7 milionů lidí si stáhlo aplikace, které slibovaly čtení cizích SMS a hovorů. Místo toho jim kradly peníze z účtu

Analytici z ESETu odhalili v Google Play 28 podvodných aplikací s více než 7,3 milionu stažení, které slibovaly přístup k cizím zprávám a hovorům.

Zdroj fotografie: Pexels

Číslo 7 milionů pochází přímo z reportu ESET Research, který analytik Lukáš Štefanko publikoval 7. května 2026. Celkem 28 aplikací, které ESET označuje jako kampaň CallPhantom, nasbíralo v oficiálním obchodě Google Play dohromady přes 7,3 milionu stažení. Aplikace slibovaly něco, co zní lákavě a zároveň by mělo okamžitě rozsvítit varovné kontrolky: přístup k historii hovorů, SMS zprávám a záznamům WhatsAppu cizího telefonního čísla. Stačilo zadat číslo a aplikace údajně vytáhla kompletní komunikační historii. Ve skutečnosti žádná z nich nic takového neuměla. Po zadání čísla zobrazila náhodně vygenerovaná nebo předem připravená falešná data a za jejich „odemčení“ chtěla zaplatit. Peníze odcházely třemi cestami: přes oficiální předplatné v Google Play, přes platby mimo Google Play pomocí indického systému UPI nebo přímo přes formulář pro zadání platební karty uvnitř aplikace.

Samotný slib by měl být varovným signálem

Běžná aplikace pro Android nemá legální ani technickou cestu k SMS zprávám, hovorům nebo historii WhatsAppu cizího člověka. Google přístup k záznamům hovorů a SMS na Androidu silně omezuje. Mohou s nimi pracovat především výchozí aplikace pro volání a zprávy, případně výjimečně schválené aplikace s odpovídajícím oprávněním. Aplikace z kampaně CallPhantom přitom žádná taková oprávnění ani nepotřebovaly, protože ve skutečnosti nic nečetly. Celý podvod stál na sociálním inženýrství: slíbit zakázanou „superschopnost“, zabalit ji do profesionálně vypadajícího listingu v Play Storu a inkasovat peníze dřív, než uživatel zjistí, že výsledky jsou smyšlené.

ESET zdůrazňuje, že právě absence invazivních oprávnění paradoxně pomohla aplikacím projít kontrolou. Nevypadaly jako spyware. Nevypadaly nebezpečně. Vypadaly jako nudné utility, a přesně to jim pomohlo projít prvním filtrem.

Tři cesty, jak z uživatelů tekly peníze

Monetizace aplikací CallPhantom nebyla jednotná, a právě to komplikuje případné vracení peněz.

• Předplatné přes Google Play – některé aplikace využívaly oficiální platební systém. Tady má uživatel relativně slušnou šanci na refundaci přímo přes Google, protože platba je evidovaná a dohledatelná.
• UPI platby mimo Google Play – jiné aplikace přesměrovávaly uživatele na platbu přes třetí aplikace podporující indický platební systém UPI. Tyto transakce Google neeviduje, takže refundace přes něj nepřipadá v úvahu.
• Přímé zadání karty v aplikaci – nejrizikovější varianta. Uživatel zadal číslo karty přímo do platebního formuláře uvnitř aplikace. Peníze šly mimo kontrolovaný platební kanál Google Play.

Rozdíl je zásadní. Pokud platba na výpisu z účtu začíná na „GOOGLE*…“, šla přes oficiální systém a Google umožňuje žádat o vrácení peněz. U plateb kartou a přes PayPal je lhůta 120 dní od transakce, u operátorského účtování 60 dní. Pokud ale platba přes Google nešla, zbývá kontaktovat banku, případně v českém prostředí Kancelář finančního arbitra.

Co dělat, pokud jste některou z aplikací měli v telefonu

ESET ve svém reportu zveřejnil kompletní seznam všech 28 názvů i technických identifikátorů (package names). Největší z nich měly přes 3 miliony, 1,5 milionu a další stovky tisíc stažení. Pokud máte Android, první krok není jen odinstalace, protože ta sama o sobě předplatné neruší. Google to výslovně uvádí ve své nápovědě.

Postup vypadá takto:

• Otevřete Google Play, přejděte do sekce Platby a předplatné a zkontrolujte aktivní předplatná. Pokud tam některá z aplikací CallPhantom figuruje, zrušte ji.
• Projděte historii objednávek v Google Play a výpis z platební karty. Hledejte transakce, které nepoznáváte.
• Pokud jste zadávali kartu přímo v aplikaci, kontaktujte banku a nahlaste podezřelou transakci.
• Spusťte ručně Play Protect. Umí aplikace zkontrolovat, varovat před nimi a případně je odstranit.

ESET kampaň nahlásil Googlu 16. prosince 2025. K datu publikace reportu v květnu 2026 byly všechny aplikace z obchodu odstraněny. Jenže „odstraněny“ neznamená nutně „navždy pryč“. Naše kontrola v srpnu 2026 ukázala, že nejméně jedna identifikace aplikace ze seznamu ESETu je v Google Play znovu dostupná, s upraveným popisem, který už tvrdí jen práci s vlastní nebo simulovanou historií hovorů. Zda současná verze obsahuje stejné podvodné chování, z veřejně dostupných dat nelze potvrdit. Vzorec, kdy se nahlášená aplikace vrátí s upraveným popisem, ale v historii Google Play není ničím novým.

Proč to funguje a jak se bránit

CallPhantom není klasický spyware. Nekrade kontakty, nefotí přes kameru ani neposílá SMS na prémiová čísla. Vydělává na zvědavosti. Na touze vědět, s kým volá partner, co píše kolega nebo komu telefonuje soused. A právě proto je tak účinný: slib je silnější než zdravý rozum.

Jak podvodnou aplikaci poznat ještě před stažením:

• Slibuje něco nelegálního nebo technicky nemožného, například „cizí SMS“ nebo „cizí WhatsApp hovory pro jakékoli číslo“.
• Ukazuje snímky obrazovky s citlivými daty bez vysvětlení, odkud je bere.
• Tlačí na platbu dřív, než ukáže reálně ověřitelnou funkci.
• Vede mimo oficiální platební systém Google Play nebo chce kartu přímo v aplikaci.
• Recenze zmiňují „scam“, „fake results“ nebo naopak vypadají podezřele pochvalně a šablonovitě.

ESET veřejně neuvádí geografický rozpad stažení podle států, takže kolik českých uživatelů mezi 7,3 milionu bylo, nevíme. Kampaň cílila primárně na Indii, čemuž nasvědčuje předvolená předvolba +91 i podpora UPI. To ale neznamená, že se aplikace nemohly dostat k uživatelům jinde. Byly v globálním obchodě, v angličtině a s univerzálním slibem.

Sedm milionů stažení ukazuje, kolik lidí kliklo na slib, který už sám o sobě měl být varováním. Žádná běžná aplikace v telefonu vám legálně nedá přístup k cizím zprávám, a pokud to tvrdí, jediné, co chce číst, je číslo vaší karty.