Noc, která začala drony a skončila raketami na záchranáře

Ruské ministerstvo obrany označilo útok za odvetu za ukrajinský zásah ruských vojenských letišť a tvrdilo, že cílilo výhradně na vojenské objekty, sklady zbraní a opravárenské kapacity. Realita v ulicích Kyjeva vypadala jinak. Podle agentury AP si celý útok vyžádal nejméně šest mrtvých a kolem osmdesáti zraněných napříč zasaženými oblastmi. V samotném Kyjevě hlásil Ukrajinský Červený kříž tři zabité záchranáře a 23 zraněných, z toho 14 příslušníků záchranných složek.

Právě mechanika opakovaného úderu je na celém útoku nejbrutálnější. První vlna zasáhla obytnou zástavbu. Záchranáři dorazili, začali prohledávat trosky a v tu chvíli dopadla další střela na totéž místo. Přesný minutový rozestup mezi oběma zásahy veřejné zdroje neuvádějí, ale šlo jednoznačně o řád minut, nikoli hodin. Taktika dvojitého úderu, kdy druhá salva cílí na záchranáře reagující na první zásah, je dokumentována z řady konfliktů a mezinárodní humanitární právo ji výslovně zakazuje.

Summit, který se stal svědkem

Načasování útoku je těžké považovat za náhodu. Kyjev 6. června hostil III. Mezinárodní summit měst a regionů, akci, na které vystoupili ukrajinský prezident Zelenskyj, premiér Šmyhal i šéf prezidentské kanceláře Jermak. Podle ukrajinské vlády se summitu zúčastnilo přes sto zahraničních delegací. Vicepremiér Kuleba na summitu přímo řekl, že zahraniční hosté se v noci stali osobními svědky ruského ostřelování.

Summit byl veřejně ohlášenou událostí. Rusko o něm vědělo. A přesto, nebo právě proto, Kyjev zažil jednu z nejtvrdších nočních válek. Přímý důkaz, že Moskva cílila na diplomaty, neexistuje. Ale politický signál je zřejmý: ani přítomnost zástupců desítek zemí nezabrání Rusku v útoku na ukrajinskou metropoli. Více než dva tisíce kyjevských domácností zůstaly po útoku bez elektřiny, což delegátům summitu ukázalo nejen zvuk sirén, ale i každodenní důsledky ruské agrese.

Český postoj: podpora Ukrajiny a tlak na sankce

Zda mezi fyzicky přítomnými delegacemi na summitu byli i čeští zástupci, veřejně dostupné zdroje přímo nepotvrzují. Česká diplomatická reakce v širším červnovém rámci ale byla jednoznačná. Ministr zahraničí Jan Lipavský se 13. června sešel se svým ukrajinským protějškem Andrijem Sybigou. Oba odsoudili pokračující ruský teror drony a raketami proti ukrajinským městům a řešili další českou i evropskou podporu Ukrajiny. Česko se zároveň postavilo za přijetí 18. sankčního balíku EU namířeného proti Rusku.

Lipavský se Sybiha zároveň hovořili o pokračování mírového procesu s jasnou podmínkou, že jednání musí jít ruku v ruce s tlakem na Moskvu. Dvě kola přímých americko-ruských rozhovorů, která útok předcházela, nepřinesla žádný průlom. Kreml neustoupil ze svých požadavků.

Co útok mění v diplomatické rovině

Paradoxně právě brutalita nočního útoku posílila ukrajinský argument. Delegáti, kteří přijeli jednat o obnově infrastruktury a regionálním rozvoji, si na vlastní kůži zažili, proč Ukrajina tak naléhavě vyžaduje protivzdušnou obranu. Žádný briefing ani prezentace nemůže nahradit zvuk výbuchu za oknem hotelového pokoje.

Konkrétní nové bezpečnostní protokoly pro budoucí akce na Ukrajině veřejné zdroje bezprostředně po útoku nezmiňují. Dá se ale čekat, že příští mezinárodní setkání v Kyjevě budou provázet přísnější opatření a zároveň silnější politická vůle účastníků tlačit na ukončení konfliktu. Stáhnout se by totiž znamenalo dát Moskvě přesně to, co útokem signalizovala: že zastrašování funguje.

Tři záchranáři, kteří v Solomjanském rajonu zahynuli při druhém úderu, se do žádného summitového prohlášení nedostali. Jejich smrt ale řekla víc než kterýkoli diplomatický dokument.

Jak proměnili firemní nástroj v odposlech

Systém, který útočníci zneužili k odposlechu, není žádný špionážní software. Jde o takzvaná content compliance pravidla, běžnou administrátorskou funkci v podnikových e-mailových systémech, jako je Google Workspace. Slouží typicky k tomu, aby organizace mohla automaticky kontrolovat obsah zpráv, filtrovat citlivé informace nebo směrovat poštu podle interních politik.

UNC6508 tuto funkci obrátila proti jejím uživatelům. Útočníci vytvořili pravidlo pojmenované „Patroit“, s překlepem, který se stal jedním z identifikačních znaků kampaně. Pravidlo obsahovalo sadu regulárních výrazů, které hlídaly klíčová slova, e-mailové adresy a vzory v předmětu i těle přijatých a odeslaných zpráv. Každý e-mail, který odpovídal některému z filtrů, se tiše přeposlal ve skryté kopii na gmailový účet BebitaBarefoot774@gmail.com ovládaný útočníky. Google tento účet po odhalení zablokoval.

Podle dalšího materiálu GTIG pravidlo pracovalo s přibližně 150 definovanými výrazy. Zhruba třetina z nich mířila na vojenské systémy a obranné kontraktory, výrazně zastoupené byly bezpilotní systémy a protidronová obrana. Další výrazy pokrývaly umělou inteligenci, kyberofenzivní operace, indo-pacifickou strategii, ale i medicínský výzkum včetně konkrétních patogenů, jako je virus Chikungunya. Cíle odpovídají známým strategickým prioritám Pekingu.

Malware, který přežil i aktualizaci systému

Vstupní bod útoku Google nedokázal s jistotou potvrdit. Útočníci ale zřejmě využili veřejně dostupné a zastaralé verze REDCap, platformy, kterou podle oficiálního webu project-redcap.org používá přes 8 400 partnerských institucí ve 166 zemích. Analýza společnosti Censys z června 2026 ukázala, že z více než 8 500 viditelných instancí běželo pouhých 1,18 % na nejnovější verzi. Zbytek představoval potenciální terč.

INFINITERED je malware na míru napsaný v PHP přímo pro prostředí REDCap. Trojanizoval legitimní soubory zodpovědné za upgrade, autentizaci a hooky aplikace. Díky tomu přežil i aktualizace systému, při každém upgradu se znovu zapsal do nových souborů. Ukradené přihlašovací údaje neukládal do podezřelého souboru, ale do legitimní databázové tabulky redcap_sessions, kde splynuly s běžnými záznamy. Backdoor se aktivoval jen tehdy, když přijal požadavek se speciální cookie REDCAP-TOKEN a správným ověřovacím řetězcem. Jinak se tvářil jako neexistující.

