Co přesně znamená „kopírování webů“

Nejde o amatérský screenshot sdílený na Facebooku. Bavorský úřad na ochranu ústavy ve své technické analýze z roku 2024 popisuje, že útočníci zkopírují HTML kód, grafiku, rozvržení stránky i navigační menu originálu. Některé odkazy na falešném webu dokonce vedou na pravý server média, čtenář tak kliká mezi pravým a falešným obsahem, aniž si záměny všimne.

Veřejně doložené klony zahrnují desítky značek:

• Německo: spiegel.ltd, sueddeutsche.ltd, faz.ltd, welt.pm, welt.ltd, dále napodobeniny Bildu a Sternu
• Francie: Le Monde, Le Figaro, Le Parisien, 20 Minutes; francouzská VIGINUM napočítala 355 podvržených domén
• USA: Washington Post (washingtonpost.pm), Fox News
• Další země: britský The Guardian, italská agentura Ansa

Klíčový detail: pozměněná doména často používá neobvyklou koncovku (.ltd, .pm, .ink), kterou běžný čtenář přehlédne. Samotný zámeček HTTPS přitom nic negarantuje, i podvodný web ho může mít.

Jaké lži se na falešných webech objevují

Obsah klonů není náhodný. Narativy se točí kolem několika os: podpora Ukrajiny prý škodí Evropanům, sankce nefungují, západní vlády jsou zkorumpované a uprchlíci přinášejí kriminalitu. Konkrétní příklady, které zachytily německé bezpečnostní úřady:

• Falešný „Spiegel“ s titulkem „Vládní koalice ničí německou ekonomiku“
• Podvržené dokumenty o údajné „dani pro Ukrajinu“ nebo „dovozu ukrajinské kriminality“
• V roce 2026 bavorský úřad na ochranu ústavy zaznamenal fejky typu „Západ NENÁVIDÍ Východ“ nebo „Postavte tu zeď znovu!“, tentokrát už v krátkých videích a s prvky generovanými umělou inteligencí

Za operací podle EU DisinfoLab stojí ruské firmy Social Design Agency a Structura National Technologies. Uniklé interní dokumenty naznačují přímé zadání z ruské prezidentské administrativy. Americké ministerstvo spravedlnosti mluví výslovně o „státem sponzorované“ kampani.

Operace nekončí, jen mění formu

Meta v roce 2022 zrušila 1 633 facebookových účtů, 703 stránek a 29 instagramových účtů napojených na síť. Zveřejnila přes 6 000 indikátorů, aby se další platformy mohly bránit. Jenže po každé vlně blokací útočníci zakládali stovky nových webů. Analytický tým CeMAS potvrdil, že kampaň zůstala aktivní i v letech 2024 a 2025.

V srpnu 2026 bavorský úřad na ochranu ústavy popsal návaznou kampaň Matrjošku. Posun je zřejmý: místo plných klonů webů se častěji objevují krátká videa a falešné titulní strany v layoutu známých médií, sdílené přímo na sociálních sítích. Formát je rychlejší, levnější a emocionálně údernější. Infrastruktura se přizpůsobuje, cíl zůstává stejný.

Týká se to i českého prostředí?

V otevřených zdrojích se masové klonování velkých českých médií stejným způsobem jako v Německu nebo Francii zatím nepodařilo doložit. To ale neznamená, že se problém Česka netýká. BIS ve výroční zprávě za rok 2024 upozorňuje na šíření dezinformací z ruské i domácí produkce a na kybernetické hrozby v českém veřejném prostoru. Český čtenář se navíc pohybuje ve sdíleném evropském informačním prostoru; stačí, aby na sociální síti narazil na odkaz vedoucí na německý nebo anglický klon, a je v pasti.

Podle nás je proto klíčové osvojit si jednoduchý kontrolní postup:

• Zkontrolujte URL. Neobvyklá koncovka domény je nejsilnější varovný signál.
• Ověřte článek na webu média. Otevřete si ručně hlavní stránku a zkuste článek najít přes interní vyhledávání.
• Sledujte, odkud odkaz přišel. Anonymní účet, reklama, řetězený příspěvek: to jsou typické distribuční kanály.
• Hledejte potvrzení jinde. Mimořádně výbušné tvrzení, které nenajdete v žádném druhém důvěryhodném médiu, je s vysokou pravděpodobností podvrh.
• Nahlaste podezřelý web. V Česku přijímá hlášení NÚKIB i od subjektů bez zákonné povinnosti; současně má smysl nahlásit obsah přímo platformě a upozornit napodobované médium.

„Nevěřte všemu“ neznamená „nevěřte nikomu“

Rozdíl mezi zdravou ostražitostí a plošnou nedůvěrou k médiím je zásadní, a právě ten Doppelgänger zneužívá. Cílem operace není jen prosadit konkrétní lež. Je jím rozložit důvěru v jakýkoli zdroj informací, vytvořit prostředí, kde „stejně nikdo neříká pravdu“. V takovém prostředí se pak snáz prosazují narativy, které by jinak neměly šanci.

Obrana není složitá. Stačí drobný návyk: než uvěříte šokujícímu titulku, podívejte se do adresního řádku. Ten jediný detail, tři písmena za tečkou, může být vše, co dělí zprávu od propagandy.

