Mechanismus je přitom paradoxní: útočníci před svou phishingovou stránku nasazují komerční antibotovou službu, původně určenou k ochraně legitimních webů před scrapery a automatizovaným provozem. Když na takovou stránku dorazí bezpečnostní skener, sandbox nebo crawler antivirové firmy, antibotová vrstva ho rozpozná a zobrazí mu neškodný obsah – například prázdnou stránku, výzvu CAPTCHA nebo úplně jiný web. Skutečnému člověku se v prohlížeči až po určité interakci zobrazí phishingová stránka nebo škodlivý obsah.

Tím se komplikuje detekce založená na reputaci URL, sandboxech, e-mailových branách i automatickém skenování webu. Výraz „antivirus“ v tomto kontextu proto musíme chápat šířeji: jde o celou vrstvu automatizovaných bezpečnostních kontrol, které probíhají mimo aktivní relaci uživatele v prohlížeči. Na nové phishingové domény, které podle Push často existují méně než dva dny, navíc tyto kontroly nemusejí stihnout včas zareagovat.

Tři techniky, které obcházejí i dvoufaktorové ověření

Nejde o jediný typ útoku. V datech Push se opakují tři hlavní skupiny, z nichž každá obchází bezpečnostní opatření jiným způsobem:

• AiTM phishing – útočník vytvoří kopii přihlašovací stránky a v reálném čase přeposílá zadané údaje na skutečný server. Může tak získat nejen heslo, ale také relační cookie, která mu umožní převzít přihlášenou relaci a obejít běžné dvoufaktorové ověření.
• ClickFix – uživatel narazí na falešné chybové hlášení nebo výzvu CAPTCHA, která ho instruuje, aby zkopíroval text do schránky a vložil ho do příkazového řádku Windows. Tím sám spustí škodlivý příkaz. Podle Microsoftu může tato technika obejít běžné automatizované kontroly, protože škodlivou akci ve výsledku provede sám uživatel.
• Device code phishing – oběť zadá nebo vloží kód na legitimní přihlašovací stránce Microsoftu, a tím nevědomky autorizuje přístup útočníka. Ten může získat přístupový token, aniž by potřeboval znát heslo nebo přímo zachytit ověřovací kód MFA, protože útočí na proces autorizace.

Společným jmenovatelem je, že žádná z těchto technik nutně nevyžaduje stažení infikovaného souboru. Útok se odehrává v prohlížeči a spoléhá na to, že uživatel klikne na odkaz, vloží příkaz nebo potvrdí požadavek.

ClickFix dominuje, device code phishing exploduje

Push Security ve svém datovém přehledu za druhou polovinu roku 2026 uvádí, že ClickFix tvořil ve druhém čtvrtletí v průměru 52 % všech jejich detekcí a v srpnu dosáhl 67 %. Čtyři z pěti zachycených payloadů spojených s ClickFix přitom podle společnosti pocházely z vyhledávačů, a to prostřednictvím škodlivé reklamy, manipulace s výsledky vyhledávání nebo napadených webů. Nešlo tedy o útoky šířené e-mailem.

A právě to představuje druhou část problému: zhruba polovina všech škodlivých payloadů zachycených společností Push přicházela mimo e-mailové kanály. Šířily se přes vyhledávače, sociální sítě, komunikační aplikace nebo QR kódy. Ani sebelepší e-mailová brána tyto cesty sama o sobě nepokryje.

U device code phishingu je vývoj ještě výraznější. Na začátku roku 2026 existoval jeden nebo dva phishingové kity zaměřené na tuto techniku. V průběhu roku jich Push napočítala přes třicet. FBI v květnu 2026 vydala varování před platformou Kali365, která krade přístupové tokeny k Microsoft 365 právě prostřednictvím device code phishingu a využívá k tomu i návnady vytvořené pomocí umělé inteligence. Z techniky, kterou dříve ovládalo jen několik útočníků, se tak stal nástroj dostupný v rámci služeb typu phishing-as-a-service.

Umělá inteligence zlevňuje výrobu útoků

Push tvrdí, že 90 % phishingových kitů analyzovaných v roce 2026 neslo známky využití umělé inteligence. Šlo například o podrobné komentáře v kódu typické pro výstupy jazykových modelů, rychle vytvářené kopie legitimních stránek nebo automatizovanou infrastrukturu. Analýza konkrétního phishingového panelu skupin ShinyHunters a BlackFile navíc odhalila artefakty, které podle výzkumníků ukazovaly na použití velkých jazykových modelů při tvorbě kódu.

Umělá inteligence tedy nutně nepřináší „chytřejší virus“. Především zlevňuje a urychluje výrobu přesvědčivých phishingových stránek a kampaní. Ty lze připravit během několika hodin a opustit dříve, než je bezpečnostní systémy stihnou zařadit na seznam blokovaných adres.

Jak se bránit, když antivirus nestačí

Pro české uživatele i firmy platí stejná rizika, protože popsané distribuční kanály nejsou omezené na konkrétní zemi. NÚKIB v únoru 2026 výslovně varoval před phishingem, falešnými weby a QR kódy a doporučil aktualizace, vícefaktorové ověřování a obezřetnost při práci s nevyžádanými odkazy.

Praktické minimum pro běžného uživatele:

• Nikdy nespouštějte příkazy zkopírované z vyskakovacího okna, výzvy CAPTCHA nebo chybového hlášení na webu.
• Na přihlašovací stránky přecházejte ručně zadáním adresy, nikoli přes odkaz ve zprávě.
• Kontrolujte, jakou aplikaci nebo zařízení právě autorizujete, zejména když vás někdo vyzývá k zadání kódu.
• Udržujte prohlížeč i operační systém aktualizované.
• Berte vícefaktorové ověření jako důležitou, nikoli však neprůstřelnou ochranu. Device code phishing může zneužít proces autorizace i bez přímého prolomení MFA.

Pro firmy je klíčové rozšířit ochranu za hranice e-mailu a zaměřit se také na relace v prohlížeči a správu identit. To znamená monitorovat i kanály mimo e-mail, omezit používání device code flow tam, kde není nezbytné, a mít připravený postup pro rychlé odvolání přístupových tokenů v případě kompromitace.

Rok 2026 nepřinesl nutně sofistikovanější malware. Přinesl především útočníky, kteří pochopili, že jedním z nejspolehlivějších způsobů, jak obejít zabezpečení, je přimět člověka, aby sám něco v prohlížeči potvrdil.

Jak přesně si dva antiviry vlezou do cesty

Klíčem k pochopení problému je způsob, jakým některé bezpečnostní programy monitorují činnost systému. Microsoft ve svém open-source projektu Detours popisuje techniku, při níž se upraví začátek cílové funkce a provádění kódu se přesměruje do jiné části programu. Původní instrukce se zachovají v takzvané trampolíně, přes kterou lze následně zavolat původní funkci. Díky tomu může program sledovat nebo upravovat chování volání mezi aplikací a operačním systémem.

