Co je Landroid a jak se hraje

Landroid je retro stylizovaná kosmická arkáda, ve které ovládáte malou loď v otevřeném vesmíru. Prstem měníte směr a tah, ve spodní části obrazovky běží telemetrické údaje: souřadnice, rychlost a vektor letu. Nahoře se zobrazuje katalog hvězdy, kolem které obíhají tělesa. Při přiblížení k planetě můžete přistát a hra vygeneruje „aktivitu“ na povrchu: průzkum, pozorování fauny, léčení nebo třeba záhadné [REDACTED].

Klíčový detail: nejde o ručně navržené levely. Planety, jejich názvy i činnosti na povrchu se skládají procedurálně z rozsáhlých slovníků uložených přímo ve zdrojovém kódu AOSP. Hvězdné systémy nesou jména jako Eridani, Baklava, Cinnamonbun nebo Helloworld. Aktivity sahají od „vibing“ přes „grafting flora“ až po „rehearsing“. Každé spuštění tak nabídne trochu jiný vesmír.

Tři roky jedné hry, nový vstup

Vesmírný Easter Egg není v Androidu novinkou. Poprvé se objevil v Androidu 14 v létě 2023 jako jednoduchá kosmická minihra. Android 15 přidal vlajky při přistání na planetách. Android 16 dostal autopilota, který nechal loď letět sama. Jádro hry zůstávalo stejné, měnil se obsah, ne mechanika.

Android 17 tento vzorec narušil. Poprvé za tři generace Google přepracoval samotný vstupní rituál. Místo okamžitého zobrazení loga musí uživatel nejdřív propojit body do obrazce. Teprve pak se odkryje logo a cesta ke hře. Je to drobnost, ale funkční: Easter Egg se znovu cítí jako něco, co je třeba objevit, ne jen odkliknout.

Oproti Androidu 16 přibyly i nové obsahové vrstvy. Jak ukazuje zdrojový kód AOSP, slovníky pro generování názvů a aktivit se rozrostly o desítky nových položek. Přibyly nové deskriptory planet, nová kódová jména systémů i nové činnosti na povrchu.

Kde přesně je hra schovaná a proč ji nevidíte

Landroid není aplikace, kterou byste našli v seznamu nainstalovaných programů nebo v Google Play. V systému existuje jako interní aktivita com.android.internal.category.PLATLOGO v balíčku EasterEgg. Technicky řečeno jde o systémovou komponentu, která se aktivuje přes cestu Nastavení → O telefonu → Verze Androidu.

Odemknutí Easter Eggu navíc tiše zapne další skrytou komponentu, DreamUniverse, spořič obrazovky s vesmírným motivem Landroidu. Ve výchozím stavu je vypnutý a aktivuje se automaticky spolu s hlavní hrou.

Google Easter Egg v oficiálních poznámkách k vydání nezmiňuje. Jako první ho po vydání Androidu 17 Beta 4 dne 16. dubna 2026 zdokumentoval 9to5Google při ručním procházení novinek v betě. Finální stabilní Android 17 pak Google vydal 16. června 2026.

Na kterých telefonech si Landroid zahrajete

Easter Egg je součástí Androidu 17, takže na podporovaných Pixelech funguje hned po aktualizaci. Google oficiálně uvádí tyto modely:

• Pixel 6 / 6 Pro / 6a
• Pixel 7 / 7 Pro / 7a
• Pixel 8 / 8 Pro / 8a
• Pixel 9 řada včetně modelů Fold a 9a
• Pixel 10 řada včetně modelů Fold a 10a
• Pixel Tablet a Pixel Fold

U dalších značek záleží na tom, kdy výrobce Android 17 nasadí. Google mezi beta partnery jmenuje HONOR, iQOO, Lenovo, OnePlus, OPPO, realme, Sharp, vivo a Xiaomi, ale přesné termíny pro konkrétní modely prodávané v Česku zatím nezveřejnil.

Hra funguje nezávisle na jazyku systému. Můžete mít telefon nastavený česky a Landroid se spustí stejně. Jediný háček: generované názvy planet a aktivit zůstávají v angličtině, protože v AOSP mají příznak „nepřekládat“.

Google pořád schovává hry do telefonu

Androidí Easter Eggy nejsou marketingový tah ani vývojářský vtip pro zasvěcené. Jsou to podpisy jednotlivých verzí, každá generace Androidu dostane svůj vizuální a interaktivní otisk. Lízátko pro Android 5, kočky pro Android 7, malířské plátno pro Android 10. Od Androidu 14 je tímto otiskem vesmír.

Tím, že Google u Androidu 17 změnil vstupní sekvenci, udělal z Easter Eggu znovu malé dobrodružství. Nestačí tři klepnutí a dlouhý stisk. Musíte propojit body, počkat na animaci a znovu stisknout. Pět sekund navíc, které z rutinního gesta udělají rituál objevování. A právě v tom je kouzlo: každý rok stojí za to podívat se, co se pod kapotou schovalo.

Landroid není hra, kvůli které odložíte konzoli. Je to třicet sekund úsměvu schovaných tam, kde byste je nečekali: v nastavení telefonu, pod číslem verze, za prstencem diamantových bodů.

Co přesně Rusko dělá

Rušení satelitní navigace není novinkou. Nové je, kam až Rusko sahá. Interference nezasahovaly jen anonymní civilní provoz poblíž frontové linie na Ukrajině, dopadly přímo na britské státní a vojenské mise. Veřejně se řešil případ, kdy rušení GPS zasáhlo britské ministerstvo obrany v blízkosti Kaliningradu. Ruská výzvědná loď Jantar byla sledována v těsné blízkosti britských vod, kde mapovala podmořskou infrastrukturu, kabely a potrubí, na nichž závisí komunikace i energetika. Royal Navy loď sledovalo a stínovalo, ale k zadržení nedošlo.

Strategický záměr je podle dostupných zdrojů vícevrstvý. Rusko chrání vlastní síly, ztěžuje práci spojencům NATO a současně demonstruje schopnost narušovat každodenní provoz bez jediného výstřelu. Je to klasický nástroj šedé zóny, příliš málo na vojenskou odpověď, příliš mnoho na to, aby se to dalo ignorovat.

Jak funguje systém, který satelity nepotřebuje

Projekt Urgent Compass staví na technologii eLoran, pozemním nízkofrekvenčním navigačním systému, který je přímým potomkem systému Loran-C používaného od studené války. Zatímco GPS spoléhá na signály z družic obíhajících ve výšce přes 20 000 kilometrů, eLoran využívá síť pozemních vysílačů. Jejich signál je mnohonásobně silnější než satelitní a pracuje na dlouhých vlnách, které se šíří podél zemského povrchu.

Praktický důsledek: rušičky, které dokážou přehlušit slabý signál z kosmu, proti pozemnímu vysílači na krátkou vzdálenost nezmůžou téměř nic. A podvrhnout falešný signál na jiném kmitočtu nebo s jiným kódováním je řádově složitější než spoofovat civilní GPS.

Kontrakt získalo konsorcium Team Elaris vedené britskou obrannou firmou QinetiQ. Ministerstvo obrany systém popisuje jako odolný proti rušení. Přesnější je říct, že funguje i při kompletním výpadku nebo napadení celé satelitní navigační vrstvy. To je zásadní rozdíl oproti dosavadním opatřením.

