Jak přesně útok probíhá krok za krokem

Analýzu celého řetězce útoku zveřejnil Kaspersky 22. června 2026 na webu Securelist. Po otevření souboru s příponou .vbs ho Windows předá interpretu WScript.exe. Skript si vytvoří skrytou pracovní složku v C:\Users\Public\Documents\ a stáhne další dva skripty ve VBScriptu.

První se pokouší změnit hodnotu klíče registru ConsentPromptBehaviorAdmin na 0. Podle dokumentace Microsoftu tím lze změnit chování Řízení uživatelských účtů (UAC) tak, aby se při určitých operacích neobjevovala obvyklá výzva k potvrzení. Druhý skript mezitím stáhne ZIP archiv obsahující instalační balíček ManageEngine Endpoint Central. Pomocný skript setup1.vbs se pokusí získat vyšší oprávnění prostřednictvím příkazu runas. Pokud se mu to podaří, spustí instalaci agenta pomocí msiexec.exe, a to bez běžného průvodce instalací.

Výsledek? Na počítači se může objevit plnohodnotný nástroj pro vzdálenou správu, aniž by si uživatel uvědomil, že byl nainstalován v rámci útoku.

Proč útočníci zneužívají legitimní firemní software

ManageEngine Endpoint Central není žádný „nový virus“. Jde o komerční podnikovou platformu, kterou firmy po celém světě používají ke správě svých zařízení. Umožňuje například vzdáleně řešit technické problémy, ovládat počítače, nasazovat software nebo přenášet soubory. Právě tyto schopnosti z ní dělají pro útočníky užitečný nástroj, pokud chtějí v napadeném systému zůstat dlouhodobě a nenápadně.

Bezpečnostní software nemusí takovou aplikaci automaticky označit jako malware, protože sama o sobě škodlivá není. Jde o legitimní program s platným digitálním podpisem, který ale útočník může zneužít k tomu, aby:

• vzdáleně ovládal plochu počítače,
• instaloval další software,
• stahoval a odesílal soubory,
• prováděl změny v systému bez vědomí uživatele.

Kaspersky upozorňuje, že právě možnosti vzdálené správy dělají z tohoto nástroje atraktivní prostředek k udržení přístupu k napadenému zařízení.

WhatsApp jako nový e-mail pro phishing

Nejpodstatnější rozdíl oproti klasickému phishingu spočívá v použitém komunikačním kanálu. Lidé bývají opatrnější u e-mailových příloh, ale zpráva ve WhatsAppu od známého kontaktu může vzbuzovat větší důvěru. Příloha navíc často přichází bez doprovodného textu – jen jako soubor s názvem, který připomíná finanční dokument.

Že nejde o ojedinělý případ, dokládá také Microsoft. Už 31. března 2026 zveřejnil analýzu jiné aktivní kampaně, která využívala podobný princip: skripty VBS šířené přes WhatsApp, jež následně stahovaly škodlivé instalační balíčky MSI. WhatsApp na Windows se tak může stát významným distribučním kanálem malwaru. Nejde nutně o jediný izolovaný případ, ale o způsob útoku, který mohou kyberzločinci opakovat v různých kampaních.

Kaspersky uvádí, že 80 % obětí sledovaných v rámci aktuální kampaně pocházelo z Malajsie. Názvy souborů však byly lokalizované do portugalštiny, francouzštiny, němčiny i malajštiny. Česko mezi zeměmi s největším počtem zaznamenaných obětí podle této analýzy nefiguruje. Jazyková rozmanitost ale naznačuje, že útočníci mohou kampaň přizpůsobovat různým regionům.

Co udělat hned teď

Nejdůležitější je věnovat pozornost příponě souboru. Faktura nebo výpis z účtu by běžně měly přijít například ve formátu PDF, DOCX nebo XLSX. Pokud vám někdo přes WhatsApp pošle soubor s příponou .vbs, .vbe, .exe, .bat, .cmd, .js nebo .ps1, neotevírejte ho, pokud si nejste naprosto jistí jeho původem a účelem. Samotná přípona sice ještě nedokazuje, že je soubor škodlivý, ale u nečekané přílohy je důvodem k velké opatrnosti.