Jak útočil a proč cílil na domácí routery

Princip byl nenápadný, ale účinný. Útočníci využili známou zranitelnost CVE-2023-50224 ve firmwaru routeru TP-Link TL-WR841N a prostřednictvím ní získali neoprávněný přístup k zařízení. Následně měnili nastavení DHCP a DNS. V praxi to znamená, že telefony, notebooky nebo tablety připojené k takovému routeru mohly automaticky používat útočníkem kontrolované DNS servery. Útočník tak mohl monitorovat dotazy na doménová jména a u vybraných služeb vracet podvržené DNS odpovědi a provádět takzvané adversary-in-the-middle útoky.

Nejzákeřnější na tom je, že si toho oběť dlouho nemusí všimnout. Žádné vyskakující okno, žádný alarm. Jen tiché přesměrování části provozu a možnost sběru hesel, autentizačních tokenů a dalších citlivých informací. Pro lidi pracující z domova to představuje potenciální cestu, kudy se útočník může dostat k citlivým informacím souvisejícím s jejich prací.

Domácí routery přitom nebyly konečným cílem. Sloužily jako levná a nenápadná infrastruktura, která umožňovala skrývat škodlivý provoz a vybírat zpravodajsky zajímavé oběti, například armádní a vládní instituce, kritickou infrastrukturu nebo organizace spojené s podporou Ukrajiny.

Které modely jsou na seznamu

Britské NCSC a další bezpečnostní instituce zveřejnily konkrétní výčet cílených modelů. Nejde tedy jen o obecné „routery TP-Link“, ale o konkrétní modelové řady, z nichž řada je starší a některé již mohou být na konci životnosti:

• Archer C5, Archer C7
• TL-MR6400, TL-MR3420
• TL-WDR3500, TL-WDR3600, TL-WDR4300
• TL-WR740N/741ND, TL-WR749N
• TL-WR840N, TL-WR841N/841ND, TL-WR841HP
• TL-WR842N/842ND, TL-WR845N
• TL-WR941ND, TL-WR945N, TL-WR1043ND, TL-WR1045ND
• TL-WA801ND, TL-WA901ND

TP-Link následně v oficiálním poradenství potvrdil, že u řady dotčených modelů jde o starší zařízení. U konkrétního routeru je ale nutné ověřit přesný model, hardwarovou revizi a dostupnost aktuálního firmwaru. Označení „oblíbené“ není přehnané: TP-Link se sám prezentuje jako jeden z předních výrobců síťových zařízení a modely jako WR841N patřily dlouhé roky k velmi rozšířeným domácím routerům.

Co se dělo v Česku

Vojenské zpravodajství se v rámci operace Masquerade v březnu 2026 zapojilo do mezinárodní operace vedené americkým FBI. Podle jeho vlastního vyjádření spočíval český zásah v úpravě nastavení části globálně zneužívané infrastruktury a zabezpečení potenciálně zneužitelných zařízení na území České republiky.

NÚKIB uvádí, že APT28 v rámci kampaně kompromitovala zařízení také v České republice. Kolik českých domácností bylo skutečně napadeno, úřady veřejně neuvedly. Stejně tak není k dispozici veřejný mechanismus, podle kterého by si běžný uživatel mohl jednoduše ověřit, zda byl jeho konkrétní router součástí kompromitované infrastruktury.

Co zkontrolovat a kdy router rovnou vyměnit

Praktický kontrolní seznam pro každého, kdo má doma TP-Link:

• Model a hardwarová verze – najdete je na štítku na spodní straně routeru nebo v administraci (obvykle na adrese 192.168.0.1 nebo 192.168.1.1). Hardwarová verze je klíčová, protože firmware pro jednu revizi nemusí fungovat na jiné.
• Srovnání se seznamem – porovnejte model s výčtem výše a ověřte jej také v oficiální poradně TP-Link.
• Firmware – na stránce ke stažení na webu TP-Link pro váš přesný model a hardwarovou verzi ověřte, zda existuje novější verze. Stahujte jen firmware odpovídající vašemu modelu, hardwarové revizi a regionu.
• Vzdálená správa – v administraci zkontrolujte, že není zapnutý přístup z internetu. Pokud ano a nepotřebujete ho, okamžitě ho vypněte.
• Heslo administrátora – pokud stále používáte výchozí přihlašovací údaje, změňte je. Ideálně použijte silné a jedinečné heslo.
• DNS servery – v nastavení DHCP/DNS by měly být buď adresy vašeho poskytovatele, nebo nastavení získávané automaticky. Neočekávaná cizí IP adresa může být varovným signálem.
• Certifikátová varování – pokud prohlížeč nebo e-mailový klient hlásí neplatné certifikáty na stránkách, kde to dříve nedělal, může jít o příznak útoku typu adversary-in-the-middle.

Pokud je váš model na seznamu EOL produktů TP-Link a výrobce pro něj nemá bezpečnostní aktualizaci, jediné spolehlivé dlouhodobé řešení je výměna za podporované zařízení. Žádná konfigurace nenahradí chybějící bezpečnostní aktualizaci. NÚKIB doporučuje u zařízení na konci životnosti zvážit jejich výměnu a současně aktualizovat firmware, změnit výchozí přihlašovací údaje a omezit vzdálenou správu z internetu.

Nejde jen o TP-Link

Tato konkrétní kampaň se týká především routerů TP-Link, zejména modelu TL-WR841N. FBI a partneři zároveň upozorňují na širší riziko kompromitovaných síťových zařízení. Jiná značka routeru proto neznamená automatické bezpečí, stejná základní pravidla platí univerzálně: aktuální firmware, silné heslo, vypnutá vzdálená správa a žádná zařízení, která výrobce přestal podporovat. NÚKIB zároveň upozorňuje, že APT28 používá celou řadu dalších technik a dlouhodobě cílí na vládní instituce, armádu, kritickou infrastrukturu a další organizace ve zpravodajském zájmu ruského státu.