Útočníci navíc maskovali svůj provoz přes kompromitované domácí routery, rezidenční proxy servery a VPS s americkými IP adresami. Jeden z identifikovaných přístupových bodů vedl přes kompromitovaný router ASUS s IP adresou 23.169.65.49. Pro oběť tak komunikace vypadala jako běžný americký provoz.

Proč nikdo nic neviděl přes rok

Kombinace maskovacích prvků vysvětluje, jak mohla operace běžet tak dlouho bez povšimnutí. Malware se skrýval v souborech, které administrátoři považovali za součást systému. Exfiltrace e-mailů probíhala přes legitimní administrátorskou funkci, ne přes novou podezřelou binárku. A přihlašovací údaje, které útočníci nasbírali z REDCap serverů, se překrývaly s přístupovými údaji pro jiné systémy, včetně administrátorských účtů podnikové pošty.

Podle GTIG auditní logy v Google Workspace existují a změny v content compliance pravidlech se do nich zapisují. Problém je, že organizace je musí aktivně monitorovat, nastavit na ně upozornění a sdílet je se svým bezpečnostním týmem. Pokud to nedělají, pravidlo „Patroit“ vypadá v administrátorské konzoli jako kterékoli jiné interní nastavení.

U čínských státem podporovaných skupin přitom nejde o výjimku. Mandiant u skupiny UNC5221 s backdoorem BRICKSTORM zdokumentoval průměrnou dobu přítomnosti v síti 393 dní. Skupina UNC3886 operovala s více vrstvami persistence v hypervizorech a síťových zařízeních od konce roku 2021. Trpělivost je u těchto aktérů metoda, ne anomálie.

České instituce nejsou mimo hru

REDCap není jen americká záležitost. V Česku platformu prokazatelně provozuje Fakultní nemocnice u sv. Anny v Brně prostřednictvím svého výzkumného centra FNUSA-ICRC, kde běží projekty napojené na síť klinických studií CZECRIN. Na Masarykově univerzitě je veřejně dohledatelná akademická práce o audit trail review v REDCap a registrace na vědecké akce probíhají přes formuláře na doméně redcap.fnusa.cz.

Zda jsou tyto české instance vystavené stejným způsobem jako severoamerické servery, veřejně nevíme. Stejně tak není jasné, jestli provozují aktuální verze a jak mají nastavenou síťovou segmentaci. NÚKIB ve své zprávě o stavu kybernetické bezpečnosti za rok 2023 uvádí zvýšenou aktivitu aktérů spojených s Čínou a zmiňuje i vysoce pravděpodobný čínský průnik do sítě strategické instituce v ČR. Specifické veřejné varování k UNC6508 a REDCap se ale v dostupných materiálech NÚKIB nepodařilo dohledat.

Co dělat hned teď

Google doporučuje organizacím provozujícím REDCap okamžitý kontrolní seznam: nasadit dvoufaktorové ověření odolné vůči phishingu pro administrátorské účty, aktualizovat REDCap na nejnovější verzi, odstranit staré paralelní instalace a spustit na serverech YARA pravidlo G_Backdoor_INFINITERED_1. Správci by měli hledat soubor help.php, porovnat SHA256 hashe klíčových komponent s publikovanými IOC a v auditních logách Workspace pátrat po neoprávněných změnách content compliance pravidel, konkrétně po pravidlu „Patroit“ a přeposílání na zmíněný Gmail.

Na síťové úrovni je třeba hledat cookie REDCAP-TOKEN, specifický identifikační řetězec ej671a16i7fd8202nu6ltfg5p6x7u a komunikaci s IP 23.169.65.49. Hotová detekční pravidla pro Google SecOps zveřejnil na komunitním fóru Google Cloud bezpečnostní analytik David Nehoda den po publikaci hlavního reportu.

Tahle operace ukazuje nepříjemnou pravdu: i po záplatování vstupního bodu může kompromitace přežít měsíce, pokud organizace recykluje hesla mezi systémy a nekontroluje, kdo a kdy změnil pravidla v administrátorské konzoli pošty. Nejnebezpečnější backdoor není ten, který se tváří jako cizí kód, je to ten, který vypadá jako běžná firemní konfigurace.

Jak útočil a proč cílil na domácí routery

Princip byl nenápadný, ale účinný. Útočníci využili známou zranitelnost CVE-2023-50224 ve firmwaru routeru TP-Link TL-WR841N a prostřednictvím ní získali neoprávněný přístup k zařízení. Následně měnili nastavení DHCP a DNS. V praxi to znamená, že telefony, notebooky nebo tablety připojené k takovému routeru mohly automaticky používat útočníkem kontrolované DNS servery. Útočník tak mohl monitorovat dotazy na doménová jména a u vybraných služeb vracet podvržené DNS odpovědi a provádět takzvané adversary-in-the-middle útoky.

Nejzákeřnější na tom je, že si toho oběť dlouho nemusí všimnout. Žádné vyskakující okno, žádný alarm. Jen tiché přesměrování části provozu a možnost sběru hesel, autentizačních tokenů a dalších citlivých informací. Pro lidi pracující z domova to představuje potenciální cestu, kudy se útočník může dostat k citlivým informacím souvisejícím s jejich prací.

Domácí routery přitom nebyly konečným cílem. Sloužily jako levná a nenápadná infrastruktura, která umožňovala skrývat škodlivý provoz a vybírat zpravodajsky zajímavé oběti, například armádní a vládní instituce, kritickou infrastrukturu nebo organizace spojené s podporou Ukrajiny.

Které modely jsou na seznamu

Britské NCSC a další bezpečnostní instituce zveřejnily konkrétní výčet cílených modelů. Nejde tedy jen o obecné „routery TP-Link“, ale o konkrétní modelové řady, z nichž řada je starší a některé již mohou být na konci životnosti:

• Archer C5, Archer C7
• TL-MR6400, TL-MR3420
• TL-WDR3500, TL-WDR3600, TL-WDR4300
• TL-WR740N/741ND, TL-WR749N
• TL-WR840N, TL-WR841N/841ND, TL-WR841HP
• TL-WR842N/842ND, TL-WR845N
• TL-WR941ND, TL-WR945N, TL-WR1043ND, TL-WR1045ND
• TL-WA801ND, TL-WA901ND

TP-Link následně v oficiálním poradenství potvrdil, že u řady dotčených modelů jde o starší zařízení. U konkrétního routeru je ale nutné ověřit přesný model, hardwarovou revizi a dostupnost aktuálního firmwaru. Označení „oblíbené“ není přehnané: TP-Link se sám prezentuje jako jeden z předních výrobců síťových zařízení a modely jako WR841N patřily dlouhé roky k velmi rozšířeným domácím routerům.

Co se dělo v Česku

Vojenské zpravodajství se v rámci operace Masquerade v březnu 2026 zapojilo do mezinárodní operace vedené americkým FBI. Podle jeho vlastního vyjádření spočíval český zásah v úpravě nastavení části globálně zneužívané infrastruktury a zabezpečení potenciálně zneužitelných zařízení na území České republiky.

NÚKIB uvádí, že APT28 v rámci kampaně kompromitovala zařízení také v České republice. Kolik českých domácností bylo skutečně napadeno, úřady veřejně neuvedly. Stejně tak není k dispozici veřejný mechanismus, podle kterého by si běžný uživatel mohl jednoduše ověřit, zda byl jeho konkrétní router součástí kompromitované infrastruktury.