Praktické kroky pro ochranu:

• Zapněte zobrazování přípon souborů ve Windows. Systém je může ve výchozím nastavení skrývat, což útočníkům usnadňuje maskování škodlivých souborů. Návod najdete v nápovědě Microsoftu.
• Nechte zapnutý SmartScreen, který může varovat před nebezpečnými weby a podezřelými soubory.
• Ve WhatsAppu vypněte automatické stahování médií a souborů, pokud tuto funkci nepotřebujete, a zapněte dvoufázové ověření účtu.
• Pravidelně kontrolujte propojená zařízení v nastavení WhatsAppu a neznámé relace odpojte.
• Pokud jste podezřelou přílohu už otevřeli: odpojte počítač od sítě a spusťte bezpečnostní kontrolu. V podezřelé aktivitě mohou hrát roli i soubory ve složce C:\Users\Public\Documents\, zejména skryté adresáře s názvy typu Temp_, MSUpdate_ nebo Sys_. Soubory jako UEMSAgent.msi nebo DCAgentServerInfo.json mohou být vodítkem k další kontrole, samy o sobě však nemusí dokazovat napadení. Pokud máte podezření na kompromitaci, obraťte se na odborníka nebo správce IT.

Pokud vám známý pošle fakturu přes WhatsApp, ale nečekali jste ji, ověřte si její pravost jiným kanálem – třeba telefonátem. Nečekaná příloha může být výsledkem napadení účtu vašeho kontaktu. Několik sekund na ověření vám může ušetřit dlouhé řešení následků kompromitovaného počítače.

Co přesně zdražilo a o kolik

Vodafone na své stránce uvádí konkrétní příklady. Mobilní tarif Neomezený Super zdražil z 939 na 999 Kč měsíčně, tedy o 60 Kč. U pevného internetu je skok výraznější: Internet Premium Ultra Lite zdražil z 499 na 599 Kč, tedy rovnou o stovku. Obojí jsou ceníkové ceny před započtením slev.

A právě slevy jsou háček, který si zaslouží pozornost. Vodafone tvrdí, že stávající zvýhodnění zákazníkům zůstává. Jenže sleva se počítá z nové, vyšší ceny. Prakticky to vypadá takto:

• Neomezený Super se slevou 10 %: dříve 845 Kč → nově 899 Kč (rozdíl +54 Kč)
• Internet Premium Ultra Lite se slevou 15 %: dříve 425 Kč → nově 510 Kč (rozdíl +85 Kč)

Kdo si myslí, že trvalá sleva ho před zdražením ochrání, mýlí se. Procentuální sleva zůstává, ale základ, ze kterého se počítá, narostl.

Proč je tak snadné změnu přehlédnout

Největší riziko přehlédnutí hrozí lidem, kteří platí automatickým inkasem a mají u Vodafonu více služeb na jednom zákaznickém účtu. Souhrnná faktura za dva mobily a pevný internet může zdražit o 200 Kč, ale v celkové částce přes dva tisíce korun to snadno zapadne. Klíčem proto není kontrolovat jen konečnou sumu, ale také rozpis jednotlivých služeb a porovnat měsíční paušál u každé položky s předchozím vyúčtováním.

Český telekomunikační úřad k tomu dlouhodobě uvádí, že informace ve vyúčtování mají být přehledné a transparentní. Zákon o elektronických komunikacích požaduje, aby operátor zákazníka o změně informoval v textové podobě, jasně a srozumitelně, nejméně měsíc před její účinností, a zároveň ho poučil o právu smlouvu ukončit bez sankce. Oznámení ve vyúčtování tuto podmínku za určitých okolností splnit může. Samotný fakt, že zákazník fakturu nečte, na tom nic nemění.

Můžu odejít bez pokuty?

Ano. Pokud změna není pro zákazníka výhradně přínosná, má podle zákona č. 127/2005 Sb. právo vypovědět závazek do jednoho měsíce od doručení oznámení, a to bez dalších nákladů. Jedinou výjimkou může být doplatek za dotované zařízení, pokud si ho ponecháte. U balíčků se toto pravidlo vztahuje i na ostatní složky smlouvy.

Než ale začnete řešit přechod, přepočítejte si celkovou cenu u konkurence, a to jak při samostatném pořízení jednotlivých služeb, tak v balíčku.

Jak na tom je konkurence

Po zdražení se Vodafone v ceníkových cenách dostává na úroveň, kde rozdíly mezi velkou trojkou nejsou dramatické, ale existují:

T-Mobile vychází u mobilu levněji, ale jen v tarifu s nižší rychlostí dat. O2 je na stejné částce jako Vodafone, nabízí ale vyšší datovou rychlost. U gigabitového internetu jsou všichni tři prakticky na stejné ceně. O2 navíc u nových smluv nabízí časově omezenou slevu na prvních šest měsíců, ale po jejím skončení se dostanete na standardních 599 Kč.

Důležitý detail: O2 letos u vybraných pevných internetů použilo stejný mechanismus a změnu ceny oznámilo „způsobem pro zasílání vyúčtování“. Informování prostřednictvím faktury tedy není vodafonovský unikát, ale způsob, který se na českém trhu používá i u dalších operátorů.