Podobné techniky mohou fungovat bez problémů, pokud je používá jediný program nebo pokud jsou jednotlivé zásahy vzájemně kompatibilní. Konflikt může nastat, když se do stejných funkcí snaží zasahovat dva bezpečnostní produkty. Chen popsal situaci, kdy jeden antivir přesměroval volání na vlastní kód a druhý zasáhl do funkce, kterou první potřeboval ke svému fungování. Když se první produkt pokusil funkci použít, narazil na zásah druhého, který tuto aktivitu vyhodnotil jako podezřelou a pokusil se příslušný proces izolovat. Jenže i druhý antivir mohl být závislý na funkcích, do nichž zasahoval první. Takový řetězec vzájemných zásahů může vést k zacyklení, zablokování procesů a nestabilitě systému.

Záludné je, že konflikt se nemusí projevit hned po instalaci druhého antiviru. Chen upozorňuje, že podobné problémy se často odhalí až při podrobné analýze nestabilního systému. Běžný uživatel je přitom může snadno přičíst pomalému disku, vadnému ovladači nebo chybné aktualizaci Windows.

Co na to říká sám Microsoft, a proč stáhl vlastní článek

Microsoft souběh antivirových produktů řeší také na úrovni systému. Oficiální dokumentace vysvětluje, že na klientských verzích Windows 10 a 11 se Microsoft Defender při rozpoznání jiného registrovaného a kompatibilního antivirového produktu zpravidla přepne do pasivního nebo jiného odpovídajícího režimu. Po odinstalaci druhého produktu se má za běžných okolností znovu aktivovat. U serverových edic se chování může lišit a někdy vyžaduje další konfiguraci.

Zajímavý je také marketingový kontext. V lednu 2026 Microsoft zveřejnil na svém Learning Center článek „Trusted antivirus protection for PCs“, v němž uvedl, že vestavěná ochrana Defenderu je pro mnoho uživatelů dostačující. V dubnu následoval výrazněji formulovaný článek „Best antivirus software for 2026: The built-in Windows protection you need“, který zdůrazňoval, že většina uživatelů nemusí potřebovat placený antivir. Tento dubnový text byl podle uvedených informací nejpozději začátkem června stažen. Microsoft veřejně nevysvětlil proč, zatímco lednový článek zůstal dostupný.

Nelze s jistotou říct, zda Microsoft od staženého článku ustoupil kvůli kritice, nebo z jiných důvodů. Základní závěr se ale nemění: Defender poskytuje většině domácích uživatelů solidní ochranu, přestože některé placené produkty nabízejí další funkce.

Jak si Defender vede v nezávislých testech

Výsledky nezávislých testů z roku 2026 naznačují, že Defender už dávno není jen nouzovou ochranou, kterou by bylo nutné okamžitě nahrazovat jiným antivirem.

V testu AV-TEST dosáhl Defender podle uvedených výsledků plného skóre 6/6/6 ve všech třech kategoriích: ochrana, výkon a použitelnost. V testu reálné ochrany od AV-Comparatives dosáhl 99% úspěšnosti, tedy méně než Kaspersky a Avast, ale více než ESET. Historicky přitom jeho výsledky nebyly vždy tak vyrovnané. Ještě v letech 2018 až 2020 se jeho skóre měnilo a v některých testech ztrácel body. Už tehdy se ale postupně zlepšoval a podle zprávy AV-TEST získal označení Top Product v pěti ze šesti ročních testů za období 2019–2020.

Praktický závěr je jednoduchý: pro běžný domácí počítač s aktuálním Windows 11 představuje Defender plnohodnotnou ochranu. Placený antivir může dávat smysl, pokud skutečně využíváte jeho další funkce, například VPN, správce hesel, rodičovskou kontrolu nebo licenci pro více zařízení.

Jak zjistit, jestli vám dva antiviry kolidují, a co s tím

Varovné signály konfliktu dvou antivirů se snadno zamění za jiné problémy: nevysvětlitelné zamrzání, zaseknuté kontroly, výrazné zpomalení po startu nebo opakované přesouvání procesů do karantény. Několika kroky můžete ověřit, jaké bezpečnostní produkty jsou v systému aktivní.

Kontrola aktivního poskytovatele:

• Otevřete Zabezpečení Windows → Ochrana před viry a hrozbami → Kdo mě chrání? → Spravovat poskytovatele. Názvy položek se mohou podle verze Windows mírně lišit.
• Pokud jsou aktivní dva antivirové produkty, případně vedle sebe vidíte starý bezpečnostní software a aktivní Defender, ověřte jejich stav a konfiguraci. Samotná přítomnost dvou produktů ale ještě automaticky neznamená konflikt.

Kontrola historie ochrany:

• V části Zabezpečení Windows → Historie ochrany hledejte záznamy o blokování, zásazích a dalších bezpečnostních událostech. Ne každé zpomalení nebo zablokování však musí souviset s konfliktem antivirů.

Prohlížeč událostí pro pokročilejší uživatele:

• Stiskněte Win + R, zadejte eventvwr.msc a otevřete Prohlížeč událostí.
• V protokolech Windows → Aplikace a Systém hledejte chyby související s Microsoft Defenderem nebo s konkrétním antivirovým produktem.

Správná odinstalace druhého antiviru:

• Otevřete Nastavení → Aplikace → Nainstalované aplikace a odinstalujte nepotřebný bezpečnostní program.
• Restartujte počítač.
• V Zabezpečení Windows ověřte, že se Defender znovu aktivoval a poskytuje ochranu v reálném čase.
• Spusťte rychlou nebo úplnou kontrolu systému.

Pokud po běžné odinstalaci zůstávají v systému služby nebo ovladače daného produktu, může pomoci oficiální odinstalační či čisticí nástroj výrobce. ESET nabízí AV Remover a Avast utilitu Avast Clear. Vždy se řiďte pokyny výrobce a nástroj stahujte z jeho oficiálních stránek. Tyto nástroje mohou odstranit zbytky instalace, které standardní odinstalace někdy ponechá.

Jeden správně fungující antivir s aktuálními definicemi a zapnutou ochranou může být užitečnější než dva produkty, které se navzájem dostávají do konfliktu. Případ popsaný Raymondem Chenem připomíná, že více bezpečnostního softwaru automaticky neznamená vyšší bezpečnost.

Proč skenery pletou oprávnění s nebezpečím

Většina současných detekčních přístupů funguje na jednoduchém principu: vezme seznam oprávnění, která aplikace žádá, podívá se na volání citlivých API a porovná vzorce s tím, co zná z databází malwaru. Problém je, že tento postup nerozlišuje kontext. Aplikace pro zálohování souborů legitimně potřebuje přístup k úložišti, kontaktům i síti a statisticky pak může vypadat podobně jako spyware.

Studie pracovala s testovací sadou 270 benigních aplikací z 49 kategorií Google Play, z nichž každá deklarovala minimálně devět takzvaných nebezpečných oprávnění. Šest porovnávaných baseline detektorů (Drebin, MalScan, MsDroid, MaskDroid, LAMD a ForDroid) u těchto aplikací vykázalo míru falešných poplachů mezi 54,1 a 80,0 procenty. Více než polovina aplikací se širokými oprávněními byla označena jako malware.

