Jak dvanáctileté děti provozovaly kybernetický byznys

Představa, že k provozování DDoS útoku je potřeba hluboká technická znalost, dávno neplatí. Agentura EU pro kybernetickou bezpečnost ENISA ve své výroční zprávě o hrozbách uvádí, že právě DDoS dramaticky snižuje vstupní bariéru do kyberkriminality. Hotové nástroje se dají koupit, pronajmout nebo stáhnout, a přesně to tato skupina využila.

CBZC popisuje jejich roli jako zpřístupňování a správu již existujících programů přizpůsobených k DDoS útokům. Nešlo tedy o to, že by si sedm teenagerů naprogramovalo vlastní sofistikovaný malware. Spíš fungovali jako distributoři: vzali hotový nástroj, starali se o jeho chod a nabízeli ho dalším zájemcům za úplatu. Finanční prospěch z této činnosti CBZC potvrzuje, konkrétní výši ale nezveřejnilo.

Zabavená kryptopeněženka Ledger, kudy peníze proudily. Přímý účel zařízení policie v oficiální komunikaci nerozepisuje, není tedy potvrzeno, zda na něm byly uloženy kryptoměny, přístupové klíče, nebo šlo jen o prázdný hardware. V příbuzné DDoS kauze, kterou řešila prokuratura v Bydhošti, ale vyšetřovatelé řešili kryptovýnosy a zabavovali obdobná zařízení. Ledger tak s největší pravděpodobností sloužil jako nosič výnosů nebo přístupů ke kryptoaktivům.

Kdo byly oběti a proč neznáme jejich jména

Konkrétní napadené firmy CBZC nejmenuje. Uvádí pouze typy cílů: populární aukční a prodejní portály, IT domény, hostingové služby a platformy spojené s rezervačním ubytováním. Jde o segmenty, které jsou na dostupnosti svých serverů existenčně závislé; minuty výpadku e-shopu nebo rezervačního systému znamenají přímé finanční ztráty.

Zda mezi oběťmi byly i české společnosti, z dostupných zdrojů nelze potvrdit. Technicky to vyloučit nejde, DDoS nezná hranice a NÚKIB dlouhodobě eviduje podobné útoky i na cíle v Česku. Ve zprávě za rok 2025 tvořily útoky na dostupnost služeb 46 % všech evidovaných incidentů. Konkrétní českou stopu této polské skupiny ale žádný oficiální zdroj nedokládá.

Co hrozí dětem a jak by to vypadalo v Česku

V Polsku nezletilí nespadají pod standardní trestní zákoník. O jejich osudu rozhoduje rodinný soud, který zkoumá věk, vyspělost, motivaci i rodinné poměry. U dětí mezi 13 a 17 lety může soud uložit:

• výchovná opatření a dohled kurátora,
• umístění do výchovného střediska (Młodzieżowy Ośrodek Wychowawczy),
• v krajním případě nápravné zařízení.

U dětí mladších 13 let, a v této skupině byly i dvanáctiletí, klasická trestní odpovědnost nepřipadá v úvahu. Rodinný soud nicméně může nařídit výchovná opatření včetně umístění do výchovného centra.

Pro srovnání: v Česku děti mladší 15 let nejsou trestně odpovědné vůbec, ale soud pro mládež jim může uložit opatření podle zákona o soudnictví ve věcech mládeže, od napomenutí přes dohled probačního úředníka až po zajištění výchovy. Mladistvým ve věku 15 až 18 let se trestní sazby snižují na polovinu a horní hranice zpravidla nesmí přesáhnout pět let.

Pro kontext: dospělému pachateli by v Polsku za výdělečné zpřístupňování DDoS nástrojů hrozilo až pět let vězení. Pokud by k tomu přibylo praní peněz, sazba stoupá až na osm let.

Polsko řeší víc než jeden případ dětských dealerů DDoS

Březnová kauza sedmi nezletilých není ojedinělá. CBZC v červenci 2026 zveřejnilo další, samostatný případ devíti nezletilých ve věku 12 až 16 let, kteří online nabízeli placené DDoS útoky. Jde o jinou skupinu, jiné vyšetřování, ale stejný vzorec. Nízká vstupní bariéra, hotové nástroje, kryptoměny jako platební kanál a věk pachatelů, který by ještě nedávno zněl absurdně.

CBZC se zároveň účastní mezinárodní operace PowerOFF zaměřené na likvidaci placených DDoS služeb. Právě tento model (DDoS jako služba, kterou si kdokoli objedná a zaplatí) je to, co umožňuje proměnit dětskou technickou zvídavost v placenou kyberkriminalitu. Stačí internet, pár set korun v kryptoměně a ochota překročit hranici zákona.

Jak se firmy mohou bránit

NÚKIB ve svém doporučení pro případ DDoS útoku radí firmám několik konkrétních kroků:

• průběžný monitoring provozu a rychlá detekce anomálií,
• připravené kontaktní osoby a předem domluvený postup s poskytovatelem připojení (ISP) a týmem CERT/CSIRT,
• pasivní monitoring přes NetFlow/IPFIX s uchováváním minimálně deset dní,
• filtrování škodlivého provozu, nasazení reverse-path filtrů a podle typu útoku i geoblocking nebo dynamické úpravy pravidel.

Sedm dětí z polského vojvodství ukázalo jednu nepříjemnou pravdu: k tomu, aby někdo vyřadil z provozu e-shop nebo rezervační systém, dnes nepotřebuje diplom z informatiky. Stačí mu dvanáct let a přístup k internetu.

Proč certifikace nezabraly

Když nemocnice nebo dodavatel mává certifikátem ISO 27001, říká tím, že má zavedený systém řízení informační bezpečnosti: procesy, politiky a řízení rizik. HIPAA chrání elektronické zdravotní údaje pomocí administrativních, fyzických a technických opatření. SOC 2 ověřuje kontrolní prostředí kolem bezpečnosti, dostupnosti a důvěrnosti. Všechny tyto rámce mají společného jmenovatele: řeší infrastrukturu, přístupy a procesy. Neřeší ale to, co AI model udělá, když mu někdo podstrčí škodlivý význam uvnitř jinak legitimních dat.

ICIT to formuluje přímo: žádný z těchto rámců nebyl navržen pro ochranu chování modelu za běhu, pro detekci prompt injection ani pro zabezpečení agentních workflow. Certifikace fungují jako základ, bez nich by bylo hůř. Samy o sobě ale nedokážou rozpoznat, že věta v pacientském záznamu není anamnéza, ale instrukce pro AI.

Útok, který vypadá jako normální práce

Klasický ransomwarový útok na nemocnici má jasný otisk: malware, šifrování, laterální pohyb sítí, výpadky systémů a výkupné. Bezpečnostní nástroje ho hledají podle známých vzorců: podezřelý spustitelný soubor, neautorizované přihlášení, anomální provoz. Nic z toho se tady nestalo.

