Jak přesně útočník získá přístup k vašemu účtu

Samotná Wi-Fi vám účet nevybílí. Kritický je řetězec kroků, který začíná připojením a končí zneužitím. Útočník nejprve vytvoří falešný hotspot – síť se jmenuje třeba „Kavárna_FreeWiFi“, vypadá důvěryhodně a nevyžaduje heslo. NSA tomuto scénáři říká „evil twin“: síť, která napodobuje legitimní hotspot a čeká, až se k ní někdo připojí.

Jakmile se připojíte, útočník může zachytávat nešifrovanou část provozu nebo vás přesměrovat na podvrženou přihlašovací stránku banky, vizuálně k nerozeznání od originálu, kde zadáte údaje sami. On je nepoužije hned. Počká hodiny, dny. Pak se přihlásí z jiného zařízení, z jiné sítě. A pokud nemáte zapnuté dvoufaktorové ověření, nic ho nezastaví.

FTC připomíná důležitý detail: samotné HTTPS vás neochrání před podvodným webem. Šifrování spojení znamená, že nikdo „mezi vámi a serverem“ nevidí obsah komunikace, ale pokud komunikujete s útočníkem nebo falešným webem, šifrování tento problém neřeší.

Ne každá veřejná Wi-Fi je past, ale poznat tu nebezpečnou je těžké

Férově řečeno: v roce 2025 není každá kavárenská síť automaticky hrozba. Díky rozšířenému HTTPS je běžné surfování na veřejné Wi-Fi bezpečnější než před deseti lety. Otevřít si mapy, přečíst zprávy, podívat se na jízdní řády – to je v pořádku.

Riziko ale prudce roste v konkrétních situacích:

• Otevřený hotspot bez hesla – nejhorší varianta, provoz může zachytit kdokoli v dosahu.
• Síť s heslem, ale se slabým šifrováním – NÚKIB uvádí jako minimum standard WPA2. Starší šifrování může být prolomeno.
• Falešný hotspot se stejným názvem – váš telefon se k němu může připojit automaticky, pokud máte uloženou síť se stejným SSID. Microsoft na toto riziko výslovně upozorňuje.
• Legitimní síť, ale citlivá aktivita – i na správné síti je přihlášení do banky, zadání karty nebo schválení platby rizikové.

Problém je, že běžný uživatel falešný hotspot nepozná. Žádné varovné okno, žádný alarm. Více stejných názvů vedle sebe, síť bez jasného ověření hesla tam, kde by ho personál měl sdělovat – to jsou signály, ale ne jistota.

Co na veřejné Wi-Fi nikdy nedělat

NÚKIB v doporučení z dubna 2025 píše jasně: přes veřejné sítě se nepřihlašujte do bankovnictví. Podle nás je seznam tabu ještě delší:

• internetové bankovnictví a mobilní bankovnictví
• zadávání údajů z platební karty
• schvalování plateb a autorizačních výzev, které jste sami nevyvolali
• přihlašování do e-mailu (přes e-mail se resetují hesla ke všemu ostatnímu)
• online nákupy a finanční transakce
• odesílání citlivých dokumentů

Zlaté pravidlo je jednoduché: veřejnou Wi-Fi si nechte na věci, u kterých by vám nevadilo, kdyby je viděl cizí člověk přes rameno. Vše ostatní patří na mobilní data.

Praktická obrana, která nic nestojí

Nejúčinnější ochrana je zároveň nejlevnější: přepnout na mobilní data nebo si vytvořit vlastní hotspot z telefonu. Mobilní připojení je šifrované a odpadá riziko falešného hotspotu. NSA ho doporučuje jako primární alternativu k veřejné Wi-Fi.

Pokud musíte veřejnou síť použít:

• Zapněte dvoufaktorové ověření (2FA) na všech důležitých účtech: banka, e-mail, sociální sítě. I když útočník získá heslo, bez druhého faktoru se nedostane dál.
• Vypněte automatické připojování k uloženým sítím. Telefon se jinak může sám připojit k falešnému hotspotu se známým názvem.
• Po použití síť „zapomeňte“ v nastavení zařízení.
• Aktualizujte systém – záplaty často opravují právě zranitelnosti bezdrátového připojení.
• Zvažte VPN – vytvoří šifrovaný tunel mezi vaším zařízením a serverem. Útočník vidí, že tunel existuje, ale ne co jím teče. VPN ale nenahrazuje opatrnost vůči podvodným webům.