Na druhé straně barikády stojí škodlivý kód, který vypadá nevinně. Studie popisuje konkrétní vzorec: aplikace čte příchozí SMS a odesílá je přes HTTP na vzdálený server. Obě operace (čtení zpráv i síťová komunikace) existují i v legitimních aplikacích. Detektory založené na izolovaných signálech je proto snadno přehlédnou.

Tři důvody, proč je behaviorální detekce tak těžká

Autoři studie pojmenovali tři překážky, které brání přechodu od povrchových signálů ke skutečné analýze chování:

• Škodlivé chování je řídké. V kódu aplikace tvoří zlomek celkové funkčnosti a je schované mezi tisíci legitimními operacemi.
• Chování se těžko mapuje na kód. Jedno škodlivé chování, třeba krádež SMS, je rozprostřené přes více funkcí a cest spuštění. Najít všechny relevantní části vyžaduje propojení fragmentů, které samy o sobě vypadají neškodně.
• Kontext je implicitní. Aplikace sama neřekne, jestli běží na pozadí za zády uživatele. Detektoru nikdo neprozradí, zda čtení SMS odpovídá deklarované funkci kalkulačky, nebo zda uživatel o sběru dat vůbec ví.

Co dělá PRAXIS jinak

Framework PRAXIS (název vychází z „evidence-based detection“) opouští model „spočítej oprávnění a porovnej s databází“. Místo toho pracuje ve třech krocích. Nejprve z hrubých signálů formuluje hypotézy o možném chování. Pak každou hypotézu ověřuje analýzou kódu a hledá konkrétní důkazní řetězce, které potvrdí nebo vyvrátí, že se dané chování skutečně odehrává. Nakonec posuzuje kontext: je uživatel o chování informován? Odpovídá to deklarované funkci aplikace? Skládají se jednotlivé kroky do útočného vzorce?

Výsledky mluví jasně. PRAXIS dosáhl celkového F1 skóre 87,4 procenta, nejsilnější základní linie (Drebin) skončila na 68,8 procenta a nejslabší (MsDroid) na 52,6 procenta. U benigních aplikací s vysokými oprávněními klesl podíl falešných poplachů na 13,0 procenta, tedy o 41 až 67 procentních bodů méně než u porovnávaných metod.

Jeden detail přitom ukazuje, jak zásadní je právě kontextová vrstva. Když výzkumníci z PRAXIS odstranili modul pro posuzování kontextu, F1 skóre spadlo na 24,7 procenta. Samotné „našli jsme podezřelé API“ bez pochopení, proč a za jakých okolností se volá, nestačí ani u sofistikovaného frameworku.

Co to znamená pro běžného uživatele

PRAXIS je výzkumný prototyp, nikoli aplikace ke stažení z Google Play. Komerční adopce zatím nebyla oznámena. Studie navíc netestovala konkrétní značky jako Avast, ESET nebo Bitdefender, ale kritizuje principy detekce, nikoli jednotlivé produkty. Část komerčních antivirů už ostatně sama přidává behaviorální vrstvy: Bitdefender nabízí App Anomaly Detection, ESET provádí audit oprávnění a Avast integruje ochranu proti phishingu a podvodům.

Důležitější než značka antiviru je ale způsob, jakým k ochraně telefonu přistupujete. Podle nás má smysl kombinovat několik vrstev:

• Nechat aktivní Google Play Protect, který kontroluje aplikace při instalaci i průběžně a umí škodlivou aplikaci zablokovat nebo odstranit.
• Před instalací zkontrolovat sekci Bezpečnost dat v Google Play, která ukazuje, jaká data aplikace sbírá a s kým je sdílí.
• Ověřit, jestli požadované oprávnění odpovídá hlavní funkci aplikace. Kalkulačka nepotřebuje přístup k SMS. Svítilna nepotřebuje číst kontakty.
• Ověřit identitu vývojáře. Google Play nově zobrazuje verifikační odznak u ověřených vývojářů.

Problém, který nový přístup nevyřeší

PRAXIS má slepá místa. Největší slabinou zůstává obsah načtený až za běhu aplikace, škodlivé stránky zobrazené přes WebView nebo payloady stažené a dešifrované až po instalaci. Statická analýza kódu je v těchto případech bezmocná, protože škodlivý obsah jednoduše není v instalačním balíčku přítomen.

Jen v prvním čtvrtletí roku 2026 evidoval Kaspersky přes 2,67 milionu zablokovaných mobilních útoků a více než 306 tisíc zachycených škodlivých instalačních balíčků. Mobilní malware není okrajový problém a detekce založená na povrchových signálech ho zjevně nezvládá. PRAXIS ukazuje směr od slepého počítání oprávnění k pochopení toho, co aplikace skutečně dělá a proč. Otázkou není, jestli se tímto směrem bezpečnostní průmysl vydá, ale jak rychle.

Co jsou bind links a proč ve Windows vůbec existují

Bind links nejsou hackerský nástroj. Jde o oficiálně dokumentovanou funkci Microsoftu, která umožňuje přesměrovat takzvanou virtuální cestu na jinou fyzickou cestu v souborovém systému bez kopírování dat. Microsoft ji navrhl pro kompatibilitu aplikací, virtualizaci a kontejnery. Využívají ji například aplikace z Microsoft Storu, Windows Sandbox nebo kontejnery Windows.

Technicky za tím stojí ovladač bindflt.sys, který běží v jádře systému. Když administrátor vytvoří bind link, systém začne na zadané cestě vracet obsah z jiného umístění. Bind link přitom není soubor ani symbolický odkaz, existuje pouze v interní mapovací tabulce ovladače. V Průzkumníku souborů ho neuvidíte. Po restartu zmizí. Pro forenzní analýzu je to noční můra.

Tři techniky, které oklamou bezpečnostní software

Bitdefender pojmenoval tři konkrétní útočné scénáře:

• File-Binding cílí na jednu důvěryhodnou cestu nebo knihovnu. Typický příklad: útočník přesměruje cestu ke knihovně amsi.dll, přes kterou Windows skenuje skripty v PowerShellu nebo makra v Microsoft Office, na jinou verzi. Antimalwarové rozhraní tím přestane fungovat.
• Process-Binding mění identitu spouštěného procesu. Bezpečnostní produkt vidí cestu k důvěryhodnému systémovému souboru, ale ve skutečnosti se spouští útočníkův kód.
• Silo-Binding je nejsofistikovanější varianta. Vytváří dvě různá „zobrazení“ souborového systému – jedno uvnitř izolovaného sila, druhé mimo něj. Proces běžící v silu má k dispozici zcela jiné soubory, než jaké vidí bezpečnostní nástroje zvenčí.

Právě techniku Silo-Binding Bitdefender demonstroval na konkrétním testu. Skript Invoke-Mimikatz, notoricky známý nástroj pro krádež přihlašovacích údajů, byl při běžném spuštění okamžitě zablokován. Tentýž skript spuštěný uvnitř sila, kde byl PowerShell namapován na identitu důvěryhodného systémového procesu tiworker.exe, prošel bez povšimnutí. Obešel AppLocker, Windows Firewall i hashování v Sysmonu.

