Podvody v 12 zemích napodobují dopravní úřady a platební portály. Některé nekončí u karty: instalují malware čtoucí SMS a ovládající telefon.
Bitdefender Labs odhalil masovou smishingovou kampaň: desítky tisíc podvodných SMS v 12 zemích napodobují dopravní úřady, provozovatele mýta a parkovací služby. Smishing je phishing šířený textovými zprávami.
Hlavní zjištění
- Od prosince 2025 sleduje Bitdefender Labs globální kampaně cílené na řidiče. V dubnu 2026 byly stále aktivní.
- Bylo detekováno přes 79 000 zpráv ve 40 odlišných kampaních.
- Napodobují úřady registrace vozidel, mýtné společnosti a parkovací správu po celém světě.
- Oběti vedou na falešné platební weby a někdy ke stažení malwaru.
- Infrastrukturu charakterizuje rychlé vytváření domén, podvrhování odesílatele a obcházení ochran mobilních systémů.
Od prosince 2025 do dubna 2026 Bitdefender Labs sledoval pokračující útoky na řidiče po celém světě.
Podle výzkumníka Alecsandru Catalina Daje podvodníci dosud použili:
- Přes 79 000 podvodných SMS ve více než 29 200 jedinečných variantách.
- Více než 31 900 různých URL detekovaných ochranou proti phishingu v těchto nevyžádaných zprávách.
- Aktivitu v USA, Kanadě, Austrálii, na Novém Zélandu, ve Francii, Španělsku, Kolumbii, Brazílii, Indii, Británii, Irsku a Lucembursku.
- Angličtinu, španělštinu, portugalštinu, francouzštinu a hindštinu.
Cíl je společný: přimět příjemce zaplatit neexistující pokutu, předat citlivá data nebo nainstalovat spyware.
Přes rozsah a koordinaci Bitdefender Labs kampaně nepřiřadil konkrétnímu útočníkovi ani skupině.
Kromě tématu nezaplaceného mýta, parkování a pokut zatím není potvrzené propojení všech kampaní.
Spojují je podobné taktiky, sdělení a doručování, nikoli jednoznačně určený společný zdroj.
Jak podvody fungují
Zprávy vytvářejí naléhavost. Tvrdí, že řidič nezaplatil mýto, dopravní či parkovací pokutu, a dávají obvykle jen 24 až 72 hodin. Hrozí poplatky, odebráním řidičského oprávnění, právním řízením nebo dokonce zatykačem. Následuje výzva kliknout a věc „vyřešit“.
Odkaz vede na napodobeninu státního nebo mýtného portálu. Vyžaduje údaje karty, osobní informace a někdy bankovní přístupy. V některých regionech místo platby doručuje malware.
Varianty podle zemí
USA
Největší sledovaná kampaň cílí na americké řidiče.
Zprávy střídají známé důvěryhodné subjekty:
- Státní úřady DMV v Kalifornii, Floridě, Severní Karolíně, Washingtonu DC a jinde.
- Mýtné systémy E-ZPass, SunPass a FastTrak.
Zjištění výzkumníků:
- Sedmnáct samostatných kampaní a přes 25 000 phishingových adres.
- Nejčastější cíle v Kalifornii a Texasu.
- Podvržená jména odesílatelů pro legitimní dojem.
- Krátká odesílací čísla, například 7726, která mohou budit důvěru.
Příklad zprávy:
„Kalifornské oznámení správní sankce: máte nezaplacenou dopravní pokutu… bude vydán zatykač… registrace vozidla bude od 18. března pozastavena… zaplaťte: https://ca[.]gov-okqs.bond/portal — odpovězte Y a znovu otevřete zprávu pro kliknutí.“
Kanada: od parkovací pokuty ke krádeži bankovních přístupů
V Kanadě, zejména Britské Kolumbii, se podvod rozvíjí do složitějšího útoku.
Začíná oznámením parkovacího přestupku, ale nekončí u něj.
Výzkumníci pozorovali:
- Vydávání se za místní parkovací nebo městské inkasní služby.
- Cílení hlavně na Britskou Kolumbii, Albertu a Ontario.
- Druhou fázi zaměřenou na přístupy Interac e-Transfer.
Oběť může nejprve zkoušet zaplatit pokutu a poté nevědomky odevzdat bankovní přístupy, čímž vznikne mnohem širší finanční ohrožení.
Příklad zprávy:
„Oznámení o parkování: evidujeme nezaplacený přestupek. Vyřešte jej před zahájením vymáhání na https://myparking-help[.]com.“
Británie: platby za cestu „Air-Pay“
Jedna z nejnovějších vln využívá jednoduchou výzvu k úhradě jízdy nebo cesty.
Výzkumníci zjistili:
- Jednu aktivní kampaň s tímto tématem.
