Co přesně hackeři získali

Podle dosud známých informací se útočníci dostali k těmto údajům:

• jména a příjmení zákazníků,
• poštovní adresy,
• e-mailové adresy a telefonní čísla,
• čísla a sériová čísla elektroměrů,
• podle části zdrojů také fotografie elektroměrů a měřicích míst.

Bankovní účty, čísla platebních karet ani přihlašovací údaje k zákaznickým portálům mezi uniklými daty podle vyjádření firem nejsou. Na první pohled to zní uklidňujícím způsobem. Jenže v energetice je právě tento typ údajů překvapivě užitečný pro cílené podvody.

Proč je únik bez bankovních dat pořád vážný

Kdo zná vaši adresu, jméno a číslo elektroměru, může sestavit podvod, který bude působit velmi věrohodně. Německá spotřebitelská organizace Verbraucherzentrale Baden-Württemberg po zveřejnění incidentu varovala před několika konkrétními scénáři:

• Cílený phishing. E-mail nebo SMS, které odkazují na vaši skutečnou adresu a konkrétní elektroměr, vypadají úplně jinak než generický spam. Oběť snáze uvěří, že zprávu poslal skutečný distributor.
• Falešné výzvy k platbě. Podvržený dopis nebo e-mail může požadovat doplatek za údajnou povinnou výměnu měřidla. Netze BW přitom před tímto typem podvodu varovala už v lednu 2025, kdy se objevily falešné dopisy s požadavkem na platbu za údajně povinnou výměnu elektroměru. Teď mají podvodníci v rukou data, která mohou takový podvod udělat ještě přesvědčivějším.
• Neoprávněná změna dodavatele. V německé spotřebitelské praxi existují případy, kdy někdo s dostatkem identifikačních údajů zahájí proces přechodu k jinému dodavateli energie bez vědomí zákazníka.
• Telefonní sociální inženýrství. Zavolá vám někdo, kdo zná vaši adresu, číslo měřidla i jméno, a představí se jako technik. Tlačí na rychlou akci, potvrzení smlouvy, sdělení údajů nebo okamžitou platbu.

Rozdíl oproti úniku bankovních dat je v typu rizika. Nikdo vám přímo nestrhne peníze z účtu. Útočník vás ale může přesvědčit, abyste mu je poslali sami.

Slabý článek řetězce: subdodavatel

Útok nešel na samotné distributory, ale na jejich externího partnera. Ten měl přístup k zákaznickým datům kvůli montážím elektroměrů a právě jeho systémy se ukázaly jako zranitelné. Přesný technický způsob průniku veřejně znám není.

Jde o učebnicový příklad takzvaného útoku na dodavatelský řetězec. Útočník nemusí prolamovat zabezpečení regulované energetické firmy. Stačí najít slabší článek v řetězci – dodavatele, který má přístup ke stejným datům, ale nemusí mít stejnou úroveň ochrany. Berlínský distributor Stromnetz Berlin například od svých dodavatelů vyžaduje hlášení kybernetických incidentů do 24 hodin, protože je považuje za přímé riziko pro vlastní provoz.

Z pohledu odpovědnosti je situace složitější, než by se mohlo zdát. Podle pravidel GDPR nese za ochranu osobních údajů primární odpovědnost správce dat, tedy distributor. Zpracovatel, v tomto případě subdodavatel, má zároveň vlastní povinnosti a musí incident správci bez zbytečného odkladu oznámit. K bezpečnostnímu selhání tedy mohlo dojít u dodavatele, ale jeho role a odpovědnost se posuzují podle konkrétního smluvního a právního vztahu.

Může se to stát i v Česku

Český NÚKIB dlouhodobě označuje dodavatelský řetězec za jedno z klíčových kybernetických rizik strategické infrastruktury. Národní strategie kybernetické bezpečnosti na roky 2026–2030 zdůrazňuje potřebu snižovat závislost na rizikových dodavatelích. Princip je stejný jako v německém případě: i český distributor elektřiny spolupracuje s externími firmami na montážích, údržbě nebo IT. Každý z těchto partnerů tak může představovat další potenciální vstupní bod.

Pro srovnání: v lednu 2026 zasáhl podobný incident španělskou Endesu, kde se u části klientů dostaly ven i bankovní údaje. Německý případ je v tomto ohledu méně závažný, ale pro sociální inženýrství a cílené podvody jsou ukradená data stále více než dostatečná.

Jak se bránit

Pokud jste zákazníkem zasažených firem nebo obecně kdykoli dostanete podezřelý kontakt od někoho, kdo se vydává za energetickou firmu, platí jednoduchá pravidla. Neklikejte na odkazy ve zprávě. Nesdělujte hesla, platební údaje ani další osobní informace. Kontakt si ověřte přes oficiální web svého distributora, nikoli pomocí čísla nebo odkazu uvedeného v podezřelé zprávě. A pokud se u vašich dveří objeví technik s požadavkem na okamžitou platbu za „povinnou výměnu elektroměru“, je to velmi silný varovný signál.

