Znepokojivé zistenie: väčšinu Android smartfónov odomkne obyčajná fotka

Odomykanie smartfónu pomocou tváre sa stalo bežnou súčasťou výbavy moderných zariadení. Všeobecne ho vnímame ako rýchlu a pohodlnú alternatívu k PIN kódu či odtlačku prsta.

Nové testy však ukazujú, že v mnohých prípadoch ide skôr o komfortnú funkciu než o skutočný bezpečnostný prvok.

Na problém upozornila spotrebiteľská organizácia Which?, ktorá vo vlastných laboratórnych testoch analyzovala desiatky aktuálnych modelov. Výsledky naznačujú, že značná časť zariadení umožňuje obísť odomykanie pomocou jednoduchej fotografie majiteľa.

Organizácia od októbra 2022 otestovala celkovo 208 smartfónov, pričom až 64 % z nich bolo možné odomknúť pomocou 2D snímky tváre. Situácia sa pritom v čase nevyvíjala priaznivo. V roku 2023 zlyhalo 53 % testovaných zariadení, o rok neskôr tento podiel vzrástol na 72 %. Aktuálne dáta za rok 2025 síce hovoria o miernom zlepšení, no aj tak ostáva viac než polovica nových telefónov zraniteľná.

Za problémom stojí najmä spôsob, akým väčšina Android zariadení rozpoznáva tvár. Lacnejšie aj mnohé stredné triedy využívajú len 2D obraz z prednej kamery bez hĺbkovej analýzy. Takýto systém nedokáže spoľahlivo rozlíšiť medzi skutočnou tvárou a jej fotografiou alebo podobnou osobou. V praxi to znamená, že útočník nepotrebuje sofistikované nástroje, stačí mu bežný obrázok.

Which? uvádza, že zraniteľné systémy rozpoznávania tváre našla pri viacerých značkách vrátane Asus, Fairphone, Honor, HMD, Motorola, Nokia, Nothing, OnePlus, Oppo, Realme, Samsung, Vivo a Xiaomi. Neznamená to, že zlyhal každý model týchto výrobcov, no testy ukazujú, že problém sa netýka len okrajových alebo lacných značiek.

Medzi konkrétne modely, pri ktorých organizácia upozorňuje na obídenie odomykania fotografiou a zároveň nedostatočné varovanie používateľa, patria napríklad Fairphone 6, Honor Magic6 Lite 5G, Motorola Moto G75 5G, Edge 60 Pro, Edge 60 Fusion, Moto G56 5G, G86, Razr 50 Ultra, Edge 50 Ultra či Moto G73. V zozname sú aj Nothing Phone (2a), Phone (2a) Plus, Phone (3a), Phone (3a) Pro a Phone (3), OnePlus 13, 13R, Nord 5, Nord CE5, Nord 3 5G a OnePlus 15, ako aj Oppo Reno 13 F, Reno 13 Pro, Reno 11 F 5G, Find X9 a Find X9 Pro.

Odolnejšie riešenia existujú, no zatiaľ nie sú štandardom. Apple pri Face ID využíva 3D mapovanie tváre pomocou infračerveného projektora bodov, čo výrazne sťažuje jeho oklamanie. Podobný prístup používajú aj niektoré „Pro“ modely Android zariadení. Výnimkou sú aj najnovšie Pixely od Googlu, ktoré síce pracujú s 2D obrazom, no kombinujú ho s pokročilým strojovým učením a spĺňajú vyššiu bezpečnostnú triedu vhodnú aj pre platby.

Testy Which? zároveň poukazujú na rozdielny prístup výrobcov k informovaniu používateľov. Kým niektoré značky začali jasnejšie upozorňovať na limity tejto funkcie už počas nastavovania zariadenia, inde takéto varovania chýbajú alebo sú podľa organizácie nedostatočné. Xiaomi podľa Which? upozornilo na riziká pri 26 zraniteľných modeloch testovaných medzi rokmi 2023 až 2025, Samsung pri deviatich zariadeniach. Na opačnej strane organizácia menuje najmä Motorolu a OnePlus, ktoré mali spolu 27 modelov odomknuteľných fotografiou bez dostatočne jasného varovania.

Výrobcovia vo vyjadreniach pre Which? upozorňujú, že 2D rozpoznávanie tváre má slúžiť najmä na pohodlné odomykanie telefónu, nie na schvaľovanie citlivých operácií. Fairphone uviedol, že jeho zariadenia používajú 2D biometriku nižšej bezpečnostnej triedy a Android ju preto automaticky neumožňuje využívať pri finančných aplikáciách. Honor priznal technické limity 2D systémov a používateľom odporúča siahnuť po modeloch s 3D rozpoznávaním tváre, ak potrebujú vyššiu úroveň ochrany.

Motorola tvrdí, že pri nastavovaní používateľov upozorňuje na vhodnejšie metódy zabezpečenia, ako je PIN, heslo alebo vzor. Zároveň pripomína, že telefón si po reštarte alebo po dlhšej nečinnosti aj tak vyžiada manuálne odomknutie. OnePlus zase argumentuje tým, že používateľ musí pred aktivovaním funkcie potvrdiť vyhlásenie o rizikách rozpoznávania tváre, vrátane upozornenia, že ide o menej bezpečnú metódu než odtlačok prsta alebo heslo. Nothing a Oppo podľa Which? neposkytli vyjadrenie na zverejnenie.

Aj keď citlivé aplikácie, ako bankovníctvo či mobilné platby, často vyžadujú dodatočné overenie, odomknutý telefón stále predstavuje riziko. Útočník môže získať prístup k správam, e-mailom, fotografiám alebo histórii platieb, čo môže následne využiť napríklad pri obnove hesiel k ďalším službám.

Which? preto odporúča nepovažovať bežné 2D rozpoznávanie tváre za plnohodnotné zabezpečenie. Ako bezpečnejšia alternatíva sa javí odtlačok prsta alebo dlhší PIN kód, ideálne doplnené o ďalšie ochranné prvky, ako je uzamknutie vybraných aplikácií. Organizácia zároveň uvádza, že telefónom bez dostatočného varovania pri tejto slabine nebude udeľovať svoje odporúčania Best Buy ani Great Value.

Zistenia ukazujú, že pri výbere smartfónu by sa bezpečnostné funkcie nemali vnímať len ako doplnok. V prípade odomykania tvárou totiž stále platí, že rozdiel medzi jednotlivými riešeniami môže mať priamy dopad na ochranu osobných dát.