Co zkontrolovat a kdy router rovnou vyměnit

Praktický kontrolní seznam pro každého, kdo má doma TP-Link:

• Model a hardwarová verze – najdete je na štítku na spodní straně routeru nebo v administraci (obvykle na adrese 192.168.0.1 nebo 192.168.1.1). Hardwarová verze je klíčová, protože firmware pro jednu revizi nemusí fungovat na jiné.
• Srovnání se seznamem – porovnejte model s výčtem výše a ověřte jej také v oficiální poradně TP-Link.
• Firmware – na stránce ke stažení na webu TP-Link pro váš přesný model a hardwarovou verzi ověřte, zda existuje novější verze. Stahujte jen firmware odpovídající vašemu modelu, hardwarové revizi a regionu.
• Vzdálená správa – v administraci zkontrolujte, že není zapnutý přístup z internetu. Pokud ano a nepotřebujete ho, okamžitě ho vypněte.
• Heslo administrátora – pokud stále používáte výchozí přihlašovací údaje, změňte je. Ideálně použijte silné a jedinečné heslo.
• DNS servery – v nastavení DHCP/DNS by měly být buď adresy vašeho poskytovatele, nebo nastavení získávané automaticky. Neočekávaná cizí IP adresa může být varovným signálem.
• Certifikátová varování – pokud prohlížeč nebo e-mailový klient hlásí neplatné certifikáty na stránkách, kde to dříve nedělal, může jít o příznak útoku typu adversary-in-the-middle.

Pokud je váš model na seznamu EOL produktů TP-Link a výrobce pro něj nemá bezpečnostní aktualizaci, jediné spolehlivé dlouhodobé řešení je výměna za podporované zařízení. Žádná konfigurace nenahradí chybějící bezpečnostní aktualizaci. NÚKIB doporučuje u zařízení na konci životnosti zvážit jejich výměnu a současně aktualizovat firmware, změnit výchozí přihlašovací údaje a omezit vzdálenou správu z internetu.

Nejde jen o TP-Link

Tato konkrétní kampaň se týká především routerů TP-Link, zejména modelu TL-WR841N. FBI a partneři zároveň upozorňují na širší riziko kompromitovaných síťových zařízení. Jiná značka routeru proto neznamená automatické bezpečí, stejná základní pravidla platí univerzálně: aktuální firmware, silné heslo, vypnutá vzdálená správa a žádná zařízení, která výrobce přestal podporovat. NÚKIB zároveň upozorňuje, že APT28 používá celou řadu dalších technik a dlouhodobě cílí na vládní instituce, armádu, kritickou infrastrukturu a další organizace ve zpravodajském zájmu ruského státu.

Kdo doma provozuje router starý pět a více let s továrním heslem a bez bezpečnostních aktualizací, nepotřebuje čekat na ruskou rozvědku. Stačí kterýkoli běžný automatizovaný útok na zařízení připojené k internetu.

Dvě stě účtů uvnitř dvousettisícové farmy

Čísla je potřeba číst přesně, protože se snadno slévají. Síť X v srpnu 2026 oznámila odhalení přibližně 200 000 podezřelých účtů spojených s Čínou. Jenže z celé této masy se tématu datových center a energetiky věnovalo zhruba 200 účtů, tedy asi jedna desetina procenta. Zbytek sítě tlačil jiné narativy, od geopolitiky po polarizaci americké společnosti. Informaci přinesly Axios i Tom’s Hardware s odkazem na příspěvek oddělení Global Government Affairs na X.

Těch 200 účtů ale nebylo zanedbatelných. Vydávaly se za běžné Američany z různých sociálních skupin, sdílely lokální zprávy o cenách elektřiny a přidávaly emotivní komentáře generované právě přes ChatGPT. Operátoři zadávali prompty ve zjednodušené čínštině, požadovali anglické výstupy a kvůli omezenému přístupu z Číny se připojovali přes VPN. ChatGPT jim sloužil nejen k psaní textů, ale i k úpravám obrázků s energetickou tematikou, tvorbě kreslených grafik a generování kódu pro automatizaci přihlašování a správu interakcí na více platformách najednou.

Proč právě datová centra

Výběr terče nebyl náhodný. Datová centra jsou dnes kritickou infrastrukturou pro trénování i provoz AI modelů a zároveň politicky výbušným tématem. Podle Mezinárodní energetické agentury vzrostla globální poptávka datových center po elektřině v roce 2025 o 17 % a kapacitní limity rozvodných sítí mohou do roku 2030 zdržet zhruba pětinu plánované kapacity.

Tvrzení, že datová centra zdražují elektřinu domácnostem, přitom není automaticky nepravdivé. Odborná studie amerického Electric Power Research Institute ukazuje, že nové velké odběry mohou ceny pro stávající odběratele jak zvýšit, tak snížit; záleží na tarifní struktuře, volné kapacitě sítě a na tom, kdo platí investice do nové infrastruktury. Sama OpenAI ve své veřejné politické agendě prosazuje princip, že datová centra mají hradit vlastní přírůstkové náklady. Operace tedy nešířila čistou fikci. Brala reálné obavy, přibalila k nim legitimní zpravodajské články a obalila je koordinovaným, uměle vyrobeným rozhořčením. Právě v tom spočívá její nebezpečnost.

Opakující se vzorec, nové téma

Zneužití ChatGPT pro vlivové operace není novinka roku 2026. Už v únoru 2024 OpenAI popsalo státně napojené aktéry, kteří modely využívali k rešerším, skriptování a phishingu. V červnu 2025 přibyla další vlna čínských operací, „Sneer Review“ nebo „Uncle Spam“, zaměřených na geopolitiku a americké tarify. Operace „Data Center Bandwagon“ z roku 2026 přidala nový rozměr: terčem se stala přímo infrastruktura, na které AI závisí, a domácí americká debata o jejích nákladech.

OpenAI u této konkrétní kampaně uvádí, že nenašla důkaz významného průlomu mimo vlastní aktivitu sítě; příspěvky botů nezískaly masový organický dosah. Účty zablokovala a zdůrazňuje, že cílem je zvyšovat útočníkům náklady a složitost, i když zastavit každou jednotlivou instanci zneužití nedokáže. Síť X podle veřejně citovaných zdrojů podezřelé účty suspendovala.

Co to znamená pro Česko

Konkrétní českou stopu operace „Data Center Bandwagon“ se nám dohledat nepodařilo. Ale vzorec je přenositelný. Drahá energie, nedůvěra k velkým technologickým firmám, debata o kritické infrastruktuře – to jsou témata, která rezonují i tady. NÚKIB ve výhledu na roky 2026–2027 výslovně zmiňuje riziko zneužívání komunikačních platforem pro šíření škodlivého obsahu a vliv AI na bezpečnostní prostředí. Národní strategie kybernetické bezpečnosti 2026–2030 pak varuje, že čínské kybernetické operace cílí na strategicky cenné sektory a kritické systémy i v Evropě.

