Marques Brownlee — jeden z nejznámějších recenzentů techniky na světě — položí svůj zamčený iPhone na malé zařízení. Nic neodemyká, na nic neklepe. Opodál obyčejný platební terminál vytiskne účtenku: 5 dolarů, schváleno. Pak podruhé: 10 000 dolarů, schváleno. Telefon se celou dobu ani neodemkl.
Natočil to kanál Veritasium a vysvětlení je poučné i pro lidi, kteří s telefony nic nedělají. Protože tahle díra není o technice. Je o tom, jak se v systémech hromadí pohodlné zkratky — a jak odpovědnost, kterou drží dva, nedrží nikdo.
Jak to funguje: prostředník a tři lži
Když přiložíte telefon k terminálu, oba si posílají údaje o platbě vzduchem. Vědci z univerzit v Birminghamu a Surrey mezi ně vložili prostředníka: čtečku, která se telefonu tváří jako terminál, notebook, který zprávy cestou přepisuje, a druhý telefon, který se terminálu tváří jako ten Marquesův. Oba konce si myslí, že mluví spolu. Ve skutečnosti mluví přes cizí notebook.
Dostat se doprostřed je podle nich ta snadná část. Těžší je oklamat obě strany. K tomu stačilo přepsat tři jednotlivé bity — tři lži:
1. Telefonu: „Jsem turniket v metru.“ iPhone má od roku 2019 režim Express Transit — v metru nebo autobusu zaplatíte bez odemčení, ať se u turniketu netvoří fronta. Terminál v dopravě se telefonu ohlásí zvláštním kódem. Vědci ho odposlechli v londýnském metru a jejich zařízení ho vysílá taky. Zamčený telefon je rázem ochotný platit.
2. Telefonu: „Je to malá částka.“ Vyšší platby chtějí obličej, otisk nebo PIN. Jenže iPhone se v tomhle režimu nedívá na částku. Dívá se na jediný bit — štítek vysoká / nízká hodnota, který mu pošle terminál. Štítek existuje z dobrého důvodu: hranice je v každé zemi jiná a v jiné měně. Přepíšete jedničku na nulu a 10 000 dolarů je pro telefon drobná platba.
3. Terminálu: „Zákazník platbu ověřil.“ Telefon poctivě odpoví, že ověření neproběhlo. Terminál by to odmítl — ví, že chtěl velkou částku. Tak se přepíše i tahle odpověď. Terminál je spokojený, banka platbu schválí.
Nejzajímavější detail: důkaz byl celou dobu v ruce
Proč jen iPhone a jen Visa? Mastercard u každé platby chce, aby karta zprávu podepsala a terminál podpis ověřil. Změníte ve zprávě jedinou číslici a podpis nesedí — útok padne. Visa tenhle podpis vyžaduje jen někdy, třeba když terminál nemá spojení s bankou. Samsung v dopravním režimu podle videa přijme jen platbu za nula dolarů a účtuje se až večer, takže na 10 000 by nekývl.
A teď ta ironie. Protože si iPhone myslí, že je v metru, podpis pošle. Jenže terminál je ve skutečnosti online, takže ho nečte. Ve videu to zaznívá doslova: kdyby ho zkontroloval, měl by všechno, co potřebuje, aby podvod zastavil.
Pojistka nechyběla. Byla na místě, fungovala, doklad přišel. Jen se na něj nikdo nepodíval.
Pět let a pořád otevřené
Vědci to Applu nahlásili v říjnu 2020, Visa v květnu 2021, zveřejnili to v září 2021. Ve videu z dubna 2026 to pořád funguje.
Apple podle Veritasia vzkázal, že jde o problém systému Visa. Visa odpověděla, že v reálném světě ve velkém je to velmi nepravděpodobné, na podvody má detekci a zákazník si platbu může reklamovat a peníze dostane zpět. Obojí může být pravda. A přesto: každý z nich drží kousek viny, takže ani jeden neopravuje.
Autor videa to srovnává s letectvím. Aerolinky taky neberou pár havárií ročně jako cenu za podnikání — každou rozeberou do šroubku, aby se neopakovala. „Vrátíme vám peníze“ je náplast, ne oprava. Napřed si musíte všimnout, pak reklamovat, pak čekat — a mezitím chybí peníze na nájem.
Na co si dát pozor
- Podívejte se do nastavení Peněženky a Apple Pay, jestli máte zapnutou expresní kartu pro dopravu. Zranitelná je kombinace iPhone + expresní režim + karta Visa. Když ho nepotřebujete, vypněte ho. Když ano, dejte tam jinou kartu než Visa.
- V Česku to není výchozí stav. Apple Česko v seznamu zemí, kde se tak platí doprava, nevede. Ale kdo si kartu přidával třeba v Londýně, mohl ho mít zapnutý automaticky — ve videu zaznělo, že v podporovaných zemích se zapne sám. Pět vteřin kontroly.
- Nejreálnější hrozba není kolemjdoucí s kufříkem, ale ukradený telefon. Útok potřebuje hardware a znalosti. Zloděj s vaším telefonem v ruce ale čas má. Horní hranici určuje jen zůstatek na účtu.
- Zapněte si upozornění na každou platbu kartou. Náhrada od Visa je slib až po reklamaci — a reklamovat můžete jen to, o čem víte.
Můj pohled
Beru si z toho tři věci, které s telefony nesouvisejí vůbec a potkávám je ve firmách pořád:
Štítek místo hodnoty. Telefon nekontroloval částku, ale nálepku, kterou mu k ní někdo poslal. Ve firmách je to „schváleno“ ve sloupci tabulky, na které nikdo nepřepočítá číslo pod ním. Kontrola musí sáhnout na skutečnou hodnotu, jinak kontroluje jen to, co jí kdo napsal.
Pohodlná zkratka se stane zadními vrátky. Express Transit je chytrá věc — dokud ho nepoužije někdo, pro koho nebyl. Každá výjimka „tady to kvůli rychlosti nekontrolujeme“ je místo, kudy se jednou někdo protáhne.
Když chybu drží dva, neopraví ji nikdo. Dva dodavatelé, každý s kouskem viny, a díra zůstává pět let. Ve firmě je to účetní program a e-shop, které se nemají rády, a mezi nimi ruční přepisování. Takové švy stojí za to hledat dřív, než je najde někdo jiný.
Proto říkám, že stroj je dobrý sluha, ale zlý pán. Stroj umí hlídat neúnavně — ale jen to, na co ho nastavíme, a jen když se na výsledek opravdu podívá. Terminál v tomhle příběhu měl důkaz v ruce. Že se na něj nepodíval, nebyla chyba stroje. Tak ho navrhli lidé.
Poctivě dodávám: útok jsem sám nezkoušel. Vycházím z videa a z publikovaného výzkumu, na který odkazuje. Jestli se od natáčení v dubnu 2026 něco změnilo, nevím.