Českem se na WhatsAppu šíří nový podvod. Je důvěryhodný a útočí na city

Prosba od kamaráda, která skrývá past

Zpráva dorazí z profilu někoho, koho dobře znáš. Kamarád, kolegyně nebo příbuzný tě prosí o drobnost – klikni na odkaz a hlasuj pro jeho dceru v taneční soutěži. Nic nenasvědčuje tomu, že by šlo o útok. Žádné podezřelé formulace, žádná výzva k platbě. Jen prosba o podporu blízkého člověka.

Právě tohle dělá novou vlnu podvodů na WhatsAppu tak nebezpečnou. Útočníci se neschovávají za cizí čísla, ale píšou z účtů lidí z tvého seznamu kontaktů. Bezpečnostní tým CERT-AGID varuje před kampaní, která se v Česku rychle šíří a dokáže obejít i ostražité uživatele.

Problém začíná ve chvíli, kdy po kliknutí na hlasovací web zadáváš telefonní číslo a následně potvrzuješ údajné ověření přes WhatsApp. Osmiznakový kód, který aplikace vygeneruje, není potvrzením hlasu. Je to autorizace pro připojení cizího zařízení k tvému účtu.

Web vypadá důvěryhodně, ale kód otevírá zadní vrátka

Po otevření odkazu se zobrazí stránka s fotografiami dvou finalistek, jejich jmény a průběžným počtem hlasů. Nechybí ani zmínka o pražské taneční škole. Celý web působí jako běžná internetová anketa. Fotografie soutěžících jsou přitom často generovány umělou inteligencí, takže reverzní vyhledávání obrázků nepomůže odhalit podvod.

Teprve po výběru jedné ze soutěžících stránka požádá o telefonní číslo a nabídne „ověření“ přes WhatsApp. V tuto chvíli se hlasování mění v pokus o krádež účtu. Podvodníci zneužívají legitimní funkci WhatsAppu pro propojení účtu s dalším zařízením – stejnou možnost používáš třeba při otevření aplikace na počítači.

K jednomu hlavnímu účtu lze připojit až čtyři další zařízení. Při párování přes telefonní číslo WhatsApp vytvoří osmiznakový jednorázový kód. Zadáním tohoto kódu na falešné stránce ve skutečnosti schvaluješ připojení zařízení, které ovládá útočník. Aplikace sice může ukázat název a přibližnou polohu připojovaného zařízení a podle nastavení telefonu si vyžádat biometrii nebo PIN, ale pokud uživatel věří, že jde o hlasování, tyto kontroly snadno potvrdí.

Meta proti podobným útokům přidala v březnu 2025 nová upozornění. Při podezřelém požadavku může WhatsApp uživatele varovat, že se někdo pokouší k jeho účtu připojit další zařízení. Ne všichni ale varování zaregistrují, zvlášť když zpráva přišla od důvěryhodného kontaktu.

Tvůj WhatsApp funguje dál, ale útočník vidí vše

Na rozdíl od starších podvodů, kdy útočníci vylákali šestimístný registrační kód ze SMS a přeregistrovali číslo na nový telefon, tady se z WhatsAppu neodhlásíš. Podvodník nepřevádí tvé číslo jinam, ale přidá si vlastní zařízení k již existujícímu účtu. Tvůj WhatsApp proto zůstane otevřený a na první pohled se nezmění vůbec nic.

Cizí zařízení však zůstane zapsáno mezi propojenými zařízeními v nastavení aplikace. Po spárování se na něj přenese část nedávné historie a začnou mu chodit i nové zprávy. Kolik starší komunikace se načte, závisí na způsobu připojení – desktopová aplikace WhatsApp například synchronizuje více historie než WhatsApp Web.

Útočník tak může číst tvou komunikaci a zároveň používat účet k odesílání dalších zpráv pod tvým jménem. Šifrování WhatsAppu při tomto útoku nikdo neprolomil. Problém vzniká tím, že aplikace po autorizaci začne cizí zařízení brát jako jedno z tvých.

Po získání přístupu už podvodník nemusí oslovovat lidi z cizího čísla. Stejnou prosbu o hlasování může poslat přímo z účtu, který patří jejich známému. Tak se vysvětluje, proč tento typ podvodu působí důvěryhodněji než běžný phishing. Zpráva přijde ve stávajícím chatu, pod známým jménem a často s profilovou fotografií člověka, se kterým jsi už dříve komunikoval.

Účet lze využít i na jiné scénáře. Namísto hlasování může útočník později požádat rodinu nebo známé oběti o peníze či jinou pomoc. V zahraničí se tento konkrétní útok označuje jako „truffa della ballerina„.

Pokud sis při podobném hlasování zadával kód přímo ve WhatsAppu, zkontroluj si Propojená zařízení (Linked devices). Na Androidu je najdeš přes menu v pravém horním rohu, na iPhone v nastavení aplikace. V seznamu si všimni zejména zařízení nebo polohy, kterou neznáš. Pokud se tam objeví neznámá relace, stačí na ni kliknout a zvolit Odhlásit se. Útočník tím okamžitě ztratí přístup k účtu.

CERT-AGID doporučuje i dvoustupňové ověření. WhatsApp jej v roce 2025 postupně mění a na některých účtech původní šestimístný PIN nahrazuje heslem. Tato ochrana se hodí zejména při pokusu o novou registraci čísla, nikoli u zařízení, které sis již dříve sám povolil. Další možnosti ochrany včetně passkeys najdeš mezi bezpečnostními funkcemi WhatsAppu.

Pokud z tvého účtu už odešly zprávy, ozvi se i lidem, kterým mohly přijít. Útočník může pokračovat stejným odkazem na hlasování nebo zkusit úplně jinou prosbu. Pokud tě podobná stránka požádá o párovací kód, QR kód nebo připojení dalšího zařízení, hlasování ukonči. Tyto kroky patří ke správě WhatsApp účtu, ne k internetové anketě.

Pokud zprávu poslal někdo, koho znáš, ověř si ji raději mimo WhatsApp. Krátký telefonát často stačí k tomu, abys zjistil, jestli prosbu skutečně poslal on.