Když policie zabaví telefon nebo počítač, data z něj nečte ručně. Použije forenzní program, který obsah přístroje zkopíruje, obnoví smazané soubory a seřadí je pro vyšetřovatele, aniž by na původním zařízení cokoli změnil. Jedním z takových nástrojů je Oxygen Forensic Detective americké firmy Oxygen Forensics. Podle amerických úřadů ale firma léta zamlčovala, komu patří a kde se její program píše.

Pět vlastníků z Ruska a holding na Kypru

Americké ministerstvo spravedlnosti oznámilo 23. září, že zatklo dva muže. Pětapadesátiletého Leeho Reibera, ředitele Oxygen Forensics se sídlem v Alexandrii ve Virginii, zadrželi v neděli v Idahu a soud ho pustil na kauci. Dvaapadesátiletého Olega Davydova z Moskvy zatkli týž den na londýnském letišti Heathrow před odletem do Istanbulu a USA chtějí jeho vydání. Oba čelí obvinění ze spiknutí k podvodu (wire fraud), za které hrozí až dvacet let vězení. Zatím jde jen o obvinění, ne o rozsudek.

Firmu podle úřadů ve skutečnosti vlastnil a řídil Davydov se čtyřmi dalšími Rusy přes holding na Kypru. Tatáž pětice vlastnila i ruskou firmu, která se do září 2022 jmenovala Oxygen Software a dnes MKO Systems. Ta podle obvinění prodávala stejný program v Rusku pod jinými jmény a mezi její zákazníky měly patřit tajná služba FSB, Vyšetřovací výbor a ruské ministerstvo vnitra. Program psali vývojáři v Rusku.

Po rozšíření amerických sankcí v roce 2022 se podle obvinění vlastníci dohodli, že ruskou stopu zakryjí. Reiber se v březnu 2022 stal ředitelem i předsedou představenstva a Rusové zmizeli z veřejných firemních záznamů. Rozhodovat ale podle úřadů nepřestali: určovali Reiberovi plat, přehlasovali ho u plateb a měli podpisové právo k účtům. Reiber přitom vládě v letech 2022 a 2023 písemně potvrdil, že firma nemá žádného nadřazeného vlastníka, a v březnu 2026 tvrdil pracovníkům ministerstva vnitřní bezpečnosti, že na vývoji se žádný Rus nepodílí. Pětiletou smlouvu na program přitom firma v září 2024 získala od institutu NCFI, který patří pod americkou Secret Service a školí vyšetřovatele v počítačové forenzní analýze. Soud už 19. září povolil zabavit firemní účty a zhruba 57 domén, o den později se tak stalo.

V Česku 25 smluv za víc než 14,5 milionu korun

Že program používají i české úřady, zjistil web iROZHLAS.cz. V registru smluv našel 25 veřejných smluv, ve kterých figuruje Oxygen Forensics nebo školení na jeho program, dohromady za víc než 14,5 milionu korun. Podepsalo je Policejní prezidium, Generální ředitelství cel, ministerstvo obrany a šest krajských ředitelství policie: pražské, středočeské, jihomoravské, moravskoslezské, plzeňské a ředitelství kraje Vysočina. Dodavatelem jsou firmy Risk Analysis Consultants a Digital Forensics Institute, které mají stejného majitele.

Česko v tom není samo. Podle serveru Politico, na který se iROZHLAS.cz odvolává, si program pořídili policisté v Německu, Španělsku, Itálii nebo Polsku a objevil se i ve dvou evropských projektech o výměně digitálních důkazů, EVIDENCE a INSPECTr. Evropská komise ale podle Root.cz upřesnila, že firma nebyla členem konsorcií a evropské peníze sama nedostávala.

Policie program přestala aktualizovat

Mluvčí Policejního prezidia Ondřej Moravčík napsal, že policie přijala „nezbytná předběžná opatření“, která „s ohledem na způsob využívání produktů této společnosti“ nebude upřesňovat, a čeká na oficiální informace z USA. Podle Deníku N vedení policie nařídilo všem podřízeným útvarům, aby systém neaktualizovaly. Policie sama svá opatření nepopsala.

Celní správa podle mluvčí Hany Štaffové informace bere vážně, ale „nebude přijímat ukvapené závěry“, protože se podezření netýká škodlivosti programu. Oxygen je podle ní jen jeden z několika forenzních nástrojů, které úřad používá. Ministerstvo obrany iROZHLAS.cz do vydání článku neodpovědělo. Dodavatel Risk Analysis Consultants se veřejně vyjádřit odmítl, klientům ale podle iROZHLAS.cz doporučil, aby program používali jen na počítači úplně odpojeném od sítě.

Národní úřad pro kybernetickou a informační bezpečnost se ke konkrétním úřadům nevyjádřil. Jeho mluvčí Jakub Neščivera pro ČTK obecně uvedl, že u softwaru je důležité hodnotit „nejen funkčnost“, ale i to, „kdo a v jakém prostředí jej vyvíjí, spravuje a jaké má vazby“.

O škodlivém kódu obvinění nemluví

Americké ministerstvo spravedlnosti v oznámení výslovně píše, že obvinění netvrdí, že by program obsahoval škodlivý kód nebo že by posloužil k neoprávněnému přístupu k systémům či datům zákazníků. Veřejně tedy není doloženo, že by z českých policejních počítačů něco odteklo. Kauza se týká toho, co firma o sobě tvrdila zákazníkům, ne toho, co program dělá.

Pro člověka, kterému policie zabaví telefon, je to přesto podstatné. Do takového programu se dostanou data z celého zabaveného přístroje. Kdo program píše a kdo ho aktualizuje, rozhoduje o tom, komu se tahle data svěřují, a právě tohle firma podle obvinění zákazníkům zamlčela.

Zdroje

U.S. Attorney’s Office, Central District of California, iROZHLAS.cz, Deník N, Root.cz, Aktuálně.cz (ČTK).

