Sideloading znamená inštaláciu aplikácie mimo Obchodu Play a sám osebe to nie je chyba. Bezpečnostné laboratórium Malwarebytes Labs však pripomína, že tento spôsob odstraňuje časť poistiek, ktoré prináša distribúcia cez obchod. Na tej medzere stojí väčšina podvodov s falošnými aplikáciami.
Týka sa to každého, kto niekedy stiahol inštalačný súbor APK z webu. Google podľa toho istého rozboru zablokoval len v roku 2025 vydanie vyše 1,75 milióna aplikácií, ktoré porušovali pravidlá, a zrušil vyše 80 000 vývojárskych účtov spojených so škodlivým softvérom. Toľko sa ho tlačí do jediného obchodu.
Kedy má inštalácia mimo Obchodu Play zmysel
Dôvodov je viacero a väčšina z nich je legitímna. Vývojár distribuuje aplikáciu priamo zo svojho webu. Aplikácia nie je dostupná vo vašej krajine ani v obchode. Alternatívny repozitár ponúka otvorený softvér, ktorý sa do oficiálnej ponuky nikdy nedostal.
Sem patrí aj firemná, testovacia či špecializovaná aplikácia a prípad, keď potrebujete staršiu verziu, ktorá sa už neponúka. Kto si vyberá alternatívne obchody s aplikáciami, robí vedomé rozhodnutie. Rovnako vedome sa dá zostať pri sťahovaní z Google Play zadarmo.
Obchod Play je filter, nie bezpečnostný verdikt
Aj cez oficiálny kanál prejdú trójske kone maskované za nástroje, hry alebo finančné aplikácie. Prejde adware, predplatiteľské pasce aj aplikácie, ktoré zbierajú viac údajov, než potrebujú. Najzradnejšie sú spiace aplikácie, ktoré zmenia správanie až po prvej kontrole.
Nápis o dostupnosti v obchode je preto pozitívny signál, nie bezpečnostný verdikt. Platí to aj opačne: práve vtedy, keď sa aplikácie nedajú stiahnuť, ľudia siahajú po súboroch z webu a robia najviac chýb. Aj samotný obchod sa medzitým otvára a ponúka konkurenčný obchod.
Druhou vrstvou je Google Play Protect. Podľa Pomocníka Androidu kontroluje aplikácie z obchodu ešte pred stiahnutím a zároveň prehľadáva zariadenie na škodlivé aplikácie z iných zdrojov. Vie pred nimi varovať, deaktivovať ich alebo ich rovno odstrániť.
Posiela aj upozornenia na súkromie a na niektorých verziách systému vie resetovať povolenia aplikácie. Dokáže tiež zabrániť inštalácii neoverenej aplikácie, ktorá pýta citlivé povolenia zneužívané pri finančných podvodoch. Nechať ho zapnutý je najlacnejšia poistka, akú v telefóne máte.
Pri súbore z webu neviete, kto ho zabalil
Hlavný rozdiel oproti obchodu nie je formát súboru, ale reťaz dôvery. Pri súbore odinakiaľ neviete, kto ho vyrobil, či ho niekto neupravil a neprebalil, či stránka nepredstiera legitímneho vývojára a či vôbec prídu skutočné aktualizácie.
Rozhodujúcim faktorom býva sociálne inžinierstvo. Google opisuje typický scenár tak, že podvodník zneužije strach z finančnej straty alebo o blízku osobu, zostane s obeťou na telefóne a navádza ju cez varovania. Tak sa šíri aj malvér platiaci vašou kartou.
Legitímna banka, úrad, polícia ani technická podpora vás nikdy nepožiadajú o inštaláciu súboru APK ani o oslabenie bezpečnostných nastavení. Rovnaká logika platí pri odkazoch v správach a e-mailoch, takže sa oplatí vedieť, ako sa chrániť pred phishingom.
Že to nie je vzdialený problém, ukazuje SK-CERT. Upozornil na sériu škodlivých aplikácií mierených priamo na slovenský a český trh, ktoré dokážu vytiahnuť z telefónu peniaze aj kryptomeny.