Británie nestaví na zelené louce

Důležitý kontext: Urgent Compass není první britská obrana proti rušení navigace. Fregaty typu 23 Royal Navy už dnes používají vojenský šifrovaný GPS přijímač NAVFIX pracující v režimu PPS (Precise Positioning Service), který je odolnější než civilní GPS. Mají i časové záložní systémy PTFE pro případ, že GPS selže úplně. Šifrovaný vojenský signál je výrazně těžší podvrhnout, bez kryptografického klíče to prakticky nejde.

Urgent Compass ale přináší něco, co žádné vylepšení GPS samo o sobě nezajistí: nezávislost. Pokud protivník jednoho dne dokáže rušit i šifrovaný vojenský GPS signál, pozemní eLoran bude fungovat dál. Británie tak buduje vícevrstvou navigační architekturu, kde selhání jedné vrstvy neznamená slepotu.

A nejde jen o jeden projekt. Lord Vallance v projevu na Royal Institute of Navigation v listopadu 2025 popsal celkovou investici 155 milionů liber (přes 4,6 miliardy korun) do odolnosti navigačních a časových systémů. Z toho 71 milionů směřuje na vybudování národní sítě eLoran do roku 2030 a dalších 13 milionů na systém monitorování a včasného varování před rušením. Urgent Compass je tedy součástí mnohem širší státní otočky k tomu, co odborníci nazývají vícevrstvá navigace, polohování a synchronizace času (multi-layer PNT).

Co to znamená pro Česko a civilní letectví

Rušení GPS není jen britský problém. Český Úřad pro civilní letectví vydal již v dubnu 2024 speciální bulletin ke GPS jammingu a spoofingu, a to kvůli zvýšenému počtu hlášení od posádek. Popsal v něm i konkrétní incident: při letu do Prahy se po předchozím GPS spoofingu spustilo falešné terénní varování „terén, terén, vytáhněte“, které mohlo posádku přimět k nebezpečnému manévru.

Dopady na civilní letadla jsou reálné a rozmanité:

• ztráta satelitního přiblížení (RNAV) a nutnost přejít na konvenční navigaci
• falešná varování systému TAWS/GPWS před terénem
• výpadek ADS-B, tedy systému, na kterém staví řízení letového provozu
• samovolné zahájení zatáčky autopilotem na základě podvržené polohy

EASA a IATA v červnu 2025 společně představily plán mitigace GNSS interference a přiznaly, že trend nárůstu se v krátkém horizontu těžko otočí. Důvod k panice ale není, letectví funguje s redundancí, záložními postupy a výcvikem posádek. Jde spíš o vyšší pracovní zátěž pro piloty a vyšší nároky na přípravu letů.

Česká armáda používá vojenské GPS přijímače se SAASM modulem, které jsou podle oficiálních materiálů geografické služby AČR odolnější proti spoofingu i elektronickému rušení. Ale i tady platí omezení: bez platného kryptografického klíče se jejich vlastnosti prakticky blíží civilnímu přijímači.

Závod, který teprve začíná

Británie projektem Urgent Compass nepřiznává slabost jedné technologie. Přiznává něco důležitějšího: že ve světě, kde se elektronický boj stal každodenní realitou ještě před vypuknutím otevřeného konfliktu, už nestačí spoléhat na jediný zdroj polohy a času. Do dubna 2028 chce mít nasaditelný systém, do roku 2030 celou národní síť. Ruské rušičky mezitím pracují každý den.

Windows schovávají nastavení stále hlouběji

Microsoft už roky přesouvá položky ze starého Ovládacího panelu do modernější aplikace Nastavení. Oficiálně jde o zpřehlednění. Jenže v praxi to znamená, že část voleb žije v Nastavení, část zůstala v Ovládacím panelu, další se skrývá ve správních konzolích typu Editor místních zásad skupiny a některé existují jen interně jako URI adresy, takzvané ms-settings: odkazy, bez viditelného tlačítka v menu. K tomu přidejte hluboké odkazy na systémové nástroje, skryté protokoly aplikací a speciální systémové složky. Je to systém, který má obrovské množství funkcí, ale běžnému uživateli jich nabídne jen zlomek.

Podle oficiální dokumentace Microsoftu je migrace z Ovládacího panelu do Nastavení záměrná a postupná. Zároveň ale Microsoft sám varuje, že změny v nástrojích jako Editor místních zásad skupiny mohou výrazně ovlivnit chod počítače. Právě proto tyto volby nejsou vystaveny na první pohled a nejsou určeny pro každého. Super God Mode je ale zpřístupní všem.

Co přesně Super God Mode odemkne

Původní „God Mode“ znají pokročilejší uživatelé Windows už léta, stačilo vytvořit složku se speciálním názvem a zobrazil se seznam úloh z Ovládacího panelu. Super God Mode na tomto principu staví, ale jde výrazně dál. Aktuální verze 1.2.3 generuje sedm kategorií odkazů:

• CLSID Shell Folders – systémové složky identifikované unikátními identifikátory
• Named Special Folders – pojmenované speciální adresáře Windows
• Task Links – úlohy a nastavení z Ovládacího panelu
• System Settings (ms-settings) – odkazy na podstránky moderní aplikace Nastavení
• Deep Links – hluboké odkazy na konkrétní podstránky systémových nástrojů
• URL protokoly – registrované protokoly aplikací
• Hidden App Links – skryté vstupní body nainstalovaných aplikací

Podle recenzí na PCWorld i dalších technologických serverech výsledná složka typicky obsahuje přes 1 200 zkratek. Přesný počet se liší podle verze Windows a nainstalovaných aplikací, na čistém Windows 11 jich bude méně než na systému s desítkami programů. Každopádně jde o řádově víc, než kolik jich kdy uvidíte v jakémkoli menu.

Jak ho nainstalovat a spustit

Celý proces zabere minutu, maximálně dvě. Ze stránek na GitHubu stáhnete archiv s aktuální verzí 1.2.3. Uvnitř najdete dva klíčové soubory: samotný skript Super_God_Mode.ps1 a zjednodušený spouštěč SuperGodMode-EasyLauncher.bat.

Nejjednodušší cesta je poklepat na .bat soubor. Windows vás pravděpodobně upozorní varovným dialogem SmartScreen, což je standardní chování u dávkových souborů stažených z internetu, nikoli známka škodlivosti. Po potvrzení se otevře grafické okno s výchozími volbami. Stačí kliknout na spuštění a skript vytvoří výstupní složku s přehledně roztříděnými zástupci.

Pro pokročilejšího uživatele existuje i přímé spuštění v příkazovém řádku PowerShellu powershell.exe -ExecutionPolicy Bypass -File „.\Super_God_Mode.ps1“. Tím získáte přístup k parametrům, můžete si zvolit vlastní výstupní cestu, vynechat kategorie, které nepotřebujete, nebo si nechat vygenerovat CSV přehled všech nalezených odkazů.

