Proč je váš WhatsApp pro zloděje tak cenný
WhatsApp má celosvětově přes dvě miliardy uživatelů a v Česku patří k nejpoužívanějším komunikačním aplikacím. Právě proto ho útočníci milují. Kompromitovaný účet jim dává přístup k vaší komunikaci, kontaktům, a hlavně k důvěře druhých. Z vašeho čísla pak rozesílají podvodné zprávy, lákají kamarády na falešné soutěže nebo je žádají o peníze. Postižení se přitom mnohdy dozvídají o problému jen díky překvapeným přátelům, kteří se diví, proč jim „vy“ píšete nesmysly.
Situace se v posledních měsících výrazně zhoršuje. Koncem roku 2025 bezpečnostní firma Gen Digital popsala útočnou techniku nazvanou GhostPairing, která byla poprvé zachycena právě v Česku a záhy se rozšířila do dalších patnácti zemí Evropy. V únoru 2026 sledovala firma Whalebone rozsáhlou phishingovou kampaň zaměřenou mimo jiné na české uživatele WhatsAppu. Hrozba tedy není abstraktní, je v podstatě všudypřítomná.
Mohlo by vás zajímat
Dva způsoby, jak útočník váš účet ovládne
Útočník může postupovat dvěma zcela odlišnými cestami:
První způsob je tento: tiché připojení vlastního zařízení. WhatsApp umožňuje propojit jeden účet s několika zařízeními najednou, například s notebookem nebo tabletem. Útočník může tuto funkci zneužít. Pokud získá na pár sekund váš telefon (třeba ho necháte na stole v práci), stačí mu otevřít WhatsApp, přejít do menu Propojená zařízení a naskenovat QR kód ze svého notebooku. Vy nic nezpozorujete, ale on od té chvíle v reálném čase čte všechny vaše nové zprávy.
Nemusí mít přitom ani fyzický přístup k telefonu. Přiměje vás nainstalovat aplikaci pro vzdálenou plochu (AnyDesk, TeamViewer) pod záminkou „technické podpory“ nebo vás navede na stránku vypadající jako WhatsApp Web a požádá, abyste na ní namířili kameru. Nověji navíc WhatsApp umožňuje propojit zařízení bez QR kódu, jen zadáním osmimístného alfanumerického kódu. Útočníkovi stačí vás sociálním inženýrstvím přesvědčit, abyste mu tento kód přeposlali, například pod záminkou, že vám „omylem přišel jejich soutěžní kód“.
Druhý způsob je tento: plné převzetí účtu. Zde útočník zaregistruje vaše telefonní číslo na svém zařízení, jako byste si koupili nový telefon. K tomu potřebuje dostat šestimístný ověřovací kód, který WhatsApp pošle přes SMS. Nejčastěji ho získá takzvaným SIM swappingem: pomocí sociálního inženýrství nebo padělaných dokladů přesvědčí pracovníka vašeho operátora, aby vydal duplikát vaší SIM karty. Nebo jednoduše napíše z již dříve ukradeného účtu vašemu kamarádovi: „Ahoj, omylem mi přišel ověřovací kód na tvůj telefon, pošli mi ho.“ Pokud kód přepošlete, přicházíte o účet okamžitě.
Zdroj: screenshot aplikace, redakce
Jak rychle zjistit, zda je váš WhatsApp na cizím zařízení
Toto je nejdůležitější kontrola, kterou byste měli provádět pravidelně.
- Na Androidu otevřete WhatsApp, klepněte na tři tečky vpravo nahoře a zvolte Propojená zařízení. Na iPhonu najdete stejnou volbu přes ikonu Nastavení v pravém dolním rohu.
- Zobrazí se vám seznam všech zařízení, která mají aktuálně přístup k vašemu účtu, spolu s informací o operačním systému, posledním přihlášení a někdy i přibližné lokalitě. Pokud tam vidíte zařízení, které nepoznáte, klepněte na ně a zvolte Odhlásit se. Přístup útočníka bude okamžitě přerušen.