- Minimum textu a přímé odkazy pro rychlou akci.
Příklad:
„Zaplaťte za cestu kartou, klikněte na https://im.air-pay[.]uk/…“
Na rozdíl od jiných oblastí tato kampaň používá nenátlakový postup:
- Nezmiňuje pokutu ani právní následky.
- Nevyvolává naléhavost ani eskalaci.
- Jednoduše žádá „zaplatit za cestu“.
Irsko: falešné mýto eFlow
Útočníci napodobují elektronický systém eFlow pro dálnici M50.
Zjištění výzkumníků:
- Nejčastějšími cíli jsou Leinster a Connacht.
- Krátké číslo 7726 se objevuje stejně jako v amerických kampaních.
Zprávy uvádějí nezaplacené mýto a odkaz pro platbu.
Příklad:
„eflow: máte nezaplacené dálniční mýto. Vyhněte se sankcím a zaplaťte na eflow[.]ie-paytoll.info.“
Austrálie: napodobení Linkt
Podvodníci používají jméno skutečného mýtného provozovatele Linkt z Nového Jižního Walesu, Victorie a Queenslandu.
Zvlášť přesvědčivý je způsob doručení.
Výzkumníci našli přes 2 200 zkrácených adres ukrývajících škodlivé odkazy.
Podvržený odesílatel „Linkt“ může na některých telefonech zařadit zprávu přímo do existujícího vlákna pravé služby.
Příklady:
„Linkt: vaše mýto zůstává nezaplacené. Poslední připomínka — dluh může přejít do vymáhání a omezit registraci. Zaplaťte: https://cutt[.]ly/…“
„Poslední připomínka — nezaplacené mýto může přejít do vymáhání a omezit registraci. Vyhněte se dopadům: https://paylinkt[.]vip/au.“
Nový Zéland: falešná policie a justice
Zprávy napodobují NZ Police a ministerstvo spravedlnosti a týkají se dopravních pokut po splatnosti.
Výrazné znaky:
- Domény s vládními motivy pro důvěryhodnost.
- Cílení zejména na Auckland, Wellington a Canterbury.
- Pokyny specifické pro mobilní zařízení.
Zprávy hrozí stupňováním následků při nezaplacení.
Příklad:
„NZ Police: vaše dopravní pokuta je přes deset dní po splatnosti. Vyhněte se poplatkům nebo soudu. Zaplaťte: https://polices-govt[.]link/nz. Odpovězte Y a zprávu znovu otevřete pro přístup k odkazu.“
Francie: mýto ULYS
Zprávy ve francouzštině napodobují ULYS a věrně připomínají skutečná mýtná oznámení.
Výzkumníci identifikovali:
- Hlavní cíle v Île-de-France, Rhône-Alpes a Provence-Alpes-Côte d'Azur.
- Přes 400 škodlivých URL.
- Kompletní francouzskou lokalizaci.
Zprávy tvrdí, že zbývá rychle doplatit malé mýto.
Příklad:
„ULYS PEAGE: Dobrý den, <uživateli>, po průjezdu vašeho vozidla [skryto] zůstává nezaplaceno 6,80 EUR. Uhraďte prosím…“
Lucembursko: pokuta přes údajný vládní portál
Útočníci napodobují oficiální Guichet.lu a používají formální oznámení parkovacích přestupků.
Výrazné znaky:
- Jedna z nejmenších sledovaných kampaní.
- Číslo spisu dodávající úřední dojem.
- Konkrétní data a přestupky.
Zpráva žádá vyřešení evidovaného parkovacího přestupku kvůli zabránění dalším sankcím.
Příklad:
„Guichet — Lucemburské velkovévodství. Spis 2026-458721. Důvod: parkovací přestupek z 21. 3. 2026. Uhraďte na https://lu-retrofacturation[.]com, abyste předešli navýšení.“
Kolumbie: masové SMS o mýtu a pokutách
Druhá největší vlna cílila hlavně na Bogotu, Antioquii a Valle del Cauca.
Zprávy napodobují mýtné provozovatele a dopravní úřady a masově se šíří z různých čísel.
Výzkumníci zjistili:
- Přes 11 000 souvisejících podvodných zpráv.
- Střídání krátkých čísel včetně 893181–893183 a 893175.
- Opakované vzorce domén, zejména bibtly[.]cc a bitcutt[.]cc.
Všechny odkazy nakonec vedou na phishing sbírající platební údaje.
Příklad:
„Vážený přestupce! Zahajujeme právní řízení kvůli dopravním sankcím. Zaplaťte DNES se slevou 50 % na našem portálu: .b2026.biltly[.]cc/. Platí podmínky.“
Španělsko: napodobení DGT
Podvodníci používají jméno oficiálního dopravního úřadu Dirección General de Tráfico.
Výzkumníci identifikovali:
- Cílení zejména na Madrid, Katalánsko a Andalusii.