Důležité: projekt je pod licencí GPL-3.0, zcela zdarma, bez registrace, bez reklam. Stahujte ale výhradně z oficiálního GitHubu ThioJoe, jakýkoli jiný zdroj představuje zbytečné bezpečnostní riziko.

Na co si dát pozor

Super God Mode sám o sobě nic v systému nemění. Autor nepožaduje registraci, skript pouze čte existující systémové knihovny a definice XML a z nich vytváří zástupce. Riziko ale vzniká ve chvíli, kdy některá z těchto 1 200 položek vede k nastavení a začnete měnit volby, kterým nerozumíte.

Část zkratek vede na administrátorské nástroje a systémové politiky. Neuváženě změněná skupinová zásada dokáže zablokovat přihlášení, vypnout Windows Update nebo rozbít síťové připojení. Zlaté pravidlo: pokud nevíte, co konkrétní položka dělá, neklikejte na ni. Případně si před zásahem vytvořte bod obnovení systému.

Co se týče jazykové dostupnosti, nástroj nemá kompletní české rozhraní, ale pracuje s lokalizačními soubory Windows. Na českém systému se proto řada názvů zobrazí česky, struktura složek a některé popisy zůstávají anglické.

Pro koho to má smysl

Na českém trhu v červenci 2026 běžel Windows 11 na téměř třech čtvrtinách počítačů, Windows 10 klesl na 26 % a jeho standardní podpora skončila už v říjnu 2025. Super God Mode funguje na obou systémech, ale plný potenciál rozbalí právě na jedenáctce, kde je struktura nastavení nejrozvětvenější.

Největší užitek z něj vytěží uživatelé, kteří chtějí mít systém pod kontrolou, ale nechtějí trávit hodiny hledáním položky v pěti různých rozhraních. IT správci ocení CSV export jako rychlý audit dostupných systémových cest. A i běžný uživatel může potřebovat najít funkce, o kterých netuší, třeba přímý odkaz na správu úložiště, pokročilé nastavení zvuku nebo konfiguraci nočního režimu bez proklikávání čtyř podmenu.

Windows mají pod kapotou víc, než kolik vám kdy ukážou sami od sebe. Super God Mode je jen zkratka k tomu, co tam celou dobu bylo, stačí vědět, kde hledat.

Jak proměnili firemní nástroj v odposlech

Systém, který útočníci zneužili k odposlechu, není žádný špionážní software. Jde o takzvaná content compliance pravidla, běžnou administrátorskou funkci v podnikových e-mailových systémech, jako je Google Workspace. Slouží typicky k tomu, aby organizace mohla automaticky kontrolovat obsah zpráv, filtrovat citlivé informace nebo směrovat poštu podle interních politik.

UNC6508 tuto funkci obrátila proti jejím uživatelům. Útočníci vytvořili pravidlo pojmenované „Patroit“, s překlepem, který se stal jedním z identifikačních znaků kampaně. Pravidlo obsahovalo sadu regulárních výrazů, které hlídaly klíčová slova, e-mailové adresy a vzory v předmětu i těle přijatých a odeslaných zpráv. Každý e-mail, který odpovídal některému z filtrů, se tiše přeposlal ve skryté kopii na gmailový účet BebitaBarefoot774@gmail.com ovládaný útočníky. Google tento účet po odhalení zablokoval.

Podle dalšího materiálu GTIG pravidlo pracovalo s přibližně 150 definovanými výrazy. Zhruba třetina z nich mířila na vojenské systémy a obranné kontraktory, výrazně zastoupené byly bezpilotní systémy a protidronová obrana. Další výrazy pokrývaly umělou inteligenci, kyberofenzivní operace, indo-pacifickou strategii, ale i medicínský výzkum včetně konkrétních patogenů, jako je virus Chikungunya. Cíle odpovídají známým strategickým prioritám Pekingu.

Malware, který přežil i aktualizaci systému

Vstupní bod útoku Google nedokázal s jistotou potvrdit. Útočníci ale zřejmě využili veřejně dostupné a zastaralé verze REDCap, platformy, kterou podle oficiálního webu project-redcap.org používá přes 8 400 partnerských institucí ve 166 zemích. Analýza společnosti Censys z června 2026 ukázala, že z více než 8 500 viditelných instancí běželo pouhých 1,18 % na nejnovější verzi. Zbytek představoval potenciální terč.

INFINITERED je malware na míru napsaný v PHP přímo pro prostředí REDCap. Trojanizoval legitimní soubory zodpovědné za upgrade, autentizaci a hooky aplikace. Díky tomu přežil i aktualizace systému, při každém upgradu se znovu zapsal do nových souborů. Ukradené přihlašovací údaje neukládal do podezřelého souboru, ale do legitimní databázové tabulky redcap_sessions, kde splynuly s běžnými záznamy. Backdoor se aktivoval jen tehdy, když přijal požadavek se speciální cookie REDCAP-TOKEN a správným ověřovacím řetězcem. Jinak se tvářil jako neexistující.

Útočníci navíc maskovali svůj provoz přes kompromitované domácí routery, rezidenční proxy servery a VPS s americkými IP adresami. Jeden z identifikovaných přístupových bodů vedl přes kompromitovaný router ASUS s IP adresou 23.169.65.49. Pro oběť tak komunikace vypadala jako běžný americký provoz.

Proč nikdo nic neviděl přes rok

Kombinace maskovacích prvků vysvětluje, jak mohla operace běžet tak dlouho bez povšimnutí. Malware se skrýval v souborech, které administrátoři považovali za součást systému. Exfiltrace e-mailů probíhala přes legitimní administrátorskou funkci, ne přes novou podezřelou binárku. A přihlašovací údaje, které útočníci nasbírali z REDCap serverů, se překrývaly s přístupovými údaji pro jiné systémy, včetně administrátorských účtů podnikové pošty.

Podle GTIG auditní logy v Google Workspace existují a změny v content compliance pravidlech se do nich zapisují. Problém je, že organizace je musí aktivně monitorovat, nastavit na ně upozornění a sdílet je se svým bezpečnostním týmem. Pokud to nedělají, pravidlo „Patroit“ vypadá v administrátorské konzoli jako kterékoli jiné interní nastavení.

U čínských státem podporovaných skupin přitom nejde o výjimku. Mandiant u skupiny UNC5221 s backdoorem BRICKSTORM zdokumentoval průměrnou dobu přítomnosti v síti 393 dní. Skupina UNC3886 operovala s více vrstvami persistence v hypervizorech a síťových zařízeních od konce roku 2021. Trpělivost je u těchto aktérů metoda, ne anomálie.

České instituce nejsou mimo hru

REDCap není jen americká záležitost. V Česku platformu prokazatelně provozuje Fakultní nemocnice u sv. Anny v Brně prostřednictvím svého výzkumného centra FNUSA-ICRC, kde běží projekty napojené na síť klinických studií CZECRIN. Na Masarykově univerzitě je veřejně dohledatelná akademická práce o audit trail review v REDCap a registrace na vědecké akce probíhají přes formuláře na doméně redcap.fnusa.cz.