Lékař otevřel pacientský záznam. AI asistent ho zpracoval. Uvnitř záznamu ale čekal text, který model přečetl jako pokyn k akci. Organizace OWASP tento princip popisuje jako nepřímý prompt injection: jazykový model nerozlišuje mezi daty a instrukcemi, takže škodlivý obsah v externím dokumentu může změnit jeho chování, aniž by šlo o tradiční exploit. Tradiční monitorovací nástroje neviděly nic podezřelého, protože workflow bylo legitimní. Lékař dělal svou práci. AI dělal svou práci. Jen ta práce najednou zahrnovala exfiltraci přístupových klíčů k několika cloudovým službám.

A nejde jen o úniky dat. ICIT za ještě zákeřnější následek označuje tichou manipulaci: změnu zdravotnických záznamů, úpravu auditních stop nebo ovlivnění navazujícího klinického rozhodování. Útok, který nikdo nezaregistruje, může trvat týdny.

Agentní AI zvyšuje sázky

Kompromitovaný chatbot, který jen odpovídá na dotazy, je problém. Kompromitovaný agent, který samostatně plánuje, volá API, přistupuje k podnikovým systémům a jedná s minimálním lidským dohledem, je katastrofa. Podle ICIT právě takové agentní systémy představují největší riziko, protože škodlivá instrukce se nepromítne jen do odpovědi, ale rovnou spustí akci. Zavolá API, změní konfiguraci, pošle zprávu nebo přesune data. Vše pod legitimními oprávněními, která agent dostal pro svou běžnou práci.

Studie publikovaná v JAMA Network Open v roce 2025 experimentálně potvrdila zranitelnost komerčních jazykových modelů vůči prompt injection v medicínském kontextu. Nejde tedy o osamělou tezi jedné zprávy, ale o systémový problém, na který upozorňuje i recenzovaný výzkum.

Co to znamená pro české nemocnice

Umělá inteligence už v českém zdravotnictví není budoucnost. Podle národního průzkumu Ministerstva zdravotnictví se AI stává běžnou součástí provozu v radiologii, administrativě i sledování pacientů. Téměř 85 % respondentů průzkumu by uvítalo jednotnou resortní strategii. FN Motol pilotuje hlasového asistenta s AI na spinální jednotce. Národní strategie elektronického zdravotnictví 2025–2035 počítá s rozšířením AI do diagnostiky, monitoringu i administrativy.

Zároveň ale tatáž strategie teprve plánuje „zásady a pravidla pro hodnocení, výběr, nasazení a dohled nad AI nástroji v provozu“. Vyhláška č. 410/2025 Sb. ukládá přiměřená bezpečnostní opatření a pravidelné skenování zranitelností, evropský AI Act požaduje logování, lidský dohled a kybernetickou odolnost u vysoce rizikových systémů. Legislativní rámec existuje. Detailní provozní metodika pro obranu proti prompt injection v nemocniční AI ale zatím zjevně chybí.

Jak se bránit útoku, který nevypadá jako útok

ICIT i OWASP se shodují na základních principech obrany:

• Omezit oprávnění AI na minimum, oddělit čtení od zápisu a od nástrojových akcí.
• Filtrovat externí obsah před tím, než se dostane do promptu; sanitizace pacientských dat není jen o formátu, ale i o významu.
• Monitorovat chování modelu v reálném čase, logovat každé volání nástroje a každý přístup k API.
• Držet člověka ve smyčce před citlivými akcemi; automatická exekuce bez potvrzení je pozvánka ke zneužití.
• Testovat na prompt injection, ne jen na compliance; audit certifikací není bezpečnostní test.

Ministerská příručka pro pacienty na portálu NZIP navíc výslovně varuje před zadáváním citlivých osobních a zdravotních údajů do běžných AI chatbotů. Dobrá rada. Jenže případ popsaný ICIT ukazuje, že problém není jen na straně pacienta, ale i na straně systému, který nedůvěryhodný obsah čte a zároveň má klíče od celé nemocnice.

Čím víc bude AI v nemocnicích napojená na klinické workflow, tím méně bude stačit razítko na certifikátu. Obrana za běhu není luxus. Je to podmínka provozu.

Jak útok probíhá krok za krokem

Vstup do sítě bývá nenápadný. Útočníci zneužívají zranitelné služby vystavené do internetu (VPN brány, firewally nebo vzdálené plochy) nebo rovnou nakupují hotový přístup od takzvaných Initial Access Brokers. Podle Check Point Research, který analyzoval uniklé interní materiály skupiny, The Gentlemen pracují i s ukradenými přihlašovacími údaji z tržišť s daty získanými pomocí infostealer malwaru.

Jakmile jsou uvnitř, nastává průzkum. Používají nástroje jako SharpADWS, NetScan, Advanced IP Scanner nebo příkaz netsh trace k mapování sítě a hledání doménových administrátorů. Den před nasazením ransomwaru instalují Go backdoor maskovaný jako systémový proces sihost.exe. Ten sbírá informace o počítači (hostname, doménu nebo IP adresy) a navazuje šifrované spojení se serverem útočníků. Umí spouštět příkazy, otevřít proxy tunel a připravit půdu pro šifrování.

Pak přijde laterální šíření. A tady je jádro problému.

Jedna obranná vrstva nestačí

Microsoft Threat Intelligence ve své nezávislé analýze z května 2026 popsal, že The Gentlemen zkoušejí na každý cílový počítač v síti až 21 různých způsobů vzdáleného spuštění. Používají skupinové politiky Active Directory, PsExec, WMI, PowerShell Remoting i plánované úlohy ve Windows, a to paralelně. Když jedna cesta selže, zkusí další.

Stále aktivně rozbíjejí obranu:

• BYOVD (Bring Your Own Vulnerable Driver): nasadí legitimní, ale zranitelný ovladač, který jim získá přístup na úrovni jádra systému a umožní vypnout bezpečnostní procesy.
• Vypnutí Windows Defenderu: přes PowerShell a úpravy registrů deaktivují vestavěnou ochranu.
• Mazání záloh: odstraňují stínové kopie a čistí systémové logy, aby znemožnili obnovu i forenzní analýzu.
• Pokus o odstranění Kaspersky: nástroj kavrmvr.exe se pokouší odinstalovat bezpečnostní řešení přímo z koncového zařízení.

Skutečný problém tedy není „slabý antivirus“. Problémem je útok vedený systematicky proti obraně samotné, vrstvu po vrstvě a kanál po kanálu.

Jak nebezpečná skupina ve skutečnosti je

The Gentlemen patří mezi nejrychleji rostoucí ransomwarové operace současnosti. Kaspersky ji řadí mezi deset skupin s nejvyšším počtem oznámených obětí v první polovině roku 2026. Check Point ji na základě veřejných únikových stránek popisuje jako druhou nejaktivnější operaci RaaS v prvních pěti měsících roku. Affiliate model nabízí partnerům 90 % z výkupného, což je mimořádně vysoký podíl, který přitahuje zkušené operátory z jiných skupin.