Policie 30. září převzala kontrolu nad webem, na kterém vyděračská skupina KillSec zveřejňovala data ukradená firmám a úřadům. Podle tiskové zprávy Europolu tím zajistila nejméně 110 terabajtů dat, aby se k nim už nikdo další nedostal. Týž den proběhlo osm prohlídek v Řecku, Rumunsku, Španělsku a Británii a policie předběžně zadržela tři lidi.

Operaci vedl Hamburk, zapojilo se deset zemí

Zásah dostal jméno KillSwitch a řídil ho zemský kriminální úřad v Hamburku spolu s tamním státním zastupitelstvím. Vedle Německa se zapojily úřady z Belgie, Finska, Řecka, Nizozemska, Rumunska, Španělska, Švýcarska, Británie a Spojených států, k tomu Europol, unijní agentura pro justiční spolupráci Eurojust a dvě bezpečnostní firmy, Bitdefender a Group-IB.

Hamburská policie ve své zprávě upřesňuje, co přesně vyřadila: pět serverů, mezi nimi hlavní server skupiny a několik takzvaných exfiltračních, kam se odkládala data vynesená z napadených sítí. Pět domén skupiny teď místo hrozeb ukazuje policejní oznámení o zabavení.

Za hlavního správce mají vyšetřovatelé šestnáctiletého

Vyšetřovatelé rozlišují ve skupině čtyři role: správce, vývojáře, vyjednavače a takzvaného affiliate, tedy partnera, který si platformu pronajímá a útočí na vlastní účet. Hlavním správcem má být šestnáctiletý mladík. Podezřelý vývojář dovršil osmnáct let letos v srpnu, takže část činů, které se mu kladou za vinu, měl spáchat jako nezletilý.

Šestnáctiletého zadrželi španělští policisté z Guardia Civil a katalánské policie Mossos d’Esquadra v provincii Alicante. Podle deníku El País je rumunského původu a vyšetřovatele k němu dovedla drobná chyba při útoku na katalánskou veřejnou stavební firmu Infraestructures de la Generalitat: prozradila IP adresu, která vedla až k jeho bydlišti. Totožnost pak podle týchž policejních zdrojů potvrdila fotka nápadně zbarvené motorky, kterou se podařilo spojit se španělským telefonním číslem; stopu dodala americká FBI.

Další dva podezřelé zadržela policie v Británii a v Rumunsku. Toho, kterého zatkli v Británii, chtějí Spojené státy. Podle oznámení amerického ministerstva spravedlnosti velká porota v Portoriku 16. září obžalovala Nizozemce žijícího v Británii Fouada Eltibriziho s přezdívkou Archduke. Žaloba mu klade za vinu spiknutí k neoprávněnému přístupu do počítačů, za které hrozí až deset let vězení. Čeká na vydání do USA; obžaloba je jen obvinění, ne rozsudek.

Data se brala hlavně ze špatně zabezpečených cloudových úložišť

Podle zpráv Europolu, Eurojustu i hamburské policie využíval KillSec chyby v softwaru a hlavně špatně zabezpečené přístupy ke cloudovým úložištím. Data si zkopíroval na vlastní servery, napadenou organizaci jmenoval na svém webu v síti Tor a hrozil, že soubory zveřejní. Kdo nezaplatil, tomu se data mohla objevit ke stažení zdarma. Vyšetřovatelé navíc zjistili, že skupina pomocí umělé inteligence stavěla a udržovala svou infrastrukturu a vyhledávala si další oběti.

Jak takový postup vypadal v praxi, popisuje americká žaloba. V březnu 2025 KillSec oznámil na svém webu průnik do firmy v Portoriku, přidal ukázky ukradených údajů o pacientech a dal jí sedm dní na zaplacení. Firma neodpověděla a skupina zveřejnila zhruba 180 gigabajtů jejích dat.

Platformu si mohli pronajmout i jiní. Podle katalánské policie ji skupina vedle vlastních útoků půjčovala dalším lidem. Bezpečnostní firma Halcyon ji podle serveru The Record řadila k nejlevnějším nabídkám vyděračského softwaru na pronájem: ovládací panel s chatem a hotovými nástroji zvládl i útočník bez větších technických znalostí.

Tisíc útoků podle policie, 286 obětí na webu skupiny

Vyšetřovatelé skupině připisují kolem tisíce útoků po celém světě a asi pět set z nich zatím považují za úspěšné; obě čísla se podle nich ještě můžou změnit. S Německem souvisí nejméně sedmdesát případů, z toho osmnáct s Hamburkem. Švýcarské státní zastupitelství podle deníku 20 Minuten uvádí útoky na několik švýcarských firem mezi říjnem 2023 a červnem 2025. Europol přitom začátek její činnosti datuje jen přibližně, „zhruba od roku 2024“.

Veřejná evidence ransomware.live, která archivuje záznamy z webů vyděračských skupin a z jejíhož záznamu vzešel i zářijový spor kolem Seznamu.cz, vede u KillSec 286 zveřejněných obětí, první z 21. března 2024 a poslední z 18. září 2026. Nejvíc jich je ze Spojených států (87) a z Indie (50), z Německa jen tři a z Česka ani jedna. S policejními čísly se to přímo srovnat nedá: evidence zná jen oběti, které skupina sama vyvěsila, kdežto policie počítá všechny útoky, které jí připisuje.

O penězích mluví zatím jen jednotlivé případy. Katalánská firma podle El País odmítla zaplatit požadovaných 15 milionů dolarů v kryptoměnách, její systémy stály dva dny a Generalitat škodu odhadla na milion eur. Jedna belgická firma naopak skupině podle policejních zdrojů poslala 800 tisíc eur. Katalánští policisté k tomu v textu El País dodávají (přeloženo): „Platit se nemá nikdy, protože ani to není záruka, že systém odblokují.“

Vyšetřování pokračuje. Policie teď prochází zabavené servery a zařízení a sleduje, kam odtékaly výnosy v kryptoměnách. Podle hamburských vyšetřovatelů se v nich můžou objevit další oběti i další členové skupiny.

