Aplikace si přečetla text na fotce vaší občanky: malware SparkCat měl v oficiálních obchodech 242 tisíc instalací

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

SparkCat si vystačil s jedním klepnutím na „Povolit“ a s rozpoznáváním textu, které běželo přímo v telefonu. Analytici Kaspersky ho popsali na přelomu let 2024 a 2025 a našli ho současně v App Store i na Google Play. Šlo o první veřejně zdokumentovaný případ svého druhu.

Aplikace si přečetla text na fotce vaší občanky: malware SparkCat měl v oficiálních obchodech 242 tisíc instalací

Zdroj: Foto: Gibrán Aquino - licence CC BY-SA 4.0

Doba čtení 4 min

Článek byl publikován 29.09.2026 10:17

V galerii běžného telefonu se za pár let nasbírá věcí, které by člověk nikomu neukázal: fotka občanky pořízená kvůli pojišťovně, snímek platební karty poslaný partnerovi, screenshot s heslem, zálohovaná seed fráze ke kryptopeněžence. Když aplikaci odklepnete plný přístup k fotkám, nedáváte jí jeden obrázek, ale klíč k celému tomu archivu. SparkCat na to nasadil Google ML Kit, tedy stejnou knihovnu pro rozpoznávání textu, jakou legitimní aplikace používají ke čtení účtenek nebo vizitek.

Jedno povolení, seznam slov ze serveru a text vytažený z fotek

Postup byl jednoduchý a plně automatizovaný. Aplikace si z řídicího serveru stáhla seznam klíčových slov, kam patřily seed fráze kryptopeněženek i obecnější výrazy. Rozpoznávání textu pak proběhlo lokálně, v samotném telefonu, a prošlo snímky v galerii. Útočníkům se odeslaly jen ty fotky, na kterých se něco ze seznamu našlo.

V seznamu klíčových slov byly podle Kaspersky i české výrazy a report zmiňuje cíle minimálně v Evropě a Asii. Čeští uživatelé tedy byli v hledáčku, jenže rozsah se z dostupných dat odhadnout nedá: počty obětí podle jednotlivých zemí zveřejněné nebyly.

Mezi infikovanými aplikacemi nebyly jen průhledné podvody. Kaspersky mezi nimi našel messengery, AI chatboty i platební a směnárenské aplikace. U některých analytici nevyloučili, že se škodlivý kód dostal dovnitř přes kompromitovanou knihovnu, tedy že autor aplikace o ničem vědět nemusel.

Výběr jednotlivých snímků umí iOS i Android, stačí ho použít

Plný přístup ke galerii znamená tisíce snímků a roky historie najednou. Dnešní rozpoznávání textu si poradí s číslem na kartě, s údaji na dokladu i se screenshotem, na kterém je heslo, takže rozdíl mezi „obrázkem“ a „dokumentem“ pro takovou aplikaci prakticky neexistuje.

Apple přitom omezenou knihovnu fotek zavedl už v iOS 14: aplikaci zpřístupníte jen konkrétní vybrané snímky a zbytek galerie pro ni neexistuje. Android jde ještě dál s Photo Pickerem, který nevyžaduje žádné oprávnění k fotkám, protože aplikace dostane výhradně to, co v něm ručně označíte. Díky distribuci přes Google Play Services funguje picker i na zařízeních až po Android 4.4, a od Androidu 14 se systémová volba „Vybrat fotky a videa“ nabízí i u aplikací, které si stále říkají o klasické mediální oprávnění.

Google Play dnes vývojářům říká, že o široký přístup k fotkám mají žádat jen tehdy, když picker nestačí pro hlavní funkci aplikace. Pokud tedy messenger, e-shop nebo AI chatbot vyžaduje všechny fotky, je to varovný signál a odpovědí má být „Ne“.

Dvě minuty v nastavení odhalí, kdo vám sahá do galerie

Na iPhonu najdete přehled v Nastavení, položce Soukromí a zabezpečení a dále Fotky. U každé aplikace se dá přepnout mezi možnostmi Žádné, Omezený přístup a Plný přístup, takže revize seznamu je otázka jednoho průchodu shora dolů.

Tamtéž se zapíná App Privacy Report. Ten ukáže, jak často která aplikace na fotky skutečně sáhla a s jakými doménami komunikovala za posledních sedm dní. To je jediné místo, kde si ověříte, jestli aplikace oprávnění reálně používá, nebo ho jen drží v zásobě.