Pro běžného uživatele z toho neplyne, že by měl přestat používat ChatGPT. Plyne z toho něco jiného: když na sociální síti narazí na vlnu velmi podobných komentářů od účtů s generickými profilovkami, slabou historií a lokálně nevěrohodnou identitou, které sdílejí legitimní zprávy obalené emotivním rámováním, měl by zpozornět. Právě tak může vypadat moderní vlivová operace. Ne jako zjevná lež, ale jako koordinovaně zesílený názor, který se tváří jako hlas ulice.

Levný multiplikátor, ne vzpoura strojů

Z chatbotů se nestávají autonomní útočníci. Stávají se z nich levná obslužná infrastruktura pro kohokoli, kdo chce za zlomek dřívějších nákladů vyrobit tisíce zdánlivě autentických příspěvků v cizím jazyce, s lokálním kontextem a emotivním nábojem. Operace „Data Center Bandwagon“ je podle nás především ukázkou toho, jak snadno může generativní AI zlevnit výrobu falešného veřejného odporu v tématech, kde už předem existuje skutečný společenský spor.

AI se kontrole lidí nevymkla. Jen ukázala, jak ochotně poslouží těm, kdo ji chtějí použít proti její vlastní budoucnosti.

Proč útočníci loví právě řidičské průkazy

Samotné číslo řidičského průkazu vypadá nevinně. Jenže v kombinaci se jménem, adresou, telefonem a údaji o vozidle z něj vzniká kompletní identitní profil. Útočník s takovým balíkem dokáže:

• Přesvědčivě se vydávat za oběť – sjednat smlouvu, pronajmout auto nebo založit účet u služby vyžadující ověření totožnosti.
• Vést cílený vishing – zavolat s přesnými údaji, které oběť přesvědčí, že mluví s bankou nebo policií.
• Obejít KYC ověření – řada online služeb dnes vyžaduje nahrání dokladu; uniklé číslo v kombinaci s dalšími daty to útočníkům usnadňuje.

Policie ČR výslovně řadí čísla osobních dokladů mezi údaje využitelné pro finanční i kriminální krádež identity. Řidičský průkaz přitom není jen „papír na řízení“, ale slouží jako doplňkový doklad totožnosti například u bank, autopůjčoven i při uzavírání pojistek.

Letošní vlna úniků: nejde o ojedinělý případ

AssuranceAmerica není jediná. V červnu 2026 oznámil texaský úřad Texas Parks and Wildlife Department únik dat více než tří milionů zákazníků, opět včetně čísel řidičských průkazů. Incident u AssuranceAmerica je tedy více než dvojnásobně rozsáhlejší než texaský případ.

Trend má širší kořeny. Weby a aplikace stále častěji vyžadují nahrání identitních dokumentů kvůli ověřování věku nebo totožnosti. Čím více firem kopie dokladů uchovává, tím více cílů útočníci mají. Italský úřad pro ochranu osobních údajů Garante letos upozornil na nárůst úniků kopií dokladů v ubytovacím sektoru a varoval před zbytečným uchováváním těchto dat. Nejde tedy o čistě americkou anomálii, evropské firmy čelí stejnému riziku.

Co se stalo uvnitř AssuranceAmerica

Podle oficiálního oznámení firmy útok cílil na konkrétního zaměstnance. Přesný vektor útoku (zda šlo o phishing, malware nebo jiný způsob) pojišťovna nezveřejnila. Firma uvádí, že po zjištění incidentu odpojila dotčené servery, resetovala hesla, nasadila silnější monitoring a obrátila se na policii. Postiženým nabídla 12 měsíců kreditního monitoringu.

Vedení společnosti, CEO Joe Skruck ani zakladatel Guy Millner na dotazy médií neodpověděli. Veřejně není doloženo, zda útočníci požadovali výkupné, ani zda firma cokoliv zaplatila.

Vzorec útoku přes kompromitovaného zaměstnance přitom není žádná exotika. Úřad pro ochranu osobních údajů ve svých poznatcích z hlášení o narušení zabezpečení popisuje phishing jako jednu z nejčastějších vstupních cest do firemních systémů i v Česku.

České varování: stejné techniky, jiný kontinent

Veřejně potvrzený český únik čísel řidičských průkazů srovnatelného rozsahu se v otevřených zdrojích nepodařilo dohledat. To ale neznamená, že se nás problém netýká. Podvodné scénáře, které na uniklých datech stojí, v tuzemsku už běží naplno.

NÚKIB varuje před podvodnými telefonáty, při nichž se volající vydává za banku, policii nebo jinou důvěryhodnou instituci a tlačí na okamžitý převod peněz. Spoofing, tedy podvržení telefonního čísla tak, aby vypadalo jako číslo vaší banky, je přitom technicky snadno dostupná technika. Když útočník navíc disponuje vašimi osobními údaji z nějakého staršího úniku, hovor zní děsivě věrohodně.

ÚOOÚ zároveň upozorňuje, že velká část tuzemských incidentů začíná právě phishingem zaměřeným na zaměstnance. Stačí jeden klik na podvržený odkaz a útočník může získat přístup k firemním systémům.

Jak se bránit a kam se obrátit

Praktická obrana stojí na několika zásadách:

• Nikdy neprovádějte převod na základě telefonátu, i když volající zná vaše údaje. Zavěste a zavolejte instituci sami na číslo z oficiálních stránek.
• Nereagujte pod tlakem. Urgence je hlavní nástroj podvodníků; „musíte jednat hned“ je varovný signál.
• Sledujte neobvyklou aktivitu – neznámé smlouvy, služby nebo dotazy vedené na vaše jméno.
• Při ztrátě nebo odcizení řidičského průkazu to okamžitě nahlaste obecnímu úřadu obce s rozšířenou působností. Stát výslovně uvádí, že tím předcházíte zneužití údajů.
• Při podezření na krádež identity podejte oznámení na Policii ČR.
• Pokud firma nebo úřad selhaly při ochraně vašich dat, můžete podat stížnost na ÚOOÚ.

Sedm milionů uniklých záznamů za Atlantikem je varování, ne vzdálená kuriozita. Techniky útočníků nerespektují hranice a číslo vašeho řidičského průkazu má v rukou podvodníka stejnou hodnotu v Atlantě jako v Brně.

Časová osa, která mluví za vše

Klíčové datum pro nejnaléhavější položku, CVE-2026-21643, je 6. února 2026. Tehdy Fortinet publikoval poradenství a vydal opravu. Sedm týdnů klidu. Pak, kolem 24., bezpečnostní firma Defused Cyber ​​zachytila ​​první pokusy o zneužití a 30. března zveřejnila na platformě X. BleepingComputer ji převzal a rozšířil, Microsoft 6. dubna publikoval analýzu skupiny Storm-1175 a jejích operací s ransomwarem Medusa, Adobe 11. dubna potvrdil aktivní zneužití. CISA přidala relevantní CVE do KEV až 13. dubna.

Pro FortiClient EMS stanovila deadline remediace na 16. dubna, pouhé tři pracovní dny. Pro ostatní položky na 27. dubna. Formálně se povinnost vztahuje jen na americké federální úřady v režimu BOD 22-01. Pro české organizace jde o priorizační signál, ne právní závazek. Ale signál velmi hlasitý.

