Někdy v roce 2024 se na TikToku objevilo krátké, nekvalitní video. Zachycovalo drobnou světlou rybu, jak vychází z ručně pumpovaného vrtu kdesi u indicko-nepálské hranice. Žádný profesionální záběr, žádný vědecký komentář, jen pár sekund rozmazaného záznamu z telefonu. Jenže právě ten klip zaujal ichtyology natolik, že vyrazili do terénu. Po měsících terénního pátrání, ručního odčerpávání tisíců litrů vody, CT skenování a genetických analýz popsali zcela nový rod i druh podzemní ryby: Gangaichthys indonepalicus. Studii publikoval časopis ZooKeys v roce 2026. Když se říká, že ryba „žije pod zemí“, nemyslí se tím jeskyně, ale život v podzemních vodonosných vrstvách, takzvaných aluviálních akviferech Indo-gangské nížiny, zhruba deset metrů pod povrchem. A „nemá oči ani žebra“ je potřeba číst přesně: oči má redukované a překryté kůží, takže navenek nejsou viditelné, a na mikro-CT skenech se neukázala žádná zkostnatělá žebra, i když autoři studie sami upozorňují, že slabě osifikované nebo chrupavčité struktury mohly bez kontrastní látky uniknout detekci.

Amatérské video spustilo vědeckou expedici

Vědce na videu nezaujala obrazová kvalita. Zaujala je kombinace znaků, které šlo rozeznat i z neformálního záznamu: velmi malá, bezbarvá ryba neobvyklého tvaru, a hlavně fakt, že vylézala z vrtu napojeného na podzemní vodu. V regionu severního Biháru přitom nikdo do té doby podzemní rybu nezaznamenal. To byl signál.

Výzkumníci se vydali do oblasti kolem vesnice Balgangwa v okrese Paščim Čampáran. Prověřili více než patnáct vrtů, u každého museli získat souhlas majitele. Pak začali ručně pumpovat. První exemplář se objevil po odčerpání asi dvou tisíc litrů vody, ale poškodil se a okamžitě uhynul. Jediný neporušený kus, pozdější holotyp nového druhu, získali až po dalších zhruba pěti stech litrech ze stejného vrtu. Celkem mají vědci k dispozici tři exempláře ze dvou vrtů. Fotografické záznamy ukazují výskyt i v nepálském Trivení, asi jedenáct kilometrů vzdušnou čarou. To je zatím vše, co o známém areálu druhu víme.

Průsvitné tělo, zakryté oči a chybějící žebra

Gangaichthys indonepalicus patří do čeledi Chaudhuriidae, drobných úhořovitých ryb jižní a jihovýchodní Asie. Je ale prvním známým podzemním zástupcem celé čeledi a zároveň jejím nejseverněji nalezeným druhem; objev rozšířil známý areál čeledi o zhruba pět kilometrů západním směrem.

Ryba měří kolem čtyř centimetrů. Tělo je průsvitné, bez pigmentu. Má 64 obratlů a jediný paprsek prsní ploutve. Oči jsou silně redukované a zakryté kůží, klasická adaptace na trvalou tmu, kterou známe i u jiných podzemních organismů, třeba u balkánského olmě, jediného evropského obratlovce plně přizpůsobeného životu v jeskyních. U žeber je situace složitější. Mikro-CT skeny žádná zkostnatělá žebra neodhalily, ale autoři studie před definitivním závěrem varují: u tak drobného tvora mohly chrupavčité nebo slabě mineralizované struktury zůstat neviditelné. Bezpečně lze říct, že na skenech se žebra neukázala. Ne že neexistují.

Geneticky se druh v markeru CO1 liší v průměru o 20,7 % od příbuzného druhu Chaudhuria caudata a o 22,2 % od Pillaia indica. Tak velká divergence spolu s unikátní anatomií vedla k vyčlenění do zcela nového rodu.

Biologicky neprobádaný svět pod nohama miliard lidí

Nejpozoruhodnější na celém příběhu není jen samotná ryba. Je to místo, odkud pochází. Indo-gangská nížina zásobuje vodou stovky milionů lidí, podílí se na zhruba čtvrtině globální těžby podzemní vody a hydrogeologicky patří k nejvýznamnějším oblastem s rozsáhlými akvifery. Biologicky ji ale prakticky nikdo nezkoumal. Vrty tu slouží k zavlažování a zásobování vodou, ne k ichtyologickému průzkumu.

Podle specializované databáze podzemních ryb světa bylo k srpnu 2026 evidováno už 333 druhů jeskynních a podzemních ryb a seznam průběžně roste. Podzemní prostředí přitom neskrývá jen ryby: existují troglobitní obojživelníci, specializovaní bezobratlí i celé ekosystémy uzavřené před světlem. V Česku sice žádného srovnatelného podzemního obratlovce nemáme (naše jeskyně hostí hlavně bezobratlé a druhy, které do podzemí pronikají jen částečně), ale globálně jde o obrovský, špatně přístupný svět, který teprve začínáme mapovat.

TikTok jako vědecký podnět, ne důkaz

Bylo by lákavé prohlásit, že sociální sítě nahrazují terénní výzkum. Nenahrazují. V tomto případě TikTok posloužil jako prvotní stopa, biologický podnět, který přesměroval pozornost vědců k regionu, kde by jinak nehledali. Samotný důkaz dodaly až měsíce fyzické práce v terénu, laboratorní analýzy a recenzovaná publikace.

Trend ale existuje. Platformy jako iNaturalist už dnes systematicky převádějí amatérská pozorování do výzkumně použitelných dat a stojí za tisíci odborných studií. Recenzovaná literatura potvrzuje, že sociální sítě dávají občanské vědě nástroje pro nábor dobrovolníků i přímý sběr dat. TikTok v tomhle ekosystému funguje spíš jako zdroj prvotních stop než jako monitorovací systém. Ale někdy stačí jedna stopa.

Křehký objev v ohrožené vodě

Tři exempláře ze dvou vrtů v okruhu jedenácti kilometrů. To je všechno, co o výskytu Gangaichthys indonepalicus zatím víme. Indická podzemní voda je přitom pod enormním tlakem: intenzivní zemědělské čerpání, rostoucí populace a klimatické výkyvy. Oficiální data indického ministerstva vodních zdrojů potvrzují, že tlak na podzemní vody zůstává celostátně vysoký. Konkrétní dopad na nově objevený druh zatím nikdo nevyčíslil, ale riziko je zřejmé: ryba, kterou jsme právě objevili, žije v prostředí, které systematicky vyčerpáváme.

Někde pod rýžovými poli severního Biháru, deset metrů pod povrchem, plave průsvitná ryba bez funkčních očí. O její existenci jsme nevěděli, dokud někdo nenatočil pár sekund rozmazaného videa na telefonu.