Reťazec sa podľa neho začína klamlivou reklamou. Prvá aplikácia si vypýta právo inštalovať ďalšie aplikácie, druhá povolenie Prístupnosť a od toho okamihu si zvyšok práv udelí sama. Rovnako nenápadne začína aj podozrivá SMS so skráteným číslom.
Keď to raz preklikáte, kontrolu nad zvyškom procesu už nemáte. SK-CERT v takom prípade odporúča obnoviť telefón do továrenského nastavenia. Zmazať pôvodnú aplikáciu nestačí, útočník ovláda zariadenie aj po nej.
Ako zmenšiť riziko, keď sa inštalácii nevyhnete
Začnite na oficiálnej stránke vývojára, nie na sponzorovanom výsledku, náhodnom portáli so súbormi ani na odkaze od cudzieho človeka. Vývojára si overte nezávisle cez jeho web, dokumentáciu a verejný repozitár kódu. Údaje uvedené pri samotnom súbore na to nestačia.
Pred inštaláciou aj po nej si prezrite povolenia. Jednoduchá aplikácia nemá dôvod pýtať služby prístupnosti, prístup k SMS správam, notifikáciám, kontaktom ani nahrávanie obrazovky. SK-CERT k tomu pridáva jednoduché pravidlo: neprimeranú žiadosť zamietnite a aplikáciu odinštalujte.
Systém aj aplikácie držte aktualizované a odstráňte to, čomu už neveríte alebo čo nepoužívate. Pokročilí používatelia môžu porovnať podpisový certifikát alebo kryptografický odtlačok súboru s hodnotou, ktorú zverejnil vývojár. Nie je to pre každého, ale podvrh to odhalí.
A hlavne: nikdy neinštalujte nič pod tlakom. Ukončite hovor, zatvorte chat a organizáciu si overte cez kontakt, ktorý si nájdete sami. Ak niekto súri, je to samo osebe dôvod prestať a nechať si čas na rozmyslenie.
Google chce od vývojárov overenú identitu
Pravidlá sa pritom sprísňujú. Od 30. septembra 2026 musia byť aplikácie zo zapojených obchodov v Brazílii, Indonézii, Singapure a Thajsku registrované overeným vývojárom, aby sa dali nainštalovať a dostávať aktualizácie. Celosvetové rozšírenie na všetky zdroje inštalácie je naplánované na rok 2027.
Google to prirovnáva ku kontrole dokladov na letisku: overuje sa identita vývojára, nie obsah aplikácie. Zároveň tvrdí, že sideloading nikam nemizne a overený vývojár môže distribuovať aplikácie priamo aj cez ktorýkoľvek obchod, ktorý si vyberie.
Pre bežného používateľa to znamená, že inštaláciu od neovereného vývojára systém zablokuje a odomkne ju až jednorazový pokročilý postup v nastaveniach. Ako presne vyzerá, sme rozpísali v článku o dni čakania pri neoverených vývojároch.
Podľa blogu pre vývojárov Androidu ide o režim vývojára, reštart telefónu a ochrannú lehotu, po ktorej sa zmena potvrdí odtlačkom prsta, tvárou alebo kódom PIN. Povoliť sa dá na sedem dní alebo natrvalo, varovanie pri inštalácii zostáva.
Dôvod tej brzdy je vecný. Google sa opiera o správu Global Anti-Scam Alliance z roku 2025, podľa ktorej zažilo podvod 57 % opýtaných dospelých. Čakacia lehota má rozbiť umelú naliehavosť, na ktorej celý podvod stojí.
Overenie identity ale nehovorí, že je aplikácia dobrá. Hovorí len, kto za ňou stojí, a požiadavka sa netýka necertifikovaných zariadení ani systémov postavených na Android Open Source Project. Rozhodnutie tak zostáva na vás: overte, kto aplikáciu vyrobil, prečo pýta dané povolenia a či ste si jej inštaláciu naozaj vybrali sami.