Proč Microsoft problém neřeší jako závažný

Podle Bitdefenderu Microsoft po zodpovědném nahlášení problém vyhodnotil jako nízkou závažnost. Argument je jednoduchý: útočník už musí mít administrátorská práva, aby mohl bind link vytvořit. To je formálně pravda – dokumentace funkce CreateBindLink skutečně vyžaduje oprávnění správce.

Jenže Bitdefender staví protiargument, který má v praxi velkou váhu. Ransomwarové skupiny získávají lokální administrátorská oprávnění rutinně, například zneužitím jiné zranitelnosti, ukradenými přihlašovacími údaji nebo sociálním inženýrstvím. Získání administrátorských práv není konec útoku. Je to jeho začátek. Právě v této fázi se rozhoduje, jestli bezpečnostní software škodlivou aktivitu zachytí, nebo jestli ransomware v tichosti zašifruje celou síť.

Microsoft přitom ve Windows 11 24H2 zavedl částečný veto mechanismus, který umožňuje minifiltrovým ovladačům blokovat vytváření bind links. Háček je v tom, že funguje pouze na systémovém oddílu (boot partition) a musí být implementován pod úrovní ovladače BindFlt. Nejde tedy o plošnou opravu a starší verze Windows tuto možnost vůbec nemají. Bitdefender navíc tvrdí, že útok funguje i na Windows 10 od verze RS4, protože útočník může komunikovat přímo s ovladačem bindflt.sys bez použití oficiálního API.

Přímé veřejné stanovisko Microsoftu ke konkrétnímu výzkumu se nepodařilo dohledat. V poznámkách k nejnovější aktualizaci Windows 11 z 28. července 2026 se zmínka o bind links neobjevuje.

Kdo je ohrožen a co s tím

Nejde o stoprocentní slepotu všech antivirů. Zranitelné jsou podle Bitdefenderu především produkty, které spoléhají na cestu k souboru vrácenou standardními notifikačními mechanismy jádra a neověřují skutečný fyzický soubor na pozadí. Bitdefender sám tvrdí, že jeho GravityZone už tuto třídu útoků pokrývá. Jak jsou na tom ostatní produkty, včetně řešení běžně nasazovaných v českých firmách, zatím veřejně otestováno nebylo. Stejně tak zatím není znám veřejně popsaný incident z České republiky, který by bind links zneužíval.

Srovnání s technikou BYOVD (Bring Your Own Vulnerable Driver) je nasnadě. BYOVD vyžaduje nahrání podepsaného, ale zranitelného ovladače. Bind links naopak nepotřebují nic externího – stačí jim legitimní součást Windows a administrátorská oprávnění. Obě techniky ale sdílejí stejné místo v řetězci útoku: fázi po kompromitaci systému, kdy se útočník snaží oslepit obranu před finálním úderem.

Co mohou správci udělat už teď:

• Minimalizovat počet účtů s oprávněním správce a důsledně segmentovat přístupy.
• Zapnout ochranu LSA pro zabezpečení přihlašovacích tajemství.
• Ve Windows 11 24H2 využít dostupný veto mechanismus, byť jde jen o částečnou ochrannou vrstvu.
• Ověřit u dodavatele EDR nebo antiviru, zda jeho produkt pracuje se skutečným backing file, nebo pouze důvěřuje hlášené cestě.

Bitdefender k výzkumu zveřejnil na GitHubu utilitu bindutil, která umožňuje vypsat aktivní mapování bind links v systému. Běžnými nástroji Windows to totiž možné není.

„Admin už to má“ je špatný argument

Celý spor se točí kolem jedné otázky: je získání administrátorských práv konec hry, nebo teprve její začátek? Microsoft svým hodnocením implicitně říká, že po kompromitaci účtu správce je systém stejně ztracený. Bitdefender a s ním i praktické zkušenosti z ransomwarových incidentů tvrdí opak. Právě mezi získáním administrátorských oprávnění a spuštěním ransomwaru existuje okno, ve kterém může kvalitní EDR útok zachytit. Bind links toto okno výrazně zužují.

Funkce, která po restartu zmizí beze stop, nepotřebuje žádný externí ovladač a dokáže bezpečnostní software přesvědčit, že škodlivý proces je důvěryhodný systémový soubor, si zaslouží víc než označení „nízká závažnost“. Minimálně do doby, než Microsoft nabídne víc než částečný veto mechanismus dostupný pouze v jedné verzi systému.

Jak se z monitoru stala reklamní brána

Klíčové je pochopit, že monitor sám o sobě do počítače nic neinstaloval. Celý mechanismus běží přes oficiální funkci Windows, kterou Microsoft dokumentuje pro výrobce periferií. Funguje to takto:

• Uživatel připojí monitor k počítači přes HDMI nebo DisplayPort.
• Windows rozpozná zařízení a stáhne k němu metadata z Microsoftu.
• V metadatech je odkaz na doprovodnou aplikaci v Microsoft Store, v tomto případě balíček LGElectronics.LGMonitorApp.
• Aplikace Windows automaticky stáhne a nainstaluje na pozadí. Bez notifikace, bez dialogového okna a bez přímého souhlasu uživatele.

Tohle není exploit ani bezpečnostní chyba. Microsoft uvádí, že instalace doprovodných aplikací může probíhat automaticky na pozadí. Výrobci periferií tento kanál běžně využívají pro ovladače a konfigurační nástroje. LG ho ale využilo způsobem, který uživatelům připomínal adware: aplikace se po instalaci spouštěla při každém spuštění systému a zobrazovala vyskakovací okno s nabídkou McAfee.

Co přesně LG nabízelo a co tvrdí

Tady je důležité rozlišit tři věci, které se v online debatě často míchají:

• Tichá instalace LG aplikace – doložená a reprodukovatelná, probíhala bez vědomí uživatele.
• Zobrazení reklamy na McAfee – doložené v 31 z 32 testů Gamers Nexus.
• Plná instalace McAfee – zde důkaz chybí. Podle dostupných dat se McAfee automaticky nenainstaloval bez kliknutí uživatele.

LG v oficiálním vyjádření citovaném serverem PCGamesN tvrdí, že McAfee se nikdy neinstaluje bez výslovného souhlasu a že LG Monitor App Installer nepřistupuje k osobním údajům, neshromažďuje je ani nepřenáší. Formálně to může být pravda, pokud chápeme „instalaci McAfee“ úzce jako kompletní instalaci antivirového programu. Jenže Burke ve svém testu upozornil, že samotná aplikace LG v podmínkách oprávnění uvádí přístup ke kategoriím jako „all system resources“, geolokace, kontakty nebo přihlašovací údaje. Nezávislý důkaz skutečného odesílání těchto dat se zatím nepodařilo dohledat, ale rozsah deklarovaných oprávnění je u nástroje pro monitor přinejmenším neobvyklý.

Za reklamou na McAfee stojí doložený obchodní vztah. McAfee v únoru 2021 oznámilo tříletou dohodu s LG o předinstalaci třicetidenní zkušební verze svého bezpečnostního softwaru na zařízeních LG. Zda LG za zobrazování těchto nabídek na monitorech získává provizi, veřejně známo není.