Na Androidu vede cesta přes Nastavení, Aplikace, konkrétní aplikaci, Oprávnění a Fotky a videa, kde zvolíte Nepovolit. Hromadně se to dá projít v Nastavení pod Zabezpečením a soukromím, kde je Správce oprávnění a v něm položka Fotky a videa. Plný přístup ke galerii si zaslouží jen úzký okruh aplikací, tedy fotoeditor, zálohovací služba a samotná galerie, protože všechno ostatní si vystačí s pickerem. Seznam ve Správci oprávnění obvykle ukáže, že takových aplikací máte povolených podstatně víc.

Koš na iPhonu drží smazané fotky 30 dní, Google Photos až 60

Smazání citlivých snímků nepůsobí zpětně. Pokud jste měli nainstalovanou podezřelou aplikaci s plným přístupem ke galerii, počítejte s tím, že kopie už mohly odejít. Pořadí kroků je proto důležité: nejdřív aplikaci odstranit, teprve pak řešit obsah galerie.

Samotné smazání nestačí bez vyprázdnění koše. Na iPhonu zůstávají fotky ve složce Nedávno smazané 30 dní, v Google Photos až 60 dní. Pak přijde na řadu cloud: u iCloud Photos se mazání propíše na všechna zařízení, kdežto na Androidu může vzniknout nesoulad mezi lokální galerií a Google Photos, kde smazání na jednom místě nemusí znamenat smazání na druhém.

Heslo, které jste kdykoli vyfotili nebo zachytili na screenshotu, berte jako kompromitované a změňte ho. Platební karty, jejichž snímky jste měli v galerii, nechte zablokovat, zvlášť když na fotce bylo vidět celé číslo i CVV. U seed frází Kaspersky doporučuje založit novou peněženku a převést na ni prostředky.

Reklama

Další články z Centrum Extra: Mobil

Android Auto vám za jízdy omezí klávesnici. Čtyři nastavení v Mapách Google je proto lepší udělat před rozjezdem

Android Auto přes půl roku tajilo, jak silný máte signál. Google chybu přiznal až v říjnu a oprava nedorazí všem naráz

Řidiči s Android Auto přišli o ikonku mobilního signálu bez varování a bez jediného řádku v seznamu změn....

Galaxy S26 Ultra fotí jen na 12 MP a schovává dvojnásobek. Ostřejší ořezy odemkne nenápadná aplikace Samsungu

Režim 24 MP odemkne bezplatná aplikace z Galaxy Store. Ukážeme, kudy k němu vede cesta, kdy se telefon bez...

Každý Android má lhůtu trvanlivosti, po které začne být zranitelný. Tři klepnutí v nastavení napoví, jestli už vypršela

Lhůtou trvanlivosti telefonu s Androidem je konec bezpečnostní podpory. Jakmile vyprší, výrobce mu přestane...

Konzoli za devět tisíc kupovat nemusíte. Xbox hry spustíte na televizi Samsung, LG či Hisense ze schované aplikace

Microsoft už několik let buduje cestu, jak hrát Xbox bez jakéhokoli herního přístroje pod televizí. Hra...

Tento článek byl publikován ze zdrojů Centrum Extra: Mobil

Novinky a praktické informace ze světa mobilních telefonů a chytrých zařízení. Nové modely, aplikace, funkce, bezpečnost, tipy pro používání i přehled technologií, které mění každodenní práci s mobilem.

Aplikace si přečetla text na fotce vaší občanky: malware SparkCat měl v oficiálních obchodech 242 tisíc instalací

„Prostě jsme neměli rádi komunisty a tohle byla dobrá záminka.“ Tak začal pád totality

Větrníky vyrábějí čistou energii, ale jejich lopatky končí zakopané v zemi jako odpad na věky. V USA jich pohřbili 1 124

V papučích do obchodu, v županu zaplavat. Koldům měl změnit bydlení, sen se rozplynul

Týden podle hvězd: Panny čeká pracovní uznání, Štíři mohou narazit na silnou přitažlivost

Vynálezce přišel s deskou, kterou šlo kopírovat po tisících. Hudba se díky tomu přestěhovala do domácností