BIS jmenuje mezi napadanými zařízeními čerpadla, kotle i kamery v domácnostech

Bezpečnostní informační služba vydala 27. srpna 2026 veřejnou výroční zprávu za rok 2025. Ředitel Michal Koudelka ji v úvodu sám nazývá veřejnou zprávou o činnosti, takže podrobnosti v ní nehledejte. Jedna věta z oddílu o kybernetických útocích ale míří na zařízení, která má doma spousta lidí.

Čerpadlo, kotel, kamera

Ruské kybernetické aktéry dělí zpráva na dvě skupiny. V té první jsou aktéři napojení na zpravodajské služby, jmenovitě APT28 spojený s vojenskou rozvědkou GRU. Ve druhé jsou takzvaná hacktivistická uskupení, jejichž nejčastější činností je zahlcování serverů útoky typu DDoS. Právě u nich zpráva pokračuje takhle:

V posledních letech se k nim přidávají i oportunistické útoky na nezabezpečené nebo neadekvátně zabezpečené lokální technické provozy, kdy útočník mění parametry systému (např. čerpadel, kotlů apod.). V tuzemských případech sice docházelo k automatickému bezpečnostnímu odstavení napadených systémů, existují však zahraniční případy, kdy došlo i k poškození zařízení. Dalším typem napadaných zařízení jsou IP kamery, včetně kamer umístěných v domácnostech.

Škody z toho podle BIS velké nejsou. Zpráva je popisuje jako v jednotlivých případech malé, ale v součtu nezanedbatelné. Zato nenechává na čtenáři otázku, kdo za těmi útoky stojí: hacktivisty podle ní nelze považovat za samovolně vzniklé kolektivy lidí s podobným světonázorem, nezávislé na ruské státní moci.

Kolik případů to bylo

Kolik takových případů bylo, se z výroční zprávy nedozvíte. Čísla má jiný úřad. Národní úřad pro kybernetickou a informační bezpečnost eviduje za rok 2025 celkem 203 kybernetických bezpečnostních incidentů proti 268 o rok dřív, přičemž incidentů spojených s útoky DDoS mezi nimi ubylo ze 167 na 94 – podrobněji jsme o tom psali v článku o Zprávě o stavu kybernetické bezpečnosti za rok 2025.

Útoky, o kterých mluví BIS, vede NÚKIB pod hlavičkou operačních technologií, tedy systémů, které něco ovládají místo toho, aby jen zpracovávaly data. Zaznamenal u nich mírný nárůst, ale i tak jde podle jeho zprávy o „nižší jednotky případů“, a to primárně proti nedostatečně zabezpečeným systémům se zařízeními vystavenými do internetu. Žádný z nich nevedl k významnějším škodám. Obě zprávy tak zřejmě popisují týž jev, každá z jiné výšky: BIS ho pojmenovává, NÚKIB měří a řadí mezi okrajové.

Kamera na hraničním přechodu a kamera v obýváku

IP kamery se v téhle oblasti objevují ještě jednou a je potřeba to nesplést dohromady. V květnu 2025 vyšlo společné technické upozornění Russian GRU Targeting Western Logistics Entities and Technology Companies, pod kterým jsou vedle BIS podepsané i NÚKIB, Vojenské zpravodajství a agentury z deseti dalších zemí. Popisuje kampaň jednotky 26165 ruské vojenské rozvědky proti logistickým a technologickým firmám a spojuje ji, byť opatrným slovem „pravděpodobně“, s rozsáhlým cílením na IP kamery na Ukrajině a v sousedních státech NATO. NÚKIB k tomu upřesňuje, že šlo o kamery na hraničních přechodech a železničních uzlech.

To je špionáž státního aktéra, který ví, na co se dívá. Kamera v české domácnosti je něco jiného: útočník ji najde proto, že je vidět z internetu a pouští ho dovnitř, ne proto, že by o ni stál.

Osm zásad, které BIS připojila

Vedle té pasáže má zpráva rámeček nadepsaný Zabezpečení malých průmyslových systémů. Za nejmenší technický provoz v něm služba považuje malou vodní elektrárnu, čerpadlo, otopnou soustavu i IP kameru, takže seznam sedne na běžnou domácnost skoro celý:

• vždy změnit výchozí heslo nastavené výrobcem,
• používat unikátní a složitá hesla,
• zapnout dvoufaktorové ověření u všech uživatelských účtů,
• zabezpečit připojení – VPN, blokování nevyužívaných portů, případně seznam povolených adres,
• pro vzdálenou správu nastavit účty s nejnižšími potřebnými právy, na sledování stačí právo ke čtení,
• pravidelně aktualizovat firmware a software,
• pravidelně kontrolovat zranitelnosti,
• zvážit výměnu zastaralého a výrobcem nepodporovaného zařízení.

Nic z toho není objev. Zajímavé je spíš to, kde ten seznam stojí – ve výroční zprávě zpravodajské služby, na stránce mezi ruskými a čínskými kybernetickými aktéry. Poslední bod je z těch osmi nejdražší a zároveň jediný, který nejde odbýt nastavením: u zařízení, které výrobce přestal podporovat, nepomůže ani pravidelná aktualizace o dva body výš, protože žádná nevyjde.

Loni takový odstavec ve zprávě nebyl

Výroční zpráva za rok 2024 hacktivisty ani domácí zařízení v oddílu o kybernetických útocích nemá. Ten patří celý státním aktérům a nejaktivnějším z nich byl podle něj APT28: zneužití zranitelnosti v Outlooku k získávání otisků hesel přes napadené routery, mezinárodně koordinovaná akce Dying Ember, veřejné odsouzení z května 2024 společně s Německem.

Jestli se tedy něco změnilo ve skutečnosti, nebo jen v tom, co služba považuje za vhodné napsat veřejně, se z těch dvou dokumentů rozhodnout nedá. BIS sama datuje jev opatrně, slovy „v posledních letech“.

Zdroje

• Výroční zpráva Bezpečnostní informační služby za rok 2025 (BIS, 27. 8. 2026)
• Zpráva o stavu kybernetické bezpečnosti ČR za rok 2025 (NÚKIB, PDF)
• Russian GRU Targeting Western Logistics Entities and Technology Companies (CISA a spoluautoři, 21. 5. 2025)
• Výroční zpráva Bezpečnostní informační služby za rok 2024 (BIS)