Kdo doma provozuje router starý pět a více let s továrním heslem a bez bezpečnostních aktualizací, nepotřebuje čekat na ruskou rozvědku. Stačí kterýkoli běžný automatizovaný útok na zařízení připojené k internetu.

Jak útok fungoval krok za krokem

Celý řetězec začínal zranitelností označenou jako CVE-2023-50224, která se týká konkrétně modelu TP-Link TL-WR841N. Útočník nepotřeboval žádné přihlašovací údaje. Na webovou službu routeru běžící na portu 80 poslal speciálně připravený HTTP požadavek a získal uložené přihlašovací údaje. Následně změnil nastavení DHCP a DNS serverů.

Od té chvíle router směroval všechna připojená zařízení na podvržené DNS servery pod kontrolou APT28. Ty pro vybrané služby, například „autodiscover-s.outlook.com“, „imap-mail.outlook.com“ nebo „outlook.office365.com“, vracely falešné odpovědi. Uživatel se domníval, že se přihlašuje do Outlooku, ve skutečnosti ale předával hesla, OAuth tokeny i obsah e-mailů útočníkům. Prohlížeč mohl zobrazit varování o neplatném certifikátu, ale většina uživatelů je ignoruje.

NÚKIB potvrdil oběti v České republice, přesný počet zasažených domácností ale nezveřejnil. Vojenské zpravodajství v rámci mezinárodní operace Masquerade provedlo aktivní zásah a „zabezpečení potenciálně zneužitelných zařízení na území České republiky“. Hovořilo o tisících zranitelných zařízení po celém světě.

Proč je problém větší, než se zdá

Model TL-WR841N patří k nejprodávanějším levným routerům v Česku. Roky se prodával v řetězcích s elektronikou za pár stokorun, operátoři ho často poskytovali k internetu. Jenže právě tyto kusy dnes nemají podporu – TP-Link je označuje jako EOL (end of life) a většina z nich nedostává bezpečnostní aktualizace. Starší modely navíc často nepodporují automatické aktualizace. I tam, kde záplata existuje, ji musí uživatel stáhnout a nahrát ručně přes administraci.

Britské NCSC zveřejnilo širší seznam cílených modelů TP-Link s tím, že nejde o vyčerpávající výčet. V jiné části infrastruktury se objevily i routery MikroTik. Nejde tedy o jednu konkrétní krabičku, ale o opakující se vzorec: starý router, tovární heslo, správa dostupná z internetu.

Důležitý je i kontext českých operátorů. Kdo má od poskytovatele zařízení s privátní WAN adresou, je proti tomuto typu útoku obvykle méně ohrožen, protože administrace není přímo dostupná z internetu. Naopak T-Mobile u pevného internetu často přiděluje veřejnou IPv4, Vodafone uvádí, že veřejná IP znamená přístup zvenčí, a O2 upozorňuje, že vzdálený přístup vyžaduje veřejnou IP a další nastavení. Rozhodující tedy není značka operátora, ale to, zda je router skutečně dostupný z internetu.

Tři kroky, které udělejte hned

1. Vypněte vzdálenou správu. U novějších TP-Linků: Advanced → System Tools → Administration → Remote Management → Disable. U starého WR841N: Security → Remote Management; pokud je hodnota IP nastavena na 0.0.0.0, je funkce vypnutá. Jakákoli jiná hodnota znamená, že je router dostupný zvenčí. U modemů od operátorů hledejte sekce „Vzdálená správa“ nebo „TR-069“.
2. Změňte administrátorské heslo. Tovární „admin/admin“ je první kombinace, kterou útočníci zkouší. Použijte silné a unikátní heslo, které nikde jinde nepoužíváte.
3. Aktualizujte firmware nebo router vyměňte. Pokud výrobce stále poskytuje aktualizace, stáhněte je a nainstalujte ručně. Pokud je zařízení EOL a opravy neexistují, jedinou skutečnou ochranou je výměna za podporovaný model.

Jak za pět minut ověříte, jestli jste v ohrožení

Postup je jednoduchý. V administraci routeru zjistěte WAN IP adresu – u TP-Linků ji najdete v sekci Basic → Network Maps → Internet. Poté na telefonu vypněte Wi-Fi a použijte mobilní data. Do prohlížeče zadejte http://vaše-WAN-IP:80 (nebo jiný port, pokud jste ho změnili). Pokud se zobrazí přihlašovací stránka routeru, je vaše administrace dostupná z internetu. V takovém případě okamžitě vypněte vzdálenou správu.

Kontrolní seznam pro ověření, zda router nebyl kompromitován:

• V nastavení DHCP/DNS nejsou neznámé IP adresy serverů
• Administrátorské heslo nebylo změněno bez vašeho vědomí
• Systémové logy neobsahují podezřelé vzdálené přístupy
• Prohlížeč ani e-mailový klient nehlásí problémy s certifikáty

Americká FTC doporučuje kromě vypnutí vzdálené správy také deaktivaci WPS a UPnP, protože každá z těchto funkcí může snižovat bezpečnost sítě.

Starý router za pár stokorun, který tiše bliká v rohu obýváku, může být nejslabším článkem celé domácí sítě. A právě na takové články APT28 spoléhá.

Co vlastně znamená ukradený účet Epic

Účet Epic Games není jen vstupenka do Fortnite. Funguje jako identitní vrstva pro celý ekosystém, Epic Games Store, Unreal Engine i třetí strany využívající přihlášení přes Epic. Kdo ovládne tento účet, získá přístup k Fortnite progresu, nakoupené kosmetice, herní historii, ale potenciálně i k propojeným externím účtům a primárnímu e-mailu.