Co přesně je v ohrožení

Dubnová vlna KEV pokrývá spektrum od kritických serverových chyb po desktopové dokumentaci zranitelnosti. Podle provozního rizika lze seřadit takto:

• CVE-2026-21643 (FortiClient EMS 7.4.4) – neautentizovaná SQL injekce přes HTTP požadavek, žadatel nepotřebuje žádné údaje. Defused popsal vektor přes hlavičku „Site“ a odhadl zhruba tisíc veřejně vystavených instancí. Dopad: vzdálené spuštění kódu na management serveru.
• CVE-2023-21529 (Exchange Server 2013/2016/2019) – deserializace nedůvěryhodných dat, vyžaduje autentizaci, ale Microsoft potvrzuje využití lidí Storm-1175. Po průniku aktér zakládá nové účty, nasazuje web shell, pohybuje se později přes LOLBins a tunely Cloudflare ak exfiltraci a ransomwaru přechází někdy do 24 hodin.
• CVE-2026-34621 a CVE-2020-9715 (Adobe Acrobat/Reader) – prototypové znečištění bez použití. Podmínkou je otevření škodlivého souboru uživatelem. Masově rozšířený software, ale útočník potřebuje spolupráci oběti.
• CVE-2023-36424 a CVE-2025-60710 (Windows) – lokální eskalace oprávnění. Samy o sobě neumožní vstup do systému, ale po prvotním průniku útočníkovi otevřou cestu k plné kontrole.
• CVE-2012-1854 (VBA/VBE6.dll) – nebezpečné načítání knihoven, opraveno už v červenci 2012. Microsoft tehdy psal o „omezených, cílených útocích“. Mezi původní záplatou a zařazením do KEV uplynulo téměř čtrnáct let. Důvod? Knihovna VBE6.dll žije i v aplikacích třetích stran, kde ji výrobce nemusel nikdy aktualizovat.

Některé sekundární zdroje pracovaly s počtem šest zranitelností. Otevřené záznamy NVD a KEV k této vlně ale skládají sedm CVE.

Proč „pozdě“ není chyba jednoho úřadu

KEV není systém včasného varování. Je to federální priorizační katalog, který formalizuje to, co je už potvrzeno aktivně jako zneužívané, a nastavuje závazné termíny pro americké úřady. Rychlost detekce závisí na jiných vrstvách: telemetrie výrobců, firem specializovaných na reakce na incidenty a komunitní bezpečnostní scénu.

U FortiClient EMS to ilustruje předávek řetězce. Fortinet opravil v únoru, ale o zneužití nevěděl. Defused ho zachytil v březnu, ale zveřejnil až o dny později. Microsoft v dubnu přidal kontext o Storm-1175. CISA katalogizovala až poté. Každý článek řetězu měl svou logiku, a přesto organizace, které nemonitorují víc než jeden zdroj, mohly být vystaveny útoku celé týdny.

Pro český kontext je to zvláště relevantní. NÚKIB ve svém inzerátu přímo zmiňuje správu „Fortinet technologií, EMS, FortiClient a EDR“, což potvrzuje, že FortiClient EMS běží iv české státní infrastruktuře. On-prem Exchange? Ve výroční zprávě NÚKIB za rok 2021 tvořily zranitelnosti Exchange typu ProxyLogon a ProxyShell téměř pětinu evidovaných incidentů v ČR.

Co dělat teď

Priorita číslo jedna: zjistit, zda je FortiClient EMS nebo Exchange Server vystavený do internetu. Právě internetová rozhraní pro správu expozice dělá z těchto chybných kritických problémů, víc než samotné skóre CVSS.

Konkrétní kroky podle produktu:

• FortiClient EMS: ověřit verzi serveru, postižená je 7.4.4, upgrade na 7.4.5 nebo vyšší. Pokud nelze záplatovat okamžitě, stáhnout rozhraní pro správu za VPN nebo allowlist.
• Exchange Server: aplikovat bezpečnostní aktualizace pro dotčené verze CU. Monitorovat nové účty, web shelly, nástroje RMM a tunely Cloudflare, přesně tak Microsoft popisuje chování Storm-1175 po průniku.
• Adobe Acrobat/Reader: aktualizováno na verzi 26.001.21411 nebo 24.001.30362. Poučit uživatele, aby neotevírali neočekávané přílohy ve formátu PDF.
• Windows: standardní cesta přes Windows Update, WSUS nebo SCCM.
• VBA/VBE6.dll: pro CVE-2012-1854 existuje alternativní řešení, zakázat načítání knihoven z WebDAV a vzdálených síťových sdílení. Pozor: pokud VBE6.dll žije v aplikaci třetí strany, záplatu musí dodat jejího výrobce.

Kdo tu koho honí

Veřejně vyčíslené škody této konkrétní dubnové vlny zatím neexistují. Microsoft ale uvádí, že Storm-1175 zasahuje zdravotnictví, školství, finanční sektor a profesionální služby v USA, Británii a Austrálii, přičemž od prvního průniku k nasazení ransomwaru Medusa dokáže přejít během dnů. Otázka pro každého správce tedy nezní, jestli záplatovat. Zní, proč to ještě neudělal.

Co se stane, když otevřete špatné PDF

Řetězec útoku je elegantně jednoduchý, a právě proto nebezpečný. Stačí otevřít podvržený dokument v Adobe Acrobat Readeru. Žádné makro, žádný další klik, žádné potvrzovací okno.

Po otevření se spustí podvodný JavaScript, který zneužije chybu označenou jako CVE-2026-34621, jde o takzvanou prototype pollution (CWE-1321), tedy nesprávně kontrolovanou modifikaci prototypových atributů objektů. Exploit díky ní získá přístup k privilegovaným Acrobat API, která by za normálních okolností JavaScript v PDF volat nemohl. Konkrétně:

• Přečte jazyk systému, verzi Readeru, přesnou verzi operačního systému a lokální cestu k otevřenému souboru.
• Přes funkci „util.readFileIntoStream()“ dokáže číst i další lokální soubory dostupné procesu Readeru.
• Přes „RSS.addFeed()“, legitimní součást Acrobat SDK, odešle sebraný profil na vzdálený server.
• Server může v odpovědi vrátit další JavaScript, který se skutečně spustí. Li to ve vlastním testu ověřil.

Jde o klasický otisk zařízení: útočník nejdřív zjistí, koho napadl, a teprve pak rozhodne, jestli doručí druhou fázi, potenciálně vzdálené spuštění kódu nebo únik ze sandboxu.

Čtyři měsíce ve tmě

Časová osa ukazuje, jak dlouho měli útočníci volné pole:

• 28. listopadu 2025 – na VirusTotal se objevuje starší varianta exploitu. Nejstarší veřejně dohledatelná stopa kampaně.
• 23. března 2026 – na VirusTotal přibývá novější vzorek.
• 26. března 2026 – vzorek je nahrán do systému EXPMON, který ho automaticky označí jako podezřelý.
• 7. dubna 2026 – Haifei Li publikuje první veřejnou analýzu, den poté doplňuje nález starší varianty z listopadu.
• 11. dubna 2026 – Adobe vydává bezpečnostní aktualizaci APSB26-43.
• 13. dubna 2026 – americká agentura CISA zařazuje chybu do katalogu aktivně zneužívaných zranitelností (KEV) s termínem nápravy do 27. dubna.