Pixely zobrazující stejný prvek stárnou

OLED a AMOLED displeje fungují jinak než starší LCD. Každý pixel svítí sám za sebe, žádné podsvícení zde není. To přináší skvělý kontrast, ale i jednu nevýhodu: pixely, které dlouhodobě zobrazují stejný jasný prvek, stárnou rychleji než okolní. Výsledkem je nerovnoměrné opotřebení; na místě, kde měsíce svítila bílá ikona nebo navigační lišta, může zůstat slabý „duch“ i po přepnutí na jiný obsah.

Apple ve své oficiální dokumentaci rozlišuje dva stavy. Prvním je dočasná retence obrazu, která po chvíli odpočinku displeje zmizí. Druhým je trvalé vypálení (burn-in), kdy pixely fyzicky degradují a software už problém spolehlivě neopraví. Rozdíl je zásadní: retence je dočasný jev, zatímco vypálení může znamenat nutnost výměny panelu.

Proč zrovna TikTok a co je na tom specifického

TikTok není jediná riziková aplikace, ale má jednu vlastnost, která zvyšuje pravděpodobnost nerovnoměrného opotřebení. Samotné video se neustále mění, scrollujete z klipu na klip. Ovládací prvky rozhraní však zůstávají na stejném místě: spodní navigační lišta, ikona hledání, tlačítko profilu nebo horní textové prvky. Při dlouhém používání na vysokém jasu se tak stále zobrazují stejné světlé a kontrastní prvky.

Stejný princip ale platí i pro systémové prvky Androidu. V experimentu byla u OnePlus Nord 2T nejviditelnější právě spodní navigační lišta operačního systému, nikoli samotný TikTok. Ohrožené jsou i klávesnice, stavový řádek nebo aplikace s dlouhodobě neměnným rozhraním. U OLED televizorů jde o stejný problém: LG mezi typické příčiny řadí loga televizních stanic, sportovní skóre nebo herní prvky HUD.

Jak si displej zkontrolovat za jednu minutu

Nepotřebujete nic instalovat. Stačí otevřít v prohlížeči stránku Test Burn-In od Screen Detect, přepnout ji do režimu celé obrazovky a zobrazit šedou plochu. Postup vypadá takto:

• Vyčistěte displej – otisky prstů a šmouhy mohou výsledek zkreslit.
• Zapněte šedou obrazovku – hledejte fixní stíny, zejména v místech stavového řádku, navigační lišty nebo často používaných aplikací.
• Přepněte na bílou, červenou, zelenou a modrou – pokud se stín opakuje na stejném místě napříč barvami, jde o relevantní signál.
• Zopakujte test po krátké pauze – nechte displej několik minut odpočinout a test proveďte znovu. Pokud stín zmizí, pravděpodobně šlo jen o dočasnou retenci.

Důležité upozornění: tento test je pouze vizuální screening, nikoli servisní diagnostika. Screen Detect sám uvádí, že nástroj může odhalit stopy vypálení, ale nedokáže s jistotou určit jejich příčinu ani posoudit, zda máte nárok na záruční opravu.

Které telefony z testu se prodávaly i v Česku

Všechny tři testované modely se v Česku běžně prodávaly. OnePlus Nord 2T (6,43″ AMOLED, 90 Hz) i realme GT Neo 2 (6,62″ E4 AMOLED, 120 Hz) dnes na Heurece figurují se statusem „tento produkt již nenabízí žádný e-shop“; jde o výběhové modely s desítkami českých uživatelských recenzí. OnePlus Nord 3 (6,74″ Super Fluid AMOLED, 120 Hz) měl při posledním ověření stále aktivní nabídky. Nešlo tedy o exotické přístroje, ale o běžně prodávanou střední třídu, kterou v Česku používají tisíce lidí.

Jak vypálení zpomalit anebo řešit

Prevence je jednodušší než oprava. Z oficiálních doporučení Applu a Samsungu vyplývá několik pravidel:

• Zapněte automatický jas, aby displej zbytečně nesvítil na maximální úroveň.
• Zkraťte dobu automatického zhasnutí obrazovky.
• Nenechávejte aplikace zbytečně dlouho otevřené na displeji při vysokém jasu.
• Aktualizujte systém, protože výrobci průběžně vylepšují ochranné algoritmy displeje.
• Pokud telefon nabízí funkce pro ochranu OLED panelu, používejte je.

U lehké retence často pomůže jen odpočinek displeje a střídání zobrazovaného obsahu. U výrazného trvalého vypálení ale software zázraky neudělá. Konečným řešením bývá výměna panelu v autorizovaném servisu.

Minuta se šedou obrazovkou vám může napovědět, jestli je váš displej v pořádku, nebo jestli na něm dlouhé hodiny strávené na TikToku zanechaly víc než jen vzpomínky na virální videa.

Co přesně hodinky dělají s TikTokem

Nejdřív to nejdůležitější: na hodinkách neběží TikTok. Žádná miniaturní verze aplikace, žádné video na displeji hodinek. OPPO Watch X3 fungují jako bezdrátový ovladač, který posílá příkazy spárovanému telefonu OPPO. Telefon přehrává, hodinky řídí. Swipe nahoru, swipe dolů, pauza, vše ze zápěstí.

Oficiální specifikace na českém webu OPPO mluví o „ovládání krátkých videí“ a výslovně jmenují dvě podporované platformy: TikTok a YouTube Shorts. Žádné jiné. Instagram Reels, Facebook Reels ani další služby s krátkými videi v seznamu nefigurují. A funguje to výhradně s telefony OPPO s ColorOS 15 a novějším, majitelé iPhonů nebo jiných androidů mají smůlu.

Proč to zní absurdně, ale dává to smysl

Absurdní je hlavně nápad, ne provedení. Hodinky jako ovladač videí zní jako řešení problému, který nikdo nemá. Jenže stačí si vzpomenout na pár běžných momentů: telefon na nočním stolku, vy v posteli. Telefon na stativu, vy před kamerou. Telefon na kuchyňské lince, vy s moukou na prstech. Najednou je palec na hodinkách rychlejší a pohodlnější než natahování se po telefonu.

OPPO funkci neřadí mezi marketingové kuriozity. Na české produktové stránce ji najdete v sekci „bezproblémové propojení s telefonem OPPO“ vedle dálkového ovládání fotoaparátu s živým náhledem. A právě ta kamera je možná ještě silnější polovina téhož mostu: hodinky zobrazí na displeji to, co vidí objektiv telefonu, a vy můžete na dálku fotit selfie, skupinové snímky nebo záběry z nízké perspektivy, aniž byste se hnali proti samospoušti. Ovládání krátkých videí je rozšíření stejné logiky, hodinky jako prodloužená ruka k telefonu.

Jak si stojí konkurence

Dálkové ovládání fotoaparátu z hodinek není nic nového. Apple Watch mají Camera Remote s náhledem, zoomem, expozicí i bleskem. Samsung Galaxy Watch nabízí Camera Controller s přepínáním kamer a náhledem pořízených snímků. Obě platformy v tomto směru fungují spolehlivě.