- Neznámé zařízení v seznamu nemusí vždy znamenat útok. Může jít třeba o zapomenuté přihlášení v prohlížeči na starém počítači. Každopádně taková přihlášení odstraňte.
Mohlo by vás zajímat
Varovné signály, které byste neměli přehlédnout
Kromě přímé kontroly zařízení existují další příznaky, na které stojí za to reagovat:
- Přátelé vám hlásí podivné zprávy, odkazy nebo žádosti o peníze, které jste nikdy neposílali.
- V chatu vidíte zprávy označené jako přečtené (modré fajfky), přestože jste daný chat neotevřeli.
- Objevují se smazané zprávy v konverzacích, které jste vy nesmazali.
- Na telefon vám přichází ověřovací SMS od WhatsAppu, ačkoliv jste se o žádné přihlášení nepokoušeli.
- Samovolně se změnil váš profilový obrázek, jméno nebo status.
- Byli jste přidáni do skupin, do nichž jste se nepřihlásili.
- Nejjasnějším signálem je situace, kdy vás WhatsApp při pokusu o otevření informuje, že vaše číslo je registrováno na jiném zařízení. To znamená, že útočník váš účet plně převzal.
Zdroj: screenshot aplikace, redakce
Co dělat, když ke kompromitaci došlo
Postup se liší podle toho, jak daleko útočník zašel.
- Stále se dostanete do aplikace? Okamžitě odhlaste všechna neznámá zařízení v sekci Propojená zařízení. Pak aktivujte dvoufázové ověření: Nastavení, Účet, Dvoufázové ověření. Zvolte si šestimístný PIN a zadejte záložní e-mailovou adresu. Od tohoto okamžiku bude jakýkoliv pokus o přeregistraci vašeho čísla vyžadovat tento PIN.
- Byli jste z aplikace odhlášeni? Zadejte znovu své telefonní číslo a vyžádejte si ověřovací kód přes SMS. Jakmile ho zadáte, útočník bude automaticky odpojen, protože WhatsApp povoluje pouze jedno primární zařízení. Pokud útočník stihl mezitím aktivovat vlastní dvoufázový PIN a vy ho neznáte, WhatsApp vám nabídne možnost resetu, ale budete čekat sedm dní. Pokud máte k účtu přidán e-mail, reset proběhne okamžitě přes odkaz v e-mailu.
- Máte podezření na SIM swap? Pokud vám náhle přestal fungovat mobilní signál, okamžitě volejte operátora a zablokujte SIM kartu.
- Ve všech případech platí: varujte okruh svých blízkých. Útočníci nejčastěji zneužívají ukradené účty k podvodům typu „syn v nouzi“ nebo rychlé žádosti o peníze. Dejte o situaci vědět přes SMS, sociální sítě nebo přímo telefonátem.
Mohlo by vás zajímat
Jak se chránit do budoucna
Základní ochranou je dvoufázové ověření. Pokud ho ještě nemáte zapnuté, udělejte to hned. Stejně důležité je mít k účtu přidaný záložní e-mail (Nastavení, Účet, E-mailová adresa), protože bez něj nemůžete rychle resetovat PIN.
WhatsApp od roku 2024 podporuje přihlašování pomocí přístupových klíčů (passkeys), tedy biometrickou autentizaci vázanou na hardwarový klíč v telefonu. Tato metoda eliminuje riziko phishingu přes SMS kódy a je výrazně bezpečnější než tradiční šestimístný kód. Nastavíte ji v Nastavení, Účet, Přístupové klíče.
Nikdy nepřeposílejte ověřovací kódy nikomu, ať vám kdokoliv říká cokoliv. WhatsApp ani žádná jiná legitimní služba tyto kódy po vás nikdy nepožaduje.
Na Androidu pravidelně kontrolujte nainstalované aplikace. Infikovaná aplikace, která čte SMS zprávy, je bohužel stále reálná hrozba. Na Windows totéž platí pro WhatsApp Web, tedy pravidelně kontrolujte, zda nemáte v prohlížeči aktivní zapomenuté přihlášení.
16 foto