Policie varuje: WhatsApp otevřel dveře podvodníkům. Na toto nikdy nereagujte

Konec června 2026 přinesl uživatelům WhatsAppu možnost zarezervovat si vlastní uživatelské jméno ve formátu @Jmeno123. Místo telefonního čísla stačí předat textový identifikátor a ochránit tak své soukromí. Jenže právě tento krok otevřel prostor, ve kterém se podvodníci cítí jako doma.

Důvěra se přesouvá od čísla k textu. A textové jméno lze napodobit. Stačí přidat podtržítko, číslici nebo změnit jediné písmeno. Útočník si nastaví profilovou fotku banky, policie nebo celebrity, napíše naléhavou zprávu a oběť vidí kontakt, který vypadá naprosto legitimně.

Když soukromí otevírá dveře útoku

Ayten Öksüzová z německé spotřebitelské organizace Verbraucherzentrale NRW v rozhovoru pro ZDF upozornila na dvě zásadní hrozby. „Volitelná jména otevírají nové riziko klamání, protože útočník se může vydávat za známou osobu, firmu nebo úřad“, říká Öksüzová. Druhý problém vidí v propojení platforem Meta: kdo použije stejné uživatelské jméno jako na Instagramu nebo Facebooku, vytváří snadno rozpoznatelný identifikátor napříč sítěmi.

WhatsApp sice tvrdí, že chrání jména nejexponovanějších veřejných osobností a ověřených účtů Meta. Tvůrci, značky a firmy si mohou přednostně rezervovat své stávající uživatelské jméno z Instagramu nebo Facebooku, pokud mají profily propojené v Centru účtů Meta. Úplný seznam rezervací ale firma nezveřejnila. A právě ten „dlouhý ocas

Indie zareagovala okamžitě. Ministerstvo elektroniky a informačních technologií 1. července 2026 vyzvalo WhatsApp, aby zavádění funkce v zemi pozastavil do dokončení konzultací. Podle serveru The Indian Express vládní oznámení varovalo před nárůstem phishingu, podvodů a vydávání se za někoho jiného. Ministerstvo chtělo vysvětlení do tří dnů.

Redakce TechCrunch při vlastním testování na začátku července zjistila, že řada uživatelských jmen připomínajících jména politiků a celebrit byla stále volná k rezervaci. Ochrana funguje jen částečně.

Jak útok vypadá v praxi a proč funguje

Mechanismus je překvapivě prostý. Útočník si zvolí uživatelské jméno blízké skutečnému názvu úřadu nebo jménu celebrity – třeba s jedním písmenem navíc, podtržítkem nebo číslem. Nastaví si odpovídající zobrazované jméno, nahraje profilovou fotku a pošle naléhavou zprávu. Oběť vidí „správně vypadající“ WhatsApp s tímto scénářem počítá. V oficiálním FAQ k uživatelským jménům přiznává, že blokuje některá klíčová slova – konkrétně výrazy jako „bank“.

V Česku WhatsApp už dávno slouží jako kanál pro podvody založené na vydávání se za někoho jiného. Policie ČR letos v únoru popsala případy, kdy se podvodníci vydávali za příbuzné v nouzi a přes WhatsApp žádali o peníze. V dubnu pak pražská policie řešila případ, kdy se oběť dostala do kontaktu s falešným policistou a falešným „pracovníkem ČNB

Uživatelská jména na messengerech nejsou novinka. Srovnání s konkurencí ale ukazuje, jak odlišně lze stejný nástroj navrhnout.

Telegram je nejotevřenější: uživatelské jméno je veřejné, objevuje se v globálním vyhledávání a kdokoli vám může napsat bez znalosti čísla. Pohodlné, ale rizikové.

Signal je nejpřísnější: uživatelské jméno není veřejný identifikátor, neexistuje adresář, pro kontakt je potřeba přesné jméno a každé uživatelské jméno musí obsahovat alespoň dvě číslice na konci, což ztěžuje podvržení identity.

WhatsApp se pohybuje mezi oběma: nemá veřejný adresář, vyžaduje přesnou znalost uživatelského jména a nabízí volitelný „username key“.