Majitelé některých telefonů Samsung mají navíc k dispozici funkci Secure Wi-Fi, která automaticky šifruje provoz na nezabezpečených sítích. Dostupnost se ale liší podle modelu, země a operátora.

Když máte podezření, že je pozdě

Krádež přihlašovacích údajů je tichá. Varovné signály přicházejí až zpětně: nevyžádaná autorizační výzva, neznámé zařízení v historii přihlášení, podezřelá čekající transakce. Komerční banka i Česká spořitelna doporučují stejný postup: okamžitě zavolat bance, zablokovat kartu a přístupy, projít historii přihlášení, změnit hesla a při škodě podat oznámení policii.

Nejlepší obrana ale začíná dřív. V kavárně, v hotelu, na letišti, kdykoli vidíte „Free Wi-Fi“, položte si jednu otázku: potřebuji teď opravdu otevřít banku, nebo to počká do chvíle, kdy budu na vlastních datech? Většinou počká.

Proč je „napůl živý“ telefon horší než smazaný

Největší problém není starý telefon prodat nebo vyhodit. Největší problém je nechat ho ležet se všemi účty uvnitř. Apple uvádí, že zařízení v seznamu vašeho účtu zůstává důvěryhodné, dokud ho aktivně neodeberete, může přijímat ověřovací kódy, má přístup k iCloudu i Find My. Google dělal totéž: poslední aktivita starého telefonu je čerstvější, než byste čekali, protože synchronizace běží na pozadí.

Nejpravděpodobnější scénář zneužití je fyzicky. Někdo telefon najde, ukradne z bytu nebo ho dostane jako dar bez řádného vymazání. Nemusí lámat hesla, stačí, že zařízení je stále autorizované pro push potvrzení, SMS kódy nebo přihlášení do banky. Britské Národní centrum kybernetické bezpečnosti (SC) proto doporučuje převést ověřování na nové zařízení ještě před veškerým mazáním dat.

Co se děje s bateriemi v šuplíku

Lithium-iontový článek stárne, i když ho nepoužíváte. Podle Apple jsou dvě krajnosti: telefon uložený plně vybitý může spadnout do hlubokého vybití, ze kterého se už neprobudí. Telefon uložený na sto procent zase rychle ztrácí kapacitu. Google pro telefony Pixel doplňuje, že při skladování delším než 30 dní má mít přístroj alespoň 50 % a nemá ležet v teplotě nad 35 °C.

Praktická poučka je jednoduchá: 50 % je kompromis mezi „neumře hlady“ a „nestárne zbytečně na maximu“. Telefon vypněte, uložte na chladné a suché místo a jednou za půl roku ho nabijte zpět na polovinu.

Správné pořadí kroků, než telefon odložíte nebo prodáte

Pořadí je zásadní. Kdo nejdříve smaže data a teprve pak zjistí, že si nepřevedl autentizátor, má problém.

1. Záloha dat – fotky, kontakty, zprávy, poznámky.
2. Převod autentizátorů na nový telefon. Google Authenticator synchronizuje kódy přes Google účet nebo QR kód, Microsoft Authenticator obnovuje ze zálohy, ale jen v rámci stejného systému (iOS na iOS, Android na Android).
3. Aktivace bankovnictví na novém telefonu. České banky to řeší různě: KB Klíč má volbu „Vyměnit zařízení“, Raiffeisenbank používá Správu zařízení v menu, Česká spořitelna počítá s aktivací George na novém telefonu přímo v návodu, Air Bank vyžaduje nové spárování My Air.
4. Odebrání starého telefonu z účtů. Fio banka umožňuje deaktivaci Smartbankingu přímo v aplikaci i přes internetbanking. U mBank se po odpojení mKlíče autorizace automaticky vrátí na SMS. V nastavení účtu Apple nebo Google odstraňte staré zařízení ze seznamu důvěryhodných přístrojů.
5. Odstranění platebních karet z Apple Pay nebo Google Wallet – karty jsou vázané na konkrétní zařízení, nestačí je smazat jen na novém telefonu.
6. Teprve teď přichází tovární reset (u Androidu může trvat i hodinu) nebo „Erase All Content and Settings“ u iPhone. Vyberte SIM kartu a kartu SD.

