Vytiskněte si fotku a jste uvnitř
Výzkumníci z britské organizace Which? otestovali od října 2022 celkem 208 smartphonů. Z nich 133 přístrojů, tedy 64 procent, šlo odemknout pouhou vytištěnou fotografií majitele. Nejednalo se přitom jen o levné přístroje z druhé cenové kategorie. Na seznamu „fotka jim stačila“ se ocitly i prémiové modely: Samsung Galaxy S25, Oppo Find X9 Pro, Motorola Razr 50 Ultra nebo Oppo Find X9.
Celý problém je vlastně překvapivě prostý. Většina Android telefonů používá takzvaný 2D systém rozpoznávání obličeje. Přední kamera pořídí snímek vaší tváře, porovná ho s uloženou fotografií z prvního nastavení, a pokud se shodují, telefon se odemkne. Systém ale nezjišťuje, jestli má tvář před kamerou skutečně hloubku — tedy jestli nejde jen o plochý obrázek.
Mohlo by vás zajímat
Jak to funguje u Applu a Googlu
Ne všechny telefony jsou na tom stejně. Apple používá od iPhonu X trojrozměrné mapování obličeje, při němž kamera promítá tisíce neviditelných bodů na tvář uživatele a měří jejich vzdálenost, kontury i hloubku. Výsledek je digitální 3D mapa, kterou nelze oklamat plochým obrázkem.
Podobnou technologii nabízejí i prémiové modely od Honoru. A kupodivu dobře obstál i Google se svými Pixely, třebaže Pixel 8, 9 a 10 stále pracují s 2D systémem. Google do nich integroval pokročilé strojové učení, které splňuje přísnou bezpečnostní třídu Class 3. Ta je podmínkou pro použití odemknutí obličejem v bankovních aplikacích. Nejnovější série Samsung Galaxy S26 pak testy úspěšně zvládla také. Zbytek trhu — zejména střední a nižší třída Android telefonů, ale jak vidíme, i řada vlajkových lodí — zůstává zranitelný.
Mohlo by vás zajímat
Výrobci, kteří mlčí
Samotné bezpečnostní selhání je jedna věc. Co situaci zhoršuje, je přístup některých výrobců ke svým zákazníkům. Část z nich sice upozornění o slabinách 2D systému zahrnuje do nastavení, ale způsobem, který většina uživatelů přehlédne. Motorola, OnePlus a Nothing patří mezi výrobce, kteří svým zákazníkům neposkytují podle Which? dostatečné varování.
Motorola přitom od roku 2022 uvedla na trh 27 modelů, které lze odemknout fotografií nebo osobou, která majitele připomíná. Přesto varování není součástí prvotního nastavení telefonu — bylo odsunuto do podmínek použití nebo schováno za odkaz „zjistit více“.
Which? jasně říká, jak by varování mělo vypadat: důrazné oznámení přímo během prvního nastavení, které explicitně upozorní uživatele, že telefon může odemknout vytištěná fotografie nebo osoba s podobným vzhledem. Ne poznámka na konci, ne odkaz, ne podmínky smlouvy. Přímé sdělení. Nothing na dotazy organizace vůbec nereagovalo. Oppo také ne.
Mohlo by vás zajímat
Co může zloděj udělat, když se dostane dovnitř
Možná si říkáte: bankovní aplikace přece vyžadují samostatné přihlášení. To je pravda a Peněženka Google i většina bankovních aplikací rozpozná, že telefon používá nízké zabezpečení, a k platbám si vyžádá otisk prstu nebo PIN. Takže o peníze přímo nepřijdete.
Ale o soukromí ano. Pokud se zloděj dostane na domovskou obrazovku, může číst vaše zprávy přes WhatsApp nebo SMS (kde se běžně pohybují jednorázové kódy pro dvoufaktorové ověření), posílat e-maily z vašeho účtu, což je klasická cesta k resetování hesel u dalších služeb, prohlížet fotogalerii včetně snímků dokladů nebo dokumentů a zjistit historii plateb v Peněžence Google. To není zanedbatelné riziko.
Mohlo by vás zajímat
Kdo za to nese odpovědnost?
Analytik Ben Wood z technologické konzultační firmy nabídl jednoduchý praktický test: pokud vám telefon nedovolí použít obličej k autorizaci platby, je to jasný signál, že rozpoznávání obličeje není dostatečně bezpečné ani pro odemknutí samotného přístroje.
Alan Goode, šéf výzkumné společnosti Goode Intelligence zaměřené na digitální bezpečnost, to formuloval ještě ostřeji: v době, kdy jsou krádeže smartphonů každodenní realitou, je zklamáním, že tolik Android zařízení nabízí odemknutí obličejem, které je ve skutečnosti jen hračkou.
Výrobci se brání různě. Fairphone tvrdí, že používá průmyslový standard, který sdílejí mnohé přední značky. Honor říká, že 2D systém považuje za nástroj pohodlí, nikoli pro citlivé transakce. Motorola doporučuje PIN. OnePlus trvá na tom, že uživatele transparentně informuje — každý si musí před aktivací odemknutí obličejem přečíst upozornění.
Mohlo by vás zajímat
Co dělat hned teď
Pokud máte Android telefon s 2D rozpoznáváním obličeje, a to pravděpodobně máte, existují konkrétní kroky, které bezpečnost výrazně zvýší:
- Přepněte na otisk prstu nebo šestimístný PIN. Jsou spolehlivější a v praxi skoro stejně rychlé.
- Nastavte PIN pro SIM kartu. Zloděj pak nemůže vaši SIM přesunout do jiného telefonu a zachytávat SMS s jednorázovými kódy od banky.
- Využijte zámek aplikací (App Lock). Většina Android telefonů tuto funkci nabízí v nastavení nebo prostřednictvím nadstavby.
- Nastavte si, aby citlivé aplikace jako e-mail, WhatsApp, fotogalerie či bankovnictví vyžadovaly otisk prstu i po odemknutí telefonu.
- Zkontrolujte, zda vaše banka vyžaduje biometrii. Pokud vás bankovní aplikace nechá přihlásit obličejem, pravděpodobně interně ví, že váš systém odemknutí je bezpečný. Pokud vyžaduje otisk nebo PIN, bere bezpečnost vážně a vy byste měli taky.
Závěr: pohodlí za cenu bezpečnosti
Rozpoznávání obličeje je pohodlné. Rychlé. Bezproblémové. Jenže pohodlí a bezpečnost jsou v tomto případě v přímém konfliktu a výrobci příliš dlouho vsázeli na to, že uživatelé rozdíl nepoznají.
Situace se pomalu zlepšuje: Samsung Galaxy S26 testy zvládl, Google Pixely obstojí. Ale 64 procent nových telefonů na trhu stále selhává. A pokud vás výrobce vašeho telefonu neinformoval jasně a viditelně o tom, že jeho face unlock zvládne překonat i tiskárna, pak vám prostě nevěnoval tu péči, kterou si jako zákazník zasloužíte.
Zdroj: Which, Which, Dailymail, chip.de, Cybersecurity insiders, mezha
19 foto