Skupina navíc průběžně vyvíjí nové nástroje. Vedle zavedeného ransomwaru napsaného v jazyce Go testuje novou variantu v jazyce C, která byla zatím nasazena jen u omezeného počtu obětí. Kaspersky ji popisuje jako vývojovou verzi; útočníci ji zjevně testují v reálném prostředí, protože živé podnikové sítě jim poskytují zpětnou vazbu, kterou laboratorní prostředí nedokáže plně simulovat.

Český kontext: riziko není teoretické

Veřejně potvrzený útok skupiny The Gentlemen v České republice se zatím nepodařilo dohledat. Microsoft ale hovoří o útocích v Evropě obecně a skupina necílí podle národnosti, nýbrž podle zranitelnosti infrastruktury.

Domácí data přitom ukazují, že ransomware v Česku zůstává významnou hrozbou. Podle zprávy NÚKIB o stavu kybernetické bezpečnosti za rok 2024 ransomwarové útoky v posledním čtvrtletí výrazně vzrostly. Měsíční přehled incidentů za červen 2026 pak ukazuje útoky zejména ve zdravotnictví, veřejné správě a vzdělávání, tedy v sektorech, na které The Gentlemen běžně cílí.

Co s tím mohou firmy dělat

Kaspersky i Microsoft se shodují na jednom: vrstvená obrana je jedinou funkční odpovědí. Konkrétně to znamená:

• Patchovat všechny služby vystavené do internetu (VPN, firewally, vzdálené plochy).
• Nasadit vícefaktorové ověřování všude, kde je to možné.
• Používat EDR/XDR řešení s ochranou proti neoprávněné manipulaci.
• Monitorovat laterální pohyb v síti a exfiltraci dat.
• Mít offline nebo neměnné zálohy, které útočník nemůže smazat.
• Aktivně hledat známé indikátory kompromitace: přítomnost souboru sihost.exe, spojení na IP adresu 81.177.215.15, plánované úlohy s názvy jako DefUn nebo gentlemen_system a pokusy o nasazení zranitelných ovladačů.

Kdo spoléhá na to, že antivirus sám zastaví profesionální ransomwarovou operaci, spoléhá na zámek u dveří v domě, kde útočník už stojí uvnitř a metodicky vypíná alarm, kamery i pojistky. The Gentlemen právě ukazují, proč to nestačí.

Proč to není klasický virus a přesto je to nebezpečné

Slovo „virus“ v nadpisu je záměrné zjednodušení, ve skutečnosti nejde o malware v tradičním smyslu. Klasický ransomware potřebuje doručit a spustit škodlivý soubor: například APK na Androidu nebo EXE na Windows. Tady nic takového neexistuje. Celý útok se odehrává uvnitř otevřené aplikace a využívá legitimní rozhraní zvané File System Access API, které Chrome na Androidu zpřístupnil od verze 132 v lednu 2025.

Toto API existuje z dobrých důvodů. Webové editory obrázků, vývojářská prostředí nebo video nástroje díky němu mohou pracovat přímo se soubory, aniž by uživatel musel cokoli instalovat. Jenže stejné oprávnění, tedy přístup k souborům a možnost jejich úprav, dokáže zneužít i škodlivá stránka. A právě to Check Point předvedl.

Jak útok vypadá v praxi

Výzkumníci popsali konkrétní scénář, který působí naprosto nevinně. V analyzovaném vzorku šlo o stránku maskovanou jako „Discord avatar AI upscaler“, tedy službu na zvětšení a vylepšení profilového obrázku pomocí umělé inteligence. Tok vypadal takto:

• Uživatel nahraje fotku, kterou chce „vylepšit“.
• Web požádá o přístup ke složce, kam má uložit výsledek.
• Uživatel vybere složku, například přímo DCIM nebo Pictures.
• Prohlížeč zobrazí systémový dialog se žádostí o oprávnění ke čtení a zápisu.
• Po potvrzení má web přístup ke všem souborům v dané složce.

Od tohoto momentu může stránka fotky zašifrovat, odeslat na vzdálený server nebo obojí. Uživatel vidí pouze hlášku typu „zpracovávám vaši fotku“, zatímco mezitím může přicházet o celou knihovnu. Check Point ověřil funkčnost útoku na Chrome 132 i v aktuální verzi Chrome 148 z května 2026.

Důležité upřesnění: samotné otevření webu nestačí. Bez toho, aby uživatel potvrdil přístup ke složce, útok neproběhne. Problém je v tom, že v kontextu „AI nástroje na úpravu fotek“ takové povolení působí naprosto logicky. Lidé obvykle nevnímají otevření webové stránky jako spuštění malwaru.

Pro Android ano, pro iPhone ne

Check Point uvádí, že na iOS tento konkrétní scénář nefunguje. Safari nevystavuje webům stejné rozhraní pro přímý přístup k souborovému systému. Přístup k fotkám na iPhonu řídí systémový sandbox a oprávnění ke knihovně fotografií, nikoli prohlížečové API umožňující práci s libovolnou složkou.

Na Androidu je situace jiná. Složka DCIM může být vybrána přes systémový souborový dialog a Chrome po udělení oprávnění umožní webu se soubory pracovat. Navíc, a to je detail, který Check Point zdůrazňuje, fotoknihovna často obsahuje víc než jen fotografie z dovolené. Mohou v ní být občanské průkazy, snímky obrazovky bankovních aplikací, záložní kódy nebo lékařské dokumenty. Ztráta přístupu k DCIM tak může znamenat mnohem víc než ztrátu vzpomínek.

Firefox a Safari na Androidu stejné rozhraní File System Access webům neposkytují, takže se jich tento konkrétní vektor útoku netýká.

Roli sehrála i umělá inteligence

Zajímavá je cesta, kterou Check Point k útoku dospěl. Výzkumníci analyzovali téměř 3 000 souborů připisovaných modelu DeepSeek a 1 383 z nich označili jako škodlivé nebo potenciálně nebezpečné. V jednom z nich našli nehotový základ právě browserového ransomwaru využívajícího File System Access API.

Následně testovali, zda dokáže DeepSeek V4 po mírně upravených dotazech vygenerovat funkční kód. Výsledek: při přímé žádosti o „ransomware“ model obvykle odmítal. Stačilo ale odstranit explicitní označení škodlivého účelu a popsat funkcionalitu neutrálně, a model dokázal dodat HTML a JavaScript s využitím File System Access API, v jednom případě až do podoby funkčního důkazu. ChatGPT a Claude ve stejném testu buď odmítly, nebo vrátily omezenější varianty bez schopnosti zapisovat do složek. Nejde o obecný verdikt o kvalitě jednotlivých modelů, ale o výsledek konkrétního testu.

