Fałszywa aplikacja MandatGo podszywa się pod Ministerstwo Cyfryzacji. Jak rozpoznać oszustwo?

Przewijasz Facebooka i trafiasz na post strony „GOV PL”. Ministerstwo Cyfryzacji rzekomo wypuściło nową aplikację do mandatów. Grafika wygląda urzędowo, a link prowadzi do czegoś, co przypomina Google Play. Tak właśnie zaczyna się fałszywa aplikacja MandatGo.

Ministerstwo Cyfryzacji nie wydało takiej aplikacji. Za MandatGo kryje się trojan zdalnego dostępu, czyli program oddający telefon pod kontrolę przestępcy. CERT Orange Polska ostrzegł przed kampanią pod koniec sierpnia 2026 roku. Dziewiątego września opublikował analizę techniczną i nadał temu oprogramowaniu nazwę Koktevrat.

Atak celuje wyłącznie w posiadaczy Androida. Właścicieli iPhone’a nie dotyczy. W tej kampanii wystarczy jedna zasada: nie instaluj aplikacji spoza Google Play. Sklep Google nie jest nieomylny – zdarza mu się przepuścić szkodliwe aplikacje. Ta konkretna aplikacja rozpowszechniana jest jednak wyłącznie poza nim.

Jak działa fałszywa aplikacja MandatGo

W kampanii opisanej przez CERT Orange pod koniec sierpnia reklama kierowała na stronę fb-market-play[.]cc. Sam adres to jednak szczegół drugorzędny. Orange zablokował w CyberTarczy zarówno tę domenę, jak i powiązane z nią adresy. Kampanie tego typu wracają jednak pod nowym szyldem. Rozpoznawać trzeba więc schemat, nie konkretny adres.

Sama witryna ma przypominać Google Play: wykorzystuje logotyp i czcionki z prawdziwego sklepu. Różnica jest jedna, za to zasadnicza: prawdziwy sklep Google nie każe pobierać pliku APK przez przeglądarkę. Plik APK to instalator aplikacji na Androida, odpowiednik pliku EXE w Windowsie.

Aplikacja MandatGo na pierwszy rzut oka robi niewiele. Właściwego trojana w pobranym pliku jeszcze nie widać – jest tam ukryty i zaszyfrowany. Aplikacja rozszyfrowuje go dopiero w telefonie i instaluje jako drugą aplikację, o tej samej nazwie i z tą samą ikoną. Na tym polega sztuczka: program antywirusowy ogląda plik, w którym złośliwy kod wygląda jak zwykłe dane. Groźne staje się to dopiero po uruchomieniu. Dopiero ta druga aplikacja prosi o włączenie usługi ułatwień dostępu – i to ona jest właściwym trojanem.

Usługa ułatwień dostępu to funkcja Androida przeznaczona dla osób z niepełnosprawnościami. Pozwala ona czytać zawartość ekranu i klikać za użytkownika. W rękach przestępcy staje się kompletem kluczy do telefonu.

Co potrafi Koktevrat

Analiza CERT Orange wymienia konkretne funkcje: odczyt SMS-ów, zapisywanie wpisywanych znaków, podmianę ekranu aplikacji na fałszywy, podgląd schowka, blokowanie ekranu, zdalne uruchamianie aplikacji i wpisywanie tekstu za użytkownika, wyłączenie Google Play Protect oraz przepuszczanie ruchu sieciowego przez zainfekowany telefon. Brzmi technicznie, jednak skutek jest prosty. Kod jednorazowy z banku trafia do przestępcy szybciej, niż zdążysz go przeczytać. Wpisane hasło również.

W zbadanej próbce szkodnik odzywał się do serwera przestępców mniej więcej co cztery godziny. Dwa adresy takich serwerów ma wpisane na stałe w kodzie. Potrafi też sam wyliczać kolejne domeny i podmieniać je co dziesięć dni. Do tego telefon bywa wybudzany przez Firebase Cloud Messaging, czyli zwykły mechanizm powiadomień Google – tego kanału nie da się zablokować, nie psując powiadomień w innych aplikacjach. Dlatego zablokowanie jednej domeny nie kończy sprawy.

Pięć kroków, żeby się nie złapać

1. Instaluj aplikacje wyłącznie z Google Play albo App Store. Jeśli instalacja zaczyna się od pobrania pliku przez przeglądarkę, przerwij ją.
2. Sprawdź Google Play Protect. Otwórz Google Play, dotknij ikony profilu w prawym górnym rogu, wybierz „Play Protect”, wejdź w „Ustawienia” i upewnij się, że skanowanie aplikacji jest włączone. Ważne: Koktevrat potrafi tę ochronę wyłączyć. Jeśli masz ją wyłączoną, a sam jej nie wyłączałeś, potraktuj to jako sygnał ostrzegawczy.
3. Przejrzyj ułatwienia dostępu. W Ustawieniach znajdź „Ułatwienia dostępu” (w telefonach Samsunga: „Dostępność”), a w nich listę aktywnych usług. Powinny być tam wyłącznie funkcje, które sam włączyłeś — na przykład TalkBack albo powiększenie. Jeśli widzisz aplikację, której nie kojarzysz, odbierz jej to uprawnienie.
4. Nie ufaj stronie na Facebooku tylko dlatego, że ma urzędowe logo. Świeży profil bez historii postów to sygnał ostrzegawczy. Komunikaty instytucji sprawdzisz na gov.pl.
5. Mandaty sprawdzaj w mObywatelu. Usługa „Mandaty” działa tam od 2024 roku i pokazuje kwotę, serię oraz organ wystawiający – dla mandatów policji i Krajowej Administracji Skarbowej. Uwaga na wyjątek: mandatów z fotoradarów i odcinkowych pomiarów prędkości (GITD) na razie tam nie ma, integracja jest dopiero w przygotowaniu. Te sprawdzisz w eBOK CANARD. Żadna aplikacja pobrana z reklamy nie jest do tego potrzebna.

