17 milionů zařízení sloužilo hackerům a jejich majitelé o tom neměli tušení. Policie odhalila obří botnet s 200 servery

Nizozemská policie zabavila servery sítě Asocks, která proměnila miliony domácích počítačů, telefonů i routerů v neviditelnou zástěnu pro kyberzločince.

Zdroj fotografie: StockVault

Koncem května 2026 zveřejnila nizozemská policie výsledky společného vyšetřování s tamním Národním centrem kybernetické bezpečnosti (NCSC). Případ začal tipem od bezpečnostního výzkumníka a skončil zabavením serverů u hostingového poskytovatele v Nizozemsku. Čísla, která úřady zveřejnily, jsou mimořádná: nejméně 17 milionů infikovaných zařízení po celém světě a 200 serverů, které celou síť řídily. Těch 200 strojů přitom nebylo mezi koncovými oběťmi. Tvořily řídicí infrastrukturu, jakýsi mozek, přes který útočníci ovládali miliony cizích počítačů, tabletů, smartphonů i routerů. Jejich skuteční majitelé o tom neměli tušení, protože kompromitované zařízení na první pohled fungovalo úplně normálně.

Proč si majitelé ničeho nevšimli

Princip je jednoduchý, a právě proto tak účinný. Malware běží na pozadí, nezobrazuje žádné varovné okno a nespouští žádnou viditelnou aplikaci. Zařízení dál reaguje, připojuje se k internetu a přehrává videa. Jediné, co se změnilo, je to, že část jeho internetového připojení teď využívá někdo jiný a provoz přes něj může vypadat jako běžné domácí surfování.

Jak nizozemské NCSC vysvětluje, kompromitované zařízení se stává součástí takzvané residential proxy sítě. Zákazník si za poplatek pronajme cizí domácí IP adresu a jeho aktivita, ať už jde o phishing, spam nebo přihlašování pomocí ukradených hesel, pak vypadá, jako by pocházela od nic netušícího člověka v bytě v Amsterdamu, Praze nebo kdekoli jinde. FBI ve svém letošním varování uvádí typické scénáře: maskování řídicí komunikace malwaru, zakládání falešných účtů, útoky hrubou silou na hesla, exfiltrace dat i obcházení regionálních omezení e-shopů. Nepřímé příznaky infekce existují, například pomalejší internet, nestabilní připojení nebo podezřelé e-maily odcházející vaším jménem, ale snadno se přehlédnou.

Jak se zařízení do sítě dostala

Oficiální nizozemské oznámení popisuje cestu nákazy obecně: útočník získá vzdálený přístup k zařízení a nainstaluje škodlivý kód. Konkrétnější obraz nabízí bezpečnostní firma HUMAN Security, která propojila androidovou knihovnu PROXYLIB (známou také jako LumiApps) přímo s platformou Asocks. Infikované telefony sloužily jako proxy uzly, aniž by k tomu uživatel dal skutečný souhlas.

FBI pak jako nejčastější cesty nákazy jmenuje:

• „bezplatné“ VPN aplikace s ukrytými podmínkami v licenčním ujednání
• pirátský software a stahování obsahu zdarma z nedůvěryhodných zdrojů
• aplikace slibující výdělek za sdílení internetového připojení
• nezáplatovaná IoT zařízení s výchozími hesly, tedy routery, kamery a chytré domácí spotřebiče

Stačilo tedy nainstalovat jednu pochybnou aplikaci nebo nechat router roky bez aktualizace.

Asocks versus SocksEscort: srovnání ukazuje měřítko

Jen o dva měsíce dříve, v březnu 2026, rozbila mezinárodní operace jinou residential proxy síť, SocksEscort. Americké ministerstvo spravedlnosti u ní evidovalo přibližně 369 tisíc kompromitovaných zařízení od roku 2020 a konkrétní škody v řádu milionů dolarů v souvislosti s bankovními a kryptopodvody. Asocks je podle publikovaných čísel zhruba 46× větší. Metodika počítání se může lišit, ale i s touto výhradou jde o výrazně větší síť.

Podstatný je i obchodní model. Klasický botnet útočník používá přímo, například k rozesílání spamu nebo k DDoS útokům. Residential proxy služba jde dál: z nakažených zařízení dělá placenou „přestupní stanici“ pro kohokoli, kdo zaplatí. Nizozemská policie u SocksEscortu výslovně upozorňuje, že ne každá proxy služba je nelegální; nelegální je model postavený na hacknutých zařízeních bez vědomí jejich majitelů.

Česko není mimo hru

Oficiální nizozemské zdroje nezveřejňují rozpad infikovaných zařízení podle zemí, takže nelze říct, kolik českých zařízení bylo přímo v síti Asocks. Vyloučit to ale rozhodně nelze, protože botnet operoval globálně.

Že jde o reálnou hrozbu i na českém území, dokládá NÚKIB ve svém přehledu hrozeb za první čtvrtletí 2026. Úřad v něm uvádí nárůst počtu zařízení kompromitovaných botnetem REDHEBERG a v době vydání přehledu evidoval v Česku přes 3 200 nakažených strojů. Jde o jiný botnet, ale mechanismus je podobný: kompromitovaná domácí zařízení slouží cizím zájmům.

Je po všem?

Nizozemská policie serverovou infrastrukturu zasáhla a hostingový provider ji odstavil. Jenže konec 200 serverů nemusí znamenat konec celé služby. Soukromá telemetrie společnosti Lumen naznačuje, že Asocks krátce po zásahu udržel provoz díky přeprodeji proxy zdrojů od jiných poskytovatelů, prakticky bez výpadku. Sama platforma Asocks ve svém vyjádření tvrdí, že funguje jako tržiště propojující dodavatele a zákazníky a že problematického partnera prověřovala. To je ale její obhajoba, nikoli závěr policie.

Co udělat hned teď: aktualizovat systém na telefonu, počítači i routeru. Změnit výchozí hesla, zapnout dvoufaktorové ověření a zabezpečit Wi-Fi pomocí WPA2 nebo WPA3. Instalovat aplikace jen z oficiálních obchodů. A pokud máte doma router, který už nedostává bezpečnostní záplaty, vyměňte ho. Stará zařízení bez podpory jsou pro útočníky otevřenými dveřmi.

Dvě stě serverů v jedné zemi stačilo k ovládnutí 17 milionů zařízení po celém světě. Nejděsivější na tom není jen škála útoku, ale především jeho neviditelnost: miliony lidí mohly používat kompromitovaný telefon nebo router, aniž by si všimly něčeho víc než například trochu pomalejšího internetu.