Zda jsou tyto české instance vystavené stejným způsobem jako severoamerické servery, veřejně nevíme. Stejně tak není jasné, jestli provozují aktuální verze a jak mají nastavenou síťovou segmentaci. NÚKIB ve své zprávě o stavu kybernetické bezpečnosti za rok 2023 uvádí zvýšenou aktivitu aktérů spojených s Čínou a zmiňuje i vysoce pravděpodobný čínský průnik do sítě strategické instituce v ČR. Specifické veřejné varování k UNC6508 a REDCap se ale v dostupných materiálech NÚKIB nepodařilo dohledat.

Co dělat hned teď

Google doporučuje organizacím provozujícím REDCap okamžitý kontrolní seznam: nasadit dvoufaktorové ověření odolné vůči phishingu pro administrátorské účty, aktualizovat REDCap na nejnovější verzi, odstranit staré paralelní instalace a spustit na serverech YARA pravidlo G_Backdoor_INFINITERED_1. Správci by měli hledat soubor help.php, porovnat SHA256 hashe klíčových komponent s publikovanými IOC a v auditních logách Workspace pátrat po neoprávněných změnách content compliance pravidel, konkrétně po pravidlu „Patroit“ a přeposílání na zmíněný Gmail.

Na síťové úrovni je třeba hledat cookie REDCAP-TOKEN, specifický identifikační řetězec ej671a16i7fd8202nu6ltfg5p6x7u a komunikaci s IP 23.169.65.49. Hotová detekční pravidla pro Google SecOps zveřejnil na komunitním fóru Google Cloud bezpečnostní analytik David Nehoda den po publikaci hlavního reportu.

Tahle operace ukazuje nepříjemnou pravdu: i po záplatování vstupního bodu může kompromitace přežít měsíce, pokud organizace recykluje hesla mezi systémy a nekontroluje, kdo a kdy změnil pravidla v administrátorské konzoli pošty. Nejnebezpečnější backdoor není ten, který se tváří jako cizí kód, je to ten, který vypadá jako běžná firemní konfigurace.

Jak to vlastně funguje, a proč to ještě nespadlo

USB standard s kaskádovým zapojením hubů počítá. Podle technické dokumentace Microchip může USB systém obsahovat až sedm úrovní (tierů) včetně kořenového hubu, takže tři externí huby zapojené za sebou jsou z hlediska specifikace v pořádku.

Jenže „v pohodě z hlediska specifikace“ a „v pohodě jako úložiště“ jsou dvě velmi odlišné věci. Počítač s největší pravděpodobností vidí deset samostatných jednotek, deset nezávislých médií. Nic nenasvědčuje tomu, že by otec použil jakýkoli software pro jejich sloučení do jednoho logického svazku, jako je diskový pooling nebo RAID. Takže místo jednoho disku má deset malých šuplíků, ve kterých musí vědět, co kam uložil.

Sdílená trubka pro deset zařízení

Všech deset flash disků sdílí jednu upstream cestu k počítači. Pokud je celá sestava připojená přes USB 3.2 Gen 1, teoretický strop činí 5 Gb/s. Microsoft ve své dokumentaci výslovně uvádí, že USB zařízení sdílejí dostupnou šířku pásma na společné sběrnici. Při současném přístupu na více disků se tedy kapacita dělí.

Hrubý teoretický odhad při deseti současně aktivních zařízeních vychází na každé zhruba 0,5 Gb/s, tedy asi 62 MB/s, a to ještě před započtením režijních ztrát. V praxi by ale rozdělení nebylo nutně rovnoměrné a výsledná rychlost závisí také na řadičích, protokolu a konkrétních flash discích.

K tomu přistupuje napájení. Hub bez vlastního napájecího adaptéru neposkytuje downstream portům dodatečnou energii nad rámec toho, co získá z USB připojení. Čím víc zařízení visí na jednom řetězci, tím vyšší je riziko, že některé z nich narazí na limit dostupného proudu. Typické symptomy mohou být samovolné odpojování, kolísání přenosů nebo nedokončené kopírování.

Proč to pravděpodobně vzniklo z toho, co bylo doma

Původní autor žádné vysvětlení neposkytl. Sekundární zdroje se shodují na nejpravděpodobnějším scénáři: otec postupně zaplnil jeden hub, přidal druhý a pak třetí. Flash disky různých tvarů a značek naznačují, že nešlo o jednorázový nákup, ale o postupné hromadění: firemní promo flashky, staré disky ze šuplíku nebo zbytky po dětech.

A právě v tom je jediný kontext, ve kterém to dává ekonomický smysl. Pokud všechno už leželo doma, náklady byly nulové. Jakmile by ale někdo chtěl podobnou sestavu stavět od nuly, čísla mluví jasně proti.

Kolik by to stálo dnes, a co za to dostanete

Přepočítali jsme to z aktuálních českých cen:

Za 6 387 Kč získáte 640 GB rozděleného úložiště bez redundance, se sdílenou šířkou pásma a gumičkou jako nosným prvkem.

Proti tomu stojí:

• WD Elements SE SSD 1 TB – 3 299 Kč na Alze
• Samsung T7 1 TB – 4 531 Kč na Mironetu, 4 999 Kč na Datartu

Jedno externí SSD za poloviční až dvoutřetinovou cenu nabídne víc kapacity, řádově vyšší rychlost (Samsung T7 deklaruje až 1 050 MB/s), jeden kabel a nulovou potřebu gumiček. Ano, ceny NAND v roce 2026 podle TrendForce výrazně rostly, ale koncové ceny v českém retailu zůstávají na úrovni, kde flashdisková skládačka nedává ekonomický smysl.

Génius, nebo katastrofa čekající na chvíli nepozornosti

Jako improvizace z toho, co bylo po ruce, je to vynalézavé. Jako hlavní úložiště je to deset samostatných bodů selhání bez zálohy. Stačí zaváhat rukou, škubnout kabelem nebo zkopírovat víc souborů najednou a gumička přestane být vtipná.

Pokud máte doma hromadu starých flash disků, klidně je využijte jako přenosová média, instalační klíčenky nebo offline archivy méně důležitých dat. Pro cokoliv, na čem vám záleží, pořiďte jedno SSD a k němu jednu zálohu. Otec uživatele master_JayCe ukázal, že to jde. Neukázal, že by se to mělo.

Co přesně Rusko dělá a proč je to nebezpečné

Rozlišit je potřeba dvě věci: jamming a spoofing. Jamming satelitní signál přehlušuje, takže přijímač jednoduše přestane spolehlivě určovat svou polohu. Spoofing je zákeřnější. Vysílá falešná navigační data a přesvědčuje přijímač, že se nachází jinde, než ve skutečnosti je. Evropská agentura pro bezpečnost letectví EASA uvádí, že spoofing je pro letectví rizikovější, protože se hůře odhaluje a může vyvolat falešná varování systému TAWS nebo vést k nečekaným změnám letové dráhy.

Nejde přitom jen o vojenské stroje. NATO ve svých zprávách popsalo konkrétní dopady na civilní letectví: zpoždění, přesměrování i komplikace při vzletech a přistáních. Když britská fregata HMS Somerset sledovala ruskou zpravodajskou loď Jantar, rušení GPS v oblasti zasáhlo nejen válečnou loď, ale i civilní plavidla v okolí. Posádka Jantaru navíc mířila lasery na hlídkující britský letoun P-8. Bojové schopnosti Somersetu podle Royal Navy zůstaly nedotčeny, protože vojenské chráněné navigační systémy útok ustály. Právě to ale odhalilo slabinu: civilní a méně chráněné navigační vrstvy jsou zranitelné.