Zdroje: Europol, Eurojust, Polizei Hamburg, U.S. Attorney’s Office, District of Puerto Rico, El País, The Record, 20 Minuten, ransomware.live.

Asociace provozovatelů mobilních sítí (APMS) spolu s operátory oznámila, že zastavuje konkrétní problematické služby placené prémiovými SMS. Podle asociace od 1. října u žádné z nich, včetně předplacených, platba tímto způsobem neprojde. Informoval o tom server Lupa.cz. Které služby to jsou, zpráva nejmenuje.

„Případy, kdy zákazník neví nebo si není dostatečně vědom toho, že si aktivuje pravidelně placenou službu, nepovažujeme za přijatelné. Zákazník musí v okamžiku objednávky jednoznačně vědět, co si objednává, kolik služba stojí a že jde o opakovanou platbu,“ uvedl pro Lupu prezident APMS Jiří Grund.

Kauzu rozjelo video Kluků z Prahy

Mediálně se podle Lupy v posledních dnech řešily služby, které lidem bez vědomého souhlasu strhávaly 99 korun týdně. Upozornil na ně Janek Rubeš videem Vybrali si špatnou mámu na podvod na kanálu Kluci z Prahy. Vyšlo 27. září a 1. října mělo přes milion zhlédnutí.

Podle popisu Lupy Rubeš ukazuje, že jen mezi jeho telefonními kontakty jde o desítky lidí z celkem tisíce. Službu si přitom mohli aktivovat i nevědomky, třeba načtením QR kódu ve snaze zaplatit za nabíjení elektromobilu. Grund naproti tomu uvádí, že se u operátorů v tomhle případě sešly „pouhé desítky“ stížností.

S takovým argumentem počítal Rubeš už 28. září příspěvkem na LinkedInu: kdo bude tvrdit, že stížností je minimum, ať mu zavolá a on mu vysvětlí, co je podvod. Ohlásil v něm i zveřejnění poslanců, kteří na službu doplatili. Podle něj jde o víc než desetinu sněmovny. Jak k tomu číslu došel, příspěvek neuvádí.

Operátor peníze vybere, službu ale prodává někdo jiný

Mobilní operátoři podle Grunda zajišťují jen technické zpracování platby a její zahrnutí do vyúčtování. Službu samotnou zpravidla poskytuje třetí strana přes takzvaného agregátora, tedy firmu, která obchodníky na sítě operátorů napojuje. Totéž píše i portál Plať mobilem, který APMS provozuje: za obsah ručí poskytovatel, ne operátor.

Reklamace proto podle portálu míří na poskytovatele, i když platba přišla na faktuře od vlastního operátora.

Co pravidla dovolují už dnes

Služby placené prémiovými SMS se řídí kodexem, který vydává APMS a jehož dodržování je pro poskytovatele závazné. Aktuální verze 5.6 platí od 1. července 2026. U předplatného povoluje nejvýš 99 Kč za týden a 199 Kč za měsíc. Částka 99 korun týdně je tedy přesně na horní hranici toho, co kodex připouští.

Jedna předplatná služba na témže čísle a klíčovém slově smí podle kodexu zákazníkovi naúčtovat nejvýš 2 000 Kč. Pak ji poskytovatel musí vypnout a pokračovat může jen tehdy, když zákazník na bezplatnou SMS odpoví slovem ANO. Při 99 korunách týdně se ta mez vyčerpá zhruba za dvacet týdnů. Jak s ní zastavené služby nakládaly, z dostupných zdrojů nevyplývá.

Verze 5.6 přitom pravidla už jednou zpřísnila. Předchozí kodex 5.5 dovoloval, aby schválená aplikace prémiovou SMS sama předvyplnila, pokud ji zákazník pak sám odeslal ze základní SMS aplikace telefonu. Nové znění jakékoli automatické předvyplnění nebo generování zprávy bez přímé a vědomé akce zákazníka zakazuje. Přibyl také oddíl o stížnostech: poskytovatel musí jejich zvýšený výskyt sám rozebrat a odstranit příčinu, i bez upozornění operátora. Jinak mu operátor může službu omezit nebo ukončit.

Na webu musí poskytovatel podle kodexu označit krok, kterým objednávka začíná, tlačítkem „ZAPLATIT pomocí SMS“ vedle pole pro telefonní číslo. Výjimkou je jen řešení, které zákazníka ochrání srovnatelně.

Jak předplatné zrušit a reklamovat

Kodex zavádí jednotný povel: SMS ve tvaru „STOP“ a klíčové slovo služby na příslušné pětimístné číslo zruší jednu službu, „STOP ALL“ nebo samotné „STOP“ všechny služby na daném čísle. Poskytovatel musí vypnutí potvrdit bezplatnou SMS. Kdo neví, komu platí, najde poskytovatele podle čísla v katalogu služeb na webu Plať mobilem. Tam je i reklamační formulář, který stížnost pošle rovnou poskytovateli.

Reklamovat jde mimo jiné službu, o jejíž ceně zákazník předem nevěděl, a předplatné, které poskytovatel po zprávě STOP neukončil. Když reklamace neuspěje, nabízí portál, že věc prověří přímo s poskytovatelem.

Před spuštěním má přijít kontrola

Asociace a operátoři podle Lupy chystají změnu pravidel. Nová služba s tímhle platebním nástrojem se má spustit jen tehdy, když poskytovatel dostatečně prokáže, že zákazník při objednávce jednoznačně věděl, co si objednává, kolik to stojí a že platba se bude opakovat. Od kdy má změna platit, Lupa neuvádí.

Zdroje

• Lupa.cz: Operátoři zastavili problematické Premium SMS služby
• Kluci z Prahy: Vybrali si špatnou mámu na podvod (YouTube)
• Janek Rubeš na LinkedInu
• APMS: Kodex Premium SMS 5.6, účinný od 1. 7. 2026 (PDF)
• APMS: Kodex Premium SMS 5.5, účinný od 1. 1. 2022 (PDF)
• Plať mobilem: Jak a kde reklamovat služby

Národní úřad pro kybernetickou a informační bezpečnost přijímá od 24. září žádosti do páté výzvy k podávání projektů. Jmenuje se Cyber Security Boost, rozdělí 30 milionů korun a ucházet se o ni mohou malé a střední podniky a nestátní neziskové organizace. Na pouhé zabezpečení vlastního provozu ale výzva nemíří.