Epic výslovně varuje, že kompromitace účtu ohrožuje nejen herní profil, ale i propojené účty a e-mailovou identitu. Útočník, který se dostal dovnitř, měl v rukou klíč k celé digitální identitě oběti. A co s ním udělal? Odemkl Fortnite a šel hrát.

Proč je „jen hraní“ horší, než se zdá

Na první pohled to vypadá neškodně. Žádné nákupy, žádný prodej účtu na černém trhu, žádné darování skinů na jiný profil. Jenže právě v tom je paradox: Epic monitoruje podezřelé finanční transakce a darování předmětů, takže útočník, který začne účet okamžitě „vysávat“, spustí bezpečnostní alarmy rychleji než ten, kdo jen tiše hraje. Tichý parazit je hůř detekovatelný.

Mezitím oběť ztrácí kontrolu. Proces obnovy u Epicu běží přes samoobslužný formulář: přihlašovací stránka, volba „Problém s přihlášením?“, zadání e-mailu, ověření přes dostupné metody dvoufaktorového ověření nebo bezpečnostní kód. Když nic z toho nefunguje, Epic žádá e-mail použitý při založení účtu a další identifikační údaje. Po odeslání žádosti přijde potvrzení s ID žádosti o obnovu. Výsledek Epic standardně slibuje do 48 hodin, pokud není třeba delší šetření. Po tu dobu má legitimní majitel omezenou kontrolu nad vlastní identitou. V tomto konkrétním případě trvala obnova zhruba tři dny od podání žádosti, což rámcově odpovídá oficiálnímu postupu.

Jak si stojí Epic vedle Steamu a PlayStationu

Každá velká herní platforma řeší krádež účtu jinak. Rozdíly nejsou kosmetické:

• Epic Games tlačí uživatele do samoobslužné obnovy a větví ji podle toho, co ještě kontroluje. Nabízí dvoufaktorové ověření přes autentizační aplikaci, Epic Authenticator, e-mail nebo SMS, přičemž sám doporučuje variantu s autentizační aplikací jako nejsilnější ochranu.
• Steam při krádeži účtu nejdřív vyžaduje zabezpečení počítače a e-mailu, teprve potom řeší reset samotného účtu. Steam Guard Mobile Authenticator označuje za nejvyšší úroveň zabezpečení.
• PlayStation rozděluje obnovu podle toho, zda má uživatel přístupový klíč (passkey), nebo e-mail. Při podezřelých změnách přihlašovacích údajů rovnou odkazuje na online asistenta. A hlavně: PlayStation už dnes přístupové klíče nabízí, tedy přihlášení bez hesla, které je z principu odolnější vůči phishingu i zneužití uniklých přihlašovacích údajů.

Epic zatím zůstává u kombinace heslo plus dvoufaktorové ověření. Přístupové klíče v jeho ekosystému chybí. Navíc stojí za zmínku, že Epic sice má české nápovědy a kontaktní stránku, čeština ale nefiguruje mezi jazyky živé podpory. Realisticky se dá počítat se samoobslužným formulářem a tiketem, ne s česky mluvícím operátorem.

Co udělat, aby se to nestalo vám

Nejpravděpodobnější cesty dovnitř jsou předvídatelné: recyklované heslo z jiné služby, kompromitovaný e-mail, phishing nebo slabě zabezpečený propojený účet. Epic před všemi těmito vektory výslovně varuje. Obrana má jasnou hierarchii:

1. Zabezpečte e-mail. Změňte heslo, zapněte dvoufaktorové ověření. E-mail je brána ke všemu ostatnímu.
2. Zapněte dvoufaktorové ověření na Epicu. V nastavení účtu: Password and security → Two-Factor Authentication → Set up. Jako primární metodu zvolte autentizační aplikaci, e-mail a SMS nechte maximálně jako zálohu.
3. Uložte záložní kódy. Když ztratíte přístup k autentizační aplikaci, jsou jedinou cestou zpět bez procesu obnovy.
4. Zkontrolujte propojené účty. Každý propojený účet je potenciální vstupní brána. Zabezpečte je stejně důsledně jako hlavní identitu u Epicu.
5. Nerecyklujte hesla. Zneužití uniklých přihlašovacích údajů z jiných služeb je nejbanálnější a zároveň nejúčinnější útok.

Hloupost, která má svou logiku

Označit útočníka za „nejhloupějšího hackera“ je lákavé, ale podle nás jeho chování dává perverzní smysl. Kdo jen hraje, nevyvolá finanční alarmy. Kdo jen hraje, neprodukuje transakční stopu. Kdo jen hraje, může na ukradeném účtu sedět déle než ten, kdo se ho pokusí zpeněžit. Hloupost nebyla v tom, že neuměl účet převzít, to zvládl. Hloupost byla v tom, že s plnohodnotným přístupem k cizí digitální identitě neudělal nic, co by mu přineslo víc než pár zápasů ve Fortnite. Účet je zpět u svého majitele. Útočník odešel s prázdnýma rukama a pár výhrami v battle royale, které ani nejsou jeho.

Co je PRISMEX a jak funguje

PRISMEX není jeden soubor. Je to označení Trend Micro pro celý řetězec navazujících komponent, z nichž každá plní konkrétní úlohu:

• PrismexSheet – Excel dropper s VBA makrem, který v sobě ukrývá payload pomocí steganografie v PNG obrázcích.
• PrismexDrop – dropper připravující prostředí pro další fáze.
• PrismexLoader – knihovna DLL, která z obrázku vytáhne a do paměti načte payload .NET, aniž by na disku zanechala stopu.
• PrismexStager – implant postavený na frameworku Covenant Grunt, zajišťující vzdálené řízení napadeného stroje.