Urgent Compass: ne hotový systém, ale první krok

Za zhruba 169 milionů korun Británie nekupuje hotovou celostátní síť. Kupuje dvouletý vývoj nasaditelného konceptu, který má být připraven do dubna 2028. Teprve poté přijdou na řadu demonstrační, výrobní a nasazovací fáze, tedy další a pravděpodobně výrazně dražší kroky, které z ověřeného konceptu vytvoří reálnou infrastrukturu.

Na projektu pracuje konsorcium Team Elaris, které tvoří čtyři firmy:

• QinetiQ – integrace a řízení programu
• UrsaNav – specialista na technologii eLoran
• Roke – elektronický boj a bezpečnost signálů
• GMV – navigační a řídicí systémy

Částka 6 milionů liber se může zdát malá vedle britského obranného investičního plánu v objemu 298 miliard liber na čtyři roky. Jenže přesně tak vypadá raná fáze akvizice: kupuje se schopnost ověřit koncept a otevřít cestu k plnému nasazení. Británie navíc nejedná z ničeho nic. Už v srpnu 2024 otevřela speciální testovací komoru, takzvaný „tichý hangár“, kde zkoušela odolnost vojenské techniky proti rušení GPS. Urgent Compass je logickým dalším krokem.

Proč eLoran, a ne lepší GPS

Celá pointa programu stojí na principu, kterému se v obranném žargonu říká „dissimilar backup“, tedy záloha postavená na technicky odlišném základu. Když útočník vyřadí satelitní navigaci, záloha fungující na stejném principu by mohla padnout s ní. eLoran pracuje jinak: vysílá z pozemních stanic na nízké frekvenci a s vysokým výkonem. Britské námořní doporučení k této technologii uvádí, že je „velmi nepravděpodobné“, aby ji vyřadily stejné příčiny jako GNSS.

To neznamená, že je eLoran fyzikálně nezničitelný. Znamená to, že útočník potřebuje úplně jiný typ útoku, jiné vybavení a jinou strategii. A právě tahle asymetrie je to, co z něj dělá smysluplnou zálohu. Zároveň platí, že eLoran je primárně pozemní navigační systém a jako univerzální náhrada GPS pro všechno, včetně přesné navigace v letectví, nestačí. Proto ho Británie rámuje jako doplněk, ne jako náhradu GNSS.

Problém se týká i Česka

Rušení GPS není jen záležitostí Baltu a Británie. Český Úřad pro civilní letectví vydal již v dubnu 2024 speciální věstník k jammingu a spoofingu GPS. Státní plán bezpečnosti ČR pro období 2024–2026 uvádí zvýšený počet hlášení letadel ve vzdušném prostoru FIR Praha od začátku roku 2024 a konstatuje, že se rušení postupně šíří z východní do střední Evropy.

Česko přitom není odkázáno jen na britské řešení. Evropská unie buduje vlastní vrstvy odolnosti:

• Galileo PRS – šifrovaná navigační služba pro vládní a obranné uživatele, navržená tak, aby byla odolnější vůči spoofingu i jammingu
• Navguard – projekt Evropského obranného fondu zaměřený na posílení odolnosti Galileo PRS a geolokaci zdrojů rušení
• Společný akční plán EASA a EUROCONTROL – systémová reakce na interference GNSS v civilním letectví, publikovaná v březnu 2026

Podobnou cestou jdou i další spojenci. Americké ministerstvo dopravy pokračuje v rozvoji záložních a komplementárních navigačních služeb. Německý Bundeswehr mluví o kombinaci modernizované satelitní navigace s pozemními systémy a dalšími senzory jako o součásti budoucí odolné navigace.

Závěr bez iluzí

Šest milionů liber nevyřeší evropskou závislost na satelitní navigaci. Ale jde o kontrakt, který přesouvá debatu od „jak GPS lépe chránit“ k „co použijeme, až GPS nebude spolehlivé“. A to je posun, který má smysl sledovat, zvlášť v zemi, kde počet hlášení o problémech s navigací ve vlastním vzdušném prostoru roste.

Dva systémy, ale ani jeden není to, co znáte z obchodu

Formulace „žádný Android ani iOS“ si zaslouží upřesnění. Volla OS technicky stojí na Android Open Source Projectu, tedy na stejném kódu, z něhož vychází i Android v telefonech Samsungu nebo Xiaomi. Jenže jsou z něj úplně odstraněny aplikace Google, služby Google Play i napojení na Google Cloud. Místo Obchodu Play nabízí Aurora Store, odkud lze stahovat běžné aplikace pro Android, a F-Droid pro open-source alternativy. Kdo potřebuje, aby mu fungovaly aplikace závislé na službách Googlu, může doinstalovat microG, otevřenou náhradu, která část těchto funkcí zastoupí.

Druhá volba, Ubuntu Touch, je úplně jiný svět. Jde o mobilní Linux, za nímž dnes stojí nadace UBports Foundation, která pokračuje v projektu původně zahájeném společností Canonical. Aplikace se instalují z vlastního OpenStore, místo WhatsAppu existuje WhatsWeb napojený na webovou verzi služby, místo Google Maps slouží Pure Maps nebo uNav. Přes nástroj Waydroid lze spouštět i některé aplikace pro Android, ale UBports oficiálně upozorňuje, že aplikace vyžadující Play Integrity nebo SafetyNet (typicky bankovní) pravděpodobně fungovat nebudou.

Volla OS navíc obsahuje Multi-Boot Manager. Na rychlou microSD kartu s kapacitou alespoň 32 GB lze nainstalovat druhý systém a mezi oběma přepínat. Nejde ale o přepnutí za běhu, nýbrž o restart do jiného prostředí, podobně jako u dual bootu na počítači.

Baterie, kterou vyměníte sami, a co to obnáší

Vyměnitelná baterie v telefonu s certifikací IP68 zní v roce 2026 skoro jako protimluv. Přesto ji Volla v oficiálním návodu na opravu popisuje krok za krokem: sejmete zadní kryt, vyjmete microSD kartu, odšroubujete krytku kontaktů a fyzicky odpojíte baterii. Nástroj k otevření je přibalený přímo v balení a náhradní baterie figuruje v seznamu dostupných dílů.

Háček ale existuje. Volla upozorňuje, že po neautorizované opravě negarantuje zachování voděodolnosti ani záruku na škody způsobené neodborným zásahem. To je férové varování, ale samotný fakt, že výrobce zveřejňuje návod a prodává náhradní díly, je v segmentu smartphonů stále výjimkou. Kromě baterie nabízí Plinius i podporu nanoSIM v kombinaci s eSIM a slot na microSD kartu až do kapacity 1 TB, tedy výbavu, kterou většina konkurentů v této cenové hladině už opustila.