Výstup nesmí být šitý na jediného uživatele

V textu výzvy to stojí jednou větou: „Výstupy nesmí být navrženy výhradně pro jednoho uživatele/příjemce.“ Každý projekt musí obsahovat aspoň jedno pilotní nasazení nebo praktické ověření a prokázat, že se výsledek dá přenést i jinam. Nasazení u jedné organizace je podle výzvy způsobilé hlavně jako pilot, na kterém se ta přenositelnost ukáže.

Úřad rovnou píše i to, co prioritou není: samotné analýzy, obecná školení nebo dokumentace bez implementačních a validačních aktivit. A u ukazatelů, kterými se projekt bude měřit, dodává, že pouhý počet uskutečněných schůzek, školení nebo vytvořených dokumentů bez vazby na ověřitelný výsledek nestačí.

Malé firmy, plnění regulace a obnova po incidentu

Tematické oblasti jsou tři:

• řešení pro odolnost malých a středních podniků, typicky nástroje na sebehodnocení, na určení priorit opatření a přenositelné implementační balíčky pro celý obor;
• nástroje a služby pro připravenost na regulaci a pro řízení rizik; výzva jmenuje NIS2, akt o kybernetické odolnosti (CRA) a DORA, dále bezpečnost dodavatelských řetězců, bezpečný vývoj, soupisy komponent SBOM a správu zranitelností;
• služby a technika pro připravenost na incidenty, reakci a obnovu, včetně cvičebních scénářů, testování obnovy a nástrojů na koordinaci, eskalaci a hlášení.

Polovinu nákladů platí žadatel

Na jeden projekt může padnout 1,5 až 2,5 milionu korun. Rozhodující je ovšem eurová částka: výzva stanoví minimum 60 000 EUR a maximum 100 000 EUR, korunový ekvivalent uvádí s tím, že závisí na aktuálním kurzu. Podpora navíc pokryje jen polovinu způsobilých nákladů, takže druhou polovinu musí žadatel sehnat jinde. Ne však z jiné veřejné podpory na tytéž výdaje, to výzva vylučuje.

Peníze jdou v režimu de minimis. Podle čl. 3 odst. 2 nařízení Komise (EU) 2023/2831 nesmí podpora de minimis udělená jedním členským státem jednomu podniku přesáhnout v žádném tříletém období 300 000 EUR. Kdo ten strop už vyčerpal, je mimo hru.

Hodnotí se až po uzávěrce a platí se po podpisu smlouvy

Výdaj může vzniknout ještě před podpisem smlouvy, ale ne dřív než 24. září 2026, tedy ode dne vyhlášení. Projekty se přitom podle výzvy hodnotí až po ukončení příjmu žádostí, což je 30. listopadu. A odeslání peněz na účet lze podle odpovědí na časté dotazy čekat v horizontu měsíce až dvou od podpisu smlouvy, protože předtím proběhne veřejnosprávní kontrola. Kdo chce začít hned, jde do toho ze svého.

Akademická instituce sama žádat nemůže

Způsobilí žadatelé jsou malé a střední podniky a nestátní neziskové organizace, u kterých se navíc posuzuje odborná způsobilost a schopnost výstup opravdu vytvořit a ověřit. Akademické a výzkumné instituce se mohou zapojit jen jako členové konsorcia, ve kterém je aspoň jeden malý nebo střední podnik; samostatnou žádost podat nemohou. Sídlo musí být v členském státě EU nebo v Norsku, na Islandu či v Lichtenštejnsku, a to i u osoby, která žadatele ovládá.

Žádost se posílá datovou schránkou úřadu. Podepisuje ji osoba oprávněná jednat za organizaci, ne hlavní řešitel; mezi povinnými přílohami je strukturovaný životopis každého člena řešitelského týmu a chybějící životopis může být důvodem k vyřazení žádosti z hodnocení.

Termíny a délka projektu

Příjem žádostí končí 30. listopadu 2026 v 19:00. Na 20. října od 14:00 chystá úřad k podmínkám online webinář. Projekt může běžet nejvýš 24 měsíců a nejzazší termín pro ukončení podpořených projektů je 30. dubna 2029. Výzva je součástí projektu NCC-CZ 2.0, který je kofinancovaný z programu Digitální Evropa.

Předchozí dvě výzvy mířily úzce na jedno nařízení

Čtvrtá výzva téhož úřadu (Cyber Resillience Boost, žádosti od 2. února do 2. dubna 2026) i třetí (od 15. září do 30. listopadu 2025) se soustředily na povinnosti z aktu o kybernetické odolnosti: na nástroje pro sebehodnocení výrobců, na školení malých a středních podniků a u třetí i na kapacity orgánů posuzování shody. Pátá je proti nim širší a pilotní nasazení z ní dělá povinnou součást každého projektu, ne jednu z možných aktivit.

Zdroje

• NÚKIB: Výzvy – zadání 5. výzvy „Cyber Security Boost“ i znění předchozích výzev
• NÚKIB: 5. Výzva NKC (PDF, vyvěšeno 24. září 2026)
• NÚKIB: FAQ 5. Výzva (PDF)
• EUR-Lex: Nařízení Komise (EU) 2023/2831 o použití článků 107 a 108 Smlouvy o fungování Evropské unie na podporu de minimis
• Lupa.cz: Stát rozdává miliony na kyberbezpečnost (29. září 2026)

Česká správa sociálního zabezpečení (ČSSZ) zveřejnila 16. září upozornění na podvodné SMS zprávy. Chodí lidem do telefonu, tvrdí, že mají nedoplatek na sociálním pojištění, a nabízejí odkaz, kde se dá zkontrolovat. Odkaz ovšem nevede na úřad.