Zajímavý detail: Adobe den po vydání záplaty zpětně opravil hodnocení závažnosti. Původní CVSS skóre 9,6 snížil na 8,6, přehodnotil vektor útoku z „Network“ na „Local“, protože exploit vyžaduje, aby uživatel soubor skutečně otevřel. I tak jde o kritickou závažnost.

Proč je to horší, než vypadá

Technicky existují nebezpečnější zranitelnosti, takové, které nevyžadují žádnou interakci. Jenže CVE-2026-34621 útočí přes formát, kterému firmy důvěřují ze své podstaty. Faktury, dodací listy, celní dokumenty, smlouvy, objednávky, PDF je lingua franca obchodní komunikace. Účetní oddělení, logistika, procurement, zákaznická podpora: všude se denně otevírají desítky externích PDF, často od neznámých odesílatelů.

Pro srovnání: lednová zero-day v Microsoft Office (CVE-2026-21509) měla v únorovém bezpečnostním updatu nižší závažnost a nebyla zařazena do CISA KEV. Obě chyby jsou silné pro cílený kybernetický podvod přes dokument, ale u Adobe varianty je potvrzené reálné zneužívání a delší okno exploatace.

Veřejně potvrzené české případy jsme v materiálech NÚKIB, ani v čtvrtletním přehledu hrozeb za Q1 2026, nedohledali. To ale neznamená, že se kampaň českým firmám vyhnula. Znamená to jen, že veřejné potvrzení chybí.

Co udělat hned

Záplata existuje od 11. dubna 2026. Opravené buildy jsou 26.001.21411 pro Continuous track a 24.001.30362 / 24.001.30360 pro Acrobat 2024. Následný update 26.001.21431 z 14. dubna přidává další opravy, nejlepší je aktualizovat na nejnovější dostupnou verzi přes „Nápověda > Zkontrolovat aktualizace“.

Pokud jste v posledních měsících otevírali neočekávaná PDF v Adobe Readeru, stojí za to zkontrolovat víc než jen verzi softwaru:

• Prověřte odchozí síťová spojení na IP adresy „169.40.2.68:45191“ a „188.214.34.20:34123“, které Li identifikoval jako C2 servery.
• V proxy logách hledejte HTTP/HTTPS provoz s user-agentem „Adobe Synchronizer“.
• Podezřelé soubory nemazejte, uchovejte kopii pro případnou forenzní analýzu.
• Alternativní PDF prohlížeče (Foxit, vestavěné prohlížeče v Chrome nebo Edge) nejsou na tuto konkrétní CVE veřejně potvrzeny jako zranitelné. Pro nevyžádané přílohy mohou být rozumnou první volbou.

Spoléhat na antivir nestačí. V době odhalení měl škodlivý vzorek detekci pod 8 %. Nejúčinnější obrana je ta nejbanálnější: neotevírat neočekávaná PDF na neaktualizované stanici.

Dvě vrstvy škody v jedné infekci

Klasické bankovní trojany pro Android fungují jednoduše: překryjí přihlašovací obrazovku bankovní aplikace falešným formulářem, zachytí heslo, případně přečtou SMS s ověřovacím kódem. Mirax tohle všechno umí, overlaye, keylogging, vzdálené ovládání displeje, sběr informací o zámku zařízení. Cleafy napočítalo 182 cílových aplikací, od španělských bank po kryptoměnové peněženky.

Jenže nad tím vším běží druhá vrstva. Mirax otevírá WebSocket tunel na portu 8445, nad ním staví SOCKS5 proxy s multiplexingem Yamux a telefon začne fungovat jako výstupní bod pro provoz útočníků. Když pak někdo z jejich sítě provádí password spraying, přebírá cizí účty nebo se zapojuje do DDoS, vypadá to, jako by provoz šel z obyčejné domácí IP adresy v Madridu, Lisabonu, nebo kdekoliv, kde sedí oběť. Žádné podezřelé datacentrum, žádná VPN. Rezidenční adresa, za kterou stojí reálný člověk s reálnou smlouvou u operátora.

Právě tohle považujeme za nejnebezpečnější aspekt Miraxu. Jedna úspěšná infekce nese dvě monetizační vrstvy: přímou krádež peněz a dlouhodobě využitelnou infrastrukturu. A co je horší, proxy komponenta vyžaduje méně oprávnění než plný RAT. I když uživatel odmítne udělit Accessibility, ale aplikaci nechá nainstalovanou, útočníci z ní pořád mohou těžit jako z proxy uzlu.

Jak se Mirax dostane do telefonu

Infekční řetězec není žádný zero-click exploit. Vyžaduje aktivní spolupráci uživatele, jenže je navržený tak, aby ji dostal.

1. Reklama na Facebooku nebo Instagramu – typicky nabídka bezplatného IPTV nebo sportovního streamu. Cleafy odhaduje dosah přes 200 000 Meta účtů, ale to neznamená 200 000 infekcí; jde o počet lidí, kteří reklamu viděli.
2. Phishingová stránka – po kliknutí se otevře web napodobující legitimní službu.
3. Stažení APK z GitHub Releases – dropper se tváří jako přehrávač videa, typicky s názvy jako „StreamTV“ nebo „Reproductor de video“.
4. Povolení instalace mimo Play Store – Android na to upozorní, ale uživatel lačný po bezplatném fotbalu klikne „Povolit“.
5. Požadavek na Accessibility Settings – klíčový moment, který malwaru otevře dveře k overlayím a vzdálenému ovládání.

Po instalaci se zobrazí falešná hláška o selhání. Uživatel mávne rukou. Mirax běží. Útočníci navíc mění hash vzorků každý den, přebalují APK, rotují podpisy, nové soubory přidávají do existujících GitHub Releases místo zakládání nových. Automatické skenery, které hledají známé hashe, tak nestíhají.

Proč by to mělo zajímat Čechy

Dosud zdokumentované kampaně cílily primárně na španělsky mluvící uživatele; v rozebrané kampani bylo jedinou cílovou zemí reklam Španělsko. V seznamu jazyků, které Mirax podporuje, najdeme polštinu, němčinu, francouzštinu i portugalštinu, ale ne češtinu. Veřejně potvrzené české případy neexistují.

To ale neznamená klid. Model „private MaaS“ (malware jako služba pro úzký okruh prověřených partnerů) je navržený pro expanzi. Stačí přidat české overlaye a přeložit phishingové stránky. A proxy funkce je jazykově neutrální, funguje všude, kde je Android a internetové připojení.

Pro české banky je podstatný jeden detail: rezidenční proxy oslabuje sílu IP a geolokačních signálů, tedy jednu z vrstev, na kterých stojí detekce podvodů. Komerční banka ve svých veřejných podmínkách uvádí, že při přihlášení vyhodnocuje údaje o zařízení, prohlížeči a spojení. Moderní antifraud systémy pracují i s behaviorálními odchylkami a device fingerprintingem, proxy tedy neprolomí celou obranu. Ale jednu její vrstvu spolehlivě degraduje.

