Masivní únik dat, 150 milionů hesel je volně na internetu. Kdo používá to samé všude, riskuje nejvíce

Bezpečnostní výzkumník objevil na internetu otevřenou databázi se 149,4 milionu přihlašovacích údajů, bez hesla, bez šifrování, přístupnou komukoliv přes prohlížeč.

Zdroj fotografie: Lukáš Altman (Mobify.cz) a Google

Jeremiah Fowler, nezávislý bezpečnostní analytik, narazil na 96gigabajtový server, na kterém ležely e-maily, hesla, uživatelská jména a URL přihlašovacích stránek desítek služeb, od Gmailu přes Facebook a Netflix až po bankovní a kryptoměnové účty. Databáze nebyla chráněná vůbec ničím. Kdo na ni narazil, mohl v ní vyhledávat stejně snadno jako v e-shopu. Fowler svůj nález popsal 23. ledna 2026 na blogu ExpressVPN a okamžitě ho nahlásil hostingové firmě. Jenže náprava trvala téměř měsíc, a mezitím počet záznamů dál rostl.

Co přesně v databázi bylo

Nejde o nový hack Gmailu, Facebooku ani žádné jiné konkrétní služby. To je zásadní rozlišení, které se v mediálním šumu snadno ztrácí. Google sám už v září 2025 veřejně odmítl zavádějící interpretace o „velkém průlomu do Gmailu“. Tady šlo o něco jiného: agregát přihlašovacích údajů, které z počítačů a telefonů uživatelů po celém světě postupně vytáhly takzvané infostealery, škodlivé programy, jež zachytávají psaná hesla, obsah schránky, uložené přihlašovací údaje v prohlížeči, session cookies i autentizační tokeny.

Fowlerův vzorek odhalil přibližně toto rozložení:

• Gmail — 48 milionů záznamů
• Facebook — 17 milionů
• Instagram — 6,5 milionu
• Yahoo — 4 miliony
• Netflix — 3,4 milionu
• Outlook — 1,5 milionu
• iCloud — 900 tisíc
• Binance — 420 tisíc
• .edu adresy — 1,4 milionu
• OnlyFans — 100 tisíc

Vedle toho se v databázi objevily přístupy k TikToku, síti X, HBO Max, Disney+ i vládním doménám (.gov) z více zemí. Příběh tedy není jen o pohodlí běžných uživatelů; otevřená databáze mohla posloužit i jako zásobárna pro cílené útoky na státní infrastrukturu.

Proč je jedno recyklované heslo časovaná bomba

Samotný počet 149 milionů záznamů je alarmující, ale skutečné nebezpečí leží jinde. Organizace OWASP popisuje útok zvaný credential stuffing: útočník vezme ukradený pár e-mail + heslo a automatizovaně ho zkouší na desítkách dalších služeb. Nepotřebuje nic hackovat. Stačí mu, že člověk používá totéž heslo na Gmailu, Facebooku a v internetovém bankovnictví.

Jakmile útočník získá přístup k e-mailu, má klíč ke všemu ostatnímu, protože právě tam chodí odkazy na obnovení zapomenutého hesla. NÚKIB to ve svých materiálech shrnuje bez obalu: jedno heslo pro více účtů je ideální způsob, jak přijít o všechno najednou.

A pozor, tato databáze není ani zdaleka největší. V listopadu 2025 Troy Hunt popsal korpus obsahující 1,3 miliardy unikátních hesel. Jenže Fowlerův nález je jiný povahou. Nešlo o zpracovaný archiv, ale o živou, otevřenou infrastrukturu, která v reálném čase narůstala. To je jako rozdíl mezi starým policejním spisem a otevřenými dveřmi do skladu zbraní.

Jak se malware dostal k lidem

Infostealery se do zařízení dostávají překvapivě snadno. Microsoft ve své zprávě Digital Defense Report 2025 popisuje typické cesty: podvodné reklamy, manipulované výsledky vyhledávání, cracknutý software, falešné aktualizace, škodlivé přílohy e-mailů a kompromitovaná rozšíření prohlížeče. Fowler doplňuje techniku ClickFix, podvodné stránky, které uživatele přesvědčí, aby sami spustili škodlivý kód.

Celý ekosystém funguje jako řetězec: jeden aktér malware nasadí, druhý ukradená data prodá a třetí je použije k přístupům a dalším útokům. Databáze, kterou Fowler objevil, byla pravděpodobně jedním článkem tohoto řetězce. Kdo ji provozoval, zůstává neznámé; hosting neposkytl žádné detaily o vlastníkovi.

Co udělat teď, a v jakém pořadí

Fowler výslovně varuje: pouhá změna hesla nepomůže, pokud je vaše zařízení stále infikované. Nové heslo malware zachytí znovu. Proto je nutné postupovat systematicky:

1. Prověřte zařízení. Aktualizujte operační systém, spusťte antivirovou kontrolu, projděte nainstalovaná rozšíření prohlížeče a odstraňte vše podezřelé.
2. Změňte hesla v tomto pořadí: hlavní e-mail, účet Google/Apple/Microsoft, internetové bankovnictví, správce hesel, sociální sítě.
3. Zapněte dvoufaktorové ověření všude, kde to jde. Ideálně passkeys nebo bezpečnostní klíč, minimálně ověřovací aplikaci. SMS kódy jsou lepší než nic, ale nejslabší varianta.
4. Zkontrolujte přihlášená zařízení a historii přihlášení u klíčových účtů. Neznámé relace odhlaste.
5. Ověřte svůj e-mail na Have I Been Pwned a zapněte si upozornění na budoucí úniky.

NIST nedoporučuje měnit hesla pravidelně „jen tak“; změna má přijít při podezření nebo důkazu kompromitace. Tohle je přesně ten moment. A pokud si nedokážete zapamatovat desítky unikátních hesel, použijte správce hesel. Funguje jako šifrovaný trezor, který za vás generuje a ukládá silná hesla pro každou službu zvlášť. Podmínka: silná hlavní fráze a zapnuté dvoufaktorové ověření u samotného správce.

Jsou ohroženi i čeští uživatelé?

Fowler mluví o obětech z celého světa. Databáze obsahuje globální služby, které denně používají miliony Čechů: Gmail, Facebook, Instagram, Netflix, iCloud. Konkrétní rozpad podle zemí ani seznam .cz domén sice veřejně neexistuje, takže nelze říct „v databázi je X tisíc českých účtů“. Ale tvářit se, že se nás to netýká, by bylo naivní. Pokud používáte stejné heslo na Gmailu a v české bance, credential stuffing nezná hranice.

Kdo dnes večer stráví deset minut kontrolou svých hesel a zapnutím dvoufaktorového ověření, udělá pro svou digitální bezpečnost víc než většina lidí za celý rok.