Které monitory jsou postižené a jak to zkontrolovat

Oficiální seznam dotčených modelů LG nezveřejnilo. Z veřejně doložených zdrojů víme o těchto:

Problém se objevil napříč cenovými hladinami – od monitorů za několik tisíc korun až po prémiové modely za desítky tisíc. Regionální omezení se v dostupných zdrojích neobjevilo; dotčené modely se prodávají globálně, včetně České republiky.

Jak zjistit, zda se vás problém týká: otevřete Nastavení → Aplikace → Nainstalované aplikace a vyhledejte „LG“. Pokud tam najdete LG Monitor App nebo LG Monitor App Installer, aplikace je nainstalovaná. Další stopy najdete ve Správci úloh na kartě Po spuštění nebo v Prohlížeči událostí pod cestou Applications and Services Logs → Microsoft → Windows → DeviceSetupManager → Admin.

Odinstalace je standardní. Stačí kliknout na Odinstalovat v nastavení aplikací. Aby se aplikace po odpojení a opětovném připojení monitoru znovu automaticky nestáhla, je potřeba aktivovat systémovou zásadu „Zabránit automatickému stahování aplikací spojených s metadaty zařízení“, kterou Microsoft popisuje v dokumentaci k instalaci zařízení.

Proč to dva roky nikdo neodhalil

Odpověď je prostá a zároveň znepokojivá: systém je navržený tak, aby byl neviditelný. Microsoft v dokumentaci uvádí, že automatická instalace doprovodných aplikací probíhá bez upozornění. Uživatel si toho všimne pouze tehdy, když cíleně kontroluje seznam nainstalovaných aplikací, položky ve Správci úloh nebo narazí na vyskakovací okno po spuštění systému. I to ale může snadno zavřít a zapomenout na něj.

První veřejná stížnost na Microsoft Community se objevila 19. listopadu 2024. V červenci 2025 přibyla další. Obě zůstaly bez širšího ohlasu. Teprve když Burke z Gamers Nexus problém systematicky reprodukoval a zdokumentoval ve videu, téma výrazně zarezonovalo. Microsoft se ke konkrétní kauze k 23. červenci 2026 veřejně nevyjádřil.

Pikantní je, že monitorová utilita LG OnScreen Control je podle podpory LG určena jen pro část modelů a pro aktualizace firmwaru ani nemusí vyžadovat USB datové propojení s monitorem. Většina uživatelů používá monitor čistě jako obrazovku přes HDMI nebo DisplayPort. Aplikaci, kterou nikdy nepotřebovali, tak mohli získat bez vědomí – a s ní i reklamu na software, o který nežádali.

Z běžného monitoru se stal tichý distribuční kanál softwaru třetí strany. Ne proto, že by LG obešlo zabezpečení Windows, ale proto, že Windows takový kanál oficiálně nabízí a LG ho využilo způsobem, který uživatelé vnímali jako nevyžádaný reklamní software.

Jak útok probíhá krok za krokem

Vstup do sítě bývá nenápadný. Útočníci zneužívají zranitelné služby vystavené do internetu (VPN brány, firewally nebo vzdálené plochy) nebo rovnou nakupují hotový přístup od takzvaných Initial Access Brokers. Podle Check Point Research, který analyzoval uniklé interní materiály skupiny, The Gentlemen pracují i s ukradenými přihlašovacími údaji z tržišť s daty získanými pomocí infostealer malwaru.

Jakmile jsou uvnitř, nastává průzkum. Používají nástroje jako SharpADWS, NetScan, Advanced IP Scanner nebo příkaz netsh trace k mapování sítě a hledání doménových administrátorů. Den před nasazením ransomwaru instalují Go backdoor maskovaný jako systémový proces sihost.exe. Ten sbírá informace o počítači (hostname, doménu nebo IP adresy) a navazuje šifrované spojení se serverem útočníků. Umí spouštět příkazy, otevřít proxy tunel a připravit půdu pro šifrování.

Pak přijde laterální šíření. A tady je jádro problému.

Jedna obranná vrstva nestačí

Microsoft Threat Intelligence ve své nezávislé analýze z května 2026 popsal, že The Gentlemen zkoušejí na každý cílový počítač v síti až 21 různých způsobů vzdáleného spuštění. Používají skupinové politiky Active Directory, PsExec, WMI, PowerShell Remoting i plánované úlohy ve Windows, a to paralelně. Když jedna cesta selže, zkusí další.

Stále aktivně rozbíjejí obranu:

• BYOVD (Bring Your Own Vulnerable Driver): nasadí legitimní, ale zranitelný ovladač, který jim získá přístup na úrovni jádra systému a umožní vypnout bezpečnostní procesy.
• Vypnutí Windows Defenderu: přes PowerShell a úpravy registrů deaktivují vestavěnou ochranu.
• Mazání záloh: odstraňují stínové kopie a čistí systémové logy, aby znemožnili obnovu i forenzní analýzu.
• Pokus o odstranění Kaspersky: nástroj kavrmvr.exe se pokouší odinstalovat bezpečnostní řešení přímo z koncového zařízení.

Skutečný problém tedy není „slabý antivirus“. Problémem je útok vedený systematicky proti obraně samotné, vrstvu po vrstvě a kanál po kanálu.

Jak nebezpečná skupina ve skutečnosti je

The Gentlemen patří mezi nejrychleji rostoucí ransomwarové operace současnosti. Kaspersky ji řadí mezi deset skupin s nejvyšším počtem oznámených obětí v první polovině roku 2026. Check Point ji na základě veřejných únikových stránek popisuje jako druhou nejaktivnější operaci RaaS v prvních pěti měsících roku. Affiliate model nabízí partnerům 90 % z výkupného, což je mimořádně vysoký podíl, který přitahuje zkušené operátory z jiných skupin.

Skupina navíc průběžně vyvíjí nové nástroje. Vedle zavedeného ransomwaru napsaného v jazyce Go testuje novou variantu v jazyce C, která byla zatím nasazena jen u omezeného počtu obětí. Kaspersky ji popisuje jako vývojovou verzi; útočníci ji zjevně testují v reálném prostředí, protože živé podnikové sítě jim poskytují zpětnou vazbu, kterou laboratorní prostředí nedokáže plně simulovat.

Český kontext: riziko není teoretické

Veřejně potvrzený útok skupiny The Gentlemen v České republice se zatím nepodařilo dohledat. Microsoft ale hovoří o útocích v Evropě obecně a skupina necílí podle národnosti, nýbrž podle zranitelnosti infrastruktury.

Domácí data přitom ukazují, že ransomware v Česku zůstává významnou hrozbou. Podle zprávy NÚKIB o stavu kybernetické bezpečnosti za rok 2024 ransomwarové útoky v posledním čtvrtletí výrazně vzrostly. Měsíční přehled incidentů za červen 2026 pak ukazuje útoky zejména ve zdravotnictví, veřejné správě a vzdělávání, tedy v sektorech, na které The Gentlemen běžně cílí.