Znění zprávy úřad zveřejnil celé

To je na tom upozornění nejcennější. ČSSZ neopisuje podvod vlastními slovy, ale cituje ho: „Dobrý den, při kontrole evidence sociálního pojištění byl u Vás zjištěn evidovaný nedoplatek. Info zde: eportal-cssz-cz.casa“. Kdo takovou zprávu dostane, má ji s čím porovnat.

Úřad k tomu píše, že uvedený odkaz na jeho stránky nevede a že cílem může být získání osobních, přihlašovacích nebo platebních údajů. Jiné podrobnosti neuvádí – kolik zpráv se rozeslalo ani kolik lidí naletělo, v oznámení není.

Adresa se čte od konce

Trik je v tom, že podvodná adresa obsahuje slova, která čtenář zná. Skutečný ePortál ČSSZ běží na eportal.cssz.cz, podvodná stránka na eportal-cssz-cz.casa. Obě tečky jsou vyměněné za pomlčky a na konec přibyla jiná koncovka. Právě ta o všem rozhoduje: prohlížeč čte adresu odzadu, ne odpředu. U pravé adresy je tím koncem cssz.cz, u podvodné .casa.

Doména .casa je běžná generická doména nejvyšší úrovně. Podle záznamu v kořenové databázi IANA ji spravuje společnost Registry Services, LLC a technickým kontaktem je GoDaddy Registry. Se sociálním zabezpečením nemá nic společného.

Doména 29. září pořád existovala

Ověřili jsme si to sami: jméno eportal-cssz-cz.casa se ten den v DNS stále překládalo, a to na adresu 185.68.16.101. Ta podle veřejné evidence RIPE patří do rozsahu vedeného na ukrajinskou společnost Hosting Ukraine. Server na náš požadavek odpověděl stavovým kódem 503, tedy „služba není dostupná“. To není totéž jako zrušená doména: jméno v DNS zůstává a obsah se může vrátit.

Co se stane po kliknutí

Jak podvodná stránka vypadá, ČSSZ nepopisuje. Obecný postup má ale sepsaný Policie ČR na stránce o podvodných SMS zprávách, zveřejněné 10. července. Zpráva podle ní obvykle zmíní exekuci, datovou zprávu nebo státní příspěvek a dovede člověka na falešné přihlášení do Portálu občana. Tam se vybírá banka a vyplňuje bankovní identita.

Nejnepříjemnější část přichází potom. Oběť si myslí, že se přihlašuje ke svému účtu, takže vícefaktorové ověření potvrdí sama – a potvrzuje přitom přihlášení útočníka. Policie dodává, že na to někdy navazuje telefonát, ve kterém se pachatel vydává za pracovníka banky.

Nápad to není nový. Starší varování ČSSZ z 31. července 2023 popisuje totéž: podvodné weby tehdy nabízely výběr banky pro přihlášení přes bankovní identitu. V lednu 2024 pak úřad varoval před kombinací podvodného telefonátu a SMS.

Co s takovou zprávou dělat

• Neodpovídat, neklikat a na stránce za odkazem nic nevyplňovat.
• Ověřit si věc jinou cestou. Oficiální adresy jsou cssz.gov.cz, ePortál eportal.cssz.cz a u Institutu posuzování zdravotního stavu ipzs.gov.cz.
• Kdo už údaje zadal, má podle ČSSZ neprodleně kontaktovat banku a řídit se jejími pokyny. Podezření na podvod patří i na policii.
• Zprávu přeposlat na číslo 7726. Je jednotné pro všechny operátory, uvádí ho policie i O2, které k tomu provozuje ještě vlastní číslo 720 002 002.
• Podvodnou stránku je možné nahlásit i přes Strážce internetu – projekt, který letos spustilo sdružení CZ.NIC.

Jedno pravidlo přitom stačí skoro na všechno. Ve varování z ledna 2024 úřad napsal, že takové SMS nikdy nerozesílá a informace toho typu nesděluje ani telefonicky. Zpráva s odkazem na přihlášení je tím pádem podvodná bez ohledu na to, jak přesvědčivě je napsaná.

Zdroje

• ČSSZ: Upozornění na podvodné SMS zprávy (16. září 2026)
• Policie ČR: Podvodné SMS zprávy (10. července 2026)
• ČSSZ: VAROVÁNÍ: Falešné SMS se vydávají za ČSSZ (31. července 2023)
• ČSSZ: VAROVÁNÍ: Podvodné telefonáty, SMS a weby se vydávají za ČSSZ (22. ledna 2024)
• IANA: Delegation Record for .CASA
• O2: Podvodné SMS – číslo pro přeposílání falešných zpráv

Co v evidenci obětí opravdu stojí

Veřejná evidence ransomware.live, která weby vyděračských skupin sleduje a archivuje, vede záznam pod názvem Seznam a doménou seznam.cz. Objevení datuje na 23. září 2026, 7:40 UTC, a odhadovaný den útoku klade na tentýž den. Popis u záznamu je jediná věta: organizace, ze které bylo vytaženo 115 e-mailových adres, doména seznam.cz.

Právě u té domény začíná vysvětlení. Podle Seznamu ta doména není známkou napadeného podniku, ale koncovkou adres, které v uniklých datech stojí.

Seznam ukazuje na distributora vodní techniky

Seznam podle Lupy.cz uvedl, že jde o problém jiné české firmy zaměřené na prodej přístrojů na práci s vodou, a že jediným pojítkem je doména zdarma dostupné freemailové služby Email.cz, kterou provozuje.

Živě.cz došlo ke stejnému závěru vlastní cestou. V dostupných datech je podle něj produktový katalog a celek ukazuje na průmyslový podnik, který distribuuje čerpací techniku, přístroje na úpravu vody a zavlažování a komerční bazénové a wellness systémy. Jméno té firmy neuvedl ani jeden ze serverů.