Co zkontrolovat a co udělat hned

Pokud jste v posledních měsících instalovali cokoliv mimo Google Play, zvlášť aplikaci tvářící se jako přehrávač videa nebo IPTV služba, projděte si tři věci:

• Oprávnění aplikací: V Nastavení → Aplikace zkontrolujte, které aplikace mají přístup k Accessibility Services. Na Androidu 13+ se podívejte, zda nemá neznámá aplikace povolené „restricted settings“ – Google je výslovně označuje jako přístup k citlivým datům.
• Privacy dashboard: Zjistíte, které aplikace v posledních hodinách používaly citlivá oprávnění. Neznámá sideloadovaná aplikace s přístupem k SMS nebo k zobrazení přes jiné aplikace je varovný signál.
• Google Play Protect: Spusťte ruční sken. Play Protect kontroluje i aplikace stažené mimo obchod a dokáže je zablokovat nebo odstranit.

Pokud máte podezření na kompromitaci, Česká spořitelna doporučuje přepnout telefon do nouzového režimu, odinstalovat podezřelou aplikaci, provést tovární reset a změnit hesla. Hlavně: kontaktujte banku. A telefon neformátujte dřív, než si zajistíte data, Policie ČR výslovně zdůrazňuje význam elektronických dat jako důkazů při vyšetřování počítačové kriminality.

Soukromý klub s velkými ambicemi

Mirax není volně dostupný na undergroundových fórech. Cleafy ho popisuje jako „private MaaS“, tedy malware jako službu provozovanou pro malý okruh prověřených affiliate partnerů. Menší distribuce znamená menší riziko úniků, pomalejší odhalení a delší životnost kampaní. Je to obchodní model postavený na kvalitě, ne na kvantitě.

Propagace začala 19. prosince 2025, aktivní monitorování Cleafy běží od března 2026. Okno aktivity je zatím v řádu měsíců. Ale 182 cílových aplikací, denní rotace vzorků a infrastruktura schopná proměnit každý infikovaný telefon v proxy uzel ukazují na operaci, která teprve nabírá tempo.

Nejlepší obrana je stará a nudná: neinstalovat APK mimo Google Play, neskákat po reklamách slibujících bezplatný sportovní stream a ke každému požadavku na Accessibility přistupovat jako k žádosti o klíče od bytu. Protože přesně o to jde.

Jak útok funguje krok za krokem

Mechanismus je překvapivě jednoduchý a policie ho popisuje už od jara 2025, kdy se první případy objevily v Ústeckém a Středočeském kraji. Od té doby se nezměnil v principu, jen v detailech: útočníci průběžně mění domény podvodných stránek a přizpůsobují text různým jazykovým mutacím. Sled událostí je vždy stejný:

• Z kompromitovaného účtu vašeho kontaktu přijde zpráva s odkazem na „hlasování“, typicky za dítě v taneční, pěvecké nebo jiné soutěži.
• Po kliknutí se otevře podvodný web, který vypadá jako hlasovací formulář. Web požaduje vaše telefonní číslo spojené s WhatsAppem.
• Stránka zobrazí párovací kód nebo QR kód a vyzve vás, abyste ho zadali přímo ve WhatsAppu.
• Ve chvíli, kdy kód potvrdíte, autorizujete připojení cizího zařízení ke svému účtu, přesně stejným způsobem, jakým byste si sami spárovali WhatsApp Web na vlastním počítači.

Kritický je poslední bod. Samotný příjem zprávy ani kliknutí na odkaz účet neohrozí. Útok se dokončí až tehdy, když uživatel sám schválí párování. Z pohledu WhatsAppu jde o zcela legitimní akci, proto ji platforma automaticky nezablokuje.

Co útočník získá a co „všechna data“ skutečně znamená

Po propojení má útočník v zásadě stejný přístup jako vy na WhatsApp Webu. Vidí synchronizované konverzace, kontakty, sdílená média, přijímá nové zprávy v reálném čase a může psát vaším jménem. Podle SK-CERT zvládnou automatizované nástroje stáhnout historii komunikace a seznam kontaktů v řádu jednotek minut. Propojené zařízení navíc zůstává aktivní i po vypnutí vaší aplikace.

Důležité upřesnění: „všechna data“ znamenají data uvnitř WhatsAppu, tedy chaty, kontakty, fotky a videa sdílená v konverzacích. Není doloženo, že by tímto trikem útočník automaticky získal přístup ke kompletnímu obsahu telefonu mimo aplikaci.

Co ale následuje okamžitě, je řetězová reakce. Útočník z vašeho účtu rozešle stejnou zprávu s falešným hlasováním všem vašim kontaktům, jednotlivcům i skupinám: rodinným, školním, pracovním. Z jednoho kompromitovaného účtu tak vznikají desítky dalších obětí a celá věc roste jako sněhová koule. Druhá fáze bývá ještě nepříjemnější: žádosti o půjčku peněz rozeslané vaším jménem.

Proč se kampaň stále vrací

ESET ve své analýze z 28. dubna 2026 výslovně potvrzuje, že v prvním čtvrtletí roku falešné hlasování na WhatsAppu v Česku opět narostlo. SK-CERT eviduje první velkou vlnu na přelomu jara a léta 2025, další nárůst od ledna 2026. Kladenská policie varovala 20. února, písecká o měsíc později popsala dva poškozené s celkovou škodou bezmála sto tisíc korun.

Odpověď na otázku, proč se to vrací, je prostá: protože to funguje. Útočníci nemusí hledat novou zranitelnost. Stačí vyměnit doménu, upravit text a spustit totéž znovu. Bezpečnostní firma Gen Digital, která útok analyzovala pod názvem GhostPairing, mluví o chování typickém pro phishingové kity, hotové šablony, které se dají nasadit opakovaně s minimální námahou. A protože WhatsApp v Česku podle březnového průzkumu ESET/Ipsos používá 89 % lidí a téměř polovina z nich už na komunikačních platformách na nějaký podvod narazila, je základna potenciálních obětí obrovská.

Jak se bránit, a co dělat, když už je pozdě

Rozpoznat past není těžké, pokud víte, co hledat. Legitimní hlasování nikdy nepotřebuje přístup k vašemu účtu na WhatsAppu. Varovné signály:

• Nečekaná prosba o hlasování od známého kontaktu, zvlášť pokud nepůsobí jako jeho obvyklý styl komunikace.
• Odkaz směřující mimo důvěryhodnou doménu.
• Žádost o zadání telefonního čísla k WhatsAppu na externí stránce.
• Výzva k zadání ověřovacího nebo párovacího kódu.
• Systémový prompt WhatsAppu, že se má propojit nové zařízení: to je poslední moment, kdy můžete říct ne.

Preventivně si zapněte dvoufázové ověření (PIN) v nastavení WhatsAppu a přidejte obnovovací e-mail. Pravidelně kontrolujte sekci Propojená zařízení, na Androidu přes menu se třemi tečkami, na iPhonu v Nastavení, a odhlaste vše, co nepoznáváte.

Pokud jste kód už zadali, jednejte okamžitě. Otevřete Propojená zařízení a odpojte neznámé relace. Když vás útočník z účtu vyhodil, zaregistrujte číslo znovu přes SMS nebo hlasový kód. Komplikace nastává, pokud mezitím nastavil vlastní PIN: bez obnovovacího e-mailu může čekací lhůta na reset dosáhnout až týdne. Současně obvolejte nebo jiným kanálem upozorněte své kontakty, že váš účet byl kompromitován, a pokud z něj odcházely žádosti o peníze, varujte je, aby nic neposílali.