Co zrobić, gdy aplikacja jest już w telefonie

Kolejność ma tutaj znaczenie. Najpierw odcinasz przestępcy kanał, potem ratujesz konta, na końcu czyścisz urządzenie.

1. Włącz tryb samolotowy i upewnij się, że Wi-Fi też jest wyłączone – w Androidzie da się je włączyć osobno. Odcina to telefon od serwera sterującego. Uwaga: od tej chwili nie odbierzesz na tym telefonie SMS-ów, także tych z kodami. Nie wyłączaj trybu samolotowego po to, żeby odebrać kod.
2. Zadzwoń do banku z innego telefonu. Zgłoś podejrzenie przejęcia urządzenia, poproś o zablokowanie autoryzacji mobilnej i o wskazanie innej ścieżki potwierdzania operacji niż SMS.
3. Z innego urządzenia zmień hasła do bankowości, poczty i mediów społecznościowych. Zacznij od poczty, bo przez nią resetuje się resztę. Przy okazji warto zabezpieczyć konto na Facebooku.
4. Przywróć ustawienia fabryczne. To nie jest przesada. Pobrana aplikacja to dopiero pierwszy etap. Po uruchomieniu rozpakowuje ukryty w sobie drugi plik i instaluje go jako kolejną aplikację – o tej samej nazwie i z tą samą ikoną co MandatGo. Właściwy trojan siedzi w tej drugiej. Dlatego na liście aplikacji mogą być dwie identycznie wyglądające pozycje i usunięcie jednej z nich nie kończy sprawy. Przez cały czas działania miał uprawnienie ułatwień dostępu. Mógł czytać ekran, wpisywać tekst za ciebie, zmieniać ustawienia i wyłączyć Google Play Protect. Ma też komendy, które utrudniają jego usunięcie – potrafi między innymi zasłonić ekran nakładką i przez kilkadziesiąt sekund cofać każdą próbę wyjścia z ustawień. Po takim dostępie nie da się wiarygodnie sprawdzić, co jeszcze w telefonie zostało zmienione.
   Właśnie dlatego pewność daje dopiero reset, podobnie jak przy przygotowaniu sprzętu do sprzedaży. Jeśli chcesz mimo wszystko spróbować ręcznie: uruchom telefon w trybie awaryjnym i odbierz podejrzanym aplikacjom uprawnienie w ułatwieniach dostępu. Następnie w Ustawieniach sprawdź listę aplikacji z uprawnieniami administratora urządzenia i odbierz je każdej pozycji o nazwie MandatGo – dopóki aplikacja je ma, Android nie pozwoli jej odinstalować. Jeśli nie ma tam nic podejrzanego, idź dalej. Potem usuń każdą pozycję o nazwie MandatGo, prawdopodobnie dwie; jeśli cokolwiek się nie uda, przywróć ustawienia fabryczne.
5. Zgłoś incydent do CERT Polska przez formularz na incydent.cert.pl. Zgłoszenie pomaga blokować kolejne domeny.

A jeśli odpowiadasz za IT w firmie?

• Prywatne telefony pracowników są w tej kampanii słabym ogniwem. Ta sama osoba czyta na nich firmową pocztę.
• Instalacja spoza sklepu oraz włączona usługa ułatwień dostępu to dwa sygnały. Warto je umieć wykryć na urządzeniach z dostępem do danych firmowych.
• Logowanie z kodem SMS traci sens, gdy napastnik czyta SMS-y. Znacznie lepiej wypada tu klucz sprzętowy FIDO2: nie da się go odczytać z ekranu. Powiązanie z domeną chroni dodatkowo przed phishingiem. Aplikacja uwierzytelniająca pomaga tylko wtedy, gdy działa na innym urządzeniu niż to, z którego się logujesz. Na przejętym telefonie napastnik przechwyci kod z ekranu równie łatwo jak SMS.
• Ustal jedną ścieżkę zgłaszania podejrzanego telefonu i powiedz o niej zespołowi, zanim będzie potrzebna.
• Ten przypadek dobrze nadaje się na krótkie szkolenie. Jest polski, świeży i łatwy do opowiedzenia bez slajdów.

Podsumowanie #CyberPoLudzku

Fałszywa aplikacja MandatGo działa nie dlatego, że jest technicznie genialna. Skuteczność bierze się z zaufania do instytucji państwowej i z odruchu „zapłacę mandat, zanim urośnie”. Ministerstwo nie ogłasza aplikacji przez reklamy na Facebooku, a Google Play nie prosi o pobieranie plików z przeglądarki.

Jedno pytanie wystarczy, żeby ominąć całą tę kampanię: skąd dokładnie pobieram tę aplikację? Jeśli odpowiedź brzmi „z linku”, nie pobieraj jej wcale.