Jak se bránit a co dělat, pokud jste už oprávnění udělili

Aktualizace Chrome sama o sobě nestačí. API je záměrná funkce, nikoli chyba, kterou by šlo jednoduše opravit jedním patchem. Samotná specifikace File System Access obsahuje sekci věnovanou ransomwarovým útokům; riziko bylo známé už od akademického článku RøB prezentovaného na konferenci USENIX v roce 2023. Letošní posun spočívá v tom, že Check Point převedl teoretický problém do praktického mobilního scénáře.

Co můžete udělat:

• Nepovolujte neznámým webům přístup k hlavní složce s fotografiemi. Pokud služba na úpravu jednoho obrázku chce přístup k celé DCIM, je to varovný signál.
• Pro experimentální webové nástroje používejte po dokončení práce prázdnou složku.
• Zálohujte fotky do cloudu, na externí disk nebo kamkoli mimo telefon.
• Dávejte přednost zavedeným aplikacím před neznámými weby slibujícími AI zázraky.
• Pokud jste již podezřelému webu oprávnění udělili: zavřete všechny jeho panely (po ukončení relace Chrome oprávnění automaticky odebere), poté v nastavení webu resetujte oprávnění a vymažte cookies i data stránek.

Check Point k datu publikace nenašel důkaz, že by se tato technika již rozšířila jako běžný útok v praxi. Veřejně doložené české případy jsme nedohledali. Funkční důkaz ale existuje, API je dostupné a lokalizace podvodných stránek do češtiny by útočníka stála jen minimum času. Příště, až vám web nabídne „AI vylepšení fotky“ a požádá o přístup ke složce, vězte, že neklikáte na technickou formalitu, ale na bezpečnostní rozhodnutí.

Deset z osmnácti chyb má společného jmenovatele

Z 18 opravených zranitelností je hned deset typu use-after-free. Jde o chybu v práci s pamětí, kdy program pokračuje v používání místa, které už uvolnil. Podle klasifikace MITRE CWE-416 taková chyba typicky vede k pádu aplikace, poškození paměti a v prohlížečích se z ní pravidelně stává odrazový můstek pro spuštění cizího kódu. Zbylých osm oprav pokrývá problémy typu out-of-bounds read, neinicializovaná paměť nebo nedostatečná validace vstupů, většinou s hodnocením „high“.

Zasažené komponenty čtou jako inventář toho, co Chrome dělá při běžném surfování: WebGL (3D grafika), Blink (renderovací jádro), Autofill (automatické vyplňování formulářů), Bluetooth, DevTools, správu hesel, Web Authentication nebo FileSystem. Útočný vstup přitom není žádná exotická funkce, ale běžný webový obsah, na který kliknete v e-mailu, na sociální síti nebo ve vyhledávači.

Jak zkontrolovat verzi a aktualizovat

Postup je stejný na Windows, macOS i Linuxu:

• Klikněte na tři tečky vpravo nahoře v Chrome.
• Zvolte Nápověda → O aplikaci Google Chrome.
• Chrome automaticky zkontroluje dostupné aktualizace.
• Pokud je nová verze k dispozici, zobrazí se tlačítko Znovu spustit (Relaunch).

Dokud prohlížeč nerestartujete, záplata se neaplikuje. Na Linuxu se aktualizace řeší přes správce balíčků. Google v oficiální nápovědě upozorňuje, že na Windows pomůže zavřít všechna okna Chrome a prohlížeč znovu spustit.

Důležitá poznámka k časování: 7. července 2026 Google posunul stabilní desktopovou větev na Chrome 150.0.7871.100/.101. Pokud tedy dnes vidíte v prohlížeči verzi 150 nebo vyšší, červnové záplaty už máte. Pokud ale z jakéhokoli důvodu používáte starší verzi než 149.0.7827.196, jste zranitelní.

Jak jsou na tom telefony a co dělat po aktualizaci

Dva kritické problémy ve WebGL (CVE-2026-13028 a CVE-2026-13032) NVD explicitně popisuje jako chyby v Chrome pro Android ve verzích starších než 149.0.7827.197. Google 25. června vydal pro Android build 149.0.7827.200, který je opravuje; aktualizace je dostupná přes Google Play. Chrome na iPhonu má samostatný vývojový cyklus a tento konkrétní bezpečnostní bulletin se ho podle dostupných informací netýká.

Po aktualizaci stojí za to udělat ještě pár kroků navíc:

• Spusťte Safety Check (Nastavení → Soukromí a zabezpečení → Kontrola zabezpečení), který odhalí kompromitovaná hesla, škodlivá rozšíření i chybějící aktualizace.
• Zkontrolujte, že máte zapnutý Safe Browsing, ideálně v rozšířeném režimu.
• Projděte si nainstalovaná rozšíření a odstraňte ta, která nepoznáváte nebo nepoužíváte.
• Zapněte možnost „Vždy používat zabezpečené připojení“ (režim pouze HTTPS).

Pokud pozorujete nečekané změny nastavení, přesměrování vyhledávání nebo podezřelé stahování, Google doporučuje resetovat nastavení prohlížeče.

Osmnáct oprav není málo, ale ani to není výjimka

Samotný počet 18 záplat v bodové aktualizaci nevypadá dramaticky. Pro srovnání: když Google 2. června 2026 povýšil Chrome 149 do stabilní větve, součet činil 429 bezpečnostních oprav. V květnu šly do stabilní větve dva velké balíky – 126 oprav u Chrome 148 a o tři týdny později dalších 151. Jenže 429 je součet celé nové hlavní verze, ne korekční aktualizace. Pozdější záplata s 18 opravami je sice menší počtem, ale čtyři kritické CVE ukazují, že závažnost se neměří kvantitou.

Nejde ani o specifikum Chromu. Mozilla 16. června 2026 ve Firefoxu 152 opravovala chyby paměťové bezpečnosti a problémy s únikem ze sandboxu a sama přiznala, že část z nich nesla známky poškození paměti, které „při dostatečném úsilí mohlo vést ke spuštění libovolného kódu“.

Jestli máte Chrome na desktopu nebo Androidu, ověřte si verzi a restartujte prohlížeč. Je to práce na třicet sekund, která zavře dveře čtyřem kritickým zranitelnostem najednou.

Pět let ve stínu

Skupina Volt Typhoon podle společného poradenství CISA, NSA a FBI nepoužívala klasický malware, který by spustil alarm. Pracovala s takzvanými technikami LOTL (living off the land), tedy s nástroji, které v napadených sítích již legitimně existují. Administrátorské účty, běžné systémové příkazy, standardní vzdálený přístup přes VPN. Nic, co by vypadalo podezřele.