Co s tím mohou firmy dělat

Kaspersky i Microsoft se shodují na jednom: vrstvená obrana je jedinou funkční odpovědí. Konkrétně to znamená:

• Patchovat všechny služby vystavené do internetu (VPN, firewally, vzdálené plochy).
• Nasadit vícefaktorové ověřování všude, kde je to možné.
• Používat EDR/XDR řešení s ochranou proti neoprávněné manipulaci.
• Monitorovat laterální pohyb v síti a exfiltraci dat.
• Mít offline nebo neměnné zálohy, které útočník nemůže smazat.
• Aktivně hledat známé indikátory kompromitace: přítomnost souboru sihost.exe, spojení na IP adresu 81.177.215.15, plánované úlohy s názvy jako DefUn nebo gentlemen_system a pokusy o nasazení zranitelných ovladačů.

Kdo spoléhá na to, že antivirus sám zastaví profesionální ransomwarovou operaci, spoléhá na zámek u dveří v domě, kde útočník už stojí uvnitř a metodicky vypíná alarm, kamery i pojistky. The Gentlemen právě ukazují, proč to nestačí.

Tapeta spustí nebezpečný backdoor

Klíč k pochopení celé kampaně je v detailu, který mnoho uživatelů nezná. Wallpaper Engine rozlišuje několik typů tapet: video, scény a právě „application“. Tento typ je podle oficiální dokumentace Wallpaper Engine ve skutečnosti spouštěný program, nikoli běžný grafický obsah.

Kaspersky popsal konkrétní případ. Po spuštění infikované tapety se do systému nainstaloval backdoor DarkComet pod názvem Synaptics.exe. Současně se spustil i legitimně vypadající proces přes soubor _cache_GAME1.exe, takže uživatel viděl funkční obsah a neměl důvod k podezření. Na pozadí se mezitím aktivovala knihovna AggregatorHost.dll, která vyhledala běžící Steam, sbírala informace o účtu a převzala aktivní session. Díky tomu nebylo nutné znovu zadávat heslo. Data byla následně odesílána na řídicí servery útočníků.

V kampani se ale neobjevil jen DarkComet. Kaspersky identifikoval také infostealery Lumma a Vidar, nástroj RenEngine, kryptoměnové minery, botnetové loadery a dokonce i ransomwarové komponenty. Taková škála nástrojů naznačuje, že nešlo o jednu skupinu, ale spíše o více aktérů využívajících stejný distribuční kanál.

Ukradený účet je jako továrna pro další nákazu

Nejzávažnější vlastností kampaně je způsob jejího šíření. Jakmile útočníci získali aktivní Steam session, mohli kompromitovaný účet využít k nahrávání dalších škodlivých tapet do Workshopu. Profil s historií, odběrateli a aktivitou působil důvěryhodněji než nový účet bez reputace. Vznikl tak samopropagační cyklus: stažení → infekce → krádež session → nahrání další tapety → další stažení.

Škálování usnadňuje samotná velikost ekosystému. Steam Workshop pokrývá přes 3 000 her a obsahuje desítky milionů položek, které denně využívají miliony uživatelů. Wallpaper Engine sám uvádí stovky tisíc dostupných tapet. V takovém objemu se škodlivý obsah snadno ztratí, zejména pokud je moderace Workshopu spíše reaktivní než plošná.

Kaspersky následně upřesnil, že škodlivé tapety byly aktivní minimálně od srpna 2025, tedy téměř rok před zveřejněním analýzy. V době publikace již Steam identifikované položky odstraňoval.

Nejde o ojedinělý případ

Tato kampaň není prvním incidentem v prostředí Steamu. V červenci 2025 bezpečnostní firma Prodaft, jak citoval BleepingComputer, odhalila, že do early-access hry Chemia byl vložen malware v podobě infostealerů HijackLoader a Vidar, připisovaný aktérovi EncryptHub/Larva-208.

Další případ představovala hra Block Blasters; forenzní analýza komunity vx-underground zdokumentovala 405 obětí a malware, který na platformě zůstal aktivní přibližně měsíc.

Trend potvrzuje i FBI. Její kancelář v Seattlu v roce 2026 spustila formulář pro hlášení incidentů spojených se Steam malwarem a uvedla sedm titulů z období květen 2024 až leden 2026. Kampaň kolem Wallpaper Engine se liší vektorem útoku: nejde o infikovaný herní build, ale o komunitní obsah ve Workshopu, který uživatelé nevnímají jako klasický software.

Co dělat, když máte Wallpaper Engine

Největší riziko se týká uživatelů Windows, kteří si ve Workshopu odebírali „application“ tapety od neznámých autorů. Pokud mezi ně patříte, je vhodné provést několik kroků:

• V seznamu tapet klikněte pravým tlačítkem a zvolte „Otevřít v Průzkumníku“. Hledejte podezřelé soubory typu EXE nebo DLL, například Synaptics.exe nebo AggregatorHost.dll.
• Obsah Workshopu Wallpaper Engine se standardně ukládá do složky steamapps\workshop\content\431960. Tuto složku nemažte ručně, protože ji Steam spravuje automaticky a zásah může narušit funkčnost odběrů.
• Spusťte kompletní antivirovou kontrolu ještě před změnou hesla. Samotná změna hesla bez vyčištění systému problém nevyřeší, protože malware může zachytit nové přihlášení.
• Teprve po vyčištění změňte heslo ke Steamu i k přidruženému e-mailu. Pokud máte podezření na kompromitaci účtu, využijte oficiální postup Steam Support pro obnovu účtu.

Podle regionálních dat Kaspersky směřovalo 89 % pokusů o stažení škodlivého obsahu do Číny, 5,5 % do Ruska, další podíly pak do Singapuru, Hongkongu, Německa, Vietnamu, Indie a Kanady. Česko ve výčtu nefiguruje, ale protože je Workshop globální, nulové riziko to pro české uživatele rozhodně neznamená.

Celá kampaň ukazuje jednu zásadní věc: na Steamu neexistuje „jen tapeta“. Pokud si z Workshopu stahujete obsah označený jako application wallpaper, spouštíte cizí program se všemi důsledky, které to obnáší.

Co přesně test změřil

Laboratoř osadila sestavu s procesorem Intel Core i3, 8 GB RAM a SSD diskem čistými Windows 11 a postupně na ni nasadila devatenáct antivirových produktů ve výchozím nastavení s aktivním internetovým připojením. Každý z nich musel projít sadou běžných úloh: kopírování souborů, archivace a rozbalování, instalace a odinstalace programů, spouštění aplikací, stahování z webu a kancelářský benchmark UL Procyon. Výsledkem je takzvaný Impact Score, čím nižší číslo, tím menší brzda způsobená antivirem.

Microsoft Defender dosáhl hodnoty 12,9. Vítězný McAfee měl 3,3. Po našem přepočtu tedy Defender zatěžoval testovací sestavu zhruba čtyřikrát víc než nejlehčí řešení. Nejhůře dopadly Total Defense (31,6) a Sophos (33,4), ty systém brzdily ještě výrazněji.

Prvních deset míst obsadili v pořadí McAfee, Kaspersky, ESET, Trend Micro, Norton, Avast/AVG, G Data, K7, Bitdefender a Panda. Defender se zařadil hned za ně.

