Česká policie prolamuje telefony nástrojem, který podle USA tajně vlastní Rusové

Koncem září zatkli v Londýně a v Idahu dva šéfy americké firmy Oxygen Forensics: zakladatele Olega Davydova a generálního ředitele Leeho Reibera. Ministerstvo spravedlnosti USA je obviňuje z podvodu. Podle obžaloby firmu, která prodává nástroje na prolamování telefonů americkým úřadům, ve skutečnosti vlastní a vyvíjí Rusové a stejnou technologii přes sesterskou firmu prodávají ruské FSB.

Pro Česko to není vzdálená americká kauza. Podle Deníku N software od Oxygenu používá Policie ČR, celní správa i ministerstvo obrany.

Hned na začátek dvě věci, ať je jasné, o čem píšu. Zatím jde o obvinění, ne o rozsudek. A obžaloba výslovně netvrdí, že by software obsahoval škodlivý kód. Jde o podvod: o zatajení, kdo firmu vlastní a kde se software vyvíjí.

Co ten software umí

Oxygen Forensic Detective je nástroj na vytěžování dat z telefonů a dalších zařízení. Na trhu konkuruje izraelskému Cellebrite, švédskému MSAB nebo kanadskému Magnetu. Podle výrobce umí:

• u Androidu obejít zámek obrazovky na čipech většiny velkých výrobců a stáhnout celý obsah telefonu,
• u iPhonu nainstalovat do telefonu agenta, který stáhne souborový systém včetně klíčenky s hesly,
• dešifrovat uložená hesla a přihlašovací tokeny aplikací,
• se získanými tokeny stáhnout data z iCloudu, Googlu nebo WhatsAppu, tedy i to, co v telefonu vůbec není,
• poskládat z dat časovou osu, mapu pohybu a síť kontaktů a třídit fotky pomocí rozpoznávání obličejů.

Do telefonu se nástroj dostává stejně jako konkurence: přes známé bezpečnostní chyby v telefonech. Licence stojí podle prodejců zhruba 3 500 až 6 500 dolarů ročně za jedno pracoviště.

Jak se zatajovalo, kdo za firmou stojí

Firmu založili v Moskvě v roce 2000 Oleg Davydov a Oleg Fedorov. V roce 2013 vstoupila na americký trh a v čele se brzy objevil Američan Lee Reiber. Po ruské invazi na Ukrajinu a sankcích v roce 2022 se podle obžaloby vedení dohodlo, že ruské vlastnictví zakryje: podíly přešly přes holding na Kypru a v Turecku vznikl server, aby se akcionáři nepřipojovali z ruských IP adres. Fedorov získal turecký pas a do vedení se vrátil pod jménem „Fatih Osman“.

V roce 2024 firma podle obžaloby dodala americké vládě nepravdivá prohlášení a získala pětiletou zakázku od výcvikového centra Secret Service. Mezi jejími zákazníky byly za víc než deset let FBI, Pentagon, ministerstvo vnitřní bezpečnosti, imigrační úřady i daňová správa. Ruská sestra MKO Systems mezitím prodávala stejnou technologii FSB, ruskému vyšetřovacímu výboru a ministerstvu vnitra.

Davydova zatkli 20. září na letišti Heathrow, když chtěl odletět do Istanbulu. Reibera o dva dny později v Idahu.

Evropa a Česko

Software podle médií používá policie v Německu, Španělsku, Itálii, Polsku, Maďarsku, Rumunsku, Lotyšsku i londýnská Metropolitan Police. Firma byla navíc konzultantem ve dvou projektech EU o sdílení elektronických důkazů, podle Evropské komise z nich ale peníze nedostala.

V Česku policejní prezidium po zjištěních z USA podle Deníku N zakázalo software aktualizovat. To je rozumný první krok. Podrobnosti o zakázkách a vyjádření NÚKIB zatím nejsou veřejně dostupné.

Proč je to vážné, i když škodlivý kód nikdo neprokázal

Do takového nástroje policie vkládá to nejcitlivější, co má: obsah zajištěných telefonů, hesla a přístupy do cloudů. Lidí, kteří ještě nebyli odsouzeni, a s nimi i data každého, s kým si kdy psali.

Aktualizace a licence jdou z infrastruktury, kterou podle obžaloby ovládají lidé napojení na dodavatele FSB. A aktualizace jsou ideální cesta, jak do softwaru dostat cokoli. Ruská strana navíc mohla vidět, jaké metody a zranitelnosti západní policie používá, a teoreticky i manipulovat s důkazy. Nic z toho zatím prokázané není. Ale u nástroje, který rozhoduje o důkazech v trestních řízeních, nestačí, že se to nestalo. Mělo by být vyloučené, že se to stát mohlo.

Není to prostě hackování telefonu?