Pokud telefon ukládáte jako záložní, reset nemusíte dělat, ale odeberte z něj bankovní autorizaci a dvoufaktorové ověřování. Jinak je to jen další otevřená brána k vašim penězům.

Co když už starý telefon nemáte po ruce

Zapomněli jste to udělat před prodejem? Ještě není pozdě. Apple přes Find My vzdálené vymazání; u offline zařízení se spustí při příštím připojení k internetu. Google nabízí totéž přes Find Hub: telefon lze najít, zamknout nebo vzdáleně resetovat. Bankovní aplikace si většinou stačí stáhnout zařízení z webového internetového bankovnictví. Praktický test, že je vše v pořádku: zkuste si potvrdit drobnou platbu. Notifikace musí přijít výhradně na nový telefon.

A pokud starý mobil nechcete ani jako zálohu, nemusí skončit ve skříni. Projekt Remobil nabízí bezplatné podání přes Zásilkovnu i síť sběrných boxů. Při nákupu nového přístroje v prodejně můžete využít zákonné právo „kus za kus“ a starý odevzdat na místě.

Jak útok funguje krok za krokem

Oběť dostane odkaz, který vede přes legitimně vypadající adresu na Google Storage. Nic podezřelého, prohlížeč zobrazí důvěryhodnou doménu googleapis.com. Následně dochází k přesměrování na stránku chráněnou Cloudflare Turnstile, což je legitimní alternativa k CAPTCHA. Jenže tady neslouží k ochraně uživatele. Útočníci ji nasadili proto, aby odfiltrovali bezpečnostní crawlery a analytické sandboxy dřív, než se dostanou k samotnému phishingu.

Po úspěšném průchodu se zobrazí klonovaná stránka TikTok for Business nebo Google Careers s formulářem, který ověřuje pracovní e-mail. Tím útočníci filtrují oběti, zajímají je firemní účty, ne běžní uživatelé. Kdo formulář vyplní, dostane se na falešnou přihlašovací stránku. Ta běží přes reverzní proxy, takzvaný AiTM kit (Adversary-in-the-Middle). V reálném čase přeposílá zadané údaje na skutečný server TikTok, sebere heslo, odpověď na dvoufaktorové ověření i session cookie. Oběť se přihlásí, nic netuší, a útočník má kompletní přístup.

Proč nejde jen o TikTok profil

Ztráta firemního TikTok účtu je nepříjemná. Ale skutečné riziko leží jinde. Mnoho firem se do TikTok for Business přihlašuje přes Google účet. Pokud útočník zachytí session cookie z tohoto přihlášení, získá potenciálně přístup i ke Google Workspace, reklamnímu účtu Google Ads a dalším aplikacím dostupným přes jednotné přihlášení (SSO).

Co konkrétně hrozí:

• Převzetí reklamního rozpočtu – útočník spustí podvodné kampaně na náklady firmy.
• Malvertising – přes důvěryhodný firemní účet šíření škodlivých reklam, které ohrožují koncového uživatele.
• Kompromitace Google SSO – z jednoho ukradeného přihlášení se útok rozlije do e-mailu, dokumentů i interních nástrojů.
• Reputační škoda – firma ztrácí kontrolu nad svou veřejnou identitou na platformě s miliony uživatelů.

Push Security tuto kampaň nepřiřazuje ke konkrétní hackerské skupině. Poukazuje ale na pokračování dřívějších útoků na účty spravující digitální reklamu, včetně kampaně přes falešné stránky Google Careers, kterou v říjnu 2025 popsala Sublime Security. Ekonomika je stále stejná: převzít účet, zneužít rozpočet, prodat přístup dál.

