POZOR! Táto chyba v aplikácii Google Správy umožňuje útočníkovi odosielať SMS správy bez toho, aby si o tom vedel
Jednoduchá chyba v Google Správach na Wear OS umožňovala, aby cudzie aplikácie posielali správy bez tvojho vedomia.
Na prvý pohľad to znie ako hlúposť. Ako by tvoje hodinky mohli niekomu písať správy samy od seba? Lenže presne to sa donedávna dalo spraviť kvôli chybe v aplikácii Google Správy na hodinkách s Wear OS. A hoci sa to už opravilo, mnohí používatelia o tom ani netušia, takže ich zariadenia môžu byť stále otvorené a náchylné na útok. Na problém upozornili bezpečnostní experti z towerofhanoi.it.
Ako sa z bežnej funkcie stal bezpečnostný problém
V systéme Android sa aplikácie medzi sebou rozprávajú pomocou tzv. intentov, malých správ, ktoré hovoria inej aplikácii, čo má urobiť. Napríklad keď klikneš na telefónne číslo, jedna aplikácia pošle inej intent s pokynom „zavolaj na toto číslo“. Alebo keď niekto chce otvoriť tvoju aplikáciu správ, použije intent s akciou „pošli správu“.
Lenže Google Správy na hodinkách robili jednu zásadnú chybu, dôverovali týmto pokynom až príliš. Akákoľvek aplikácia mohla poslať takýto „papierik“ (intent) s textom správy a číslom príjemcu a Správy ju jednoducho odoslali. Žiadne potvrdenie, žiadne upozornenie, nič. Stačilo, aby si mal na hodinkách nainštalovanú aplikáciu, ktorá vedela takéto intenty posielať.
Žiadne povolenia, žiadne otázky, len odoslané správy
Najdesivejšie na tom je, že útočník nepotreboval žiadne špeciálne povolenia. Nemusel mať prístup k SMS správam, nemusel ťa žiadať o súhlas s odosielaním. Stačilo, aby na tvojich hodinkách bežala aplikácia, ktorá vo vhodnej chvíli spustila takýto príkaz. Hodinky potom bez slova poslali správu, akoby si ju napísal ty sám.
V praxi to znamená, že mohla vzniknúť celá vlna útokov, pri ktorých by útočníci cez falošné aplikácie rozosielali správy z cudzích účtov. Tie správy by sa tvárili dôveryhodne, pretože pochádzali priamo z tvojho čísla. Mohli by obsahovať phishingové odkazy, žiadosti o kódy alebo dokonca správy na prémiové čísla, ktoré by ti potichu vyťahovali peniaze z kreditu.
Neprehliadni
Tichý odosielateľ, ktorý pracuje za tvojím chrbtom
Táto chyba je ukážkový príklad tzv. „confused deputy“ problému, teda situácie, keď aplikácia vykoná privilegovanú akciu v mene inej, menej dôveryhodnej aplikácie. V preklade, systém sa nechá zmiasť a vykoná niečo, čo by vôbec nemal, len preto, že niekto vedel, ako ho oklamať.
Výskumník, ktorý chybu objavil, pripravil aj verejný dôkaz konceptu. V ňom demonštroval, že aplikácia na hodinkách dokáže bez problémov odoslať SMS správu len pomocou niekoľkých riadkov kódu. Žiadne hackovanie, žiadne zložité triky, len obyčajné využitie zle nastaveného systému.
Vulnerability in Google Messages for Wear OS resulted in invoking intents to send messages without permission (CVE-2025-12080) discovered by @Io_no__ and awarded $2,250.00 by Google
Blog: https://t.co/YlpilfkxyY
PoC: https://t.co/4NGHF3w7cI pic.twitter.com/fWVnvrOICN— Mobile Hacker (@androidmalware2) October 27, 2025
Ak používaš hodinky s Wear OS a máš v nich aplikáciu Google Správy, táto zraniteľnosť sa ťa týkala priamo. A ak si ich dávno neaktualizoval, týka sa ťa možno stále. Pretože chybu opravil až neskorší update, ktorý sa do všetkých zariadení dostával postupne.
Našťastie, riešenie je jednoduché. Stačí aktualizovať systém aj aplikáciu Správy na najnovšiu verziu. To je všetko. Po nainštalovaní aktualizácie už systém správne vyžaduje potvrdenie pred odoslaním správy a útok už nie je možný.
Ako sa chrániť pred podobnými hrozbami
Okrem aktualizácie by si mal pravidelne kontrolovať, aké aplikácie máš na hodinkách nainštalované. Ak nejakú nepoužívaš alebo pôsobí podozrivo, jednoducho ju odinštaluj. Dávaj si pozor aj na to, čo sťahuješ, aj na hodinkách môžu byť aplikácie, ktoré sa tvária nevinne, no v pozadí robia niečo úplne iné.
Bezpečnostné chyby ako táto sú pripomienkou, že aj malé zariadenia, ktoré nosíme na zápästí, sú v skutočnosti malé počítače. A tie môžu byť zneužité rovnako ako mobil či počítač. Ak nechceš, aby niekto iný písal správy v tvojom mene, nenechávaj svoje hodinky bez aktualizácií.