Co ale ani Apple, ani Samsung v oficiální dokumentaci nenabízejí, je explicitní podpora scrollování TikToku nebo YouTube Shorts. Apple Watch sice umějí přes přístupnost obecně ovládat blízká zařízení, ale to je spíš systémová berle než cílená funkce. OPPO je v tomto ohledu první, kdo ovládání krátkých videí staví jako plnohodnotný prodejní argument.

Cena v Česku a co je potřeba vědět před koupí

OPPO Watch X3 se v Česku prodávají. Oficiální web odkazuje na prodejce MP.cz, Huramobil a iSpace. Při naší rešerši začátkem července 2026 měl Huramobil model Misty Titanium skladem za 9 490 Kč, se slevovým kódem dokonce za 7 990 Kč. To je za titanové hodinky s AMOLED displejem a výdrží až pět dní ve Smart Mode solidní vstupní cena.

Než ale sáhnete po peněžence, pár klíčových omezení:

• Žádná podpora iOS. Hodinky vyžadují Android 9.0 a vyšší s Google Mobile Services.
• Ovládání krátkých videí a kamera fungují výhradně s telefony OPPO s ColorOS 15+. Máte-li jiný Android, základní funkce hodinek poběží, ale o vzdálené ovládání TikToku i fotoaparátu přijdete.
• Výdrž při aktivním streamování náhledu z kamery OPPO samostatně neuvádí. Laboratorní scénáře počítají s 500 sekundami synchronizace dat denně a slibují tři dny při náročném používání.

Kuriozita, nebo návyk?

Upřímně, podle nás je ovládání TikToku z hodinek přesně ten typ funkce, kterou poprvé vyzkoušíte ze zvědavosti a pak zjistíte, že ji používáte každý večer na gauči. Není to důvod kupovat hodinky. Ale je to důvod, proč je nesundáte.

OPPO Watch X3 představilo svou vizi 21. dubna 2026 a produktový manažer Scar Cao tehdy mluvil o hodinkách, které se mají „hladce začlenit do každodenního života“. Scrollování TikToku palcem na zápěstí je přesně ta drobnost, která to splňuje, ne proto, že by byla převratná, ale proto, že je absurdně pohodlná.

Jak přesně Rokarolla přebírá telefon

Pojem „ovládne telefon“ v tomto případě není vůbec nadsázka. Veřejně dostupný repozitář příkazů na GitHubu ukazuje 137 různých instrukcí, které může operátor malwaru zařízení poslat. Mezi nimi jsou:

• čtení a odesílání SMS zpráv
• zaznamenávání stisků kláves (keylogger)
• pořizování snímků obrazovky
• práce se schránkou (clipboard)
• skrytí vlastní ikony z nabídky aplikací
• ztlumení zvuku a vibrací
• udržování displeje v aktivním stavu

Prakticky to znamená, že útočník vidí vše, co oběť na telefonu dělá, a zároveň dokáže skrýt stopy vlastní aktivity. Telefon se chová normálně, jen už nepatří svému majiteli.

Blokování hovorů: proč se vám banka nedovolá

Rokarolla si podle analýzy Zimperium zLabs vyžádá roli výchozí aplikace pro SMS a službu pro screening hovorů. Na Androidu to znamená, že aplikace získá pravomoc filtrovat příchozí hovory ještě předtím, než telefon vůbec zazvoní. Konkrétní příkazy disable_calls, calls_block a enable_calls dávají operátorovi možnost selektivně umlčet volání z banky nebo z čísel, která by mohla oběť varovat.

Důsledek je prostý: banka detekuje podezřelou transakci, zavolá klientovi, ale hovor se nikdy neprojeví. Notifikace z bankovní aplikace? Skrytá. SMS s varovným kódem? Přečtená a smazaná dříve, než ji uživatel uvidí.

Od falešného přihlášení k prázdnému účtu

Samotná krádež peněz probíhá v několika krocích. Malware nejprve zjistí, jaké finanční aplikace jsou v telefonu nainstalované, a porovná je se svým seznamem 217 cílových aplikací. Pokud najde shodu, stáhne ze vzdáleného serveru odpovídající HTML overlay, tedy falešnou přihlašovací obrazovku, která vypadá identicky jako skutečná aplikace.

Při dalším spuštění bankovní aplikace se overlay zobrazí nad ní. Oběť zadá přihlašovací údaje do podvrženého formuláře, aniž si čehokoli všimne. Mezitím Rokarolla odchytí i PIN nebo gesto k odemčení telefonu a přečte potvrzovací SMS kód. Banka na své straně vidí legitimní relaci z legitimního zařízení klienta, takže tradiční protifraudové systémy nemusejí nic zachytit.

Důležitá poznámka: ve veřejně dostupných materiálech se nepodařilo potvrdit, že mezi 217 cíli figurují konkrétní české bankovní aplikace. Ukázkový snímek overlaye zobrazuje španělskou banku Imagin. To ovšem neznamená, že české banky ohroženy nejsou – seznam cílů nebyl kompletně zveřejněn.

Proč zrovna TikTok a Chrome a jak se bránit

Útočníci nesázejí na obskurní značky. TikTok a Chrome patří mezi nejrozpoznatelnější aplikace na světě. Když uživatel na podvodném webu uvidí známou ikonu a výzvu k aktualizaci, pravděpodobnost, že soubor stáhne a povolí instalaci z neznámého zdroje, dramaticky roste. Nejde přitom o skutečné aplikace z Google Play – celá nákaza stojí na sideloadingu mimo oficiální obchod.

Jak riziko minimalizovat:

• Instalovat aplikace výhradně z Google Play.
• Nikdy nepovolovat oprávnění Accessibility, SMS ani oprávnění k hovorům aplikaci, která je ke své funkci zjevně nepotřebuje.
• Nechat zapnutý Google Play Protect, který skenuje i aplikace z jiných zdrojů.
• Pokud banka nabízí potvrzování transakcí prostřednictvím vlastní bezpečnostní aplikace (například KB Klíč u Komerční banky), upřednostnit ji před SMS kódy.

Google 18. června 2026 prostřednictvím serveru BleepingComputer sdělil, že známé verze Rokarolly už Play Protect automaticky blokuje. To je dobrá zpráva, ale pouze pro ty, kteří ochranu nevypnuli a neodsouhlasili instalaci navzdory varování.

Co dělat při podezření na infekci

Příznaky mohou být nenápadné: telefon zůstává rozsvícený, zvuk se sám ztišuje, v nabídce aplikací chybí ikona nedávno nainstalované aplikace nebo se objevují neočekávané přihlašovací obrazovky. Pokud máte podezření, okamžitě přestaňte z napadeného zařízení přistupovat k bankovním službám. Na jiném, důvěryhodném zařízení změňte hesla a kontaktujte svou banku. Na telefonu zkontrolujte Play Protect, odinstalujte podezřelé aplikace a v krajním případě proveďte tovární nastavení, které však smaže veškerá data.