Dvoufaktor nestačí, a to je klíčový problém

Technika reverzního proxy phishingu není novinkou roku 2026. Microsoft ji popsal už v červenci 2022 a MITRE ji používá jako samostatnou techniku krádeže session cookies od roku 2019. Novost spočívá v kombinaci obfuskačních vrstev (Google Storage, Turnstile, validace firemního e-mailu), které dohromady tvoří iluzi legitimního procesu.

Podle nás je nejslabší místo celého řetězce lidský krok. Zaměstnanec vidí důvěryhodné URL, projde CAPTCHA kontrolou, vyplní pracovní e-mail a přihlásí se. Žádný z těchto kroků nevyvolá poplach, protože každý jednotlivě vypadá normálně. Klasické dvoufaktorové ověření přes SMS nebo autentizační aplikaci nepomůže, reverzní proxy ho zachytí v reálném čase spolu s heslem.

Co pomoci může, jsou hardwarové klíče nebo passkeys. TikTok podporuje přístupové klíče na úrovni uživatelského účtu; nastavit je možné v aplikaci přes Security checkup. Pro Ads Manager a Business Center je aktuálně zdokumentováno hlavně dvoufázové ověření a autentizační aplikace. Pokud se ale firma přihlašuje přes propojený TikTok účet, zabezpečení této identity chrání i obchodní prostředí.

Co dělat, když máte podezření na kompromitaci

České firmy inzerující na TikToku zůstávají stejnému riziku jako zahraniční; kampaň není omezena na konkrétní stát a související starší útoky jsou běžně vícejazyčné. Veřejně potvrzené české oběti sice nejsou, ale to neznamená, že neexistují.

Praktický postup při podezření:

• Okamžitě kontaktovat podporu TikTok nebo account managera; i bez přihlášení existuje formulář pro znovuzískání přístupu.
• Změnit heslo, zkontrolovat obnovovací e-mail a telefon, odstranit neznámá zařízení.
• Vynutit dvoufázové ověření v Ads Manageru i Business Center pro všechny uživatele.
• Prověřit role a oprávnění; útočník mohl přidat vlastní účet jako správce.
• Uchovat logy, snímky obrazovky a časovou osu incidentu.
• Regulované subjekty hlásí incident přes Portál NÚKIB. Ostatní firmy mohou podat hlášení přes CSIRT.CZ.

TikTok ve své nápovědě uvádí, že kompromitovaný účet může dočasně pozastavit, provést šetření a řešit i refundaci neautorizovaných reklamních nákladů. Klíčové je ale jednat rychle; každá hodina, kdy má útočník přístup, znamená potenciálně vyčerpaný rozpočet a rozjetou podvodnou kampaň pod jménem firmy.

Nejúčinnější obrana paradoxně není technická. Je to vědomí, že ani důvěryhodně vyhlížející přihlašovací stránka s CAPTCHA a firemním formulářem nemusí být tím, čím se zdá.

Co vlastně znamená ukradený účet Epic

Účet Epic Games není jen vstupenka do Fortnite. Funguje jako identitní vrstva pro celý ekosystém, Epic Games Store, Unreal Engine i třetí strany využívající přihlášení přes Epic. Kdo ovládne tento účet, získá přístup k Fortnite progresu, nakoupené kosmetice, herní historii, ale potenciálně i k propojeným externím účtům a primárnímu e-mailu.

Epic výslovně varuje, že kompromitace účtu ohrožuje nejen herní profil, ale i propojené účty a e-mailovou identitu. Útočník, který se dostal dovnitř, měl v rukou klíč k celé digitální identitě oběti. A co s ním udělal? Odemkl Fortnite a šel hrát.

Proč je „jen hraní“ horší, než se zdá

Na první pohled to vypadá neškodně. Žádné nákupy, žádný prodej účtu na černém trhu, žádné darování skinů na jiný profil. Jenže právě v tom je paradox: Epic monitoruje podezřelé finanční transakce a darování předmětů, takže útočník, který začne účet okamžitě „vysávat“, spustí bezpečnostní alarmy rychleji než ten, kdo jen tiše hraje. Tichý parazit je hůř detekovatelný.