Konkrétní kroky „číhání“ vypadaly takto:

• Průzkum prostředí – mapování celé sítě, zjišťování, kde končí kancelářské IT a kde začínají průmyslové řídicí systémy (OT).
• Krádež a obnovování přístupů – získávání administrátorských hesel, aby přístup přežil i opakované změny přihlašovacích údajů.
• Laterální pohyb – pomalý, nenápadný přesun z jednoho systému do druhého směrem k technologiím řídícím fyzický provoz.
• Mazání stop – cílené odstraňování logů a práce v běžných pracovních hodinách, aby aktivita splývala s normálním provozem.

V jednom potvrzeném případě se útočníci dostali až do řídicího systému a byli připraveni postoupit dále. Advisory uvádí, že toto chování není součástí tradiční kyberšpionáže. Cílem nebyl odposlech ani krádež dat, ale schopnost narušit fyzické funkce infrastruktury.

Bez vody do dvou hodin kolabuje nemocnice

Proč je přístup do vodáren nebo elektráren cennější než databáze s miliony záznamů? Protože výpadek základní služby má okamžitý, kaskádový dopad na život lidí.

Americká agentura CISA v listopadu 2023 potvrdila aktivní cílení na průmyslové řídicí jednotky (PLC) ve vodárenském sektoru. Konkrétní americká municipalita musela přejít na manuální provoz, tedy na ruční ovládání čerpadel a ventilů. Podle průvodce CDC pro nemocnice při výpadku dodávky vody může být provoz zdravotnického zařízení téměř zcela omezen už během několika hodin. Pak nejde sterilizovat nástroje, splachovat, chladit přístroje ani zajistit základní hygienu.

Ministerstvo zdravotnictví USA (HHS) ve svém svědectví před Kongresem popsalo, co kyberútok na nemocnici reálně znamená: odklony sanitek do vzdálenějších zařízení, rušení operací a regionální přetížení okolních nemocnic. Nejdražší ztrátou už nemusí být uniklá databáze, ale hodiny a dny, kdy nefunguje služba, kterou lidé považují za samozřejmou.

Na konferenci Critical Effect DC 2025, konané v červnu ve Washingtonu, organizátoři tuto provázanost pojmenovali přímo v názvu jednoho z panelů: „No Water, No Hospitals.“ Voda a zdravotní péče nejsou dva oddělené problémy. Jsou jeden.

Česko není mimo hru

Stejný typ hrozby se týká i české infrastruktury. NÚKIB, český ekvivalent americké CISA, už v dubnu 2020 vydal varování před rozsáhlou vlnou kyberútoků cílících zejména na zdravotnická zařízení v Česku. Šlo tehdy o období pandemie, kdy byly nemocnice pod maximálním tlakem a jakýkoli výpadek mohl mít fatální následky.

V energetice NÚKIB veřejně popsal riziko spojené s chytrými elektroměry od dodavatelů z nedůvěryhodného právního prostředí. V krajním scénáři, tedy při koordinované manipulaci s velkým počtem měřidel, pracuje regulátor s možností dominového efektu až k blackoutu na úrovni přenosové soustavy. Nejde o poplašnou zprávu, ale o oficiální regulační analýzu, která ukazuje, že český stát s kyber-fyzickými dopady v energetice počítá.

Prostřednictvím GovCERT.CZ nabízí NÚKIB koordinaci incidentů, konzultace k zabezpečení průmyslových řídicích systémů, segmentaci sítí a správě přístupů. Nástroje existují. Otázka je, kolik provozovatelů kritické infrastruktury je skutečně využívá.

Proč je tak těžké vetřelce najít

Klasický ransomware je hlučný: zašifruje data, zobrazí výkupné, provoz se zastaví. Popisovaný typ průniku je jeho pravý opak. Útočník nechce být vidět. Používá legitimní účty, nepouští vlastní software a pracuje pomalu. Proto může v síti přežít roky.

Britské Národní centrum kybernetické bezpečnosti (NCSC) navíc ve své analýze z ledna 2024 upozornilo, že umělá inteligence bariéry pro útočníky dále snižuje. AI pomáhá hlavně v průzkumu: rychlejší vyhledání zranitelných systémů, přesvědčivější phishingové e-maily a efektivnější práce s odcizenými přihlašovacími údaji. Podle hodnocení NCSC AI téměř jistě zvýší objem i dopad kyberútoků a zpřístupní sofistikované techniky i méně zkušeným aktérům.

Co mohou provozovatelé infrastruktury udělat hned:

• Aktualizovat všechny systémy vystavené do internetu, firewally, VPN brány a routery.
• Zavést vícefaktorové ověřování odolné proti phishingu.
• Centralizovat logování a skutečně logy vyhodnocovat.
• Striktně oddělit kancelářskou síť od průmyslových řídicích systémů.
• Naplánovat výměnu technologií, které už výrobce nepodporuje.
• Připravit záložní režim pro případ, že automatizace selže.

Nejsou to exotická opatření. Jsou to základy, které ale v praxi řada provozovatelů stále nemá.

Nejde jen o IT, jde o bezpečnost lidí

Debata o kybernetických útocích na infrastrukturu se postupně přesouvá z technických konferencí do roviny veřejné bezpečnosti, profesní odpovědnosti a pojistitelnosti. Připravovaný Cyber Safety Summit ve Washingtonu staví problém jako otázku standardu péče, tedy toho, jakou úroveň kybernetické ochrany by měl provozovatel vodárny nebo nemocnice garantovat, aby nesl odpovědnost za následky.

To je zásadní posun. Když se kyberútok na vodárnu přestane vnímat jako „problém IT oddělení“ a začne se posuzovat stejně jako porušení stavebních norem nebo hygienických předpisů, změní se motivace i rozpočty.

Voda teče, světlo svítí, sanitka přijede. Tři věci, nad kterými se nikdo nepozastavuje, dokud nepřestanou fungovat. Někdo uvnitř těch systémů už možná sedí a čeká. A právě to, že ho nevidíme, je celý smysl jeho přítomnosti.

Jak přesně nahlášení funguje a co dělat krok za krokem

Postup se mírně liší podle operátora, ale základ je stejný: podezřelou SMS přepošlete na 7726 v původním znění. Vodafone navíc žádá, abyste v další zprávě doplnili číslo odesílatele. U podvodného hovoru chce Vodafone číslo volajícího a čas hovoru, O2 zase uvádí formát „PODVOD + podvodné číslo“. Jednotný veřejně vypsaný formát pro všechny operátory zatím neexistuje, ale prakticky stačí poslat SMS s informací obsahující podvodné číslo, datum a čas; operátor si z toho vytáhne, co potřebuje.

Služba není žádná novinka. T-Mobile eviduje hlášení na 7726 už od roku 2022, O2 spustilo vlastní antismishingové číslo 720 002 002 v květnu 2023 a Vodafone centralizovanou službu na 7726 oznámil v říjnu téhož roku. Dnes je 7726 jednotné číslo pro všechny tři velké operátory.