Co udělat právě teď

Praktický postup je jednoduchý. Otevřete říjnové vyúčtování od Vodafonu, najděte rozpis jednotlivých služeb a porovnejte měsíční paušál s předchozím měsícem. Pokud vidíte navýšení a nechcete ho akceptovat, máte měsíc od doručení oznámení na výpověď bez sankce. A pokud platíte inkasem, nastavte si připomínku, protože banka vám vyšší částku strhne automaticky.

Co vlastně hledáte a proč to není na první pohled vidět

Vyúčtování od operátora, ať už papírové, nebo v aplikaci, funguje jako účtenka. U O2 například v sekci „Tarif, služba“ najdete technický identifikátor, název služby a měsíční cenu. Co tam ale zpravidla nenajdete, je rozepsaná rychlost v megabitech za sekundu. Operátor vám řekne, že platíte za „Internet 200“ nebo „Pevný internet XL“, ale už vám rovnou nenapíše, že běžně dostupná rychlost downloadu je například 120 Mb/s a minimální garantovaná rychlost 60 Mb/s.

Tyto dvě hodnoty přitom rozhodují o mnohém. Běžně dostupná rychlost je ta, kterou má vaše přípojka poskytovat alespoň 95 % času během dne; u většiny operátorů odpovídá přibližně 60 % inzerované rychlosti. Minimální rychlost je nejnižší hodnota, pod kterou by připojení nemělo klesnout, a obvykle se pohybuje kolem 30 % inzerované rychlosti. Marketing pracuje s nejvyšším číslem uvedeným v reklamě. Pro případný spor s operátorem je ale rozhodující právě běžně dostupná rychlost.

Jak si za 90 minut ověříte, zda dostáváte, co platíte

Český telekomunikační úřad provozuje nástroj ČTÚ‑NetTest, který umožňuje takzvané certifikované měření. Výstupem je PDF protokol, se kterým můžete službu reklamovat. Postup je přímočarý, ale vyžaduje disciplínu:

• Připojte počítač nebo notebook kabelem přímo k modemu nebo routeru, žádná Wi-Fi, žádný další síťový prvek navíc.
• Vypněte všechna ostatní zařízení, která využívají internet: televizi, tablet, chytrý reproduktor.
• Spusťte certifikované měření. Nástroj provede 6 testů v průběhu 90 minut, jednotlivá měření jsou oddělena 15minutovými intervaly.
• Vyhodnocení funguje jednoduše. Pokud alespoň 3 výsledky ze 6 klesnou pod běžně dostupnou rychlost, může jít o velkou opakující se odchylku. Jakýkoli jednotlivý výsledek pod minimální rychlostí znamená nesplnění smluvních parametrů služby. V obou případech máte v ruce argument pro reklamaci.

Dva způsoby, jak Češi přeplácí za internet

První typ přeplácení je technický: operátor nedodává rychlost, ke které se smluvně zavázal. Druhý je strategický a mnohem rozšířenější: domácnost platí za tarif, jehož kapacitu ani zdaleka nevyužije.

Podle zprávy ČTÚ o otevřeném internetu za období květen 2025 až duben 2026 činí průměrná naměřená rychlost stahování pevného internetu v Česku 105,33 Mb/s a rychlost odesílání 66 Mb/s. Největší podíl přípojek (35,3 %) stále spadá do kategorie 30 až 100 Mb/s. Gigabitová optika za méně než 750 Kč měsíčně je sice na trhu dostupná, ale pro rodinu, která streamuje filmy a občas pracuje z domova, často bohatě stačí tarif na 100 nebo 200 Mb/s. Rozdíl v ceně může být i několik stovek korun měsíčně, a právě to je typ přeplácení, který žádné měření neodhalí. Odhalí ho pouze pohled na vlastní spotřebu.

Pro orientaci, jak se liší smluvní parametry podle technologie a operátora:

Optika vychází nejlépe v uploadu a symetrii. Kabel a DSL bývají výrazně asymetrické. Bezdrátové připojení je navíc citlivé na lokální podmínky a sdílení kapacity.

Co dělat, když čísla nesedí

Pokud certifikované měření prokáže odchylku, reklamujte u poskytovatele vadné poskytnutí služby. ČTÚ uvádí, že máte právo žádat přiměřenou slevu z ceny. Důležité: pokud operátor reklamaci zamítne nebo ji nevyřídí, můžete do jednoho měsíce podat námitku přímo k ČTÚ. Automatický nárok na výpověď bez sankce z toho ale neplyne; záleží na konkrétní smlouvě a právním režimu.

Než se pustíte do měření, zkontrolujte ještě jednu věc: stáří a stav routeru. ČTÚ i operátoři upozorňují, že výkon koncového zařízení a jeho nastavení mohou mít na výsledek zásadní vliv. Starý router s pomalým procesorem může být úzkým hrdlem celé přípojky, i když tarif odpovídá smlouvě. Měřte vždy kabelem, na jednom zařízení a bez souběžného provozu.