Celý řetězec startuje spear-phishingovým e-mailem přizpůsobeným zemi a profesi oběti, který může vypadat jako hydrometeorologické varování, pozvánka na vojenský program nebo upozornění na pašování zbraní. Příloha zneužívá zranitelnost CVE-2026-21509 v mechanismu OLE aplikace Microsoft Office, případně ji řetězí s CVE-2026-21513. Útočníci si přitom registrovali infrastrukturu dva týdny předtím, než byla zranitelnost veřejně popsána. To naznačuje, že o ní věděli dříve než většina obránců.

Proč ho nikdo nezastaví

Konstrukce kampaně je dělaná pro měsíce tichého provozu. Payload běží výhradně v paměti procesu „explorer.exe“, perzistenci zajišťuje COM hijacking a naplánovaná úloha pojmenovaná nevinně „OneDriveHealth“. Komunikace se vzdáleným řízením probíhá přes legitimní cloudovou službu Filen.io, v síťovém provozu vypadá jako běžné nahrávání souborů do úložiště.

Výsledek: klasický antivirus nevidí podezřelý soubor na disku, firewall nevidí podezřelou doménu a administrátor nevidí neznámou službu. Přesná průměrná doba, po kterou útočníci zůstávají uvnitř sítě, nebyla zveřejněna. Samotná architektura ale ukazuje, že jde o týdny až měsíce, ne hodiny.

Trend Micro navíc výslovně zmiňuje, že vedle špionážních schopností byly pozorovány i příkazy typu wiper, tedy instrukce schopné mazat data. Kampaň tak může kdykoli přejít z tichého sledování do destruktivního režimu.

Česko v cílovém okruhu

Zpráva Trend Micro výslovně řadí Českou republiku mezi logistické podpůrné partnery spojené s muničními iniciativami pro Ukrajinu. Vedle Česka jmenuje Polsko, Rumunsko, Slovinsko, Slovensko a Turecko.

Konkrétní česká organizace napadená přímo kampaní PRISMEX veřejně potvrzena nebyla. Kontext je ale jednoznačný. NÚKIB už v květnu 2025 spolupodepsal varování před kampaní APT28 proti subjektům podporujícím Ukrajinu. Ve výroční zprávě za rok 2024 pak úřad konstatuje, že APT28 se na cíle v České republice zaměřuje dlouhodobě. A v dubnu 2026 vydal upozornění na kompromitaci routerů TP-Link stejnou skupinou, včetně zařízení na území ČR.

Podle nás je klíčové, že APT28 paralelně kombinuje cílený malware typu PRISMEX s plošným zneužíváním běžné síťové infrastruktury. Firma nebo úřad nemusí být přímým cílem špionáže, stačí, že její router poslouží jako odrazový můstek.

Co to znamená pro organizace v ohrožených sektorech

Primárním cílem nejsou běžní uživatelé. Riziko ale roste u každého, kdo pracuje v obraně, dopravě, logistice, IT nebo ve státní správě napojené na podporu Ukrajiny. Praktická doporučení vycházející z veřejně popsaného řetězce útoku:

• Okamžitě záplatovat Microsoft Office a Windows, zranitelnosti CVE-2026-21509 a CVE-2026-21513 mají veřejné exploity.
• Zakázat nebo silně omezit makra a neznámé doplňky v dokumentech Office.
• Hledat COM hijacking v registru (HKCU\Software\Classes\CLSID) a neobvyklé načítání CLR v procesu explorer.exe.
• Kontrolovat naplánované úlohy, název „OneDriveHealth“ je konkrétní indikátor.
• Omezit přístup ke cloudovým úložištím, která organizace nepoužívá, zejména Filen.io.
• Brát vážně varování na neplatné certifikáty v prohlížeči i e-mailovém klientu.

Strategická váha tiché operace

Americké ministerstvo spravedlnosti v dubnu 2026 rozbilo síť DNS hijackingu řízenou stejnou jednotkou GRU 26165. Popsalo, že v souběžných operacích APT28 sbírala hesla, autentizační tokeny a e-maily. Obžaloba z roku 2018 připomíná, že tatáž jednotka stála za hackem amerického Demokratického národního výboru v roce 2016.

PRISMEX ale není kampaň zaměřená na veřejný únik a politický skandál. Je to tichá průniková operace proti logistickému a obrannému zázemí kolem Ukrajiny, s menší mediální viditelností, ale velmi vysokou vojensko-provozní relevancí. Kompromitace dodavatelského řetězce, vhled do přepravních tras munice, mapování dopravních uzlů. A s pozorovanými příkazy typu wiper i připravenost přejít od sledování k sabotáži.

Počet obětí veřejně znám není. Důležitější je, že každá z nich sedí na informacích, jejichž ztráta se neprojeví v titulcích, ale v tom, že někdo na druhé straně fronty ví víc, než by měl.

Ruští hackeři útočí skrz dvě oblíbené aplikace

Nizozemská bezpečnostní služba (AIVD) varuje, že cílem ruských státních hackerských skupin jsou účty obyčejných uživatelů po celém světě. Hackeři nijak neprolamují složité šifrování ani nepoužívají vymakané malwary, místo toho se spoléhají na svůj sociální um manipulovat s uživatelem, aby sám od sebe poskytl přístup k účtu.