Číslo elektroměru není tak nevinný údaj, jak se může zdát. V rukou podvodníka, který k němu zná vaše jméno a adresu, se může stát jedním z prvků, které mu pomohou vybudovat důvěryhodný příběh. A právě důvěra je v sociálním inženýrství často cennější než samotné číslo účtu.

Jak past vypadá a kde se šíří

Podvodné stránky se podle analýzy Malwarebytes Labs objevují ve výsledcích vyhledávání Google na dotazy typu „GTA 6 demo“. Zatím jsou potvrzeny minimálně čtyři distribuční domény: gta6demo.asia, gta6demo.eu, gta6demo.us a rockstar-gta-6.com. Všechny napodobují oficiální promo stránku „Grand Theft Auto VI: An Extended Look“, která ve skutečnosti slouží jen ke sledování videa na YouTube a Netflixu. Falešné verze ale přidávají tlačítko „Play Now“ s popiskem „Official Download“.

Výsledný soubor má pouhých 1,1 MB. Pro srovnání: instalátor moderní AAA hry se pohybuje v desítkách gigabajtů. Samotná velikost je tedy prvním varovným signálem, jenže v záplavě vzrušení kolem úniků z 18. srpna 2026 a následného oficiálního Extended Looku z 27. srpna ho řada hráčů přehlédne. Malwarebytes navíc popisuje, že na sociálních sítích kolují AI generované a recyklované klipy vydávané za čerstvé úniky, které celkový hype a ochotu klikat na neoficiální zdroje ještě zesilují.

Co přesně Vidar krade, a proč jde i o peníze

Vidar není běžný adware ani otravný pop-up. Je to infostealer cílený na Windows, který po spuštění systematicky prohledává počítač. V této kampani potvrzeně sbírá:

• uložená hesla a přihlašovací údaje z 19 prohlížečů včetně Chrome, Edge a Firefoxu,
• session cookies (tedy i aktivní přihlášení, kde heslo už není potřeba),
• historii prohlížení a stahování,
• data z autofillu (jména, adresy a právě i uložené platební karty),
• přístupy z FTP klientů a e-mailového klienta Thunderbird.

Technicky zajímavý je způsob, jakým to dělá. Místo vlastního falešného prohlížeče spouští skutečné binárky Chrome nebo Edge v takzvaném headless režimu s dočasnými datovými adresáři. Systém tak proces považuje za důvěryhodný a pustí ho k chráněným datům. Počáteční řídicí adresy si Vidar podle australského ACSC stahuje přes veřejné služby, jako jsou Telegram nebo Steam, a ukradená data pak odesílá přes šifrované HTTP spojení na útočníkovu infrastrukturu.

Bankovní riziko je reálné: kdo má v prohlížeči uloženou platební kartu nebo otevřenou relaci k internetovému bankovnictví, vystavuje tyto přístupy přímému ohrožení.

Proč hackeři cílí zrovna na PC hráče

Právě proto, že GTA VI na PC oficiálně nevychází. Každý, kdo aktivně hledá PC verzi, už sám vstupuje mimo oficiální distribuci, a tím pádem je ochotnější kliknout na neověřený zdroj. Vidar navíc funguje výhradně na Windows a nejsnáze se doručuje přes .exe soubor. Kombinace obrovské poptávky, nulové oficiální PC nabídky a skutečných úniků záběrů vytváří ideální podmínky pro sociální inženýrství.

Nejde přitom o první zneužití značky GTA 6 letos. Už v červnu 2026 Malwarebytes popsal falešný „VIP early access“, kde oběti platily stovky dolarů v kryptoměnách a nedostaly nic. Podobný vzorec (nevydaná hra jako návnada) fungoval i u falešných instalátorů Fortnite nebo podvodných „beta testů“ šířených přes Discord a e-mail.

Co dělat, když jste soubor stáhli

Pokud jste gta6_installer.exe jen stáhli, ale nespustili: smažte ho, projeďte počítač antivirem a zkontrolujte složku Stažené. Pokud jste ho spustili, považujte zařízení za kompromitované. Z jiného čistého zařízení okamžitě změňte hesla, nejdřív hlavní e-mail, pak bankovnictví a platební služby. Odhlaste aktivní session všude, kde to jde, zkontrolujte neznámá zařízení a recovery adresy na svých účtech, zapněte dvoufaktorové ověření a několik týdnů sledujte neobvyklou aktivitu. Malwarebytes výslovně připomíná i herní účty na Steamu a Epicu.

Kdo chce GTA VI koupit bezpečně, má v Česku jasné možnosti: předobjednávka na českém Xbox Store stojí od 2 009 Kč, k dispozici je i PlayStation Store a Rockstar Store. Fyzická krabicová verze mimochodem neobsahuje disk, ale kód pro digitální stažení. A pokud by Rockstar někdy skutečné demo oznámil, informace se objeví na oficiálním webu GTA VI, Rockstar Newswire nebo v newsletteru Rockstar Propaganda. Nikde jinde.