5 min

Útok, který dosud neexistoval: Stačí otevřít web v Chrome a přijdete o fotky. Nový virus nepotřebuje nic instalovat

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Bezpečnostní firma Check Point předvedla útok, při kterém webové stránce v Chromu na Androidu zašifruje fotky, bez jediné instalace.

Google Chrome, telefon, uvítací stránka

Zdroj: Pexels

Obsah článku

Funguje to takto: otevřete web, který se tváří například jako AI nástroj na vylepšení fotek. Nahrajete obrázek, web vás požádá o přístup ke složce, kam má uložit výsledek, a kliknete na „Povolit“. Tím jste právě dali neznámé stránce právo číst, upravovat i mazat soubory v celé vybrané složce. Na Androidu může jít například o adresář DCIM, tedy prakticky kompletní knihovnu fotek a videí z telefonu. Žádný stažený soubor, žádná aplikace, žádné prolomení systému. Škodlivý kód běží přímo v prohlížeči jako běžný JavaScript. Check Point Research tuto techniku pojmenoval „In-Browser Ransomware“ a začátkem července 2026 publikoval podrobnou analýzu s funkčním důkazem na reálném zařízení s Androidem.

Proč to není klasický virus a přesto je to nebezpečné

Slovo „virus“ v nadpisu je záměrné zjednodušení, ve skutečnosti nejde o malware v tradičním smyslu. Klasický ransomware potřebuje doručit a spustit škodlivý soubor: například APK na Androidu nebo EXE na Windows. Tady nic takového neexistuje. Celý útok se odehrává uvnitř otevřené aplikace a využívá legitimní rozhraní zvané File System Access API, které Chrome na Androidu zpřístupnil od verze 132 v lednu 2025.

Toto API existuje z dobrých důvodů. Webové editory obrázků, vývojářská prostředí nebo video nástroje díky němu mohou pracovat přímo se soubory, aniž by uživatel musel cokoli instalovat. Jenže stejné oprávnění, tedy přístup k souborům a možnost jejich úprav, dokáže zneužít i škodlivá stránka. A právě to Check Point předvedl.

Jak útok vypadá v praxi

Výzkumníci popsali konkrétní scénář, který působí naprosto nevinně. V analyzovaném vzorku šlo o stránku maskovanou jako „Discord avatar AI upscaler“, tedy službu na zvětšení a vylepšení profilového obrázku pomocí umělé inteligence. Tok vypadal takto:

Uživatel nahraje fotku, kterou chce „vylepšit“.
Web požádá o přístup ke složce, kam má uložit výsledek.
Uživatel vybere složku, například přímo DCIM nebo Pictures.
Prohlížeč zobrazí systémový dialog se žádostí o oprávnění ke čtení a zápisu.
Po potvrzení má web přístup ke všem souborům v dané složce.

Od tohoto momentu může stránka fotky zašifrovat, odeslat na vzdálený server nebo obojí. Uživatel vidí pouze hlášku typu „zpracovávám vaši fotku“, zatímco mezitím může přicházet o celou knihovnu. Check Point ověřil funkčnost útoku na Chrome 132 i v aktuální verzi Chrome 148 z května 2026.

Důležité upřesnění: samotné otevření webu nestačí. Bez toho, aby uživatel potvrdil přístup ke složce, útok neproběhne. Problém je v tom, že v kontextu „AI nástroje na úpravu fotek“ takové povolení působí naprosto logicky. Lidé obvykle nevnímají otevření webové stránky jako spuštění malwaru.

Pro Android ano, pro iPhone ne

Check Point uvádí, že na iOS tento konkrétní scénář nefunguje. Safari nevystavuje webům stejné rozhraní pro přímý přístup k souborovému systému. Přístup k fotkám na iPhonu řídí systémový sandbox a oprávnění ke knihovně fotografií, nikoli prohlížečové API umožňující práci s libovolnou složkou.

Na Androidu je situace jiná. Složka DCIM může být vybrána přes systémový souborový dialog a Chrome po udělení oprávnění umožní webu se soubory pracovat. Navíc, a to je detail, který Check Point zdůrazňuje, fotoknihovna často obsahuje víc než jen fotografie z dovolené. Mohou v ní být občanské průkazy, snímky obrazovky bankovních aplikací, záložní kódy nebo lékařské dokumenty. Ztráta přístupu k DCIM tak může znamenat mnohem víc než ztrátu vzpomínek.

Firefox a Safari na Androidu stejné rozhraní File System Access webům neposkytují, takže se jich tento konkrétní vektor útoku netýká.

Roli sehrála i umělá inteligence

Zajímavá je cesta, kterou Check Point k útoku dospěl. Výzkumníci analyzovali téměř 3 000 souborů připisovaných modelu DeepSeek a 1 383 z nich označili jako škodlivé nebo potenciálně nebezpečné. V jednom z nich našli nehotový základ právě browserového ransomwaru využívajícího File System Access API.