Jak poznat, že brzda je právě antivirus

Klíčový indikátor je proces Antimalware Service Executable (MsMpEng.exe). Pokud v okamžicích zpomalení vyskočí jeho vytížení procesoru ve Správci úloh, stopa vede k Defenderu. Microsoft pro přesnější diagnostiku nabízí vlastní Performance Analyzer; přes příkazy New-MpPerformanceRecording a Get-MpPerformanceReport v PowerShellu lze dohledat konkrétní soubory, složky a procesy, které skeny nejvíc zatěžují.

Zátěž roste s určitým typem práce. Defender skenuje každý soubor před otevřením i spuštěním, kontroluje nepodepsané binárky, prochází archivy, síťová umístění a synchronizaci OneDrive. Kdo denně pracuje s velkým množstvím malých souborů, rozbaluje archivy nebo instaluje software, pocítí dopad víc než ten, kdo jen prohlíží web a píše e-maily.

Rychlost není všechno, a Defender není špatný

Tady je zásadní kontext, který samotné číslo Impact Score nedoručí. V březnovém testu ochrany proti malwaru od AV-Comparatives dosáhl Defender online detekce 99,93 %. McAfee, Kaspersky, Norton a Avast/AVG měly 99,97 %, Bitdefender 99,94 %, ESET rovněž 99,93 %. Rozdíly v ochraně jsou tedy minimální, řádově setiny procenta.

Laboratoř sama navíc varuje, že antivirus se nemá vybírat jen podle výkonu. A Microsoft na svých stránkách uvádí, že dva aktivní antiviry současně nejsou podporované a výkon zhoršují ještě víc, než by způsobil kterýkoli z nich samostatně.

Co s tím v praxi

Než začnete přemýšlet o výměně, ověřte si dvě věci:

• Je úzké hrdlo opravdu antivirus? Pokud MsMpEng.exe v momentě zpomalení nezatěžuje procesor, problém leží jinde – v nedostatku RAM, pomalém disku nebo jiném softwaru.
• Vyplatí se přechod na vaší sestavě? Test běžel na slabší konfiguraci. Na výkonnějším stroji s více jádry a rychlejším SSD může být subjektivní rozdíl neznatelný. AV-Comparatives slibuje test na výkonnějším hardwaru až na podzim, takže přímá data zatím chybí.

Pokud se rozhodnete Defender nahradit, vybírejte z produktů, které v testech obstály jak výkonově, tak v ochraně; McAfee, Kaspersky, ESET, Norton nebo Bitdefender splňují obojí. Po instalaci nového antiviru Defender automaticky přejde do pasivního režimu. Nikdy ho nevypínejte bez náhrady.

Pomalý počítač s Windows nemusí potřebovat nový procesor ani více paměti. Někdy stačí vyměnit software, který ho hlídá, za takový, který hlídá stejně dobře, ale tišeji.

Co vlastně „žere“ výkon: čísla z nezávislých testů

Říct, že antivirus spotřebovává víc výkonu než většina virů, je nadsázka – žádný laboratorní test takhle nesrovnává. Ale trvalá režie bezpečnostního balíku je měřitelná každý den, zatímco s aktivním malwarem se běžný uživatel ideálně nesetká nikdy.

Podle AV-TESTu za listopad až prosinec 2025 vypadají čísla zpomalení při běžných úlohách takto:

Překvapení? Norton, McAfee ani Avast nepatří v roce 2025 mezi největší brzdy. AV-Comparatives je ve svém ročním shrnutí dokonce řadí mezi produkty s nižším dopadem na výkon. Microsoft Defender mezi vítězi výkonové kategorie nebyl.

Jenže testy měří čistý antivirový engine. Na novém notebooku z obchodu běží vedle skeneru ještě WebAdvisor, VPN klient, modul ochrany identity, prohlížečové rozšíření a updater. Každý z nich si bere kousek procesoru, paměti a diskového času. Dohromady je to znát víc než samotný antivirus.

Proč je ten balík vůbec na vašem počítači

Předinstalované trialy nejsou náhoda ani služba zákazníkům. Jde o placené partnerství mezi výrobci počítačů a bezpečnostními firmami. Norton na svém webu otevřeně uvádí, že řada výrobců dodává nové počítače s předinstalovaným předplatným. McAfee v roce 2023 oznámil víceleté globální partnerství s Acerem zahrnující předinstalaci antiviru, VPN i ochrany identity na spotřebitelské notebooky. Microsoft sám v dokumentaci pro výrobce popisuje mechanismus OEM předinstalací jako oficiální distribuční kanál.

Na českém trhu to vypadá stejně. Na webu HP u aktuálních modelů najdete ve specifikacích „30denní zkušební verze McAfee Online Protection“. V DATARTu je u notebooku HP Pavilion Aero ve výčtu softwaru uveden McAfee LiveSafe. Přesné provize za bundlování veřejně dohledatelné nejsou, ale že jde o komerční dohodu, nikoli o dobročinnost, je zřejmé.

Windows má vlastní vícevrstvou ochranu, a funguje

Windows 11 dnes nabízí bezpečnostní výbavu, o které řada uživatelů neví, protože ji překrývá trial třetí strany. Microsoft Defender Antivirus, Windows Firewall, SmartScreen, Smart App Control a Controlled Folder Access proti ransomwaru – to vše běží bez dalšího softwaru, bez předplatného a bez doprovodného balastu.

A výsledky? V AV-TESTu za listopad až prosinec 2025 dostal Defender plných 6 bodů ze 6 za ochranu, výkon i použitelnost. V AV-Comparatives za červenec až říjen 2025 naměřili Defenderu 99,1% úspěšnost v reálném testu a udělili mu ocenění Advanced+. Norton měl 100 %, McAfee 99,5 %. Rozdíly existují, ale pro běžného domácího uživatele nejde o propast.

Důležitý detail: Microsoft sám říká, že pokud je aktivní antivirus třetí strany, Defender se automaticky vypne. Po odinstalaci cizího řešení se vrátí jako hlavní ochrana. Není potřeba nic přepínat ani stahovat.

Jak se antiviru správně zbavit (a proč nestačí kliknout na Odinstalovat)

Standardní odinstalace přes Nastavení → Aplikace je jen první krok. Bezpečnostní balíky se zarývají hluboko: služby, ovladače, záznamy ve spouštění, prohlížečová rozšíření. Na komunitních fórech Microsoftu jsou zdokumentované případy, kdy po odinstalaci Nortonu zůstal záznam ve spouštění volající neexistující soubor NortonM1.exe, který se projevuje chybou po každém restartu. A ne, Windows Update antivirus sám automaticky neinstaluje zpět – jde o zbytky, ne o reinstalaci.