Pronajímaný nástroj, který popsala FBI

MedusaLocker popsalo společné varování FBI, americké agentury CISA, ministerstva financí a úřadu FinCEN, vydané 30. června 2022 a naposledy revidované 11. srpna téhož roku. Útočníci se podle něj dostávají do sítí obětí hlavně přes zranitelná nastavení vzdálené plochy RDP, druhou cestou jsou phishingové e-maily s přiloženým škodlivým souborem. Data pak zašifrují algoritmem AES-256 a výsledný klíč zamknou veřejným klíčem RSA-2048.

Je to nástroj k pronájmu. Výkupné se podle varování dělí tak, že 55 až 60 procent dostane ten, kdo útok provedl, a zbytek autor programu. Lupa.cz uvádí podíl autorů 40 až 45 procent, tedy tutéž dělbu popsanou z druhé strany.

Podobných poplachů bylo letos víc

Koncem května nabídl někdo na darknetových fórech zhruba 437 tisíc záznamů se jmény, e-maily, telefonními čísly a daty narození jako data zákazníků Alzy. Mluvčí e-shopu Eliška Čeřovská tehdy Lupě.cz řekla, že analýza jednoznačně potvrdila, že zveřejněná data ze systémů Alza.cz nepocházejí, a že firma nezaznamenala ani náznak neoprávněného přístupu. Nedlouho předtím vyvracelo podobné tvrzení ČVUT.

Společné jim je, že se ohlášený útok zveřejní dřív, než ho kdokoli ověří, a vyvracet ho pak musí firma, která s ním nemá nic společného.

Co to znamená pro běžnou schránku

Adresa na Email.cz se do uniklé databáze dostane tím, že ji někdo vyplnil v cizí firmě. Kdo ji tam kdy zadal, se z takového seznamu nedozví, ale důsledek je stejný jako u každého jiného úniku: adresa se objeví v nabídkách na darknetových fórech a zvýší se pravděpodobnost cíleného phishingu. Pomáhá dvoufázové ověření a jedinečné heslo, které se nepoužívá nikde jinde. Na samotný fakt, že adresa v cizí databázi je, nedosáhne nikdo.

Zpráva o napadení konkrétní firmy stojí a padá s tím, jestli ji potvrdí sama firma, nebo jestli někdo ukáže data, která k ní vedou jinak než doménou v e-mailových adresách.

Zdroje

• Jan Sedlák: Hackeři prý napadli Seznam.cz. Ten to odmítá, jde o data jiné české firmy, Lupa.cz
• Petr Urban: Seznam.cz byl údajně obětí ransomwaru MedusaLocker. Útok ale mířil na jinou firmu, Živě.cz, 23. září 2026
• Záznam oběti Seznam u skupiny Medusalocker, ransomware.live
• FBI, CISA, U.S. Department of the Treasury, FinCEN: #StopRansomware: MedusaLocker (AA22-181A)
• Jan Sedlák: Hackeři nabízí k prodeji údajná data zákazníků Alzy. Nic se nestalo, odmítá e-shop, Lupa.cz, 30. května 2026

WordPress vydal 22. září verzi 7.1.2, a je to čistě bezpečnostní vydání s jedinou opravou. Chyba, kterou zavírá, dovolí útočníkovi bez účtu přimět web, aby při hledání šablony stránky načetl vybraný soubor PHP ležící mimo adresáře aktivního tématu. Když se k tomu sejdou další podmínky na serveru, může to skončit spuštěním cizího kódu.

Rozhoduje kus adresy

Vada je ve způsobu, jakým WordPress skládá jména souborů, ve kterých šablonu hledá. Jedno z nich vzniká z části webové adresy a ve zranitelných verzích u něj chybí kontrola na průchod adresářem přes ../, jak popsal Root.cz. Záznam na GitHubu jmenuje funkci get_page_template() a řadí chybu pod CWE-98, tedy vkládání souboru, o jehož jménu rozhoduje útočník.

Známka závažnosti podle CVSS 4.0 je 9,2 z 10 a v číselníku zranitelností má chyba označení CVE-2026-87902. Nahlásil ji Robert Ressl, vydání vedl John Blackbourn.

Bez tří podmínek se nestane nic

Načtení cizího souboru samo o sobě není spuštění kódu. Aby se jedno stalo druhým, musí podle záznamu na GitHubu platit několik věcí naráz:

• Aktivní téma, ať rodičovské, nebo potomek, má v prvním stupni adresář, jehož jméno začíná na page- – třeba page-templates. Vedle starých šablon Twenty Twelve a Twenty Fourteen to platí i pro rozšířená témata Neve, Hestia a Sydney.
• Na serveru existuje cílový soubor PHP, který smí účet webového serveru číst.
• PHP má zapnuté register_argc_argv. Pak se dá použít starý trik se souborem pearcmd.php z nástroje PEAR. Záznam výslovně jmenuje oficiální obraz php pro Docker a výchozí nastavení cPanelu s PHP starším než 8.5.

Od sondy k zapsanému souboru za čtyři hodiny

Bezpečnostní firma Patchstack, která provozuje ochrannou vrstvu pro weby na WordPressu, zveřejnila přehled toho, co jí přišlo na firewall. První pokusy dorazily 22. září v 11.49 UTC, tedy v den vydání 7.1.2. Podle Davea Jonga, který rozbor psal, odpovídají tvary požadavků přesně tomu kódování, které oprava řeší – jejich autor tedy pracoval s rozdílem ve zdrojovém kódu, ne s vlastním nálezem.

Provoz má tři zřetelné stupně. V prvním míří vložení na obyčejný soubor jádra a odpověď útočníkovi jen prozradí, jestli je web zranitelný; nejčastěji jde o wp-links-opml.php a wp-includes/feed-rss2.php. Druhý stupeň zkouší, jestli je na serveru dosažitelný pearcmd.php, a to ve třech obvyklých umístěních. Ve třetím útočník nechá týž nástroj zapsat na disk soubor PHP s vlastním obsahem, obvykle do /tmp. To už je spuštění kódu a Patchstack první takový pokus zachytil 22. září v 15.34 UTC.