Proč to WhatsApp sám nezastaví

Tady je jádro problému. Útok nezneužívá softwarovou chybu. Zneužívá legitimní funkci propojení zařízení a důvěru v člověka, od kterého zpráva přišla. Z pohledu serveru vypadá párování úplně stejně, ať ho potvrzujete vy na vlastním notebooku, nebo podvodník na druhém konci světa. Gen Digital to shrnuje přesně: vše probíhá „uvnitř hranic zamýšlené funkcionality“. Meta může zlepšit varování, přidat kontext o tom, odkud se párování iniciuje, zpřísnit omezení podezřelých pokusů. Ale dokud útočníci dokážou přesvědčit člověka, aby sám klikl na „potvrdit“, technologie samotná nestačí.

Nejslabším článkem celého řetězce není software. Je to moment, kdy čtete zprávu od někoho blízkého a nenapadne vás, že ten člověk ji neposlal.

Heslo se stalo vstupní branou, exploit přestává být hrozbou

Mandiant za rok 2024 zaznamenává exploity jako nejčastější počáteční vstup s 33 %, ve zprávě M-Trends 2025 řadí odcizené přihlašovací údaje na druhé místo mezi vstupními vektory s podílem 16 %. A SANS Institute v dubnu 2026 pojmenovává jádro problému přímo – legitimní přihlášení nespouští ty samé alarmy jako skenování portů nebo zpětné volání malwaru. Jenže hned za nimi stojí odcizené přihlašovací údaje, protože ukrást heslo je často jednodušší než najít neopravenou službu.

Cest ke krádeži identity je až překvapivě moc. Credential stuffing zkouší uniklá hesla z jednoho servisu proti desítkám dalších a Verizon upozorňuje, že útočníci mění hlavičky a proxy tak, aby každý pokus vypadal jako izolované legitimní přihlášení. Malware typu Lumma pak krade uložená hesla přímo z prohlížečů a aplikací a prodává je zprostředkovatelům přístupu na darknetu.

Microsoft ve své zprávě Digital Defense Report 2025 uvádí, že 97 % útoků na identitu tvořily pokusy o password spray, tedy automatizované zkoušení jednoho hesla proti tisícům účtů. A pak je tu phishing, stále nejrozšířenější kanál: od generických e-mailů po zprávy generované umělou inteligencí, které cílí na konkrétní roli ve firmě.

Uvnitř sítě mohou být útočníci týdny, ale klidně i hodiny

Jakmile projde útočník přihlašovací bránou, začíná závod s časem a obránci o něm často ani nevědí. Přibližný čas, po který útočník zůstává v síti neodhalený, činil podle M-Trends 2025 jedenáct dní. Při interní detekci deset, při odhalení externí entitou šestadvacet.

U ransomwaru je tempo ještě brutálnější. Mandiant uvádí medián šesti dní od prvního přístupu k nasazení šifrovacího malwaru. Téměř třetina případů spadla do prvních 48 hodin. SANS mluví o skupinách nasazujících ransomware, které zvládnou cestu od přihlášení k šifrování a vydírání během hodin.

Proč tak rychle? Útočník s platným účtem nepotřebuje trávit dny průzkumem. Může si rovnou stáhnout další přihlašovací údaje z paměti, pohybovat se laterálně po síti a rozšiřovat svůj dosah bez nutnosti nasadit nápadný nástroj. MITRE v popisu techniky Valid Accounts (T1078) výslovně uvádí, že útočníci často záměrně nepoužívají spolu s legitimním přístupem žádný další software, právě aby zůstali neviditelní.

A do hry vstupuje i umělá inteligence. SANS identifikuje tři roviny, kde AI zrychluje celý řetězec: automatizace testování odcizených přihlašovacích údajů proti většímu počtu cílů, rychlejší tvorba nástrojů na míru a phishingové e-maily, které je stále těžší odlišit od legitimní komunikace. Microsoft v dubnu 2026 popsal konkrétní kampaň, při níž útočníci využili AI k phishingu prostřednictvím kódů zařízení s dynamickým generováním kódu a automatizovaným profilováním obětí podle veřejných dat.

Český kontext: phishing, falešné identity, desítky incidentů

Nejde o vzdálenou hrozbu z amerických zpráv. NÚKIB v říjnu 2024 popsal aktivní phishingovou kampaň, která zneužívala identity Amazonu, Microsoftu a českých institucí a zasáhla „vyšší desítky českých subjektů“. V březnu 2026 evidoval úřad 20 kybernetických incidentů, přičemž kategorie „Průnik“ tvořila více než polovinu z nich. Kanály krádeže identity v Česku kopírují globální vzorce, ale mají lokální specifika:

• E-mailový phishing cílící na přihlašovací údaje k poštovním schránkám, na který NÚKIB opakovaně upozorňuje od roku 2021.
• Falešné stránky bankovní identity šířené e-mailem a SMS, kde oběť zadá přihlašovací údaje a útočník je v reálném čase zneužije.
• Vishing, tedy podvodné telefonáty, při nichž se volající vydává za banku, policii nebo dokonce za samotný NÚKIB.

Výroční zpráva NÚKIB za rok 2023 uvádí, že phishing zaznamenalo 89 % respondentů českého kybernetického průzkumu a spearphishing 50 %. Česká agregovaná statistika o tom, kde přesně lidé nejčastěji přicházejí o hesla, sice chybí, ale kombinace globálních dat a tuzemských varování ukazuje jasný obraz: ztráta identity začíná u běžného e-mailu nebo SMS, nikoli u sofistikovaného exploitu.

Co udělat hned aneb identita jako nový perimetr

Obrana se přesouvá od záplat k ochraně identity. Microsoft uvádí, že vícefaktorové ověřování snižuje riziko kompromitace účtu o 99,22 %, zároveň ale zdůrazňuje, že tradiční MFA samo o sobě už nestačí a novým základem má být varianta odolná vůči phishingu: přístupové klíče (passkeys), klíče FIDO2 nebo certifikátová autentizace.

Vedle nasazení silnější autentizace stojí za to okamžitě projít přihlašovací logy a hledat kombinaci signálů, které odlišují útočníka od zaměstnance:

• Impossible travel, přihlášení z Prahy a o minutu později z jiného kontinentu.
• Neobvyklý user-agent nebo anonymní IP v kombinaci s přístupem mimo pracovní dobu.
• Opakované selhání MFA následované úspěchem, typický vzorec útoku MFA fatigue.
• Jedna IP adresa pro více účtů nebo naopak jeden účet přistupující z desítek IP adres.
• Aktivita dormantních účtů a interaktivní přihlášení servisních účtů, které by se nikdy neměly přihlašovat interaktivně.
• Nová pravidla přesměrování pošty vytvořená krátce po přihlášení.

Žádný z těchto signálů sám o sobě neznamená průnik. Rozhoduje kombinace a právě schopnost ji vyhodnotit v reálném čase odděluje firmy, které útočníka zastaví v hodinách, od těch, které ho objeví až po šestadvaceti dnech. Slabým místem už není jen neopravený server. Novým perimetrem je samotná identita uživatele a kdo ji nechrání jako kritickou infrastrukturu, nechává hlavní vchod odemčený.