Doporučený postup:

1. Standardní odinstalace v Nastavení → Aplikace
2. Čisticí nástroj od výrobce (Norton Remove and Reinstall, McAfee Consumer Product Removal (MCPR), Avast Uninstall Tool; spouštět v nouzovém režimu)
3. Restart
4. Kontrola spouštění ve Správci úloh, záložka Startup apps; hledejte nejen název antiviru, ale i WebAdvisor, VPN, updater, ochranu prohlížeče
5. Kontrola prohlížečových rozšíření, ručně odebrat vše, co patří k odinstalovanému balíku
6. Dočištění zbytků nástroji jako Bulk Crap Uninstaller nebo Geek Uninstaller, ale až po čisticím nástroji od výrobce, ne místo něj

Po tomto procesu se Defender automaticky znovu aktivuje. Žádná díra v ochraně nevzniká.

Když placený antivirus přece jen dává smysl

Defender pokryje běžné domácí používání. Ale existují situace, kdy má třetí strana opodstatnění: potřebujete VPN v jednom balíku, spravujete zařízení celé rodiny včetně telefonů, chcete monitorování úniku osobních dat nebo pracujete v podnikovém řízeném prostředí s centrální správou. To jsou legitimní důvody, jenže právě ty by měly být vědomou volbou, ne výsledkem toho, že výrobce notebooku inkasoval provizi za předinstalaci.

Největší výkonnostní úleva po odinstalaci nepřijde z vypnutí ochrany. Přijde z odstranění tuctu modulů, které jste nikdy nepotřebovali a o kterých jste možná ani nevěděli, že běží.

Co přesně Microsoft tvrdí a co na nezávislé testy

Tvrzení Microsoftu by samo o sobě mohlo vypadat jako reklama na vlastní produkt. Jenže čísla z nezávislé laboratoře AV-TEST za leden–únor 2026 ho potvrzují. Microsoft Defender dostal v testu pro domácího uživatele na Windows 11 plné skóre: 6 bodů za ochranu, 6 za výkon, 6 za použitelnost. Celkem 18 z 18.

Stejné maximum získaly i Norton 360, Kaspersky Premium, McAfee Total Protection a Bitdefender Total Security. ESET Security Ultimate skončil těsně pod nimi s 17,5 bodu, přičemž ztratil půl bodu za výkon. Defender tedy placenou konkurenci neporazil. Dorovnal ji. A to je pro uživatele, který zvažuje roční předplatné za tisícovku nebo víc, podstatné informace.

Dnešní Defender přitom nemá nic společného s tím, co si lidé pamatují z éry Windows 7. Tehdy Microsoft sám přiznával, že vestavěný Defender uměl jen odstraňovat spyware, na viry a další malware bylo potřeba stáhnout samostatný Microsoft Security Essentials. Ve Windows 11 jde o úplně jinou technologii: ochrana v reálném čase, behaviorální analýza, heuristika, cloudová detekce se strojovým učením a bleskovou reakcí na nové hrozby.

Za co vlastně platí, když si koupíte Norton nebo McAfee

Tady je potřeba být přesný. Říct, že placený antivirus je zbytečný, by bylo zjednodušení. Říct, že placená antivirová ochrana je pro většinu domácích uživatelů Windows 11 zbytečná, už odpovídá datům.

Jenže Norton, McAfee nebo Bitdefender dávno neprodávají jen antivirus. Jejich předplatné zahrnují balík doplňkových služeb:

• Cloudové zálohy – Norton nabízí vlastní cloudové zálohování
• Správce hesel – integrovaný správce hesel
• VPN – vlastní virtuální privátní síť
• Webová reputace – rozšířený filtr bezpečných stránek
• Rodičovská kontrola – pokročilejší než vestavěná ve Windows

Pokud někdo tyto služby nemusí využívat a oceňuje je v jednom balíku, předplatné být vyhozené peníze. Pokud ale platí tisícovka ročně čistě za „pocit dvojité jistoty“ a žádný z těchto doplňků nepoužívá, duplikuje ochranu, kterou už má v systému zdarma. Podle průzkumu AV-Comparatives z roku 2026 používá placené bezpečnostní řešení 74,5 % respondentů, a je legitimní otázka, kolik z nich by si vystačilo s tím, co už mají.

Kdo patří do menšiny, která může chtít víc

Microsoftovo doporučení se vztahuje na běžného domácího uživatele s aktualizovaným Windows 11 a aktivním Defenderem. Existují ale scénáře, kde dává smysl řešit nadstavbu:

• Firemně spravovaná zařízení s požadavky na soulad s předpisy a centrální správou
• Vývojáři a pokročilí uživatelé, kterým Smart App Control blokuje neověřené nástroje a potřebují flexibilnější pravidla
• Uživatelé s rizikovými návyky, kteří často stahují z neověřených zdrojů nebo spouštějí crackovaný software
• Lidé na nepodporovaném systému, tedy na starším Windows bez aktuálních bezpečnostních záplat
• Ti, kdo chtějí komplexní balík služeb typu VPN, záloha a správce hesel od jednoho dodavatele

Pokud se v žádném z těchto bodů nepoznáte, pravděpodobně to uděláte, pro kterou Microsoft svůj dubnový text napsal.

Praktický kontrolní seznam: co si ověřit a jak se zbavit předinstalovaného antiviru

Než cokoli odinstalujete, jistě, že Defender běží správně. Otevřete Windows Security a projděte tyto body:

• Ochrana v reálném čase (ochrana v reálném čase) – zapnuto
• Cloud-delivered protection (cloudová ochrana) – zapnuto
• Automatické odesílání vzorků (automatické odesílání vzorků) – zapnuto
• Ochrana proti neoprávněným změnám (ochrana před neoprávněnými změnami) – zapnuto, brání malwaru vypnout ochranu
• SmartScreen / ochrana založená na reputaci – v sekci Ovládání aplikací a prohlížeče
• Řízený přístup ke složce (řízený přístup ke složkám) – zapnout u citlivých dat jako pojistku proti ransomwaru
• Výjimky (výluky) – minimum, ideálně žádné

Pokud máte předinstalovaný McAfee nebo Norton z výroby, cesta vede přes Nastavení, Aplikace, Nainstalovaná aplikace, kde příslušný produkt najdete a odinstalujete. Po odstranění cizího antiviru se Defender automaticky vrátí do aktivního režimu. U některých odolnějších instalací může být potřeba oficiální odinstalační nástroj výrobce. A jedno důležité pravidlo: neprovozujte dva antiviry s ochranou v reálném čase současně. Microsoft sám varuje, že to zhoršuje výkon a může způsobit chyby.

Co přijde dál: hrozby s umělou inteligencí a Defender

Microsoft v dubnu 2026 nepublikoval jen spotřebitelský výklad situace. O dva týdny později, 22. dubna, na svém bezpečnostním blogu napsal, jak umělá inteligence zrychluje objevování a zneužívání zranitelnosti. Firma slíbila, že bude do Defenderu rychle nasazovat detekce pro nově objevené slabiny, včetně těch, které najde umělá inteligence. Pro běžného uživatele to v praxi znamená, že cloudová vrstva Defenderu reaguje na nové hrozby v řádu minut, ne dnů. Specializovanější bezpečnostní funkce postavené na umělé inteligenci ale míří do hlavního segmentu.

Éra, kdy měl smysl kupovat antivirus jako první software na nový počítač, skončil. Microsoft to v dubnu 2026 jen konečně řekl tak, aby to pochopil každý.