Druhý den šel objem nahoru. Patchstack píše o více než desetinásobku proti prvnímu večeru, o vrcholu kolem poledne UTC a o veřejně kolujících skenovacích nástrojích včetně pojmenované šablony pro Nuclei. Zápis souboru na disk přitom zkouší jen menší část adres, ze kterých chodí sondování.

Opravu dostalo dvacet pět řad

Vedle 7.1.2 dostalo opravu dalších dvacet čtyři řad a nejstarší z nich, 4.7.37, vyšla týž den jako 7.1.2. Aktivně podporovaná zůstává jen nejnovější verze a backport projekt sám označuje za službu nad rámec podpory. Weby na řadách 4.0 až 4.6 a na starších tak záplatu nemají vůbec.

Kolika webů se to celé týká, ukazuje statistika W3Techs: k 23. září jede WordPress na 40,2 % všech webů a na 58,8 % těch, u kterých je redakční systém známý. Řada 7 má mezi weby s WordPressem 62,6 %, řada 6 dalších 30,4 %, pětka 4,8 %, čtyřka 2,0 % a trojka 0,2 %. Ve skupinách čtyřky a trojky, tedy u dohromady 2,2 % webů s WordPressem, leží i ty weby, pro které oprava neexistuje.

Většina webů se opraví sama

Drobná vydání jádra, tedy údržbová a bezpečnostní, si weby podle dokumentace WordPressu instalují samy, pokud to správce výslovně nevypnul konstantou v wp-config.php. Projekt takové vypnutí nedoporučuje a tohle je přesně ten případ, kdy se to vyplácí.

Komu automatická aktualizace neběží, má podle Patchstacku dvě vodítka v záznamech serveru. V přístupovém logu se hledají požadavky se slovem pearcmd nebo s +config-show a +config-create; podezřelé jsou i řetězce prohlížeče cve-2026-87902-poc/1.0 a nuclei-cve-2026-87902/1.0. Když na běžnou adresu stránky odpověděl web se stavem 200 a s obsahem OPML nebo RSS, znamená to, že vložení proběhlo. Na samotném stroji pak stojí za prohlédnutí /tmp a /var/tmp: neočekávaný soubor PHP tam podle Patchstacku znamená úspěšný třetí stupeň, a takový server se má brát jako prolomený, ne jako oskenovaný.

Zdroje

• WordPress 7.1.2 Release – oznámení projektu, 22. 9. 2026
• GHSA-7hp8-65ch-5whp – bezpečnostní záznam s podmínkami zneužití a seznamem opravených řad
• CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch – rozbor Patchstacku
• WordPress opravuje kritickou chybu, která může umožnit spuštění cizího kódu – Root.cz
• Usage statistics of WordPress – W3Techs, data k 23. 9. 2026

Sdružení CZ.NIC nasadilo u služby digitální identity MojeID kryptografii, která má odolat i kvantovému počítači. Jaromír Talíř to oznámil na blogu sdružení 16. září. Změna má dvě části a jen jedna z nich po uživateli něco chce.

Doména nabízí hybridní výměnu klíčů

První část se týká šifrovaného spojení mezi prohlížečem a doménou mojeid.cz. Veřejný test SSL Labs od Qualysu, na který sdružení v oznámení samo odkazuje, dával 21. září oběma adresám serveru, IPv4 i IPv6, hodnocení A+ a mezi nabízenými skupinami pro výměnu klíčů vedl X25519MLKEM768.

Ten název popisuje hybrid. Vedle sebe běží klasická eliptická křivka X25519 a postkvantové zapouzdření klíče ML-KEM-768, a útočník musí prolomit obojí. Podporu má podle sdružení zabudovanou prakticky každý dnešní prohlížeč. Podle CZ.NIC takhle probíhá 48 procent provozu služby, přičemž část z toho obstarají roboti, takže u lidí bude podíl vyšší. O kolik, sdružení neuvádí.

V aplikaci se mění samotné klíče

Druhá změna je v mobilní aplikaci MojeID Klíč, kterou většina uživatelů k přihlašování používá. Dosud potvrzovala totožnost běžnými algoritmy. Od verze 16.0.0 umí i ty postkvantové a nově připojená aplikace je dostane automaticky.

Google Play vede aplikaci ve verzi 16.0.0.3074 s datem 16. září. V popisu změn stojí „podpora protokolu V4 a nových postkvantových kryptografických algoritmů“ a úpravy textů.

Protokol V4 je z dílny Wultry

Aplikaci pro sdružení vyvíjí česká firma Wultra a MojeID Klíč je podle CZ.NIC první nasazení jejího nového řešení. Zkratka V4 z popisu v obchodě sedí na čtvrtou verzi protokolu PowerAuth, který Wultra vyvíjí otevřeně; výslovně to ale ani sdružení, ani firma nespojují. Vydání s ním nese datum 15. prosince 2025.

Co přesně se pod tím skrývá, popisuje seznam použitých algoritmů v tomtéž repozitáři. Sada EC_P384_ML_L3 spojuje dohodu klíčů přes ECDH na křivce P-384 s ML-KEM-768 a podpisy ECDSA doplňuje o ML-DSA-65; silnější varianta sahá po ML-KEM-1024 a ML-DSA-87. Starší řada protokolu, na které aplikace stála doteď, pracuje s AES-128 a křivkou secp256r1, tedy bez postkvantové složky.

Na iPhonu zatím běží starší verze

Oznámení mluví o aplikaci jako o celku, jenže obchody ukazují rozdíl. App Store vedl 21. září MojeID Klíč ve verzi 14.0.0.2791 s datem 24. března 2026 a v poznámkách k ní se o kryptografii nepíše nic, jen o obrazovce potvrzení a textu průvodce. Postkvantovou variantu má tedy k tomuto dni Android, ne iPhone.