Rokarolla není jen další virus v mobilu. Je to nástroj, který útočníkovi umožňuje obejít zabezpečení banky nikoli na serveru, ale přímo v ruce oběti. Právě proto si zaslouží pozornost i těch, kteří si myslí, že jim se to stát nemůže.

Jak útok probíhá krok za krokem

Celý řetězec začíná nenápadně. Oběť narazí na odkaz na podvrženém webu, v neoficiálním obchodě s aplikacemi nebo na sociální síti a stáhne si APK soubor vydávající se za Chrome či TikTok. Po instalaci se aplikace zamaskuje jako Google Play Protect a zobrazí falešnou aktualizační obrazovku. Mezitím na pozadí stahuje druhý stupeň útoku: samotné jádro Rokarolly.

Pak přijdou žádosti o oprávnění. Přístupnost (Accessibility), SMS, notifikace, hovory. Každé z nich zní technicky, každé vypadá jako běžný systémový požadavek. Jakmile uživatel vše odsouhlasí, malware porovná seznam nainstalovaných aplikací se svou databází 217 cílů – bankovních aplikací i kryptoměnových peněženek. Pro každou nalezenou shodu stáhne odpovídající HTML phishingový formulář. A čeká.

Ve chvíli, kdy oběť otevře svou bankovní aplikaci, Rokarolla přes ni překryje falešné přihlašovací okno. Uživatel zadá jméno, heslo, číslo karty a vše putuje rovnou útočníkům. Celý mechanismus popsal Zimperium v technickém reportu, který dokumentuje 137 vzdálených příkazů, jimiž lze telefon ovládat.

Dvoufázové ověření bohužel nepomůže

Tady je klíčový bod. Rokarolla nekrade jen heslo. Krade všechno, co se na kompromitovaném telefonu děje. Řetězec obcházení druhého faktoru vypadá takto:

• SMS kód: Malware má oprávnění ke čtení SMS, může se dokonce nastavit jako výchozí SMS aplikace. Ověřovací kód z banky přečte a přepošle útočníkovi dřív, než si ho oběť stihne všimnout.
• Notifikace: Pokud banka posílá kód jako push notifikaci místo SMS, Rokarolla ho zachytí přes přístup k notifikacím.
• Ruční opis kódu: I kdyby uživatel kód opisoval ručně, malware ho zachytí keyloggerem nebo čtením obsahu obrazovky přes Accessibility.
• Telefonát z banky: Když banka zavolá kvůli podezřelé transakci, malware umí příchozí hovor odmítnout. Oběť se o pokusu o kontakt ani nedozví.

Nejde tedy o selhání samotného principu dvoufázového ověření. Jde o to, že obě fáze – heslo i potvrzovací kód – probíhají na stejném kompromitovaném zařízení. Český NÚKIB na tento problém upozorňoval už v minulosti u malwaru QRecorder: jakmile útočník ovládne telefon, na kterém přijímáte potvrzovací kódy, druhý faktor přestává být druhým faktorem.

Není známo, kolik útoků proběhlo, ale málo to nebude

Veřejně známý počet obětí nebo vykradených účtů k 25. červnu 2026 neexistuje; Zimperium ani Google konkrétní počty nezveřejnily. Rozsah kampaně ale dokládají jiná čísla: 217 cílených finančních aplikací napříč bankami i kryptoměnovými peněženkami, 137 příkazů pro vzdálené ovládání zařízení a distribuce přes více kanálů současně. Rokarolla navíc umí manipulovat schránkou a měnit kopírované kryptoměnové adresy, takže krádeže se neomezují jen na klasické bankovní přihlášení.

Co se týče českých bank, ve veřejně dostupných ukázkách cílového seznamu figurují zahraniční instituce jako BBVA, imaginBank nebo Emirates NBD. České bankovní aplikace v těchto ukázkách vidět nejsou. To ale neznamená, že se českých uživatelů problém netýká. Stačí, aby si majitel Androidu stáhl falešný Chrome z podvrženého webu, a mechanismus infekce je identický bez ohledu na to, kterou bankovní aplikaci používá.

A český precedent existuje. V roce 2024 popsal ESET kampaň malwaru NGate, která cílila přímo na klienty tří českých bank a zneužívala NFC komunikaci telefonu ke krádežím. České banky včetně České spořitelny a Komerční banky před falešnými aplikacemi dlouhodobě varují.

Co vás skutečně ochrání

Google 18. června 2026 v reakci na zjištění Zimperium uvedl, že známé verze Rokarolly jsou automaticky detekovány službou Play Protect. To je důležitá informace, ale má háček. Celý útok je postavený na tom, že uživatel aplikaci nainstaluje mimo Google Play, sám povolí instalaci z neznámých zdrojů a sám odsouhlasí nebezpečná oprávnění. Rokarolla navíc obsahuje příkaz pro vypnutí Play Protect.

Obrana se proto musí posunout před samotnou instalaci:

• Nestahujte APK mimo Google Play. Žádný odkaz na sociální síti, žádný „alternativní obchod“, žádná „aktualizace“ přes webový prohlížeč.
• Nepovolujte instalaci z neznámých zdrojů. Android vás varuje z dobrého důvodu.
• Odmítejte Accessibility, SMS a hovory u aplikací, které je zjevně nepotřebují. Chrome ani TikTok tato oprávnění nevyžadují.
• Držte Play Protect zapnutý a pravidelně spouštějte sken.
• Kontrolujte nainstalované aplikace v Nastavení → Aplikace, ne jen ikony na ploše. Rokarolla umí svou ikonu skrýt.

Pokud máte podezření, že jste se už nakazili, první krok není čištění telefonu. První krok je zavolat do banky z jiného zařízení a zablokovat karty i přístupy. Teprve potom řešte telefon: sken, odinstalaci podezřelých aplikací a v krajním případě tovární reset.

Android versus iPhone: tentokrát jasný rozdíl

Pro tento konkrétní typ útoku je Android zranitelnější než iOS. Ne proto, že by šlo obecně o horší systém, ale proto, že celý model Rokarolly stojí na sideloadingu, tedy ruční instalaci aplikací mimo oficiální obchod, a na zneužití systémových oprávnění, jako je Accessibility. Apple u iPhonu instalaci mimo App Store výrazně omezuje; v EU sice existuje alternativní distribuce aplikací, ale provází ji explicitní bezpečnostní varování. Apple ve své dokumentaci uvádí, že proces App Review činí masové útoky tohoto typu výrazně obtížnějšími a ekonomicky méně výhodnými.

To neznamená, že iPhone je imunní. Znamená to, že Rokarolla na něm nemá stejnou cestu k šíření jako na Androidu.