Jejich typickým trikem jsou falešné pozvánky k propojení zařízení a zprávy, které se tváří jako informace od oficiální podpory. Momentálně se zaměřili na aplikace WhatsApp nebo Signal. Povede-li se vše podle plánu a uživatel sdělí svůj ověřovací kód, útočník získá plný přístup k účtu, může číst zprávy a získat seznam kontaktů.

Oproti jiným případům nejsou tyto útoky zacílené pouze na politiky nebo vysoce postavené činitele. I zdánlivě „obyčejné“ kontakty uživatelů mají pro útočníky velkou cenu. Na černém trhu jsou horkým zbožím a využívají se pro další podvody a získávání peněz. Každý, kdo obdrží podezřelou zprávu nebo pozvánku, by měl být ostražitý a nesdílet kódy, aniž by ověřil zdroj.

Napadení telefonu lze poznat a obrana není těžká

Existuje několik příznaků, které mohou značit, že byl váš účet WhatsApp nebo Signal napaden. Mezi nejčastější patří cizí či podezřelé zprávy odeslané z vašeho účtu, upozornění na přihlášení nového zařízení, které jste neschválili, nebo nečekané odpojení zařízení z propojeného seznamu, vysvětluje Forbes.

Dalším znakem může být náhlé zpomalení aplikace, zvýšená aktivita dat nebo neobvyklé oznámení o bezpečnostních kódech, které jste nikdy neposílali. Pokud si všimnete jakéhokoli z těchto varovných signálů, doporučujeme okamžitě změnit heslo, odpojit všechna podezřelá zařízení a aktivovat dvoufázové ověření. Pro celkovou ochranu se držte několika rad:

1. Neposkytujte nikomu ověřovací kód z SMS nebo PIN Signalu
2. Pravidelně kontrolujte seznam propojených zařízení
3. Přijímejte QR kódy jen při osobním propojení zařízení
4. Aktivujte dvoufázové ověření, pokud je k dispozici
5. Buďte skeptičtí k jakýmkoli podezřelým zprávám či kontaktům

Signal a WhatsApp zdůrazňují, že jejich infrastruktura jako taková je bezpečná. Útoky spoléhají na lidský faktor, ne na systémové slabiny.

Z našeho pohledu útoky jasně dokazují, že bezpečnost dat je stejně o obezřetnosti uživatele jako o technologiích. Malá chyba v podobě kliknutí na odkaz nebo sdílení kódu může znamenat napadení účtu. Podobné phishingové kampaně se opakovaně vrací, a proto je důležité kombinovat technická opatření s obezřetností při každé online interakci.

Nejprve jsou doručeny soubory v ZIP archivu

Skupina hackerů z Ruska byla poprvé pořádně zdokumentována začátkem roku 2024 ukrajinským týmem CERT-UA, informoval SOCPrime. Už tehdy bylo jasné, že cílem jsou hlavně vojenské a vládní struktury, přičemž využívá témata spojená s válkou jako návnadu. V roce 2025 však změnila taktiku a místo e-mailu začala využívat aplikace jako Signal, Telegram a nově i Viber.

Útok startuje doručením ZIP archivu, který vypadá jako oficiální dokument Microsoft Wordu nebo Excelu. Uvnitř se nachází soubory typu LNK (zástupci systému Windows). Ty po otevření zobrazí návnadu v podobě dokumentu a na pozadí spustí škodlivý skript PowerShell. Ten stáhne další archiv ze vzdáleného serveru a aktivuje tzv. Hijack Loader, tedy speciální „zavaděč“ malwaru.

Původní nástroje pro správu IT jsou zneužívány

Nástroj Hijack Loader nenápadně dopraví do systému další škodlivý kód. Využívá pokročilé techniky, aby obešel bezpečnostní kontrolu. Současně kontroluje, jestli je v systému nainstalovaný antivirový software (například Kaspersky, Avast, Bitdefender, AVG, Emsisoft, Webroot či Microsoft) a snaží se přizpůsobit své chování tak, aby zůstal neobjevený.

Po úspěšném spuštění nasadí loader do paměti nástroj Remcos RAT (Remote Access Trojan), který umožňuje vzdálené ovládání napadeného zařízení, popisuje Wikipedia. Ačkoli je Remcos oficiálně nástrojem pro správu IT, je zneužívaný ke kyberšpionáži. Útočník může díky němu spouštět další programy, sledovat aktivitu uživatele, krást data nebo zařízení ovládat.

Proč je tato kampaň varováním i mimo Ukrajinu

Přestože jsou nyní útoky zaměřené na ukrajinské cíle, má metoda větší dopad. Přesun k šifrovaným aplikacím určeným ke komunikaci ukazuje, že tradiční e-mailová ochrana už nestačí. Podobný model jde aplikovat i na firmy v Evropě či soukromé uživatele. Stačí zneužít nějaké aktuální téma nebo interní rozhovory, varuje theHackerNews.

Zásadní je také fakt, že útok probíhá na více úrovních. Oběť často netuší, že otevřením jednoho souboru umožnila stažení dalšího škodlivého balíčku. Kombo sociální manipulace a technické znalosti útočníků je mimořádně nebezpečná. Základem je opatrnost i v aplikacích, které běžně máme za bezpečné. Firmy by měly:

• Omezit spouštění skriptů PowerShell bez oprávnění
• Monitorovat podezřelé plánované úlohy
• Školit zaměstnance v oblasti phishingu mimo e-mail
• Využívat behaviorální detekci namísto pouhých antivirových podpisů

I když to tak mnoha lidem nepřijde, digitální pohroma nutně vůbec nemusí začít výbuchem a obrovskými kyberútoky, nýbrž pouhým kliknutím. Právě proto je důležité rozumět tomu, jak podobné kampaně fungují, jenom tak lze minimalizovat jejich dopad.