Mezitím oběť ztrácí kontrolu. Proces obnovy u Epicu běží přes samoobslužný formulář: přihlašovací stránka, volba „Problém s přihlášením?“, zadání e-mailu, ověření přes dostupné metody dvoufaktorového ověření nebo bezpečnostní kód. Když nic z toho nefunguje, Epic žádá e-mail použitý při založení účtu a další identifikační údaje. Po odeslání žádosti přijde potvrzení s ID žádosti o obnovu. Výsledek Epic standardně slibuje do 48 hodin, pokud není třeba delší šetření. Po tu dobu má legitimní majitel omezenou kontrolu nad vlastní identitou. V tomto konkrétním případě trvala obnova zhruba tři dny od podání žádosti, což rámcově odpovídá oficiálnímu postupu.

Jak si stojí Epic vedle Steamu a PlayStationu

Každá velká herní platforma řeší krádež účtu jinak. Rozdíly nejsou kosmetické:

• Epic Games tlačí uživatele do samoobslužné obnovy a větví ji podle toho, co ještě kontroluje. Nabízí dvoufaktorové ověření přes autentizační aplikaci, Epic Authenticator, e-mail nebo SMS, přičemž sám doporučuje variantu s autentizační aplikací jako nejsilnější ochranu.
• Steam při krádeži účtu nejdřív vyžaduje zabezpečení počítače a e-mailu, teprve potom řeší reset samotného účtu. Steam Guard Mobile Authenticator označuje za nejvyšší úroveň zabezpečení.
• PlayStation rozděluje obnovu podle toho, zda má uživatel přístupový klíč (passkey), nebo e-mail. Při podezřelých změnách přihlašovacích údajů rovnou odkazuje na online asistenta. A hlavně: PlayStation už dnes přístupové klíče nabízí, tedy přihlášení bez hesla, které je z principu odolnější vůči phishingu i zneužití uniklých přihlašovacích údajů.

Epic zatím zůstává u kombinace heslo plus dvoufaktorové ověření. Přístupové klíče v jeho ekosystému chybí. Navíc stojí za zmínku, že Epic sice má české nápovědy a kontaktní stránku, čeština ale nefiguruje mezi jazyky živé podpory. Realisticky se dá počítat se samoobslužným formulářem a tiketem, ne s česky mluvícím operátorem.

Co udělat, aby se to nestalo vám

Nejpravděpodobnější cesty dovnitř jsou předvídatelné: recyklované heslo z jiné služby, kompromitovaný e-mail, phishing nebo slabě zabezpečený propojený účet. Epic před všemi těmito vektory výslovně varuje. Obrana má jasnou hierarchii:

1. Zabezpečte e-mail. Změňte heslo, zapněte dvoufaktorové ověření. E-mail je brána ke všemu ostatnímu.
2. Zapněte dvoufaktorové ověření na Epicu. V nastavení účtu: Password and security → Two-Factor Authentication → Set up. Jako primární metodu zvolte autentizační aplikaci, e-mail a SMS nechte maximálně jako zálohu.
3. Uložte záložní kódy. Když ztratíte přístup k autentizační aplikaci, jsou jedinou cestou zpět bez procesu obnovy.
4. Zkontrolujte propojené účty. Každý propojený účet je potenciální vstupní brána. Zabezpečte je stejně důsledně jako hlavní identitu u Epicu.
5. Nerecyklujte hesla. Zneužití uniklých přihlašovacích údajů z jiných služeb je nejbanálnější a zároveň nejúčinnější útok.

Hloupost, která má svou logiku

Označit útočníka za „nejhloupějšího hackera“ je lákavé, ale podle nás jeho chování dává perverzní smysl. Kdo jen hraje, nevyvolá finanční alarmy. Kdo jen hraje, neprodukuje transakční stopu. Kdo jen hraje, může na ukradeném účtu sedět déle než ten, kdo se ho pokusí zpeněžit. Hloupost nebyla v tom, že neuměl účet převzít, to zvládl. Hloupost byla v tom, že s plnohodnotným přístupem k cizí digitální identitě neudělal nic, co by mu přineslo víc než pár zápasů ve Fortnite. Účet je zpět u svého majitele. Útočník odešel s prázdnýma rukama a pár výhrami v battle royale, které ani nejsou jeho.