Proč jednat hned: podvodníci mění čísla, ale každá minuta se počítá

Podvodné kampaně běží ve vlnách. Útočníci rozešlou tisíce zpráv během několika hodin, pak změní číslo, doménu a jedou znovu. Podle monitorovací zprávy ČTÚ operátoři blokují jednotky milionů podvodných SMS měsíčně a Asociace provozovatelů mobilních sítí uvádí průměrně 3 miliony zachycených pokusů o podvržený hovor každý měsíc, zhruba 100 tisíc denně. I přes tato čísla ale podvodníci stále proklouzávají, protože přecházejí na anonymní předplacené karty a komunikační aplikace.

Právě proto má vaše hlášení smysl. Operátor díky němu získá konkrétní vzorek právě běžící kampaně: text zprávy, odkaz, číslo odesílatele a načasování. To jsou přesně ta data, která umožní zablokovat zdroj ještě během aktivního rozesílání. Od 1. července 2025 navíc novela zákona o elektronických komunikacích umožňuje operátorům a bankám sdílet provozní data za účelem identifikace podezřelé komunikace. Reakce jsou dnes koordinovanější než kdykoli předtím.

Naletět může každý, a útočníci to vědí

Představa, že podvodné SMS ohrožují jen „neopatrné“ uživatele, je mylná. O2 na svých stránkách výslovně uvádí, že naletět může každý. Útočníci kombinují SMS s následným telefonátem: zpráva vytvoří kontext, hovor přidá autoritu a tlak. NÚKIB popisuje scénáře, kdy oběť dostane postupně několik hovorů z údajně různých institucí, které ji tlačí k převodu peněz na „bezpečný účet“. Klíčovou roli hraje stres, rychlé rozhodování a důvěra v autority.

Jak poznat podvodnou zprávu:

• Nevyžádané téma: výhra, nedoručený balík, blokace služby
• Neznámý odesílatel nebo podezřelá doména v odkazu
• Požadavek na osobní, karetní nebo přihlašovací údaje
• Překlepy a nátlak na okamžitou reakci

Pokud vám zpráva přijde podezřelá, přepošlete ji na 7726. Nic víc v tu chvíli dělat nemusíte.

Co dělat, když už jste klikli nebo poslali peníze

Linka 7726 řeší technickou stránku, tedy blokaci čísel a falešných webů. Pokud jste ale už klikli na odkaz, zadali přihlašovací údaje nebo odeslali peníze, je potřeba jednat jinak a rychle:

• Ihned kontaktujte banku: zablokování karty nebo účtu může zabránit dalším transakcím
• Nic dalšího nepotvrzujte a nepokračujte v komunikaci s útočníkem
• Podejte oznámení na Policii ČR: ta řeší trestněprávní stránku věci

Česká bankovní asociace uvádí přes 68 tisíc podvodů od začátku roku do konce září a Ministerstvo vnitra za rok 2025 hlásí meziroční růst kybernetických deliktů o 14,3 %. Nejde přitom jen o SMS; čísla zahrnují širší spektrum kyberpodvodů, ale trend je jednoznačný.

Jedna SMS nevyřeší všechno, ale může zastavit další vlnu

Přeposlaná zpráva na 7726 sama o sobě celý ekosystém podvodů nerozloží. Podvodníci budou dál měnit čísla, registrovat nové domény a zkoušet nové scénáře. Ale v momentě, kdy kampaň běží a zasahuje tisíce lidí, může právě váš vzorek dodat operátorovi chybějící dílek, díky kterému zablokuje zdroj o hodiny dřív. A ty hodiny znamenají tisíce zpráv, které už nikdo nedostane. Číslo 7726 si uložte do kontaktů. Až vám příště přijde zpráva o nedoručeném balíku, který jste si neobjednali, víte, kam ji přeposlat.

Ochranný štít se stal vstupní branou

Jádro problému je paradoxní. Zranitelnost nesídlila v nějaké okrajové knihovně nebo zapomenuté funkci, ale přímo v subsystému FIVE/PROCA, tedy v proprietární bezpečnostní vrstvě, kterou Samsung přidal do jádra jako součást platformy KNOX. Právě ta měla ověřovat integritu aplikací a chránit uživatele.

Technicky šlo o chybu typu use-after-free. Handlery v souborovém systému /proc/pid/integrity/ pracovaly s ukazatelem na objekt task_integrity, aniž by správně udržovaly jeho reference. Při spuštění nového procesu pomocí execve() se starý objekt uvolnil z paměti, ale čtecí vlákno k němu stále mohlo přistupovat. Výsledkem bylo poškození paměti jádra, které mohlo vést k převzetí oprávnění.

A jak je možné, že chyba zůstala skrytá tak dlouho? Šlo o race condition, tedy závod mezi dvěma operacemi s extrémně úzkým časovým oknem. Její reprodukce vyžadovala specifické podmínky a hlubokou znalost interního kódu, který Samsung veřejně nedokumentuje. Běžné automatizované testování takovou chybu zpravidla neodhalí.

Koho se to týkalo a jak moc

LucidBit Labs ve svém rozboru uvádí otestované modely Galaxy S21, S22, S24 a A54, přičemž rozsah zasažení popisuje jako „naprostou většinu zařízení Samsung“ od Galaxy S9 po Galaxy S25. Samsung v lednovém bulletinu neuvádí kompletní seznam konkrétních modelů, pouze specifikuje zasažené verze Androidu 13, 14, 15 a 16.

Co to znamená prakticky:

• Zasažené generace: Galaxy S9 (2018) až Galaxy S25 (2025), včetně řady A
• Čipsety: Exynos i Qualcomm bez rozdílu
• Veřejně otestované modely: S21, S22, S24, A54
• Podmínka útoku: lokální přístup prostřednictvím nainstalované aplikace, bez další interakce uživatele
• Doložené zneužití v praxi: žádné

Národní databáze chyb NVD ohodnotila CVE-2026-20971 skóre CVSS 7,8 z 10, s vysokým dopadem na důvěrnost, integritu i dostupnost. Útočník nepotřeboval fyzický přístup k telefonu, stačila škodlivá aplikace s běžnými oprávněními. Žádné další klikání ani potvrzování. Jakmile aplikace běžela, mohla pokus o zneužití spustit sama.

Jak vážná chyba to byla ve srovnání s jinými

Samsung řeší bezpečnostní zranitelnosti pravidelně, ale ne všechny mají stejnou závažnost. Pro srovnání: v září 2025 firma opravila kritickou chybu CVE-2025-21043 v knihovně pro zpracování obrázků, u níž potvrdila aktivní zneužívání. Šlo o vzdáleně zneužitelnou chybu, kdy stačilo otevřít upravený soubor.

CVE-2026-20971 představuje jiný typ hrozby. Vyžaduje lokálně spuštěnou aplikaci, a proto je klasifikována jako High, nikoli Critical. Její dopad je ale mimořádný, protože zasahuje přímo do jádra systému, kde přestávají platit běžné bezpečnostní mechanismy. Rozsah potenciálně zasažených zařízení je navíc velmi široký.