- Podvržené odesílatele DGT a miMultas.
Španělské zprávy varují před nezaplacenou dopravní pokutou.
Příklady:
„DGT: poslední připomínka před navýšením nezaplacené pokuty. Spis na https://seguridad-ahora[.]im/dgt.php.“
„Poslední připomínka před navýšením pokuty. Spis: https://mimultas-es[.]wasmer STOP/INFO: https://mcsms[.]io/aua1bG.“
Brazílie: dopravní a daňové povinnosti
Útočníci kombinují dopravu s daňovým tlakem a povinnostmi spojenými s brazilským identifikátorem CPF.
Výzkumníci identifikovali:
- Portugalské zprávy přizpůsobené místním uživatelům.
- Koncentraci v São Paulu, Riu de Janeiru a Minas Gerais.
- Doručování z čísla 70101.
Zprávy varují před údajnou nesplněnou povinností a vyzývají k rychlé akci kvůli omezením.
Příklad:
„Důležité oznámení: neuhrazená daňová povinnost. Podnikněte příslušné kroky a vyhněte se omezení CPF. Ověření: https://confira[.]online/app3.“
Indie: pokuty doručující malware
Zde kampaň přímo doručuje malware maskovaný jako oznámení dopravní pokuty.
Zprávy napodobují:
- Ministerstvo silniční dopravy a dálnic, MoRTH.
- Operátora Airtel.
Výzkumníci zjistili:
- 828 adres doručujících malware.
- Cílení zejména na Karnátaku, Maháráštru a Telangánu.
- Více variant realistických oznámení e-challan.
Cílem není pouze platební údaj, ale instalace škodlivého APK.
Příklad:
„Oznámení RTO: na vaše vozidlo byl 22. 3. 2026 vydán přestupek za překročení rychlosti [skryto]. Zkontrolujte a stáhněte: [škodlivý odkaz].“
Jak zprávy přimějí ke kliknutí
Přes různé země a instituce používají velmi podobný tlak na rychlou akci.
Taktika stupňování
Většina zpráv má stejný scénář:
- Nezaplacené mýto, pokuta nebo přestupek.
- Krátká lhůta, často 24–72 hodin.
- Navýšení, běžně asi o 35 %.
- Hrozba odebrání oprávnění, potíží s registrací, soudního řízení či zatčení.
- Tlak na okamžité vyřešení přes odkaz.
Triky zaměřené na mobilní uživatele
Výzkumníci pozorovali techniky obcházející ochrany telefonu a zvyšující věrohodnost:
„Odpovězte Y“ před kliknutím
Některé zprávy nejprve požadují odpověď. Na iOS to aktivuje odkazy, které by jinak byly zablokované, a usnadní přístup k podvodu.
Zprávy vypadající jako legitimní
Několik kampaní nahrazuje latinské znaky podobnou azbukou, například е, ѕ, м, і a т. Obchází tak SMS filtry založené na klíčových slovech.
Napodobeniny vládních webů
Odkazy obsahují „gov“ nebo „official“, i když vedou na falešné domény.
Podvržení identifikátoru odesílatele
Zprávy zdánlivě přicházejí od známé značky nebo úřadu a na některých telefonech se zařadí do existujícího pravého vlákna. Příkladem je Linkt v Austrálii a miMultas ve Španělsku.
Skryté a zkrácené odkazy
Zkracovače maskují skutečný cíl a dodávají neškodný vzhled.
Neustálé změny domén
Podvodné weby se často nahrazují novými, takže kampaň pokračuje i po blokaci části odkazů.
Skrytá malwarová vrstva
Některé útoky jdou dál než ke krádeži platebních údajů.
Hybridní útoky míří zejména na indické řidiče. SMS přímo žádají stažení aplikace, například Rtochallan.apk hostované i na platformách jako GitHub.
Podle Adiny Mateescu aplikace obvykle načítá falešné platební rozhraní ve WebView, vestavěné prohlížečové komponentě. Napodobuje vládní portál a sbírá osobní údaje.
Aplikace patří do širší rodiny trojanů Androidu pro krádež finančních a osobních údajů s trvalým přístupem k zařízení.
Po instalaci hned zajišťuje přetrvání službou na popředí, často obecně nazvanou MyService. Ta pokračuje po zavření aplikace i restartu.
Následně zahajuje:
Profilování zařízení
Sbírá identifikátor, verzi Androidu, IP, operátora a stav baterie.
Zjišťování údajů SIM a telefonu
Získává číslo, údaje SIM a poskytovatele sítě.
Sběr a sledování SMS
Čte zprávy a filtruje finanční klíčová slova týkající se bank, plateb a transakcí.
To vše probíhá bez další interakce. Sběr začne, i když oběť phishingový formulář nikdy nedokončí.
