Mobilní aplikace mSpy byla v minulosti zneužívána ke stalkingu i špehování zaměstnanců. Dnes láka mimo jiné na odhalení nevěry partnera. Vlastníci původně běloruské aplikace jsou neznámí, navenek ji ale reprezentuje česká firma.
K tomuto tématu jsme vydali podcast Odposlech:
MSpy je jednou z nejkontroverznějších sledovacích aplikací na světě. V minulosti se opakovaně dostávala do centra pozornosti kvůli zneužívání ke sledování romantických partnerů či zaměstnanců i rozsáhlým únikům dat. Firmu v roce 2011 založil běloruský podnikatel Andrej Šimanovič, jehož rodinné vazby sahají až do nejvyšších pater běloruského režimu.
Dnes jsou majitelé skrytí za složitou korporátní strukturou. Jak ale zjistila redakce investigace.cz, navenek mSpy reprezentuje mimo jiné česká firma Altercon Group s estonským majitelem Artjomem Jastrebovem.
Aplikace mSpy po nainstalování dokáže zaznamenávat polohu zařízení, zobrazovat textové zprávy, historii hovorů, fotografie, obsah některých komunikačních aplikací nebo aktivitu na sociálních sítích. V závislosti na typu zařízení a udělených oprávněních umožňuje také vzdálený přístup k dalším datům uloženým v telefonu.
Odhalíme nevěru
„Zjistěte, zda vám láme srdce… A žili šťastně až do smrti je jen pohádka. Stačí se podívat na statistiky. Zhruba 20 % manželských párů podvádí.“ Tak zní text jednoho z marketingových e-mailů mSpy. „A zatímco včerejší nevěry se provozovaly v levných motelech, dnes se odehrávají digitálně, přímo v telefonech. Nevhodné konverzace. Sexting. Videa. Je tam všechno,“ pokračuje e-mail z letošního léta.
Výrobce aplikace na svých stránkách poukazuje především na ochranu dětí, ovšem v mailingové kampani láká i na sledování partnerů. Ostatně už v roce 2013 podle vlastního průzkumu používalo 50 % uživatelů službu mSpy pro sledování partnerů.
Aplikace se opakovaně stala předmětem kritiky právě kvůli jejímu zneužívání ke sledování partnerů, expartnerů nebo zaměstnanců bez jejich vědomí. Bezpečnostní experti ji řadí mezi takzvaný stalkerware – od slova stalking –, tedy software, který může být zneužit k tajnému monitorování jiné osoby.
Zpráva výzkumníků z Citizen Lab
Experti ze Citizen Lab, výzkumnické organizace, která se zabývá digitální bezpečností, v roce 2019 analyzovali několik stalkerwarů včetně mSpy a zjistili, že mSpy výrazně investovala do reklamy skrze Google Ads, přičemž cílila na nevěru. Používala klíčová slova jako „nezjistitelné sledování mobilního telefonu“, což podle Citizen Lab naznačuje, že mSpy cílila také na uživatele, kteří chtějí někoho sledovat bez jeho vědomí. Podle zjištění Citizen Lab měla mSpy na webu skrytý text, který umožňuje, aby se web zobrazoval lidem, kteří ve vyhledávači hledali, jak sledovat nevěrné partnery. Samotná aplikace pak byla slabě zabezpečená, bez standardního šifrování při stahování aplikací.
MSpy se v minulosti také opakovaně potýkala s úniky citlivých dat. K poslednímu známému incidentu došlo v roce 2024. Ze zákaznické podpory uniklo přibližně 2,4 milionu unikátních e-mailových adres, IP adresy a komunikace mezi zákazníky a podporou.
Tehdejší CEO firmy a zakladatel mSpy Andrej Šimanovič už v roce 2014 kritiku aplikace odmítl a řekl, že mSpy je pouze nástroj a odpovědnost za jeho zneužití nese uživatel, nikoli výrobce. Situaci přirovnal k výrobci zbraní, který podle něj také nenese odpovědnost za to, jak jeho produkt někdo použije.
Opakované úniky dat
První velký incident se objevil už v květnu 2015, kdy hackeři zveřejnili databázi obsahující údaje stovek tisíc uživatelů. Unikly osobní a platební informace, ale také data ze sledovaných zařízení, která mohla odhalovat soukromou komunikaci a aktivitu uživatelů.
V roce 2018 se pak objevil další bezpečnostní problém, kdy byla odhalena nezabezpečená databáze obsahující miliony záznamů a údajů o provozu služby.
Šimanovič má podle běloruského investigativního média Buro Media rodinné vazby na Viktora Šejmana, jednoho z nejbližších spolupracovníků běloruského prezidenta Alexandra Lukašenka. V roce 2016 se oženil se Šejmanovou dcerou. Novináři popisují, že krátce po svatbě začal Šimanovič svého tchána doprovázet na zahraniční cesty.
Během své kariéry zastával Viktor Šejman několik nejvyšších státních funkcí, mimo jiné vedl prezidentskou administrativu a působil jako generální prokurátor nebo tajemník Bezpečnostní rady. Jeho jméno je zároveň spojováno s řadou kontroverzí, od podezření z podílu na represích vůči politickým odpůrcům až po netransparentní obchodní aktivity v Africe.
Projekty Andreje Šimanoviče
Kromě mSpy je Andrej Šimanovič podle Buro Media spojen také s technologickými společnostmi Mobyrix a Appvillis. Běloruská firma Mobyrix se zaměřuje na vývoj mobilních aplikací, zatímco litevská Appvillis distribuuje aplikace prostřednictvím obchodů App Store a Google Play. Buro Media popisuje obě firmy jako propojené: Mobyrix zajišťuje vývoj, Appvillis vystupuje jako evropský vydavatel aplikací.