Co dostanete za cenu vyšší střední třídy

Základní Plinius stojí v oficiálním e-shopu Volla 598 eur, tedy přibližně 14 500 Kč. Varianta Plinius Plus vyjde na 698 eur, zhruba 16 900 Kč. Plus se liší nejen větší pamětí, ale i odolnějšími zády s konektorem Pogo Pin pro budoucí příslušenství, což naznačuje určitou modularitu. Obě varianty pohání čipset MediaTek Dimensity 7300, moderní 4nm procesor střední třídy.

A tady přichází střízlivé srovnání. Na českém trhu koupíte Xiaomi Redmi Note 14 Pro 5G s téměř identickým čipem Dimensity 7300-Ultra a 256GB úložištěm za necelých 9 000 Kč. Samsung Galaxy A56 5G s výkonnějším Exynosem 1580 startuje přibližně na 12 000 Kč. Plinius za 14 500 Kč tedy není cenovým šampionem střední třídy; příplatek jde za evropský vývoj, alternativní software, opravitelnost a absenci ekosystému Googlu.

Doručení do Česka je možné přes oficiální e-shop v rámci EU. Základní Plinius by měl být expedován během 3 až 10 pracovních dnů, u varianty Plus ale obchod aktuálně uvádí zahájení expedice od konce července 2026. Českého distributora jsme v oficiálních zdrojích nenašli.

Denní použití v Česku: kde ale narazíte

Volla OS je z obou systémů reálně použitelnější pro běžné každodenní používání. Aurora Store zpřístupní miliony aplikací pro Android a microG pokryje část závislostí na službách Googlu. Přesto platí, že aplikace svázané s přísnou kontrolou integrity zařízení (například některé české bankovní nebo dopravní aplikace) nemusí fungovat. Streamovací služby většinou běží, ale bez záruky.

U Ubuntu Touch jsou omezení výrazně větší. Nativní ekosystém aplikací pro Android chybí, náhradou jsou webové aplikace a OpenStore. UBports sám systém označuje za „většinou stabilní, ale s chybějícími funkcemi“. Pro technicky zdatného uživatele, který chce maximální kontrolu a soukromí, to může být přijatelná daň. Pro člověka, který potřebuje každé ráno otevřít bankovní aplikaci a objednat si jízdenku přes PID Lítačku, je to riziko.

Volla ve svých materiálech uvádí, že systém odesílá až o 80 % méně dat než běžný Android. Logika tohoto tvrzení spočívá v tom, že bez služeb Googlu odpadá velká část komunikace na pozadí. Metodiku měření ale výrobce veřejně nedokládá, takže s tímto údajem pracujeme pouze jako s jeho tvrzením.

Není sám, ale výběr je úzký

Plinius není jediný evropský telefon s vyměnitelnou baterií a systémem bez Googlu. Fairphone 5 s /e/OS od Murena nabízí podobnou filozofii: vyměnitelnou baterii, systém bez Googlu a kompatibilitu s běžnými aplikacemi prostřednictvím App Lounge. Jde o jeho nejbližšího konkurenta, nikoli o masový trend.

Největší rebelie Pliniusu nakonec neleží v designu ani ve výkonu. Spočívá v tom, že za cenu vyšší střední třídy vrací uživateli kontrolu: nad baterií, nad možností opravy i nad tím, komu telefon posílá data. Za tuto kontrolu ale platíte nejistotou v aplikačním ekosystému a absencí české distribuce. Je to vědomá volba, nikoli kompromis z nouze.

Jak přesně TELESHIM ovládá napadený počítač

Celý mechanismus stojí na tom, že Telegram oficiálně nabízí jednoduché HTTP rozhraní pro boty. Útočníci si vytvořili vlastního bota, jehož token a identifikátor chatu mají zašifrované přímo v těle malwaru. Po spuštění na napadeném počítači TELESHIM udělá následující:

Získá identifikátor oběti podle MAC adresy síťového adaptéru, každý napadený stroj tak dostane unikátní identifikátor.
Přes metodu getUpdates si pravidelně stahuje zprávy z Telegram chatu, ve kterém útočník zadává příkazy.
Ověří, že příkaz je adresovaný právě tomuto stroji (podle MAC adresy), a pokud ano, spustí ho přes cmd.exe /C, tedy přes standardní příkazový řádek Windows.
Výstup příkazu zašifruje a pošle zpět útočníkovi jako zprávu v témže chatu.
Pokud útočník potřebuje na stanici dostat další škodlivý soubor, využije metodu getFile a soubor stáhne jako běžný dokument přes Telegram.

Persistence je zajištěna dvěma naplánovanými úlohami ve Windows: jedna s názvem shimgens se spouští každých šest minut, druhá pojmenovaná Feedback každých deset minut. Útočník tak má prakticky nepřetržitý přístup, aniž by musel generovat nápadný síťový provoz.

Proč je tak těžké útok odhalit

Tradiční kyberšpionážní malware komunikuje s vlastním řídicím serverem útočníka, s doménou nebo IP adresou, kterou mohou bezpečnostní firmy zablokovat, přesměrovat nebo označit jako škodlivou. TELESHIM tuto logiku obrací. Veškerá komunikace jde na api.telegram.org, tedy na legitimní infrastrukturu provozovanou Telegramem. Spojení je šifrované standardním HTTPS a malware navíc používá hlavičku User-Agent napodobující běžný webový prohlížeč.

Databáze MITRE ATT&CK tento vzorec popisuje jako zneužití legitimních webových služeb pro řídicí komunikaci. Útočníkům dává krytí hned dvakrát: zaprvé doména v logách nevypadá podezřele, zadruhé TLS šifrování brání inspekci obsahu bez pokročilé analýzy. Pokud organizace nesleduje konkrétně požadavky na api.telegram.org/bot* z počítačů, kde Telegram nemá co dělat, nemá důvod zpozornět. Ázerbájdžánský CERT ve svém doporučení z 22. července 2026 doporučil ověřovat jakýkoli provoz Telegram Bot API z vládních stanic, kde pro něj neexistuje provozní důvod.

Nejde přitom o žádnou novinku v principu. Zscaler ve svém loveckém průvodci HuntPedia připomíná starší malwary TeleRAT a IRRAT, které Telegram API zneužívaly obdobně. A v českém prostředí NÚKIB už v roce 2023 popsal kampaň proti diplomatickým cílům v Česku a Evropě, kde útočníci plánovali využít službu Notion jako kulisu pro řídicí komunikaci. Vzorec “řídicí server schovaný v legitimní cloudové službě” tedy není nový, jen se opakuje v nových variacích.

Kdo za kampaní stojí a na koho mířila

Zscaler veřejně uvádí pouze “vládní subjekt na Blízkém východě”, konkrétní státy ani instituce nejmenuje. Indicie ale prozrazují hodně o záměru útočníků. Návnady, kterými oběti lákali k otevření škodlivých souborů, nesly názvy jako “Protokol o spolupráci při průzkumu ropy a zemního plynu” nebo “Dohoda o zřízení společných hraničních úřadů”. Šlo tedy o cílený spear-phishing zaměřený na geopoliticky citlivou agendu, ne o masový spam.

Útočníka Zscaler přiřazuje se “střední až vyšší jistotou” k regionu východní Asie, a to na základě veřejné IP adresy, systémového lokálu napadeného stroje a pracovních hodin odpovídajících tamnímu časovému pásmu. Ke konkrétní známé APT skupině ale kampaň zatím nepřiřadil, důkazy stačí na regionální odhad, ne na spolehlivou atribuci.