Technicky ano. Nástroj zneužije bezpečnostní chybu, obejde zámek i šifrování a stáhne data. Přesně to samé dělá útočník. Liší se jen to, kdo to dělá a v jakém právním rámci.

Policie se opírá o zajištění věci podle § 78 a 79 trestního řádu a o zkoumání jejího obsahu. Má telefon fyzicky v ruce a nejde o spyware nasazený na dálku, jako byl Pegasus. Dotčený se může bránit a důkazy nakonec posuzuje soud. Kdyby totéž udělal kdokoli jiný, spáchal by trestný čin neoprávněného přístupu k počítačovému systému podle § 230 trestního zákoníku.

Pochybnosti jsou ale oprávněné:

• Rozsah. Telefon obsahuje celý život člověka i data lidí, kteří s věcí nemají nic společného. Je to víc než domovní prohlídka, a ta soudní příkaz potřebuje.
• Chybí soudce předem. O zajištění a zkoumání telefonu v Česku obvykle rozhoduje policie nebo státní zástupce, ne soud.
• Cloud. Z tokenů v telefonu se stahují data uložená jinde, která by jinak policie musela žádat po poskytovateli.
• Zájem státu na děravých telefonech. Když policie potřebuje, aby šly telefony prolomit, má zájem, aby chyby zůstaly neopravené. Ty samé chyby ale může zneužít kdokoli.
• Stejné nástroje mají režimy. Podobný software se prodává do Ruska, Běloruska nebo Hongkongu. V Srbsku policie podle Amnesty International v roce 2024 při extrakci nahrála novinářům a aktivistům do telefonů spyware.

Evropské soudy na to už reagují. Soudní dvůr EU v roce 2024 (věc C‑548/21) rozhodl, že přístup policie k datům v telefonu musí předem posoudit soud nebo nezávislý orgán, s výjimkou naléhavých případů, musí být přiměřený a dotčený se o něm musí dozvědět. Evropský soud pro lidská práva už v roce 2017 (Trabajo Rueda proti Španělsku) shledal, že prohledání obsahu počítače bez soudního povolení a bez naléhavého důvodu porušilo právo na soukromí podle článku 8 Úmluvy.

Kdy smí policie telefon prolomit

Podle dnešní praxe:

• Jen v trestním řízení. Při přestupku, silniční kontrole nebo legitimování ne.
• Telefon musí být zajištěný, tedy vydaný nebo odňatý, a musí o tom existovat záznam nebo rozhodnutí.
• Musí souviset s věcí a být přiměřený. Prolomit telefon „pro jistotu“ nebo kvůli něčemu jinému je zneužití pravomoci.

Slabé místo je v tom, že prolomení zabezpečení nemá v trestním řádu vlastní ustanovení a nepotřebuje předchozí souhlas soudce. Dovozuje se z obecných pravidel o zajištění a zkoumání věcí. Kontrola tak přichází až zpětně, když už data dávno někdo zkopíroval. Po rozsudku Soudního dvora EU je otázka, jak dlouho to ještě obstojí.

Co můžete dělat vy

• PIN a heslo prozradit nemusíte, plyne to z práva nevypovídat proti sobě. U otisku prstu a obličeje je to šedá zóna. Mějte nastavený PIN a v kritické chvíli biometrii vypněte.
• Proti zajištění telefonu můžete podat stížnost.
• Proti postupu policie se můžete obrátit na státního zástupce se žádostí o odstranění průtahů nebo závad (§ 157a trestního řádu).
• Při svévoli můžete podat podnět Generální inspekci bezpečnostních sborů kvůli zneužití pravomoci úřední osoby (§ 329 trestního zákoníku).
• Nezákonně získaný důkaz může soud vyloučit, i když česká praxe je v tom spíš benevolentní.
• Poslední možností je ústavní stížnost kvůli zásahu do soukromí podle článků 7 a 10 Listiny a článku 8 Úmluvy.

Je to obecný přehled, ne právní rada. Konkrétní situaci je lepší probrat s advokátem.

Co by se mělo změnit

Prolomení telefonu je technicky hackování a právně by s ním tak mělo být zacházeno: jako se zásahem srovnatelným s odposlechem, ne se zabavením peněženky. To znamená výslovné ustanovení v trestním řádu, souhlas soudu předem s výjimkou skutečně naléhavých případů, omezení na data, která s věcí souvisejí, a povinnost dotčeného informovat.

Kauza Oxygen k tomu přidává druhou otázku, kterou by si měl položit každý úřad, který takové nástroje kupuje: komu kromě nás ta data můžou téct? Dokud stát nekontroluje, kdo nástroje vyvíjí, odkud chodí jejich aktualizace a kam se připojují, nemůže zaručit ani to, že důkazy z nich jsou spolehlivé.

Text vychází z veřejných zdrojů ke 30. září 2026. Obvinění v USA zatím nebylo projednáno soudem.