WhatsApp vám sám stahuje infikované soubory, stačí přijmout pozvánku do skupiny. Stačí vypnout jedno nastavení

Bezpečnostní chyba ve WhatsAppu pro Android umožňuje stáhnout škodlivý soubor do telefonu, aniž byste na cokoliv klepli.

Zdroj fotografie: Picryl

Stačí, aby vás někdo přidal do připravené skupiny, nebo abyste přijali pozvánku, a WhatsApp si médium může stáhnout automaticky na pozadí. Za vším stojí funkce automatického stahování médií, která je na Androidu ve výchozím nastavení zapnutá. Právě její vypnutí je jedno nastavení, které celý tento řetězec útoku přeruší. Cesta k němu vede přes Nastavení > Úložiště a data > Automatické stahování médií. Ale pozor: i když tím odříznete hlavní spouštěč, úplná ochrana telefonu vyžaduje víc než jeden přepínač. Aktualizace aplikace, přísnější pravidla pro skupiny a obezřetnost hrají stejně důležitou roli.

Jak útok funguje krok za krokem

Chybu nahlásil bezpečnostní výzkumník Tavis Ormandy z Google Project Zero společnosti Meta 1. září 2025. Podstata problému spočívá v tom, že WhatsApp za určitých podmínek nesprávně pracoval s kontrolou kontaktů při zpracování skupin a médií. Útočník nemusel být ve vašem adresáři; stačilo mu vytvořit novou skupinu, přidat do ní váš kontakt, nastavit se jako administrátor a poslat do konverzace speciálně upravené médium. Telefon oběti si mohl soubor uložit do systému Android bez jediného klepnutí.

Důležité je rozlišit dvě věci. Samotné stažení souboru ještě neznamená, že je telefon infikovaný. Stažený soubor je útočný vektor, tedy vstupní bod, který může využít další zranitelnost v systému nebo v knihovnách zpracovávajících obrázky, videa či dokumenty. Praktický dopad se může pohybovat od spuštění škodlivého kódu přes krádež dat až po nasazení spywaru. Právě proto je tak zásadní, aby se soubor do telefonu vůbec nedostal.

Veřejně popsaný problém se týká platformy Android. Pro stejný mechanismus na iPhone se nepodařilo dohledat odpovídající veřejné informace.

Jedno nastavení, které zastaví hlavní spouštěč

Funkce automatického stahování médií existuje ve WhatsAppu roky a mnoho uživatelů o ní neví, nebo ji nikdy neměnilo. Přitom právě ona je hlavní spouštěč popsaného útoku. Její vypnutí zabere méně než minutu:

• Otevřete WhatsApp a klepněte nahoře vpravo na tři tečky.
• Zvolte Nastavení → Úložiště a data.
• V části Automatické stahování médií postupně otevřete všechny tři položky: „Mobilní data“, „Wi-Fi“ a „Roaming“.
• U každé z nich odškrtněte Fotky, Zvuk, Videa a Dokumenty.
• Potvrďte tlačítkem OK.

Od této chvíle si WhatsApp nebude stahovat média automaticky. Každý obrázek, video nebo dokument budete muset stáhnout ručně, a právě tento vědomý krok vám dává možnost škodlivý soubor ignorovat.

Podle bezpečnostní firmy Malwarebytes, která podobné scénáře analyzuje, patří vypnutí automatického stahování mezi nejúčinnější okamžité obranné kroky proti tomuto typu útoku.

Vypnout nestačí, co udělat navíc

Jedno nastavení řeší hlavní mechanismus, ale bezpečnost nestojí na jediném přepínači. Několik dalších kroků může výrazně snížit riziko:

• Omezení přidávání do skupin. V Nastavení > Soukromí > Skupiny přepněte z „Všichni“ minimálně na „Moje kontakty“ nebo „Moje kontakty kromě…“. Útočník vás pak nemůže přidat do skupiny přímo; místo toho vám musí poslat soukromou pozvánku s platností tří dnů, kterou můžete odmítnout.
• Aktualizace WhatsApp na Androidu. Meta po nahlášení chyby nejprve nasadila serverovou úpravu a následně vydala komplexnější opravu, která řeší i související varianty problému. Bez aktuální verze aplikace ale ochranu nemáte.
• Google Play Protect. Ověřte, že je aktivní; na Androidu kontroluje aplikace i stažené soubory a dokáže zachytit známé hrozby.
• Přísnější nastavení účtu. WhatsApp představil další ochranné funkce určené především novinářům, aktivistům a veřejně známým osobám. Některé z nich omezují přílohy a média od neznámých kontaktů. Pro běžného uživatele nejsou nutností, ale pro rizikové skupiny mohou být užitečné.

Co dělat, když máte podezření na kompromitaci

Samotný škodlivý soubor v telefonu okem nepoznáte; nemá červený vykřičník ani varovný název. Sledujte spíš nepřímé příznaky: náhlé zpomalení zařízení, podivná vyskakovací okna, neočekávaně rychle mizící úložiště, zprávy odeslané z vašeho účtu bez vašeho vědomí nebo neobvyklé chování bezpečnostních aplikací.

Pokud něco z toho pozorujete, Google doporučuje spustit kontrolu přes Play Protect, aktualizovat systém i všechny aplikace a projít seznam nainstalovaných programů. Cokoliv, co nepoznáte nebo jste sami neinstalovali, odinstalujte. V krajním případě pomůže tovární reset, ideálně po záloze důležitých dat.

Český kontext: potvrzené případy chybí, opatrnost ne

U této konkrétní chyby se nepodařilo dohledat veřejně potvrzené případy zneužití v českých účtech WhatsApp. NÚKIB ale v prvním čtvrtletí 2025 řešil jinou kampaň cílenou na WhatsApp; ruský aktér Star Blizzard se pokoušel převzít účty pomocí falešného QR kódu vydávaného za skupinovou pozvánku. Šlo o jiný typ útoku, ale společný jmenovatel byl podobný: skupinové pozvánky jako návnada.

WhatsApp od srpna 2025 zobrazuje u nových skupin od lidí mimo kontakty bezpečnostní přehled a drží notifikace ztišené, dokud nepotvrdíte, že chcete ve skupině zůstat. Je to krok správným směrem. Ale první a nejdůležitější krok je na vás: otevřít nastavení a vypnout automatické stahování dřív, než to za vás udělá někdo jiný.