Za zmínku stojí i další fáze útoku. Po TELESHIMu útočníci nasazují nástroj MIXEDKEY, který šifruje finální implantát pomocí sériového čísla disku oběti. Dešifrování tak funguje jen na zamýšleném stroji, sandbox nebo analytický počítač s jiným sériovým číslem payload nerozbalí. Finální implantát BINDCLOAK Zscaler zatím podrobně nepopsal a avizuje jeho rozbor v druhém díle analýzy.

Co to znamená pro Česko a jak se bránit

Technicky nic nebrání tomu, aby stejný postup zasáhl i české vládní instituce. Kampaň stojí na obecných Windows technikách (DLL sideloading, naplánované úlohy, odchozí HTTPS) a na zneužití služby, kterou řada organizací v odchozím provozu neomezuje. NÚKIB ve své analýze komunikačních aplikací z roku 2026 navíc upozorňuje, že Telegram má v některých oblastech slabší bezpečnostní model než někteří konkurenti: skupinové chaty nejsou ve výchozím nastavení šifrované end-to-end a data se ukládají na serverech provozovatele.

Praktická obrana proti tomuto typu útoku existuje a není složitá:

Na kritických serverech a vládních stanicích blokovat odchozí komunikaci na api.telegram.org/bot*, pokud pro ni neexistuje provozní důvod.
Omezit odchozí HTTPS jen na schválené domény, tedy princip whitelistu, který NÚKIB dlouhodobě doporučuje ve svých veřejných materiálech pro administrátory.
Centrálně logovat síťové události a aktivně hledat naplánované úlohy s neobvyklými názvy, DLL sideloading a beaconing na známé indikátory kompromitace.
Prověřovat jakýkoli Telegram Bot API provoz z prostředí, kde nemá co dělat.

Veřejné zdroje nedávají podklad pro tvrzení, že tato konkrétní červencová kampaň zasáhla Česko. Vzorec je ale českému prostředí známý a technické předpoklady pro jeho úspěch, tedy nedostatečné řízení odchozí komunikace, jsou univerzální.

Celá kampaň ukazuje jednu věc: nejnebezpečnější není Telegram jako aplikace, ale princip, kdy útočník schová řídicí komunikaci do služby, kterou síťový automatický dohled považuje za neškodnou. Dokud organizace neřeší, proč její server komunikuje s Bot API chatovací služby, bude tenhle trik fungovat, ať už přes Telegram, Notion, nebo cokoli dalšího.

Telefonát místo malwaru

Kampaň UNC6040 stála na vishingu, tedy telefonickém podvodu. Operátoři se vydávali za IT podporu a během hovoru vytvářeli tlak: tvrdili, že je nutná okamžitá aktualizace vícefaktorového ověření nebo že zaměstnanec musí potvrdit bezpečnostní změnu. Oběť pak otevřela stránku login.salesforce.com/setup/connect a schválila připojenou aplikaci, která jen napodobovala známý nástroj Data Loader, ale vystupovala pod jiným názvem a brandingem.

Jakmile útočník získal OAuth souhlas, nepotřeboval se znovu přihlašovat. Aplikace měla legitimní API přístup k datům v CRM, tedy ke kontaktům, obchodním příležitostem i poznámkám. Nešlo o nápadný ransomware, který zašifruje servery a zobrazí výkupné. Šlo o tichý export dat, který v běžných logech téměř nezanechal stopu.

Že nešlo o okrajovou záležitost, potvrdil i samotný Google. Podle aktualizace GTIG ze srpna 2025 zasáhla kampaň jednu z jeho vlastních korporátních instancí Salesforce. Útočníci získali základní obchodní kontakty pro segment malých a středních firem, převážně veřejně dostupné informace, ale samotný fakt průniku do infrastruktury ukazuje, jak účinná tato metoda je.

Druhá cesta dovnitř: špatně nastavený portál

Vedle vishingu existuje ještě jedna větev stejného problému. V březnu 2026 Salesforce upozornil na zneužívání veřejně přístupných portálů Experience Cloud, které firmy provozují pro zákazníky nebo partnery. Pokud administrátor ponechal výchozí nastavení příliš otevřené (typicky uživatelský profil hosta s přístupem k interním objektům CRM), mohl kdokoli bez přihlášení číst data, která tam být neměla.

Salesforce uvedl, že nejde o zranitelnost platformy, ale o chybnou konfiguraci na straně zákazníka. Jenže výsledek je stejný: data unikla, aniž by útočník musel cokoli „hacknout“ v klasickém smyslu.

Klasické zabezpečení zkrátka nestačí

Standardní bezpečnostní nástroje většinou hlídají přihlášení a podezřelý software na koncových zařízeních. Útok přes OAuth ale vypadá jako běžný provoz: schválená aplikace přistupuje k datům jménem uživatele, který ji sám autorizoval. Microsoft v červnových poznámkách k vydání Defender for Cloud Apps v roce 2026 přímo uvedl, že moderní útoky na Salesforce „často obcházejí MFA i tradiční kontroly“, protože zneužívají legitimní OAuth tokeny, relace (sessions) a API.

Proto Microsoft přidal do svého konektoru pro Salesforce nové detekční schopnosti zaměřené na anomální OAuth aktivitu. Plný efekt ale vyžaduje zapnutý Salesforce Real-Time Event Monitoring; bez něj je viditelnost omezená a detekce opožděná.

Co může firma udělat hned

I bez drahých bezpečnostních licencí má administrátor Salesforce k dispozici konkrétní kroky, které útočníkům cestu výrazně ztíží:

• Přepnout připojené aplikace na režim „Uživatelé schválení administrátorem jsou předem autorizováni“. Běžný uživatel pak nemůže sám schválit novou aplikaci.
• Zkontrolovat přehled OAuth Connected App Usage, ponechat jen důvěryhodné aplikace a neznámé zablokovat.
• Omezit nebo odebrat Data Loader tam, kde ho zaměstnanci nepotřebují.
• Zkontrolovat oprávnění uživatelů, zejména kdo má oprávnění Manage Connected Apps, Modify All Data nebo Approve Uninstalled Connected Apps.
• U portálů Experience Cloud auditovat oprávnění uživatelského profilu hosta a nastavit výchozí sdílení na soukromé.

Od září 2025 navíc Salesforce sám omezuje používání nenainstalovaných připojených aplikací. Aplikaci, kterou administrátor výslovně neschválil, systém automaticky zablokuje.

Pro zaměstnance platí jednoduché pravidlo: pokud vám někdo po telefonu tvrdí, že je z IT, a chce, abyste okamžitě schválili aplikaci, otevřeli stránku pro správu připojených aplikací nebo nadiktovali MFA kód, hovor ukončete a ověřte si požadavek přes interní helpdesk nebo ticketovací systém. Legitimní IT podpora takové údaje po telefonu nevyžaduje.

