza w ustawieniach połączeń. Ścieżka podana w pomocy Portfela Google:

1. Otwórz aplikację Ustawienia.
2. Wejdź w Połączone urządzenia, a potem w Ustawienia połączeń.
3. Wybierz NFC i włącz albo wyłącz przełącznik.

Producenci nazywają te pozycje po swojemu, więc w telefonie Samsunga, Xiaomi czy Motoroli najszybciej wpisać “NFC” w wyszukiwarkę ustawień. W tym samym miejscu wybiera się domyślną aplikację do płatności zbliżeniowych. Antena NFC jest według Google u góry albo na środku tylnej części telefonu. Grube etui potrafi osłabić sygnał.

Wyłączenie NFC ma sens, jeśli nie płacisz telefonem i nie używasz go do odczytu kart. Telefonu ani karty nie psuje i można je cofnąć jednym przełącznikiem. Na iPhonie NFC obsługuje Apple Pay i odczyt naklejek NFC, a ostrzeżenie CSIRT KNF dotyczy Androida.

Przyłożyłem kartę do telefonu i podałem PIN: co zrobić

Liczy się czas, bo dane przechwycone w ataku relay przestępcy wykorzystują od razu. Kolejność działań:

1. Zastrzeż kartę. Zrób to w aplikacji banku zainstalowanej ze sklepu albo na infolinii banku. Całodobowo działa też System Zastrzegania Kart pod numerem +48 828 828 828, który obsługuje karty wielu banków.
2. Zadzwoń do banku na numer z odwrotu karty albo z oficjalnej strony, nie z wiadomości. Zapytaj o transakcje z ostatnich godzin i o reklamację.
3. Odłącz telefon od internetu i odinstaluj podejrzaną aplikację. Jeśli nie chce się usunąć, pomoże poradnik jak usunąć wirusa z telefonu.
4. Zmień hasła do bankowości, jeśli podawałeś je w fałszywej aplikacji albo na stronie z linku.
5. Zgłoś sprawę. CERT Polska przyjmuje zgłoszenia przez formularz incydent.cert.pl, a podejrzany SMS należy według instrukcji CERT Polska przekazać w niezmienionej formie na numer 8080. Przy utracie pieniędzy dochodzi zawiadomienie na policji.

Gdzie jeszcze zgłosić taką sprawę, rozpisaliśmy w tekście o tym, gdzie zgłosić oszustwo bankowe. Link do “aplikacji banku” zwykle przychodzi w SMS-ie albo mailu, więc warto znać sposoby rozpoznawania phishingu.

FAQ

Czy bank może poprosić o przyłożenie karty do telefonu?

Nie przy żadnej “weryfikacji karty” w aplikacji z linku. Bank ma dane swojej karty i nie potrzebuje ich odczytu przez telefon klienta. BNP Paribas w ostrzeżeniu z maja 2025 roku pisze wprost: nie przykładaj karty do telefonu za namową telefoniczną innej osoby. Prośba o kartę przy telefonie i o PIN w aplikacji to sygnał do przerwania rozmowy.

Czy ktoś może ukraść pieniądze z karty przez NFC w tłumie?

Według ESET teoretycznie da się odczytać kartę zbliżeniową z bliska, na przykład przez torbę, ale bez PIN-u pozwala to najwyżej na niewielkie płatności zbliżeniowe w granicach limitu banku. Wypłaty z bankomatu wymagają PIN-u, a ten w opisanych oszustwach podaje sama ofiara. Przed odczytem z bliska chroni etui blokujące RFID.

Podsumowanie

CSIRT KNF ostrzegł 12 października 2026 roku przed aplikacją na Androida, która podszywa się pod Bank Pekao i prosi o przyłożenie karty płatniczej do telefonu. Według opisu przytoczonego przez Interię prosi też o PIN, a przechwycone dane przestępcy wykorzystują na odległość metodą NFC relay. Pekao zgłosił aplikację i została zablokowana, ale schemat znamy z Polski co najmniej od maja 2025 roku i nie ogranicza się do jednego banku. NFC w telefonie to technologia zbliżeniowa działająca na kilka centymetrów i sama nie jest słabym punktem. Atak zaczyna się od instalacji aplikacji spoza Google Play i przyłożenia karty, a wypłata z bankomatu wymaga jeszcze PIN-u. Kto przyłożył kartę do takiej aplikacji, powinien od razu zastrzec kartę, zadzwonić do banku na numer z karty i zgłosić sprawę do CERT Polska.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.