Rokarolla není první a nebude poslední malware, který promění telefon ve špionážní nástroj s přístupem k penězům. Jeho síla nespočívá jen v technickém provedení, ale hlavně v tom, že lidé stále klikají na odkazy, stahují aplikace z pochybných zdrojů a bezmyšlenkovitě potvrzují oprávnění, kterým nerozumí. Nejlepší antivirus je často ten okamžik, kdy řeknete ne.

Jak útok funguje krok za krokem

Oběť dostane odkaz, který vede přes legitimně vypadající adresu na Google Storage. Nic podezřelého, prohlížeč zobrazí důvěryhodnou doménu googleapis.com. Následně dochází k přesměrování na stránku chráněnou Cloudflare Turnstile, což je legitimní alternativa k CAPTCHA. Jenže tady neslouží k ochraně uživatele. Útočníci ji nasadili proto, aby odfiltrovali bezpečnostní crawlery a analytické sandboxy dřív, než se dostanou k samotnému phishingu.

Po úspěšném průchodu se zobrazí klonovaná stránka TikTok for Business nebo Google Careers s formulářem, který ověřuje pracovní e-mail. Tím útočníci filtrují oběti, zajímají je firemní účty, ne běžní uživatelé. Kdo formulář vyplní, dostane se na falešnou přihlašovací stránku. Ta běží přes reverzní proxy, takzvaný AiTM kit (Adversary-in-the-Middle). V reálném čase přeposílá zadané údaje na skutečný server TikTok, sebere heslo, odpověď na dvoufaktorové ověření i session cookie. Oběť se přihlásí, nic netuší, a útočník má kompletní přístup.

Proč nejde jen o TikTok profil

Ztráta firemního TikTok účtu je nepříjemná. Ale skutečné riziko leží jinde. Mnoho firem se do TikTok for Business přihlašuje přes Google účet. Pokud útočník zachytí session cookie z tohoto přihlášení, získá potenciálně přístup i ke Google Workspace, reklamnímu účtu Google Ads a dalším aplikacím dostupným přes jednotné přihlášení (SSO).

Co konkrétně hrozí:

• Převzetí reklamního rozpočtu – útočník spustí podvodné kampaně na náklady firmy.
• Malvertising – přes důvěryhodný firemní účet šíření škodlivých reklam, které ohrožují koncového uživatele.
• Kompromitace Google SSO – z jednoho ukradeného přihlášení se útok rozlije do e-mailu, dokumentů i interních nástrojů.
• Reputační škoda – firma ztrácí kontrolu nad svou veřejnou identitou na platformě s miliony uživatelů.

Push Security tuto kampaň nepřiřazuje ke konkrétní hackerské skupině. Poukazuje ale na pokračování dřívějších útoků na účty spravující digitální reklamu, včetně kampaně přes falešné stránky Google Careers, kterou v říjnu 2025 popsala Sublime Security. Ekonomika je stále stejná: převzít účet, zneužít rozpočet, prodat přístup dál.

Dvoufaktor nestačí, a to je klíčový problém

Technika reverzního proxy phishingu není novinkou roku 2026. Microsoft ji popsal už v červenci 2022 a MITRE ji používá jako samostatnou techniku krádeže session cookies od roku 2019. Novost spočívá v kombinaci obfuskačních vrstev (Google Storage, Turnstile, validace firemního e-mailu), které dohromady tvoří iluzi legitimního procesu.

Podle nás je nejslabší místo celého řetězce lidský krok. Zaměstnanec vidí důvěryhodné URL, projde CAPTCHA kontrolou, vyplní pracovní e-mail a přihlásí se. Žádný z těchto kroků nevyvolá poplach, protože každý jednotlivě vypadá normálně. Klasické dvoufaktorové ověření přes SMS nebo autentizační aplikaci nepomůže, reverzní proxy ho zachytí v reálném čase spolu s heslem.

Co pomoci může, jsou hardwarové klíče nebo passkeys. TikTok podporuje přístupové klíče na úrovni uživatelského účtu; nastavit je možné v aplikaci přes Security checkup. Pro Ads Manager a Business Center je aktuálně zdokumentováno hlavně dvoufázové ověření a autentizační aplikace. Pokud se ale firma přihlašuje přes propojený TikTok účet, zabezpečení této identity chrání i obchodní prostředí.

Co dělat, když máte podezření na kompromitaci

České firmy inzerující na TikToku zůstávají stejnému riziku jako zahraniční; kampaň není omezena na konkrétní stát a související starší útoky jsou běžně vícejazyčné. Veřejně potvrzené české oběti sice nejsou, ale to neznamená, že neexistují.

Praktický postup při podezření:

• Okamžitě kontaktovat podporu TikTok nebo account managera; i bez přihlášení existuje formulář pro znovuzískání přístupu.
• Změnit heslo, zkontrolovat obnovovací e-mail a telefon, odstranit neznámá zařízení.
• Vynutit dvoufázové ověření v Ads Manageru i Business Center pro všechny uživatele.
• Prověřit role a oprávnění; útočník mohl přidat vlastní účet jako správce.
• Uchovat logy, snímky obrazovky a časovou osu incidentu.
• Regulované subjekty hlásí incident přes Portál NÚKIB. Ostatní firmy mohou podat hlášení přes CSIRT.CZ.

TikTok ve své nápovědě uvádí, že kompromitovaný účet může dočasně pozastavit, provést šetření a řešit i refundaci neautorizovaných reklamních nákladů. Klíčové je ale jednat rychle; každá hodina, kdy má útočník přístup, znamená potenciálně vyčerpaný rozpočet a rozjetou podvodnou kampaň pod jménem firmy.

Nejúčinnější obrana paradoxně není technická. Je to vědomí, že ani důvěryhodně vyhlížející přihlašovací stránka s CAPTCHA a firemním formulářem nemusí být tím, čím se zdá.

Jak funguje a proč nefunguje

Postup z virálu je prostý. Položte prst do vydutého dna lžíce, druhou stranou přiložte kov na oblast čtečky v displeji. Narativ trendu tvrdí, že lžíce „vede signál“ z prstu do senzoru. Zní to skoro vědecky, kov přece vede elektřinu. Problém je, že čtečka otisků v displeji takhle nefunguje.

Výrobce optických snímačů Goodix popisuje svůj in-display senzor jako optickou soustavu zabudovanou do definované oblasti displeje AMOLED. Displej krátce prosvítí přiložený prst, optický kolimátor zachytí odražené světlo a z něj sestaví mapu papilárních linií. Klíčové slovo je „optický“ – senzor potřebuje „vidět“ strukturu kůže. Kovová lžíce není průhledná, není součástí zobrazovacího média a nevytvoří čitelný obraz otisku. Místo detailní mapy linií dostane senzor jen odraz hladkého kovu.