Český právní rozměr

Pokud při takovém útoku uniknou osobní údaje, česká firma musí jednat rychle. ÚOOÚ vyžaduje ohlášení porušení zabezpečení osobních údajů do 72 hodin od zjištění, pokud incident představuje riziko pro práva a svobody dotčených osob. Při vysokém riziku je nutné informovat i samotné postižené.

Pro poskytovatele regulovaných služeb podle zákona č. 264/2025 Sb. o kybernetické bezpečnosti jsou lhůty ještě přísnější: prvotní hlášení NÚKIB do 24 hodin, doplnění do 72 hodin a závěrečná zpráva do 30 dnů. Běžná neregulovaná firma tuto povinnost vůči NÚKIB automaticky nemá, dobrovolné hlášení je ale možné a v některých případech doporučované.

Celá kampaň ukazuje nepříjemnou pravdu: nejslabším článkem firemního zabezpečení nemusí být software, ale okamžik, kdy důvěřivý člověk řekne „ano“ někomu, kdo se zeptal správným tónem a ve správný čas. A proti tomu neexistuje žádná bezpečnostní záplata, jen dobře nastavená pravidla a školení, která zabrání tomu, aby jediné „ano“ otevřelo cestu do celého systému.

Co přichází tedy po 24. červnu

Datum 24. 6. 2026 není žádný jediný zlomový okamžik. Vztahuje se ke konkrétnímu certifikátu Microsoft Corporation KEK CA 2011, který sloužil k podepisování změn v databázích Secure Boot. Tři dny nato, 27. června, expiroval i Microsoft UEFI CA 2011, tedy certifikát ověřující samotné bootloadery a ovladače třetích stran. Poslední z trojice, Microsoft Windows Production PCA 2011, vyprší až 19. října 2026 a váže se přímo k podpisu Windows Boot Manageru. Jde tedy o kaskádu, nikoli o jeden zlomový okamžik. Každá expirace uzavírá další možnosti pro budoucí opravy v té nejcitlivější vrstvě systému, ještě předtím, než se vůbec načte operační systém.

Microsoft přitom začal nové certifikáty z roku 2023 na podporované stroje distribuovat postupně již od dubna 2026 přes Windows Update. Na způsobilých počítačích s Windows 11 se od květnové aktualizace objevila i složka C:\Windows\SecureBoot, s nástroji pro podnikovou automatizaci. Rollout tedy nebyl jednorázový, probíhal a stále pokračuje.

Koho se to týká a jak to poznáte

Většina podporovaných počítačů s Windows 10 nebo Windows 11 a zapnutým Secure Bootem měla nové certifikáty dostat automaticky, bez zásahu uživatele. Skutečný problém nastává u strojů, které na aktualizaci z nějakého důvodu nedosáhly:

• Firmware limit – starší BIOS/UEFI neumí zapsat nové UEFI proměnné s certifikáty 2023 a výrobce nevydal aktualizaci.
• Pozastavený rollout – Microsoft u části zařízení distribuci záměrně zdržel kvůli nekompatibilitě.
• Vypnutý Secure Boot – počítač aktualizaci vůbec nepotřeboval, ale zároveň ji nedostal.
• Nepodporovaný systém – Windows 11 nainstalovaný na hardwaru nesplňujícím minimální požadavky nemá garantovanou podporu, natož aktualizaci Secure Boot.

Nejjednodušší kontrola vede přes aplikaci Zabezpečení Windows → Zabezpečení zařízení → Secure Boot. Zelená ikona s textem potvrzujícím použití všech certifikátů znamená, že je vše v pořádku. Žlutá signalizuje doporučenou akci, často firmwarové omezení. Červená znamená, že existuje problém na úrovni zabezpečení startu systému, který stará konfigurace nedokáže opravit. ASUS ve svých materiálech navíc popisuje ověření přes PowerShell, konkrétně kontrolu přítomnosti certifikátů Microsoft Corporation KEK 2K CA 2023, Windows UEFI CA 2023 a Microsoft UEFI CA 2023.

Proč to nejde vyřešit jednou záplatou přes Windows Update? Protože nejde o běžný soubor v systému. Aktualizace vyžaduje koordinaci mezi Windows a UEFI firmwarem, zápis certifikátů přímo do firmwarových proměnných a kompatibilní chování ze strany firmwaru výrobce. Na pozadí běží naplánovaná úloha Secure-Boot-Update, která se spouští při startu a poté každých 12 hodin a snaží se bezpečně zapsat nové hodnoty. Jenže u části zařízení musí výrobce dodat vlastní firmwarovou podporu a tam Microsoft nemá možnost zasáhnout sám.

Proč na tom záleží: případ BlackLotus

Celá akce kolem nových certifikátů nevznikla z byrokratických potřeb. Stojí za ní konkrétní hrozba. BlackLotus je UEFI bootkit, který běží ještě před načtením operačního systému. Útočníci přes něj zneužívali zranitelnost CVE-2022-21894 a dokázali obejít některé bezpečnostní mechanismy, například ochranu integrity kódu (HVCI), obejít BitLocker a deaktivovat Windows Defender. ESET ho jako první veřejně analyzovaný UEFI bootkit popsal jako hrozbu, která dokázala obejít Secure Boot i na plně aktualizovaném Windows 11.

Právě proto Microsoft řeší nové certifikáty, nové podpisy Boot Manageru a revokace starých zranitelných komponent. Bez nich nelze do budoucna odřezávat kompromitované bootloadery. Počítač, který zůstal na certifikátech z roku 2011, je chráněn proti dříve známým hrozbám, ale proti budoucím variantám podobného typu může být výrazně hůře chráněný.

Co dělat, když váš počítač aktualizaci nedostal

Panika není na místě, ale ignorování problému také není. Pokud zařízení stále startuje a běží na podporované verzi Windows, dá se situace napravit i po deadlinu. Microsoft uvádí, že nové certifikáty lze doplnit přes kumulativní aktualizace. Klíčové kroky:

1. Zkontrolujte stav v Zabezpečení Windows. Zelená = hotovo. Žlutá = zjistěte, zda výrobce nabízí aktualizaci BIOSu.
2. Navštivte podporu výrobce. Dell má veřejný seznam podporovaných platforem i modelů bez plánovaných aktualizací BIOSu. U HP a Lenovo se situace řeší podle jednotlivých modelů přes jejich globální podporu; české pobočky využívají stejné balíčky BIOSu.
3. Nevypínejte Secure Boot jako „řešení“ varování. Tím problém nezmizí, jen přestanete vidět upozornění.
4. Zvažte výměnu strojů, pokud váš model nemá plán firmwarové aktualizace, běží na Windows 10 bez rozšířené podpory nebo používá nepodporovaný hardware s Windows 11.

Riziko pro nezáplatované počítače neroste skokem, ale postupně. Konkrétní zlom přijde ve chvíli, kdy Microsoft vydá novou revokaci nebo mitigaci na úrovni startu systému proti dosud neznámé hrozbě a stará důvěryhodná konfigurace ji jednoduše nepřevezme. Od června 2026 Microsoft připouští, že takový scénář může nastat kdykoli.

Počítač bez nových certifikátů je trochu jako dům se zámkem, ke kterému už zámečník nevyrábí náhradní vložky. Dveře zatím drží. Ale příští pokus o vloupání bude těžší odrazit.