V roce 2020 zasáhl nemocnici ve Středočeském kraji kybernetický útok. Virus zašifroval systémy a narušil provoz tak, že některé operace musely být odloženy. Útok pomocí tzv. Ryuk ransomwaru si vyžádal obří náklady na obnovení systémů. Odhady hovořily o desítkách milionů korun. Redakce Mobify prostudovala další vývoj v této oblasti a varuje, že podobné útoky hrozí i dnes.

Nemocnice mají obrovské množství dat a záznamů

Ransomware alias vyděračský software po vniknutí do systému zašifruje data a žádá výkupné za jejich obnovení, vysvětluje Wikipedia. Útočníci mnohdy požadují platbu v kryptoměně, která je těžko dohledatelná. Historicky patřily takové útoky spíš firmám, ale zdravotnická zařízení se stávají čím dál častějším terčem kvůli množství citlivých dat a své závislosti na IT systémech.

Ransomware útočníci stále vyvíjí. Nyní existují i varianty, které nejprve ukradnou data, a teprve poté je zašifrují, což vytváří ještě větší tlak. Podle analýzy Comparitech byl sektor zdravotnictví v roce 2025 jedním z nejčastěji cílených. A počet těchto útoků stále roste, přičemž bylo zaznamenáno přes 445 incidentů zaměřených přímo na poskytovatele zdravotní péče po celém světě.

Útoky ve zdravotnictví za poslední dobu narostly

V Česku se v roce 2025 například řešil kyberútok na Nemocnici Nymburk, kde ransomware úplně ochromil nemocniční informační systém a vyžadoval výkupné, informoval iRozhlas. IT tým musel část systému obnovit a nemocnice přešla na klasické papírování, což ale bylo v normálním provozu značnou komplikací.

V roce 2025 pak došlo k ransomwarovým útokům, které zasáhly i placené služby a zdravotnické platformy. Například americká společnost Change Healthcare čelila narušení platebních systémů pro nemocnice a kliniky, s nároky na výkupné kolem 22 milionů USD (asi 505 milionů Kč). Byl to nemalý problém, popsal Wired.

Další kyberzločinecké skupiny, jako je kupříkladu LockBit, napadly nemocniční systémy třeba v Chorvatsku, kde se útok dotkl velké nemocnice a výrazně narušil její provoz, vysvětlil CyberNews.

Proč jsou právě nemocnice tak snadným cílem?

Existuje vícero důvodů, proč jsou právě nemocnice a zdravotnické služby oblíbeným cílem kyberútoků:

• Citlivá data – zdravotní záznamy obsahují osobní i zdravotní informace, které jsou velmi cenné pro zločince
• Závislost na IT – moderní nemocnice jsou vzhledem k digitalizaci kriticky závislé na přístupu k datům
• Vysoká cena za výpadek – když systém padne, operace a péče se zpomalí nebo zastaví, což znamená tlak

Útoky mají přímý vliv na kvalitu péče o pacienty. Když nemocnice ztratí přístup k datům o lécích, alergiích nebo výsledcích testů, lékaři musí prostě improvizovat. Někdy se lékařská péče zpomalí nebo dočasně přeruší, takže jsou kolikrát v ohrožení přímo i životy pacientů. Navíc obnova systémů a řešení následků stojí miliony korun, které by mohly být investovány jinak.

Riziko útoků stále roste a s rostoucí digitalizací zdravotní péče se jejich dopad stává stále vážnější. Podle nás je jasné, že žádná nemocnice není 100% imunní. Jen připravenost může znamenat rozdíl mezi relativně bezproblémovým zotavením a katastrofou v péči o pacienty.

Ruská hackerská skupina COLDRIVER výrazně zrychlila při modernizaci viru, který chtěla nastavit tak, aby kradl data ze zařízení vybraných obětí. Redakce Mobify však zaznamenala, že bezpečnostní analytici Googlu tuto snahu už podrobně rozebrali a popsali, jak nové varianty malwaru fungují a koho ohrožují.

Ruští hackeři pracovali s tím, co už měli k dispozici

Od května roku 2025 sledují analytici vývoj nové generace malwaru, který lze připsat na konto ruské hackerské skupině COLDRIVER. Podle informací Google Threat Intelligence Group (GTIG) se tým velmi rychle adaptoval a přepracoval to, co měl k dispozici, jen několik dní po zveřejnění malwaru zvaného LOSTKEYS.

Nové odnože malwaru nesou kódová označení NOROBOT, YESROBOT a MAYBEROBOT. Jsou propojeny přes distribuční řetězec, který začíná HTML návnadou ClickFix pojmenovanou COLDCOPY. Postupně pak spouští další komponenty malwaru, přičemž každý krok je navržený tak, aby co nejvíc minimalizoval šanci ho odhalit.

Jakým způsobem útok probíhá a funguje

Prvním krokem je právě ClickFix. Tato návnada přesvědčí uživatele k otevření dialogového okna CAPTCHA, čímž se spustí DLL soubor NOROBOT. Ten dále inicializuje ostatní komponenty malwaru, vysvětluje theHackerNews.

Původně byla v některých útocích použita verze YESROBOT, metoda umožňující obejít běžnou autentizaci, tzv. backdoor, vysvětluje Wikipedia, napsaný v Pythonu, který umožňuje stahování příkazů z pevně zakódovaného serveru Command-and-Control (C2).

