Jak dvanáctileté děti provozovaly kybernetický byznys

Představa, že k provozování DDoS útoku je potřeba hluboká technická znalost, dávno neplatí. Agentura EU pro kybernetickou bezpečnost ENISA ve své výroční zprávě o hrozbách uvádí, že právě DDoS dramaticky snižuje vstupní bariéru do kyberkriminality. Hotové nástroje se dají koupit, pronajmout nebo stáhnout, a přesně to tato skupina využila.

CBZC popisuje jejich roli jako zpřístupňování a správu již existujících programů přizpůsobených k DDoS útokům. Nešlo tedy o to, že by si sedm teenagerů naprogramovalo vlastní sofistikovaný malware. Spíš fungovali jako distributoři: vzali hotový nástroj, starali se o jeho chod a nabízeli ho dalším zájemcům za úplatu. Finanční prospěch z této činnosti CBZC potvrzuje, konkrétní výši ale nezveřejnilo.

Zabavená kryptopeněženka Ledger, kudy peníze proudily. Přímý účel zařízení policie v oficiální komunikaci nerozepisuje, není tedy potvrzeno, zda na něm byly uloženy kryptoměny, přístupové klíče, nebo šlo jen o prázdný hardware. V příbuzné DDoS kauze, kterou řešila prokuratura v Bydhošti, ale vyšetřovatelé řešili kryptovýnosy a zabavovali obdobná zařízení. Ledger tak s největší pravděpodobností sloužil jako nosič výnosů nebo přístupů ke kryptoaktivům.

Kdo byly oběti a proč neznáme jejich jména

Konkrétní napadené firmy CBZC nejmenuje. Uvádí pouze typy cílů: populární aukční a prodejní portály, IT domény, hostingové služby a platformy spojené s rezervačním ubytováním. Jde o segmenty, které jsou na dostupnosti svých serverů existenčně závislé; minuty výpadku e-shopu nebo rezervačního systému znamenají přímé finanční ztráty.

Zda mezi oběťmi byly i české společnosti, z dostupných zdrojů nelze potvrdit. Technicky to vyloučit nejde, DDoS nezná hranice a NÚKIB dlouhodobě eviduje podobné útoky i na cíle v Česku. Ve zprávě za rok 2025 tvořily útoky na dostupnost služeb 46 % všech evidovaných incidentů. Konkrétní českou stopu této polské skupiny ale žádný oficiální zdroj nedokládá.

Co hrozí dětem a jak by to vypadalo v Česku

V Polsku nezletilí nespadají pod standardní trestní zákoník. O jejich osudu rozhoduje rodinný soud, který zkoumá věk, vyspělost, motivaci i rodinné poměry. U dětí mezi 13 a 17 lety může soud uložit:

• výchovná opatření a dohled kurátora,
• umístění do výchovného střediska (Młodzieżowy Ośrodek Wychowawczy),
• v krajním případě nápravné zařízení.

U dětí mladších 13 let, a v této skupině byly i dvanáctiletí, klasická trestní odpovědnost nepřipadá v úvahu. Rodinný soud nicméně může nařídit výchovná opatření včetně umístění do výchovného centra.

Pro srovnání: v Česku děti mladší 15 let nejsou trestně odpovědné vůbec, ale soud pro mládež jim může uložit opatření podle zákona o soudnictví ve věcech mládeže, od napomenutí přes dohled probačního úředníka až po zajištění výchovy. Mladistvým ve věku 15 až 18 let se trestní sazby snižují na polovinu a horní hranice zpravidla nesmí přesáhnout pět let.

Pro kontext: dospělému pachateli by v Polsku za výdělečné zpřístupňování DDoS nástrojů hrozilo až pět let vězení. Pokud by k tomu přibylo praní peněz, sazba stoupá až na osm let.

Polsko řeší víc než jeden případ dětských dealerů DDoS

Březnová kauza sedmi nezletilých není ojedinělá. CBZC v červenci 2026 zveřejnilo další, samostatný případ devíti nezletilých ve věku 12 až 16 let, kteří online nabízeli placené DDoS útoky. Jde o jinou skupinu, jiné vyšetřování, ale stejný vzorec. Nízká vstupní bariéra, hotové nástroje, kryptoměny jako platební kanál a věk pachatelů, který by ještě nedávno zněl absurdně.

CBZC se zároveň účastní mezinárodní operace PowerOFF zaměřené na likvidaci placených DDoS služeb. Právě tento model (DDoS jako služba, kterou si kdokoli objedná a zaplatí) je to, co umožňuje proměnit dětskou technickou zvídavost v placenou kyberkriminalitu. Stačí internet, pár set korun v kryptoměně a ochota překročit hranici zákona.

Jak se firmy mohou bránit

NÚKIB ve svém doporučení pro případ DDoS útoku radí firmám několik konkrétních kroků:

• průběžný monitoring provozu a rychlá detekce anomálií,
• připravené kontaktní osoby a předem domluvený postup s poskytovatelem připojení (ISP) a týmem CERT/CSIRT,
• pasivní monitoring přes NetFlow/IPFIX s uchováváním minimálně deset dní,
• filtrování škodlivého provozu, nasazení reverse-path filtrů a podle typu útoku i geoblocking nebo dynamické úpravy pravidel.

Sedm dětí z polského vojvodství ukázalo jednu nepříjemnou pravdu: k tomu, aby někdo vyřadil z provozu e-shop nebo rezervační systém, dnes nepotřebuje diplom z informatiky. Stačí mu dvanáct let a přístup k internetu.