Za zmínku stojí i to, že ve stejném lednovém bulletinu Samsung opravil další chybu typu use-after-free od stejného výzkumníka, CVE-2026-20968 v komponentě DualDAR. Leden 2026 tak nebyl jen o jedné izolované zranitelnosti, ale poukázal na širší problémy v některých bezpečnostních vrstvách platformy KNOX.

Co dělat, pokud máte Samsung

Klíčová otázka pro uživatele v Česku zní: máte nainstalovaný lednový bezpečnostní balíček z roku 2026? Ověřit to lze snadno:

• Otevřete Nastavení → O telefonu → Informace o softwaru
• Najděte položku „Verze bezpečnostního softwaru“, která by měla obsahovat SMR Jan-2026 Release 1 nebo novější
• Pokud ji nemáte, otevřete Nastavení → Aktualizace softwaru → Stáhnout a nainstalovat

Háček spočívá v distribuci aktualizací. Samsung uvádí, že rychlost doručení záplat se liší podle modelu, regionu i operátora. Starší telefony, které už nejsou v aktivní podpoře – což se může týkat například některých modelů z éry Galaxy S9 nebo S10 – už tuto opravu nemusí nikdy dostat. V takovém případě je nejdůležitější obranou neinstalovat aplikace z nedůvěryhodných zdrojů.

Celý případ LucidBit Labs připomíná jednu důležitou věc: ochranné mechanismy přidané do jádra systému nejsou automaticky jen výhodou. Zároveň představují novou potenciální útočnou plochu. Když selže bezpečnostní vrstva, která má systém chránit, mohou být následky závažnější, než kdyby vůbec neexistovala.

Město, které nikdo neviděl

Kinetic Cyber Range zabírá vnitřní prostor o rozloze zhruba 2 040 metrů čtverečních. Není to filmová kulisa. Každá budova uvnitř je „zadrátovaná“ živými systémy (sítěmi, servery a koncovými zařízeními), které se chovají jako v reálném provozu. Podle oficiálního popisu FBI komplex obsahuje:

• plně zařízené obytné domy s chytrými domácími zařízeními (IoT),
• hotel a soudní budovu jako součást městské topologie,
• nemocnici s funkční síťovou infrastrukturou,
• čerpací stanici s marketem,
• obchodní centrum a „arkádu“,
• datové centrum s více než 200 servery,
• vozidla určená k forenzní analýze,
• učebny pro rozbor a teorii.

Hotel a soud přitom nejsou pouhá dekorace. Rozšiřují spektrum prostředí, do kterých vyšetřovatel při reálném zásahu vstupuje – od hotelového pokoje, kde může ležet notebook podezřelého, po soudní síň, kde se řeší procesní stránka zajištění důkazů. FBI konkrétní scénáře pro tyto dvě budovy veřejně nerozepsala, ale z popisu výcviku je zřejmé, že jde o nácvik celého postupu: vstup do budovy, rozhodnutí co zabavit, komunikace se správci sítí, managementem i právníky.

Dvě stě serverů a ransomware v nemocnici

Srdcem komplexu je datové centrum. Nejde o atrapu serverové skříně; uvnitř běží přes 200 serverů s Windows i Linuxem, s Active Directory, e-mailovými systémy i firewally. Studenti se v něm pohybují fyzicky, jako by vstoupili do serverovny napadené firmy.

Veřejně potvrzené výcvikové scénáře odpovídají hrozbám, které FBI dlouhodobě označuje za prioritní: ransomware paralyzující nemocniční síť, průnik do podnikové infrastruktury, trasování šíření malwaru, analýza dat z řídicích jednotek vozidel, práce s drony a zkoumání kompromitovaných IoT zařízení v domácnosti. Programová manažerka Stephanie Cassioppi uvedla, že scénáře vycházejí z reálných případů.

Slovo „kinetický“ v názvu přitom neodkazuje na střelbu. Označuje propojení kyberprostoru s fyzickým světem – moment, kdy digitální útok má hmatatelné důsledky: nemocnice přestane fungovat, čerpací stanice se zastaví, data z auta prozradí pohyb podezřelého. Jak upozorňuje publikace NIST o kyberneticko-fyzických systémech, dopady útoku na reálný provoz se v čistě softwarové simulaci zachycují výrazně hůře než na testbedu s fyzickým hardwarem.

Proč nestačí učebna a proč FBI čekala s odhalením

Dřívější model kybernetického výcviku FBI stál převážně na teorii v učebně. Agenti se učili síťovou forenziku na obrazovce, ale nikdy fyzicky nevstoupili do napadené nemocnice, neotevřeli serverovou skříň pod stresem ani nemuseli vysvětlovat řediteli firmy, proč je nutné odpojit síť. Kinetic Cyber Range tuhle mezeru zavírá. Dave Beachboard z FBI ve videu k projektu tvrdí, že „na světě neexistuje srovnatelné zařízení“.

To je silné tvrzení a zaslouží si kontext. Kybernetické polygony a výcviková prostředí existují i jinde. Česká republika provozuje cvičení Cyber Czech na kybernetickém polygonu v Brně, kde se střetávají modré a červené týmy nad simulovanou infrastrukturou. Masarykova univerzita vyvinula platformu KYPO, cloudový kybernetický polygon postavený na virtualizaci a digitálních dvojčatech. V Estonsku funguje Cyber Range 14, kde trénují obránci kritické infrastruktury z několika zemí NATO. Agentura ENISA organizuje panevropské cvičení Cyber Europe, naposledy zaměřené na energetický sektor.

Rozdíl je v přístupu. Evropské a české modely excelují v síťové a infrastrukturní komplexitě, dokážou škálovat tisíce virtuálních uzlů. Ale žádný z nich nestaví operátora doprostřed fyzického města, kde musí zároveň řešit techniku, řetězec důkazní kontinuity, lidskou komunikaci i procesní rozhodnutí pod jednou střechou. Unikátnost Kinetic Cyber Range nespočívá v tom, že by jinde neexistovaly kybernetické polygony, ale v propojení kybervýcviku s policejní prací v terénu.

A proč tak dlouho mlčela? Úplné utajení to nebylo; plán existoval veřejně od roku 2021 a audit finančních výkazů FBI za fiskální rok 2024 zařízení zmiňuje. Provozní detaily, skladbu objektů i konkrétní scénáře ale FBI zveřejnila až poté, co komplex rok a čtvrt běžel a prošlo jím přes 1 400 lidí. Logika je čitelná: nejdřív ověřit funkčnost, pak ukázat výsledek.

Co to znamená pro Česko a Evropu

Přímá účast českých nebo evropských partnerů ve výcviku v Huntsville veřejně doložená není. FBI zatím jako uživatele zmiňuje NASA, americkou armádu a lokální policejní složky. Širší mezinárodní spolupráce ale funguje; společné doporučení z prosince 2025 k útokům proruských hacktivistů na kritickou infrastrukturu spolupodepsaly FBI, CISA, NSA, Europol a na české straně NÚKIB, Vojenské zpravodajství i Národní centrum pro terorismus a kybernetické hrozby.