U ultrazvukových čteček, které používá třeba Samsung ve vlajkových modelech s technologiemi Qualcomm 3D Sonic, je situace pro zastánce lžíce ještě horší. Ultrazvukové vlny čtou jemné detaily struktury prstu a Qualcomm uvádí vyšší odolnost proti spoofingu oproti optickému řešení. Lžíce tu nemá šanci ani teoreticky.

Jak se takové video falšuje za dvě minuty

Redaktoři android.com.pl nepopsali jen neúspěšný test. Nabídli i vysvětlení, proč virální video tak přesvědčivě působí. Postup je triviální:

• Zapnete nahrávání obrazovky, u OnePlus 11 5G je to systémová funkce dostupná přímo z rychlého nastavení.
• Telefon normálně zamknete a odemknete prstem. Záznam zachytí celou animaci odemykání.
• Pustíte si znovu celé video.
• Ve „správném“ okamžiku přiložíte lžíci na displej.

Divák vidí zamykací obrazovku, lžíci a plynulý přechod na plochu. Jenže to, co sleduje, není živé odemykání, ale přehrávání videa. Animace odemčení proběhne bez ohledu na to, co leží na displeji. Stačí správné načasování a trocha praxe. Celý trik se dá nacvičit za pár pokusů.

Kde je skutečné bezpečnostní riziko

Lžíce vám telefon neodemkne. Ale existují nastavení, která ho mohou nechat odemčený, aniž byste o tom věděli. A to je jiný typ problému než jakýkoli virální trik.

Android nabízí funkci nazvanou Rozšířené odemknutí (Extend Unlock), dříve známou jako Smart Lock. Podle nápovědy Google může tato funkce držet telefon odemčený až čtyři hodiny na základě několika podmínek:

• Důvěryhodné místo – telefon se nezamkne, dokud jste doma nebo v kanceláři.
• Důvěryhodné zařízení – připojení k chytrým hodinkám nebo handsfree v autě udrží telefon přístupný.
• Detekce nošení – dokud máte telefon u těla, zůstává odemčený.

Prakticky to znamená, že „fungující lžíce“ z virálu může být ve skutečnosti telefon, který se prostě znovu nezamkl. Leží na stole vedle spárovaných hodinek, je v dosahu domácí Wi-Fi, nebo ho majitel právě vytáhl z kapsy. V takovém stavu stačí k odemčení jakýkoli dotyk: lžíce, prst, cokoliv.

OnePlus v oficiálním manuálu k modelu 11 5G rovněž popisuje Smart Lock a jeho režimy. Google přitom upozorňuje, že tyto funkce mají vlastní bezpečnostní rizika. Kdo chce vyšší ochranu, může na zamykací obrazovce použít volbu „Uzamčení“, která dočasně vypne odemykání otiskem, obličejem i Rozšířené odemknutí najednou.

Co prozrazuje citlivost čtečky na fólii

Jeden detail z manuálů OnePlus stojí za zmínku, protože dobře ilustruje, jak přesně optické čtečky pracují. Oba modely, OnePlus 11 5G i Nord 3 5G, doporučují po výměně ochranné fólie na displeji znovu zaregistrovat otisk prstu. Tenká průhledná fólie dokáže změnit optické vlastnosti natolik, že senzor přestane spolehlivě rozpoznávat dříve uložený otisk.

Pokud čtečku zmátne mikrometrová vrstva plastu, představa, že ji oklame neprůhledný kus nerezové oceli, nedává smysl. Citlivost na fólii je paradoxně důkazem robustnosti systému: senzor trvá na přesném optickém obrazu, ne na přítomnosti „něčeho vodivého“.

Virální trik s lžící není průlom do biometriky. Je to spíš průlom do toho, jak málo lidé rozumí technologii, kterou denně používají, a jak snadno se z toho dá na TikToku vyrobit obsah s miliony zhlédnutí.

Čtyři roky po malých krocích

Časová změna, která je k dnešnímu stavu, je dobře čitelná:

• Červenec 2022 – Meta rozdělila Facebook na Home a Feeds. Home se stal discovery plochou řízenou algoritmem, Feeds zůstaly chronologickým proudem příspěvků od přátel a stránek. Tehdy to vypadalo jako drobnost. Zpětně šlo o zlomový moment: „klasický posuv“ přestal být výchozí obraz.
• Duben 2024 – Facebook dostal celoobrazovkový videopřehrávač pro Reels, delší videa i živé vysílání. Doporučování videí se posílilo.
• Říjen 2024 – Meta oznámila, že mladí dospělí tráví na Facebooku téměř 60 % času sledováním videí a více než polovina z nich sleduje Reels denně. Záložka Video dostala výraznější místo.
• Březen 2025 – Překvapivý protipohyb: Meta přidala záložku Friends jen s obsahem od přátel, bez jakéhokoli doporučovaného obsahu.
• Červen 2025 – Všechny nové videopříspěvky na Facebooku se začaly publikovat jako Reels. Záložka Video se přejmenovala na záložku Reels. Slovo „Reels“ přestalo označovat jen krátká videa, stalo se obálkou pro veškeré video na platformě.
• 2026 – Uživatelské zprávy zachycují, že se aplikace u části účtů otevírá rovnou do Reels.

Každý krok sám o sobě vypadal jako dílčí úprava. Dohromady tvoří stavbu celé aplikace.

Dva Facebooky v jedné aplikaci

Šéf Facebooku Tom Alison v květnu 2024 popsal vizi budoucnosti platformy postavené na mladých dospělých a umělé inteligenci. Mark Zuckerberg o půl roku později investorům slíbil růst Reels na Facebooku i Instagramu a zároveň mluvil o návratu k „OG Facebooku“, tedy k tomu původnímu, přátelskému.

Výsledek? Meta dnes provozuje dva Facebooky současně. Jeden je video-first a doporučovací: Reels vpředu, algoritmus vybírá, co uvidíte. Druhý „ten starý“, bez doporučení – Feed s příspěvky od lidí je dnes záložka Friends. Problém je, že ten první zabírá vstupní dveře a ten druhý je schovaný za rohem.

Přirovnání k TikToku se nabízí, ale má limity. TikTok je od prvního dne postavený kolem jednoho dominantního videostreamu: For You je první a často jediná obrazovka. YouTube Shorts jsou zase samostatný přehrávač uvnitř širší aplikace, ne celý YouTube. Facebook se od obou liší tím, že pořád nese zátěž „všeho v jednom“: Skupiny, Marketplace, Messenger, události. Reels-first vstup ale znamená, že video dostalo přednost před vším ostatním.

Vrátit se zpátky? Záleží na štěstí

Realita je složitější, než by se mohlo zdát. Podle uživatelských vláken na Redditu část lidí popisuje funkční přepínač, ikonu se dvěma šipkami v pravém horním rohu, která změní výchozí otevření z Reels zpět na Feed. Jiní ale hlásí, že stejnou volbu ve své verzi aplikace nevidí. Žádné tlačítko, žádné šipky, žádná cesta zpět.

