Falešný WhatsApp se dostal přímo do Google Play a půl milionu lidí si ho stáhlo. Ověřte si, jestli ho nemáte v telefonu

Kopie WhatsAppu od neznámého vývojáře prošla kontrolou Google Play, zobrazovala se jako sponzorovaný výsledek a nasbírala přes 500 tisíc stažení.

Zdroj fotografie: Pexels

Aplikace se jmenovala úplně stejně jako originál: „WhatsApp Messenger“. Měla totožnou ikonu, stejné snímky obrazovky i zkopírovaný popis. Na první pohled ji od skutečného WhatsAppu nešlo rozeznat. Nevydala ji však společnost WhatsApp LLC ani Meta Platforms. Za aplikací stál účet s názvem Agment Assets sallu, který měl na Google Play jedinou aplikaci – právě tento podvrh.

Jak upozornil Android Authority, falešný WhatsApp se některým uživatelům zobrazoval jako sponzorovaný výsledek přímo nad oficiální aplikací. Protože byl navíc dostupný v režimu předběžného přístupu (Early Access), neměl žádné veřejné recenze ani hodnocení, která by mohla uživatele varovat. Výsledek? Více než půl milionu lidí si aplikaci stáhlo v domnění, že instalují oficiální WhatsApp z oficiálního obchodu.

Jak se podvrh dostal do Google Play

Google opakovaně uvádí, že každá aplikace před zveřejněním prochází automatizovanou i ruční kontrolou. Jeho vlastní pravidla pro vývojáře výslovně zakazují aplikace, které se vydávají za produkty zavedených značek. Přesto se tento podvrh do obchodu dostal.

Podle archivních metadat byla aplikace vytvořena 3. září 2026 a naposledy aktualizována 19. září. Její interní název balíčku zněl com.AgmentAssetssallu.DeadPixelTriPulse. Už samotný název napovídá, že s WhatsAppem nemá nic společného. Kontrolní mechanismy Googlu to však nezastavily.

Google navíc umožnil, aby se aplikace propagovala prostřednictvím placené reklamy přímo v Play Storu. Google Ads totiž podporují reklamy na instalaci aplikací, které se mohou zobrazovat ve výsledcích vyhledávání v obchodě. Falešná aplikace se tak mohla díky placené propagaci dostat nad oficiální WhatsApp a působit důvěryhodněji.

Režim Early Access situaci ještě zhoršil. U aplikací v předběžném přístupu Google nezobrazuje veřejné recenze, takže případní zájemci nemohou snadno zjistit, jaké s ní mají ostatní uživatelé zkušenosti. Zpětnou vazbu má k dispozici především vývojář. U aplikace, která se vydává za jednu z nejpoužívanějších komunikačních služeb na světě, by absence hodnocení měla vzbudit podezření. Systém ji však jako problém zjevně nevyhodnotil.

Proč to zasáhlo i české uživatele

Přesný počet stažení z Česka není veřejně známý. Kontext ale ukazuje, že potenciálně ohrožených uživatelů mohlo být mnoho. Android má v Česku téměř 69% podíl na mobilním trhu a podle průzkumu ESET/Ipsos z března 2026 používá WhatsApp 89 % Čechů. Falešná aplikace tak měla k dispozici velmi širokou skupinu potenciálních obětí.

Nejde navíc o ojedinělý případ. Dva dny před odhalením falešného WhatsAppu popsal Android Authority podobný scénář s podvrženým Chromem, který zaznamenal přes 100 tisíc stažení. Aplikace se původně vydávala za hru s názvem „Ball Bounce“ a teprve později byla přejmenována na Chrome.

Už v roce 2017 si uživatelé stáhli více než milionkrát falešnou aplikaci „Update WhatsApp Messenger“. Bezpečnostní firma Zimperium tehdy zjistila, že aplikace fungovala jako reklamní malware a odkazovala na škodlivý obsah. Podobné případy tak ukazují, že vydávání podvodných aplikací za známé značky není novým problémem.

Jak si ověřit, jestli máte pravý WhatsApp

Kontrola zabere přibližně minutu. Otevřete Google Play, vyhledejte nainstalovaný WhatsApp a zkontrolujte tři věci:

• Vývojář musí být WhatsApp LLC, společnost patřící do skupiny Meta Platforms.
• Název balíčku v URL adrese stránky aplikace musí být com.whatsapp.
• Oficiální aplikace má miliardy stažení a miliony recenzí. Prázdný profil bez hodnocení je u takto rozšířené aplikace důvodem k podezření.

Pokud se jako vývojář uvádí někdo jiný, název balíčku nesouhlasí nebo aplikace nemá očekávanou historii hodnocení, raději ji nepoužívejte.

Původní stránka falešné aplikace podle dostupných informací k 22. říjnu 2026 vracela chybu 404, což naznačuje, že Google aplikaci po medializaci odstranil. To však neznamená, že automaticky zmizela i z telefonů lidí, kteří si ji předtím nainstalovali.

Co dělat, když falešný WhatsApp v telefonu najdete

Doporučený postup je následující:

• Okamžitě odinstalujte podezřelou aplikaci.
• Spusťte Google Play Protect. V Google Play klepněte na svůj profil, vyberte Play Protect a spusťte kontrolu.
• Nainstalujte oficiální WhatsApp z ověřeného listingu, u kterého je jako vývojář uveden WhatsApp LLC.
• Znovu ověřte své telefonní číslo v oficiální aplikaci, pokud je to potřeba.
• Zapněte dvoufázové ověření v nastavení WhatsAppu v části Účet → Dvoufázové ověření.
• Zkontrolujte oprávnění, která jste falešné aplikaci udělili. Pokud je to možné, odeberte je ještě před odinstalací.

Zvlášť důležitá je situace, kdy jste do falešné aplikace zadali ověřovací kód z SMS. Tento kód slouží k registraci telefonního čísla na WhatsAppu, takže jeho získání může útočníkovi umožnit pokusit se účet převzít.

Pokud jste kód zadali a máte podezření, že ho útočník mohl získat, co nejrychleji se pokuste zaregistrovat své číslo znovu v oficiální aplikaci. Následně aktivujte dvoufázové ověření a zkontrolujte připojená zařízení. Pokud se do účtu nemůžete dostat, využijte oficiální podporu WhatsAppu.

Google Play není absolutní záruka

Veřejná technická analýza tohoto konkrétního podvrhu není k dispozici. Nelze proto s jistotou říct, zda aplikace odesílala data, obsahovala malware nebo jinak zneužívala oprávnění. Archivní metadata uvádějí přístup ke kameře, síti a možnost provozovat službu na popředí. Tato oprávnění sama o sobě nemusí být škodlivá, u falešné aplikace ale představují důvod k opatrnosti.

Podle nás tento případ ukazuje něco důležitějšího než jen existenci jedné podvodné aplikace. Google Play je stále bezpečnější volbou než stahování náhodných instalačních souborů APK z internetu. Představa, že samotná přítomnost aplikace v oficiálním obchodě zaručuje její bezpečnost, je však neudržitelná.

V tomto případě zjevně selhalo několik ochranných vrstev: kontrola aplikace, odhalování vydávání se za zavedenou značku i posuzování její placené propagace. Dokud Google podobné nedostatky neodstraní, vyplatí se při každé instalaci ověřovat především jméno vývojáře a identitu aplikace. Ani oficiální obchod totiž není zárukou, že každá aplikace, která se v něm objeví, je bezpečná.