Trend je ale jasný i bez přímého propojení. Audit FBI naznačuje, že huntsvillský areál není konečná stanice: na South Campus se plánují takzvané Practical Problem Venues, čtyři zóny s přibližně čtyřiceti strukturami pro realistický, ale kontrolovaný trénink s výhledem zhruba do roku 2030. V Evropě se mezitím rozvíjejí velká cvičení nad kritickou infrastrukturou a estonský CR14 posiluje kapacity. Kopírovat halové město FBI pravděpodobně nikdo nebude. Ale posun od učebny k prostředí, kde kyberútok má fyzické dopady, je směr, kterým se vydává celý obor.

Hřiště, kde se chyby odpouští

Označení „hřiště pro hackerské útoky“ zní provokativně, ale vystihuje podstatu. Uvnitř Kinetic Cyber Range nikdo neohrožuje skutečnou infrastrukturu. Útočníkem jsou předpřipravené scénáře a instruktoři, obráncem studenti: agenti, analytici i forenzní specialisté. Smyslem je udělat chybu tady, ne v nemocnici, která právě přestala vydávat léky. FBI tím otevřeně přiznává, že učebnová teorie na dnešní hrozby nestačí. A poprvé ukazuje, jak daleko je ochotná zajít, aby to změnila.

Dvě stě serverů, ransomware v nemocnici, řídicí jednotka vytažená z auta a právník čekající za dveřmi. Tohle není simulátor. Je to nejbližší věc realitě, kterou lze postavit pod střechu.

Co je LiteLLM a proč na něm záleží

LiteLLM je open-source gateway, který vývojářům umožňuje jednotným rozhraním volat desítky poskytovatelů velkých jazykových modelů, od OpenAI přes Anthropic po Azure a AWS Bedrock. Projekt má na GitHubu přes 40 000 hvězdiček, stojí za ním Y Combinator a používají ho AI agentové frameworky, MCP servery i podnikové orchestrační nástroje. Právě ta šíře adopce z něj udělala atraktivní cíl. Útočník nemusel kompromitovat tisíc projektů zvlášť; stačilo otrávit jednu závislost, kterou si ty projekty samy stáhnou.

Dvě verze, dva různé spouštěče

Kompromitované verze 1.82.7 a 1.82.8 nebyly identické. Rozdíl mezi nimi je klíčový pro pochopení rozsahu ohrožení.

• Verze 1.82.7 obsahovala škodlivý payload vložený do souboru litellm/proxy/proxy_server.py. Spouštěl se při importu proxy modulu, tedy primárně u těch, kdo LiteLLM provozovali jako proxy server.
• Verze 1.82.8 šla dál. Do adresáře site-packages přidala soubor liteLLM_init.pth, který Python automaticky načítá při každém startu. Malware se tak spustil i bez importu LiteLLM, fakticky už během samotné instalace balíčku.

Obě verze obešly standardní GitHub CI/CD pipeline. Podle oficiálního bezpečnostního updatu LiteLLM byly nahrány přímo na PyPI přes kompromitovaný účet maintainera, bez odpovídajícího tagu nebo releasu na GitHubu. Žádný commit v hlavní větvi repozitáře na útok neupozornil.

Co všechno malware sbíral

Seznam exfiltrovaných dat je rozsáhlý a pokrývá prakticky vše, co vývojářský stroj nebo serverové prostředí typicky obsahuje:

• SSH privátní klíče a konfigurace
• soubory .env s API klíči a hesly
• cloudové přístupy pro AWS, GCP a Azure
• Kubernetes tokeny a konfigurace
• databázová hesla a Git credentials
• shell historii, TLS/SSL privátní klíče, Docker konfiguraci
• v některých případech i kryptopeněženky

Data byla před odesláním šifrovaná a putovala na domény models.litellm[.]cloud a checkmarx[.]zone. V Kubernetes prostředích se malware pokoušel o laterální pohyb: vytvářel podezřelé pody node-setup-* v namespace kube-system. Na napadeném hostu si zakládal persistenci přes ~/.config/sysmon/sysmon.py a systemd user service.

Proč to prasklo díky chybě útočníka

Škodlivé verze byly na PyPI živé od 10:39 UTC 24. března 2026. Karanténa přišla v 11:25 UTC, celkem 46 minut. McMahon ve své analýze na blogu FutureSearch popisuje, že malware obsahoval implementační chybu, která ho proměnila ve fork bomb. Právě proto mu zamrzl počítač. Bez té chyby, kterou McMahon označuje za „odbytou, pravděpodobně vibe-coded chybu“, by škodlivý kód tiše běžel na pozadí a sbíral tajemství, aniž by si toho kdokoli všiml.

To je znepokojivý detail. Útok neodhalil žádný bezpečnostní nástroj, žádný automatizovaný guardrail, žádný audit. Odhalila ho nekompetence útočníka. A přitom LiteLLM ve své veřejné dokumentaci deklarovalo certifikace SOC 2 Type I, SOC 2 Type II i ISO 27001. Tyto štítky signalizují popsané a auditované procesy, ale zjevně nepokrývají integritu každého jednotlivého releasu na PyPI. Certifikace není totéž co neprostupnost release kanálu.

Co dělat a jak si ověřit prostředí

Pokud jste 24. března 2026 kdekoli instalovali nebo rebuildovali Python prostředí, které mohlo sáhnout po LiteLLM (přímo nebo transitivně přes jinou závislost), stojí za to provést kontrolu.

• Spusťte pip show litellm a ověřte verzi. Hledáte 1.82.7 nebo 1.82.8.
• Zkontrolujte site-packages na přítomnost souboru liteLLM_init.pth.
• Projděte CI/CD logy, Docker buildy a deployment záznamy z kritického dne.
• Hledejte stopy persistence: ~/.config/sysmon/sysmon.py, systemd user service sysmon.service.
• V Kubernetes zkontrolujte neočekávané pody v kube-system.

LiteLLM zveřejnilo pomocné skripty pro GitHub Actions i GitLab CI. Pokud najdete jakoukoli stopu kompromitace, doporučení je jednoznačné: rotujte veškerá tajemství, která byla na zasaženém hostu přítomná. Nečekejte na forenzní jistotu, zpětně vyloučit exfiltraci prakticky nelze.

Incident kolem LiteLLM není izolovaný. Aqua Security popisuje širší kampaň, která souběžně zasáhla open-source komponenty Trivy a GitHub Action KICS. Bariéra vstupu pro supply-chain útoky na vývojářskou infrastrukturu klesá, a AI tooling s jeho hustou sítí automaticky stahovaných závislostí tu bariéru snižuje ještě víc. Nejslabším článkem dnešního AI stacku není model. Je to pip install bez připnuté verze.