Meta pro tento konkrétní Reels-first start aplikace nezveřejnila oficiální oznámení, seznam trhů ani kritéria, podle kterých vybírá účty do testu. Firma podobné novinky tradičně nasazuje postupně, nejprve USA a Kanada, pak další regiony, ale tentokrát parametry nekomentovala. Zda a v jakém rozsahu se změna týká českých uživatelů, není možné z dostupných zdrojů potvrdit. Bezpečné je říct: objevuje se u části účtů a Meta rozsah veřejně nepopsala.

Důležité je, co nezmizelo. Příspěvky přátel, skupiny a stránky jsou pořád na Facebooku. Feeds je od roku 2022 drží a Friends tab od března 2025. Nejsou smazané, jen odsunuté z první obrazovky. Pro uživatele, kteří na Facebooku chodili kvůli lidem a ne kvůli videím, to ale může být rozdíl, který mění celý zážitek.

Proč zrovna teď a proč zrovna video

Meta svůj posun zdůvodňuje daty. Mladí dospělí na Facebooku sledují videa víc než cokoli jiného. V USA a Kanadě firma hlásí přes 40 milionů denně aktivních uživatelů z řad mladých dospělých, nejvíc za tři roky. Reels rostou, engagement roste, čas strávený v aplikaci roste. Z pohledu Mety je logika jednoduchá: dát lidem víc toho, u čeho zůstávají.

Jenže „lidé“ nejsou jedna skupina. Ti, kteří na Facebooku tráví hodiny sledováním Reels, a ti, kteří si chtějí přečíst, co píše kamarádka z práce, mají diametrálně odlišné potřeby. Meta se snaží obsloužit obě skupiny (Reels vpředu, Friends vzadu), ale hierarchie je jasná. Video vyhrává, protože drží pozornost déle. A pozornost je to, co Meta prodává inzerentům.

Nejde o konec Facebooku přes noc. Jde o to, že Facebook, který si pamatujete (jedna zeď, příspěvky přátel, chronologicky seřazené), přestal existovat už v roce 2022. Od té doby se jen posouvá dál od svého původního smyslu. Reels-first vstup je zatím poslední zastávka na té trase, ne první.

Facebook se nezměnil jednoho rána. Měnil se čtyři roky, jen si toho většina lidí všimla, až když otevřeli aplikaci a nepoznali ji.

Proč to funguje, i když spíte

Klíč je v systémovém oprávnění, které jste aplikaci udělili. Android nabízí režim „Povolit vždy“, iPhone ekvivalent „Vždy“ – obojí znamená, že aplikace smí číst polohu na pozadí bez jakéhokoli vizuálního upozornění. K tomu přidejte funkci Obnovování aplikací na pozadí na iPhonu, díky níž mohou i pozastavené aplikace pravidelně kontrolovat nový obsah a přitom sáhnout na lokaci.

Google u Timeline popisuje chování zcela otevřeně: po zapnutí se přesná poloha ukládá průběžně, bez ohledu na to, jestli máte Mapy otevřené. Meta zase u funkcí jako Nearby Friends a Location History dříve přímo vysvětlovala, že sledování polohy na pozadí běží, dokud ho nevypnete. TikTok ve své zásadách ochrany soukromí uvádí automatický sběr přibližné i přesné lokace – podmínkou je udělené oprávnění, ale právě to většina lidí udělila při první instalaci a nikdy nezkontrolovala.

Výzkumníci z Princetonu navíc ukázali, že lokalizační stopu lze rekonstruovat i bez klasického GPS – z Wi-Fi sítí, barometrických senzorů a dalších signálů. Vypnutá GPS tedy sama o sobě není absolutní ochrana.

Komu vaše poloha putuje – a proč

V první linii provozovateli služby. Meta polohu využívá pro cílení reklam, bezpečnostní signály a funkce typu „lidé poblíž“. I bez přesného GPS dokáže odvodit lokaci z check-inů a IP adresy. TikTok data sdílí s poskytovateli služeb, obchodními partnery, reklamními a analytickými firmami i v rámci firemní skupiny ByteDance. Google u Map deklaruje, že data s třetími stranami nesdílí, ale interně je používá pro personalizaci služeb a reklamy – a u Timeline pracuje s agregovanými odhady účinnosti reklam pro podniky.

Nejde přitom jen o reklamy. Google sám považuje návštěvy „zvláště osobních míst“ za natolik citlivé, že je z Timeline automaticky maže. To je silný signál: pokud i provozovatel služby uznává, že některá lokační data jsou intimní, představte si, co z nich dokáže vyčíst někdo s menšími skrupulemi. Americká FTC v roce 2024 zakázala firmě Avast prodávat detailní, znovu identifikovatelná data – ta putovala k více než stovce třetích stran. Z polohové historie lze odvodit rutiny, dojíždění, domovskou i pracovní adresu, návštěvy lékařů nebo politických shromáždění. Reklama je jen nejviditelnější vrstva.

Co smazat a co stačí omezit

Nejtvrdší rada – smazat – platí u aplikací, které bez trvalé polohy fungují prakticky stejně. Facebook, Instagram i TikTok nepotřebují vaši GPS pozici k tomu, abyste scrollovali feedem. Přesto si o ni říkají. Pokud je nepoužíváte denně, odinstalace je tedy nejčistší řešení.

U Google Map je situace jiná. Navigace polohu legitimně potřebuje. Problém nastává ve chvíli, kdy máte zapnutou Timeline nebo živé sdílení polohy – obě funkce běží na pozadí a ukládají historii pohybu. Vypněte je, a Mapy zůstanou plně funkční navigací bez toho, aby si pamatovaly každou vaši zastávku.

Praktický návod pro obě platformy:

Android:

• Podržte ikonu aplikace → Informace o aplikaci → Oprávnění → Poloha
• Přepněte na „Povolit pouze při používání aplikace“ nebo „Nepovolit“
• Volitelně vypněte „Použít přesnou polohu“
• Řídicí panel soukromí ukáže, které aplikace sahaly na lokaci a kdy

iPhone:

• Nastavení → Soukromí a zabezpečení → Lokalizační služby → vyberte aplikaci
• Zvolte „Při používání aplikace“ nebo „Nikdy“ (volba „Vždy“ = přístup i na pozadí)
• Zapněte Zprávu o soukromí aplikací – za posledních sedm dní uvidíte přístupy k lokaci i kontaktované domény

U Googlu navíc doporučujeme vypnout Timeline a personalizaci reklam podle navštívených oblastí. U TikToku přesnou polohu zakažte přímo v nastavení aplikace.