Šimanovič je zároveň spojen s kyperskou společností Lestebrond Assets, kde působil jako ředitel. Není ale jasné, co firma dělá.
Investigace Buro Media ho dále spojuje s firmou Reynard Invest, registrovanou ve Spojených arabských emirátech. Šimanovič ji podle novinářů řídil nejméně od roku 2022 a jako oblast její činnosti byla uvedena těžba rud a drahých kovů. Licence společnosti vypršela v roce 2025.
Navenek česká a estonská firma
Kdo v současnosti mSpy skutečně vlastní, není jasné. Firemní struktura končí u společností registrovaných v jurisdikcích, kde údaje o skutečných vlastnících nejsou veřejně dostupné. Veřejně za mSpy vystupují především dvě společnosti. Jedna je česká a druhá estonská.
Česká firma Altercon Group je uvedena jako kontaktní údaj na webu mSpy.com, estonská společnost na velmi podobném webu mSpy.org. Obě společnosti se objevují také v komunikaci se zákazníky, která je součástí výše zmiňovaného úniku dat z roku 2024. Redakce investigace.cz má k dispozici i screenshoty internetového bankovnictví – ty ukazují, že peníze od některých zákazníků putovaly na bankovní účty mSpy vedené v Praze.
Českou firmu také mSpy na svém webu jmenuje jako oficiálně licencovanou k poskytování jejich služeb. Česká republika je zároveň uvedena jako jurisdikce pro případné právní spory se zákazníky.
Několik stížností na mSpy české úřady skutečně řeší, jak redakci investigace.cz sdělil mluvčí České obchodní inspekce František Kotrba.
„Co se týče obsahu podání, týkají se v souvislosti se službou mSpy například nemožnosti zrušení předplatného a vrácení zaplacené částky bezprostředně po uzavření smluvního vztahu, tedy v termínu do 14 dnů od uzavření smlouvy distančním způsobem, kdy má spotřebitel možnost využít svého práva na odstoupení od smlouvy,“ uvedl mluvčí.
Naopak policie a Úřad pro ochranu osobních údajů (ÚOOÚ) žádné problémy s mSpy neevidují. Podle tiskové mluvčí policie Jihomoravského kraje Andrey Cejnkové je používání tohoto stalkerwaru ke sledování dětí nebo zaměstnanců v pořádku, pokud sledující dodržuje zákony o ochraně osobních údajů (GDPR).
„Úřad pro ochranu osobních údajů neobdržel žádnou stížnost, přičemž ani jiný dozorový úřad členského státu mu neindikoval, že by řízení v této věci otevřel,“ sdělil redakci mluvčí ÚOOÚ Josef Štípský. „Jelikož se Úřad těmito věcmi dosud nezabýval, není možné zaujímat stanovisko pouze na základě obsahu internetových stránek, aniž by měl z úřední činnosti k dispozici další relevantní informace a skutková zjištění. Obsah internetových stránek totiž může obsahovat reklamní a marketingová sdělení, která se liší od popisu skutečného zpracování,“ doplnil.
Altercon Group: česká firma s estonským vlastníkem
Českou společnost s virtuálním sídlem Altercon Group založil v roce 2018 Artjom Jastrebov, dnes třiapadesátiletý občan Estonska, který ji také vlastní.
Podle účetních závěrek firmy se její roční tržby v posledních letech pohybovaly kolem jednoho milionu korun. Vzhledem k tomu, že mSpy podle vlastních tvrzení obsluhuje miliony uživatelů po celém světě, je možné, že Altercon Group představuje pouze jednu část širší firemní struktury, přes kterou služba funguje a přijímá platby.
Altercon Group figuruje také u dalších webů zaměřených na monitorování mobilních zařízení, například MyKidsGuard a Kidsecured.
Redakce investigace.cz oslovila společnost mSpy i jednatele české Altercon Group s otázkami týkajícími se vlastnictví, role české firmy a jejího vztahu k dalším společnostem. Do vydání článku nikdo z oslovených neodpověděl.
Nejasný vlastník
Zahraniční média, například Netzpolitik a TechCrunch, analyzovala data uniklá v roce 2024. Zjistila, že za společností by mohla stát ukrajinská Brainstack, jejíž zaměstnanci se podle dat starali o zákazníky, odpovídali na jejich otázky nebo rušili předplatné.
Tvůrce aplikace Andrej Šimanovič po prvním velkém úniku dat v roce 2015 přestal jako ředitel mSpy veřejně vystupovat. Do roku 2017 byla doména webu mSpy registrována na běloruského podnikatele Pavla Daletského, který pro mSpy pracoval už od jejího založení. Postupně ale zmizely také informace o vlastníkovi domény.
Dalším vodítkem je ochranná známka značky mSpy. Do roku 2023 ji vlastnila seychelská společnost BITEX Group Ltd. Podle dokumentů ze seychelského obchodního rejstříku patřila tato firma od roku 2010 právě Pavlu Daletskému.
BITEX Group Ltd přepsala práva na používání značky na firmu Virtuoso Holding se sídlem ve Spojených arabských emirátech. Jako nová majitelka mSpy byla jmenována Viktorija Adamčuk. Jak zjistili novináři z Netzpolitik, tato žena pracuje jako zubařka v západní Ukrajině. Když ji kontaktovali, nechtěla se s nimi o mSpy bavit.
Další sledovací aplikace
MSpy navíc není jediným produktem tohoto typu, který se objevuje ve stejném obchodním prostředí. Podle novinářů z Netzpolitik využívají špehovací aplikace Eyezy, Scannero, Detectico a Spynger stejný zákaznický servis jako mSpy.
Autorky článku: Šárka Tomečková a Barbora Šturmová