A pokud zjistíte, že váš tarif je zbytečně předimenzovaný? Na srovnávači ČTÚ si můžete bezplatně porovnat nabídky operátorů ve své lokalitě; data do něj povinně vkládají sami poskytovatelé a aktualizují je nejpozději do měsíce od změny.

Faktura za internet je rozcestník, ne verdikt. Verdikt si uděláte sami: stačí k tomu kabel, 90 minut a ochota podívat se na číslo, které jste dosud přehlíželi.

Co přesně se v 7-Zipu rozbilo

Problém objevil bezpečnostní výzkumník Landon Peng a nahlásil ho vývojáři Igoru Pavlovovi 5. června 2026. Technicky jde o takzvané přetečení vyrovnávací paměti na haldě (heap-based buffer overflow) při dekomprimaci XZ chunked dat. Když 7-Zip zpracovává útočníkem připravený soubor, nedostatečně ověří délku dat a zapíše je mimo vyhrazený blok paměti. Útočník tak může přepsat klíčové ukazatele v paměti a donutit program spustit vlastní škodlivý kód.

Podle Zero Day Initiative má chyba oficiální CVSS skóre 7,0 z 10, což ji řadí do kategorie „high“, tedy závažná. Hranice pro „critical“ začíná až na hodnotě 9,0. Přesto jsou její praktické dopady vážné: úspěšné otevření škodlivého archivu může vést k instalaci malwaru, krádeži souborů i narušení dostupnosti dat. Důležitou podmínkou je, že oběť musí soubor sama otevřít nebo navštívit škodlivou stránku. Bez interakce uživatele se chyba nespustí.

Proč vás 7-Zip nevaruje

Igor Pavlov to na SourceForge vysvětlil jednou větou: „7-Zip se nepřipojuje k internetu.“ Program se nikdy nepřipojuje k síti, nemá vestavěný mechanismus kontroly aktualizací a jediné místo, kde najdete odkaz na web, je okno O aplikaci v nabídce Nápověda. Opravu ve verzi 26.02 vydal Pavlov 25. června, dvacet dní po nahlášení a dvacet dní před veřejným zveřejněním bezpečnostního upozornění. Jenže v oficiálním seznamu změn stojí jen stručné: „Některé chyby a zranitelnosti byly opraveny.“ Žádné číslo CVE, žádné varování.

Výsledek? Kdo si mezi 25. červnem a 15. červencem stáhl novou verzi ručně, byl chráněný. Všichni ostatní zůstali, a mnozí stále zůstávají, se zranitelnou instalací.

Falešná faktura jako česká klasika

Scénář „otevřete přílohu s fakturou“ není žádná exotika. Osvětové materiály NÚKIB přímo používají příklad „faktura.zip“ jako typické maskování škodlivého souboru. V roce 2017 se Českem šířil archiv FakturaN782.rar s ransomwarem, o dva roky dříve CSIRT.CZ varoval před falešnými fakturami s malwarem. Nová zranitelnost do tohoto vzorce zapadá dokonale: útočníkovi stačí poslat e-mail s archivem, který vypadá jako běžná obchodní příloha.

Konkrétní českou kampaň zneužívající právě CVE-2026-14266 se zatím veřejně nepodařilo doložit. To ale neznamená, že není důvod k obavám. Chyba je technicky zneužitelná a archivní přílohy patří v tuzemsku dlouhodobě k nejčastějším vektorům útoku.

Co udělat hned teď

• Zkontrolujte verzi. Otevřete 7-Zip, klikněte na Nápověda → O aplikaci. Pokud tam nevidíte číslo 26.02 nebo vyšší, máte zranitelnou instalaci.
• Stáhněte aktualizaci. Novou verzi najdete na oficiálním webu 7-Zipu. K dispozici je pro Windows x64, x86 i ARM64.
• Neotevírejte neznámé archivy. Dokud neaktualizujete, neotevírejte přílohy z neověřených zdrojů. A i po aktualizaci platí: archiv od neznámého odesílatele si zaslouží podezření, ne dvojklik.
• Na firemním počítači kontaktujte IT. Pokud jste v poslední době otevřeli archiv z neznámého zdroje, nahlaste to správci. Soubor znovu neotvírejte a nic z něj nespouštějte.

Program 7-Zip nemusíte zahazovat, stačí ho aktualizovat. Celý problém ale ukazuje na širší riziko: když se rozšířený nástroj záměrně nepřipojuje k internetu, odpovědnost za bezpečnost přechází na uživatele. A většina z nich o tom nemá tušení.