YESROBOT byl ale nejspíš jen dočasným mechanismem, protože přítomnost Pythonu 3.8 na hostitelském systému výrazně zvyšuje šanci, že bude malware odhalen. Následně přichází MAYBEROBOT, flexibilnější implantát běžící na PowerShellu.

Ten umožňuje stahování a spouštění souborů z určené URL, provádění příkazů přes cmd.exe a spouštění skriptů v PowerShellu. Tento nástroj je už navržen pro dlouhodobé nasazení a cílení na důležité cíle, které mohou být napadeny kupříkladu phishingem nebo cíleným spear-phishingem (kampaň zaměřená na konkrétní osobu či skupinu, uvádí Správa sítě).

Odhalení a reakce bezpečnostních expertů

Google GTIG potvrdil, že od zveřejnění malwaru LOSTKEYS nebyl odhalen žádný přímý útok jeho verzí, což naznačuje, že nová vlna útoků byla připravena cíleně a rychle. Vývoj NOROBOTu dle nich zahrnoval postupné zjednodušení funkcí, aby jeho nasazení bylo snazší, a následné obnovení pomocí rozdělení kryptografických klíčů.

Nizozemské orgány (Openbaar Ministerie, OM) zároveň odhalily, že tři mladí muži poskytovali služby zahraniční vládě. Jeden z nich byl v kontaktu s COLDRIVERem a měl mapovat Wi-Fi sítě v Haagu, přičemž získaná data byla prodávána za poplatek a mohla být využita pro digitální špionáž. Dva z podezřelých byli zadrženi, třetí je v domácím vězení.

I když jsou útoky zaměřeny na vysoce stavěné cíle, jejich metodika by mohla být snadno přizpůsobena pro širší škálu obětí. To znamená, že nejen na politické poradce, ale i menší organizace a jednotlivce, pokud dojde k neopatrnému kliknutí na zavádějící odkazy či instalaci aplikací z neověřených zdrojů. Proto pamatujte na následující:

• Nepodceňujte phishingové e-maily a falešné výzvy k ověření CAPTCHA – často jsou branou k instalaci malwaru
• Používejte dvoufaktorové ověřování (2FA) – pokud je cílem získat přihlašovací údaje, 2FA výrazně snižuje úspěch útočníků
• Aktualizujte systémy a software – každý krok ve vývojové infrastruktuře malwaru se snaží obejít známé slabiny
• Kontrolujte zdroje instalace softwaru – malware COLDRIVERu se šíří přes legitimně vypadající HTML soubory a aplikace

Redakce Mobify doporučuje, aby se i menší firmy a jednotlivci seznamovali s podobnými hrozbami, protože moderní škodlivý software rychle přechází mezi cíli a jeho schopnosti se dynamicky rozšiřují.

Nový trojský kůň nazvaný Albiriox není jen obyčejný škodlivý software. Dle informací redakce Mobify totiž dokáže úplně ovládnout napadené zařízení, provádět podvodné transakce a krást přihlašovací údaje z bankovních a kryptoměnových aplikací. Malware navíc nabízí formou předplatného pro další hackery.

Trojan Albiriox dokáže převzít kontrolu nad mobilem

Vir Albiriox je typ trojského koně určený pro mobilní telefony s Androidem, který útočníkům umožňuje na dálku ovládat mobilní zařízení, píše Cleafy. Jednoduše řečeno, hacker tak může pohodlně sledovat, co uživatel na telefonu zrovna dělá, spouštět aplikace, číst zprávy a provádět platby, aniž by si toho majitel zařízení třeba všiml.

Jednou z nejnebezpečnějších operací je využití tzv. překryvného modulu (overlay). Jak uvádí Wikipedia, malware zobrazí falešnou obrazovku přes legitimní aplikaci, například bankovní aplikaci, čímž získá přihlašovací údaje. Pokud uživatel zadá heslo, hacker ho získá. Funkce je nejspíše stále ve vývoji, ale vzdálené ovládání telefonu funguje naplno.

Distribuce a cena i pro netechnicky zdatné

Co je horší, Albiriox je nabízený v režimu malware-as-a-service (MaaS). To znamená, že hackeři nemusí mít vlastní technické zázemí, vysvětluje O2CyberNews. Stačí si jen předplatit službu a mohou škodit na dálku. Cena se pohybuje kolem 720 USD měsíčně (cca 18 500 Kč). Jde tedy o profesionálně vyvíjený nástroj, žádný amatérský malware.

Jedna z prvních kampaní cílila na Rakousko. Oběti byly lákány na falešnou aplikaci supermarketu Penny, která působila normálně, ale ve skutečnosti posloužila pachatelům k instalaci malwaru, popsal SecurityWeek. Podle nás lze čekat, že se podobné podvody rozšíří i do dalších evropských zemí.

Trojský kůň je přizpůsobený na více než 400 typů aplikací. Bankovní či kryptoměnové peněženky, obchodní a platební aplikace, ale i investiční a herní aplikace. Malware je vybavený nástrojem Golden Crypt, který šifruje jeho kód a ztěžuje tak odhalení antivirovými programy. Proto není ani antivir 100% ochranou. Doporučujeme:

• Instalovat jen aplikace z oficiálního obchodu Google Play
• Nepřidávat aplikacím zbytečná oprávnění
• Pravidelně aktualizovat systém Android i aplikace
• Dávat pozor na neznámé e-maily, SMS nebo reklamy

Pokud máte podezření, že váš telefon mohl být už infikovaný, je lepší zařízení úplně resetovat a změnit přístupové údaje ke všem bankovním účtům.