Co se stane s daty, když aplikaci smažete

Odinstalace zastaví nový sběr z vašeho zařízení. Historická data na serverech ale zůstávají. Google výslovně uvádí, že po vypnutí Timeline mohou minulá data přetrvat, dokud je ručně nesmažete. TikTok nabízí samostatný formulář pro žádost o přístup, kopii nebo výmaz dat. Podle Evropského sboru pro ochranu osobních údajů (EDPB) mají správci při výmazu podniknout rozumné kroky i vůči dalším správcům, kteří data zpracovávají – není to však bezvýjimečná povinnost.

Český uživatel se může obrátit na ÚOOÚ se stížností na správce. Potřebuje identifikaci firmy, popis zpracování a kategorii údajů. GDPR dopadá i na společnosti mimo Evropský hospodářský prostor, pokud cílí na lidi v EHP nebo monitorují jejich chování – a Meta, TikTok i Google mezi ně jednoznačně patří.

Nejde o logo, ale o oprávnění

Svítilna, která chce přesnou polohu „vždy“, je větší varovný signál než Google Mapy s polohou „pouze při používání“. Nejdůležitější není, kdo aplikaci vytvořil, ale jak široké oprávnění po vás chce ve srovnání s tím, co skutečně dělá. Pět minut v nastavení telefonu vám řekne víc než jakýkoli článek – a na rozdíl od něj vám taky polohu ochrání.

Jak infekce probíhá krok za krokem

Všechno začíná instalačním balíčkem s názvem typu „TikTokApp18+“ nebo „Live Streaming“. Vypadá nevinně, ikona připomíná TikTok, velikost souboru nevybočuje. Po spuštění ale dropper nasadí do telefonu druhou aplikaci, která se tváří jako „Google Play Services“. Ta už je trvalejší kotva. Za běhu si stáhne modul dex.module, který obsahuje celý arzenál.

A deset arzenálů je rozsáhlý:

• Phishingové overlaye – přes celou obrazovku vyskočí falešné přihlašovací okno bankovní aplikace. Vypadá identicky jako originál.
• Keylogging – každý stisk klávesnice se zaznamenává, včetně metadat o tom, do jakého pole uživatel píše.
• Zachytávání SMS a push notifikací – trojan čte ověřovací kódy dřív než vy. Push notifikace od banky? Ty rovnou potlačí, abyste si ničeho nevšimli.
• Živý přenos obrazovky – přes VNC kanál operátor vidí přesně to, co vy. Příkazy startVnca startScreenshotStreaming mu umožňují kontinuální náhled.
• Vzdálené ovládání – nejde jen o sledování. Útočník přehrává gesta a kliknutí přímo na vaše zařízení. Můžete otevřít bankovní aplikaci, zadat převod a potvrdit ho.

Klíčovým momentem řetězce je udělení přístupu k celému ovládání (Accessibility). Bez něj trojan nemůže převzít kontrolu. Falešná aplikace ale uživatele přesvědčí, že jde o nezbytný krok pro „aktualizaci Služeb Google Play“. Kdo potvrdí, otevře dveře dokořán.

Telefon jako síťová infrastruktura útočníka

Starší verze TrickMo uměly krást hesla a jednorázové kódy. To není nové; Zimperium už v říjnu 2024 popsal přes 40 variant s podobnými schopnostmi, včetně triku s falešnou zamykací obrazovkou, která kradla PIN nebo odemykací vzor.

Verze C ale přidává něco zásadně jiného. Komunikace s řídicím serverem už nepřechází přes klasické webové domény, které lze relativně snadno zablokovat. Místo toho využívá síť TON, decentralizovanou infrastrukturu postavenou na blockchainu. Endpointy s příponou .adnl neleží v běžném DNS, takže tradiční doménové „odstřihnutí“ je prakticky neúčinné. Provoz navíc vypadá jako běžný šifrovaný provoz TON.

A pak je tu TrickMo.C. Ta umí z infikovaného telefonu udělat síťový výstupní bod: přes SSH tunel a SOCKS5 proxy vede svůj provoz přes IP adresu oběti. Pro banku to znamená, že podvodná transakce přichází ze známého zařízení, ze známé sítě, ze známé IP adresy. Automatické protifraudové systémy tak mají výrazně menší šanci ji zachytit.

Z telefonu se tím pádem stává tři věci najednou: špionážní nástroj, podvodný terminál a anonymizační uzel pro útočníka.

Česko zatím oficiálně zasaženo není. Ale precedens existuje

Podle ThreatFabric jsou potvrzené kampaně TrickMo.C namířeny na Francii, Itálii a Rakousku. Ve čtvrtletním přehledu hrozeb NÚKIB za první kvartál 2026 ani v přehledu incidentů za duben 2026 se TrickMo.C neobjevuje. K dnešnímu dni tedy není veřejně potvrzen český případ.

Jenže Česko už podobnou kampaň prošlo. V roce 2024 ESET odhalil malware NGate, který cílil přímo na klienty české banky. Šířil se přes weby napodobující bankovní portály a Google Play, tedy stejným principem jako TrickMo.C: mimo oficiální obchod, přes sociální inženýrství. NÚKIB tehdy incident potvrdil. Rakousko, kde TrickMo.C už operuje, je přitom trh kulturně i jazykově blízký. Lokalizace kampaně pro Česko by nebyla technicky náročná.

Jak poznat falešnou aplikaci a co dělat

Rozlišit pravý TikTok od podvrhu není složité, pokud víte, na co se dívat:

Důležitá věc: TikTok sám na svůj report uvádí, že oficiální APK pro Android lze stáhnout i mimo Google Play, ale výhradně z adresy tiktok.com/download. Jakýkoli jiný web nebo QR kód je varovný signál. Google ve své nápovědě zvyšuje, že aplikace z neznámých zdrojů mohou poškodit zařízení i data.

Pokud máte podezření, že jste si nainstalovali falešnou aplikaci:

• Neklikejte na žádné bankovní oznámení a nepotvrzujte žádné platby.
• Z jiného zařízení zavolejte banku na oficiální číslo, ne na číslo, které vám zobrazí telefon.
• Spusťte Google Play Protect – umí skenovat i aplikaci nainstalovanou mimo obchod a označit podezřelé.
• Pokud nejde aplikaci odinstalovat , restartujte telefon do nouzového režimu a odebírejte nedávno nainstalovanou aplikaci po jedné.
• Z čistého zařízení změňte hesla k bankovnictví i navázanému e-mailu.

Co přijde dál

ThreatFabric v analýze TrickMo.C našel ještě jednu znepokojivou věc: v kódu je načtený hookovací framework Pine a deklarovaná NFC oprávnění, ale ani jedno zatím není aktivně využíváno. Jsou to připravené zásuvky, do kterých operátoři mohou kdykoli „za tepla“ dodat novou funkci bez samostatné aplikace v telefonu oběti.

Trojan, který dnes krade bankovní přihlášení a zítra může klonovat bezkontaktní karty. Stačí jeden update modulu, který si telefon stáhne sám.