Jak se data kradou a příkazy vykonávají
Rodina používá dvě komunikační a řídicí infrastruktury.
Telegram
Je hlavním kanálem odcizování dat a komunikace operátora. Malware načítá vložené tokeny botů a identifikátory chatů z res/raw/Loda nebo assets/index.html. Přes Telegram Bot API posílá zprávy do kanálů útočníků. Ti v reálném čase dostávají informace o zařízení, zachycené SMS i souhrny aktivity.
Firebase: vzdálené řízení
Současně se připojuje k Firebase Realtime Database, živému řídicímu panelu. Útočníci mohou přeposílat příchozí SMS na vlastní čísla, odesílat zprávy z telefonu a zapínat či vypínat přesměrování hovorů. Příkazy a chování mění v reálném čase. Telefon je tak vzdáleně spravovaným zařízením.
Proč je to zvlášť nebezpečné
V jediném řetězci se spojuje několik schopností:
- Phishing ve WebView sbírající osobní a identifikační data.
- Zachytávání SMS s bankovními upozorněními a jednorázovými hesly.
- Ovládání hovorů a zpráv.
- Cloudové příkazové systémy pro okamžité řízení.
Jde o kombinaci phishingu, odposlechu SMS a přesměrování hovorů cílenou na finance, mobilní bankovnictví a identitu.
Technické ukazatele: vzorky malwaru
Adina Mateescu identifikovala několik souvisejících vzorků Androidu, počáteční instalátory i jimi dodané aplikace.
Pozorované MD5:
- Dropper 014cda697a053d39f0504f626cb4aa4b; dodané APK bcc411c84a3ba169e1f989929115834f.
- Dropper a2b03b138ec0a6263b73e17372063345; dodané APK 71bd06e73ad26ccf19cbc59c02630f14.
- Dropper 25604ed81bc7b603897e390c3c7920e0; dodané APK 116b2280004a9d313a30acb767b1a85e.
- Dropper 3711004997a5efc09e3eefab8b2fa91f; dodané APK fdd449fc92ea92b8a5b5478b56c56ecd.
- Dropper 3c45b541cb7f29bb60a83564850e775a; dodané APK ce83808d52dcfff0c6f96ee5874fd841.
Většina aplikací používá legitimně znějící balíčky jako com.uptodown, jiné napodobují populární aplikace, například com.baidu.searchbox.lite.
Na co si dát pozor
Když přijde zpráva o mýtu nebo parkovací pokutě, zvažte:
- Očekávali jste ji?
- Tlačí vás k okamžité akci?
- Vypadá odkaz neobvykle nebo neznámě?
- Máte odpovědět před jeho otevřením?
- Zmiňuje „35% poplatek z prodlení“?
Poslední formulace se objevila v několika kampaních a je výrazným varováním. Skutečné úřady platbu přes nevyžádané SMS s odkazy požadují jen zřídka.
Podvody nejsou nové, ale zhoršují se
SMS o nezaplaceném mýtu a pokutách kolují roky, jejich rozsah však prudce roste. Americké úřady opakovaně varovaly. FCC dostává stížnosti na napodobování E-ZPass, FasTrak a I-PASS. FBI evidovala jen za rok 2024 celkem 59 271 stížností na mýtné podvody. FTC uvádí ztráty 470 milionů dolarů ze všech textových podvodů v roce 2024, pětkrát více než v roce 2020. Podle FTC jde nyní včetně mýtných zpráv o jednu z nejběžnějších forem podvodu.
Co udělat po přijetí zprávy
- Neklikejte na odkaz.
- Neodpovídejte.
- Ověřte informaci přímo na oficiálním webu.
- Zprávu smažte a nahlaste.
Při nejistotě lze odkazy a zprávy bezpečně posoudit pomocí Bitdefender Link Checker nebo Scamio bez vystavení osobních dat.
Proč je mobilní ochrana důležitější než dříve
Útoky jsou navrženy přímo pro smartphony, proto je ochrana v zařízení zásadní.
Mobilní bezpečnost může blokovat odkazy před načtením, rozpoznávat podvody ve zprávách a webech a označovat podezřelé chování i u zkrácených a maskovaných adres. Neustálý vývoj kampaní vyžaduje také včasné rozpoznání, nejen reakci.
Bitdefender Mobile Security obsahuje Scam Radar ve vrstvě Scam Protection. Sleduje vznikající kampaně a upozorní na jejich šíření včetně místních útoků ještě před zasažením telefonu.
Přidává skutečné příklady, napodobované značky a úřady i srozumitelné pokyny. Souvislosti pomáhají právě u mýta a parkování, kde podvod spoléhá na známost a naléhavost.
Vědět, že podvod už koluje a jak vypadá, výrazně usnadňuje jeho rozpoznání a vyhnutí se mu před kliknutím.