Následně testovali, zda dokáže DeepSeek V4 po mírně upravených dotazech vygenerovat funkční kód. Výsledek: při přímé žádosti o „ransomware“ model obvykle odmítal. Stačilo ale odstranit explicitní označení škodlivého účelu a popsat funkcionalitu neutrálně, a model dokázal dodat HTML a JavaScript s využitím File System Access API, v jednom případě až do podoby funkčního důkazu. ChatGPT a Claude ve stejném testu buď odmítly, nebo vrátily omezenější varianty bez schopnosti zapisovat do složek. Nejde o obecný verdikt o kvalitě jednotlivých modelů, ale o výsledek konkrétního testu.

Jak se bránit a co dělat, pokud jste už oprávnění udělili

Aktualizace Chrome sama o sobě nestačí. API je záměrná funkce, nikoli chyba, kterou by šlo jednoduše opravit jedním patchem. Samotná specifikace File System Access obsahuje sekci věnovanou ransomwarovým útokům; riziko bylo známé už od akademického článku RøB prezentovaného na konferenci USENIX v roce 2023. Letošní posun spočívá v tom, že Check Point převedl teoretický problém do praktického mobilního scénáře.

Co můžete udělat:

Nepovolujte neznámým webům přístup k hlavní složce s fotografiemi. Pokud služba na úpravu jednoho obrázku chce přístup k celé DCIM, je to varovný signál.
Pro experimentální webové nástroje používejte po dokončení práce prázdnou složku.
Zálohujte fotky do cloudu, na externí disk nebo kamkoli mimo telefon.
Dávejte přednost zavedeným aplikacím před neznámými weby slibujícími AI zázraky.
Pokud jste již podezřelému webu oprávnění udělili: zavřete všechny jeho panely (po ukončení relace Chrome oprávnění automaticky odebere), poté v nastavení webu resetujte oprávnění a vymažte cookies i data stránek.

Check Point k datu publikace nenašel důkaz, že by se tato technika již rozšířila jako běžný útok v praxi. Veřejně doložené české případy jsme nedohledali. Funkční důkaz ale existuje, API je dostupné a lokalizace podvodných stránek do češtiny by útočníka stála jen minimum času. Příště, až vám web nabídne „AI vylepšení fotky“ a požádá o přístup ke složce, vězte, že neklikáte na technickou formalitu, ale na bezpečnostní rozhodnutí.

Zdroj: Mobify.cz - Váš párťák ve světě elektroniky

Autor: Jiří Pacovský

Reklama

Další články z Mobify.cz

Bude to úplně jiná liga, foťák iPhone 18 Pro má být obrovský skok. Apple testuje, co v mobilu ještě nikdo neviděl

5 aplikací z Google Play vám kradou hesla k bance. Ihned je smažte, má je přes 150 tisíc lidí

Pět nenápadných utilit pro čištění telefonu a čtení PDF sloužilo jako brána pro bankovní trojan. Česko...

Retro ukládání dat, které dnes mladí ani neznají. A pak zmizely týdny práce kvůli jednomu magnetu

Stačilo přiložit magnet k tenké plastové destičce a data, která někdo vytvářel celé týdny, přestala...

Taháte nabíjecí kabel za drát místo za konektor? Životnost mu tím zkracujete o několik měsíců

Nejslabší místo každého nabíjecího kabelu je spoj mezi ohebným drátem a pevným konektorem. Právě tam tah za...

Neznámé číslo nezvedáte? Tím volajícímu říkáte přesně to, co potřebuje vědět. Zavolá znovu, když to nečekáte

Nepřijatý hovor z neznámého čísla neznamená pro call centrum, že už nemá volat znovu. Spíš naopak, že to má...

Tento článek byl publikován ze zdrojů Mobify.cz

Web se zaměřuje na mobilní telefony, chytré technologie a moderní aplikace. Čtenáři zde najdou recenze nových modelů, srovnání zařízení, tipy na užitečné aplikace i praktické rady, jak z telefonu dostat maximum. Obsah sleduje také trendy v oblasti elektroniky, softwaru a digitálních služeb – od...

Útok, který dosud neexistoval: Stačí otevřít web v Chrome a přijdete o fotky. Nový virus nepotřebuje nic instalovat

Bývalý profesor z Cambridge Jason Arday byl nalezen mrtvý

Tary se kaje kvůli dětskému campu. Přiznal pochybení a najal psycholožku

Nečekaná návštěva u Kvitové. Za její početnou rodinkou dorazila samotná tenisová královna Navrátilová

Šílenství na Klondiku. Sto tisíc lidí hnal sen o zlatě do mrazivého pekla, zbohatli hoteliéři i dědeček prezidenta

Stačí půl hodiny dvakrát týdně. Tento typ cvičení vyšel věda doporučuje pro kvalitnější spánek