Výměna klíčů je na uživateli

Kdo aplikaci k účtu teprve připojí, nemusí dělat nic. Stávající uživatelé si musejí staré klíče vyměnit za nové ručně a aplikace jim to připomíná malou šipkou u ozubeného kola na hlavní obrazovce. Kdo šipku nevidí, bezpečnější algoritmus už používá. Výměna se potvrzuje PINem, případně otiskem prstu nebo obličejem, a je dobrovolná.

Horší je to pro toho, kdo PIN zapomněl. Takový uživatel může aplikaci odebrat a přidat znovu, jenže pak potřebuje jiný funkční prostředek Identity občana. Když žádný nemá, čeká ho nové ověření totožnosti, tedy třeba cesta na Czech POINT. CZ.NIC proto radí nespěchat a nechat to na výměnu telefonu, při které se klíče přenesou v nové podobě samy.

Proč se to řeší teď

Kvantový počítač, který by dnešní šifrování prolomil, zatím nikdo nepostavil. Analytici ten okamžik odhadují kolem roku 2030 a vžilo se pro něj označení Den Q. Odkládat výměnu se přesto nevyplácí: útočník si může šifrovanou komunikaci uložit a rozšifrovat ji, až na to bude mít čím.

NÚKIB na to upozorňuje déle. Tři podpůrné materiály o kvantové hrozbě vydal 21. července 2023 a 5. února 2025 je srovnal s finálními postkvantovými standardy amerického NIST ze srpna 2024. Odtud jsou i samotná jména: zapouzdření klíče ML-KEM popisuje norma FIPS 203 a podpisy ML-DSA norma FIPS 204, obě z 13. srpna 2024.

Jinou českou službu digitální identity s postkvantovou ochranou samotného přihlášení sdružení nezná. Je to jeho tvrzení, ne měření. Podrobnosti chce CZ.NIC vyložit 3. října na konferenci LinuxDays.

Zdroje

• Jaromír Talíř: MojeID jako postkvantová digitální identita, blog CZ.NIC, 16. září 2026
• Qualys SSL Labs: rozbor domény mojeid.cz
• MojeID Klíč v Google Play
• MojeID Klíč v App Storu
• Wultra: seznam algoritmů protokolu PowerAuth
• Lupa.cz: Česká služba MojeID má nové šifrování

Reklama před přenosem, zamčená kvalita obrazu a stream, který se v některých zemích vůbec nespustí. Na to všechno existují doplňky do prohlížeče a jeden z nich se jmenuje Twitch Enhanced Viewer | JeetBot. V Chromu ho má nainstalovaných 30 000 lidí a vedle slíbených funkcí odesílal ven i přihlašovací token svého uživatele.

Popsal to 11. září rozbor bezpečnostní firmy Socket, pod kterým je podepsaný výzkumník Kush Pandya. V době rozboru byl doplněk ve dvou obchodech naráz: v Chrome Web Store pod identifikátorem pnhhdhhcadcjfckjhpmjneldiegbojfb, v katalogu Mozilly pod twitchenhancedviewer@example.com. Socket napočítal dohromady zhruba 31 000 uživatelů, z toho 552 ve Firefoxu; The Hacker News uvedl o tři dny později u Firefoxu 604. Třicet tisíc u Chromu je zaokrouhlení samotného obchodu, přesnější číslo Google nezveřejňuje.

Token jel v adrese přesměrovaného požadavku

Aby doplněk obešel reklamu a odemkl vyšší kvalitu, přesměrovává požadavky na seznam videosegmentů (adresa usher.ttvnw.net) přes proxy servery provozovatele. Výchozí je enhanced.jeetbot.cc. Na tu adresu se ale vezl i token, a to jako parametr auth přímo v adrese. Socket k tomu dodává, že se token tím pádem zapisuje v čitelné podobě do protokolů proxy serveru.

Že jde o token k účtu, a ne o krátkodobý klíč k přehrávání, doložil Socket z kódu doplňku. Obsahový skript vyčte hlavičku Authorization, kterou používá sám web Twitche, a doplněk ji pak posílá na ověřovací adresu Twitche ve tvaru Authorization: OAuth a hodnota tokenu. Klíč k přehrávání přitom doplněk řeší zvlášť, takže účtový token k načtení videa vůbec nepotřeboval.

Starší vydání s ním nakládala ještě otevřeněji. Verze 4.8 z 8. ledna 2026 posílala token metodou POST na koncový bod set-token, se dvěma náhradními adresami na doménách deno.dev a deno.net. V kódu u toho stály ruské poznámky, že se neúspěšné odeslání má tiše přejít, a pětivteřinová prodleva, aby se token neposílal příliš často. Socket z prodlevy vyvozuje, že si příjemce tokeny ukládal; sama o sobě to ale nedokazuje.

Token nahradí heslo i druhý faktor

Přihlašovací token je doklad na doručitele: komu se dostane do ruky, tomu Twitch věří. Heslo k tomu nepotřebuje a dvoufázové přihlášení ho nezastaví. S účtem pak jde psát do chatu, číst a odesílat soukromé zprávy a utrácet kanálové body.

Důležité je i to, co oprava nespraví. Aktualizace ani smazání doplňku už odeslané tokeny nezneplatní. Socket proto radí odpojit v nastavení Twitche všechny relace a přihlásit se znovu; teprve tím staré tokeny přestanou platit.

Deset kanálů mělo výjimku

V kódu stojí seznam deseti kanálů, u kterých se token do adresy nepřidává. Jsou to rusky mluvící streameři, několik z nich známé tváře okolo Counter-Striku. U všech ostatních kanálů se token odesílal.

Vývojář Aleksandr Popov, kterého web JeetBotu uvádí v patičce a The Hacker News ho označuje za vývojáře sídlícího na Kypru, to vysvětlil jinak, než jak seznam vypadá. Diváci mimo Rusko a lidé připojení přes VPN podle něj u těch kanálů naráželi na chybu číslo 3 a přehrávač jim odmítl pustit obraz. Pro ně vznikla náhradní cesta, která token neposílá, a těch deset kanálů byly jen její výchozí položky; od verze 85.8.4 si seznam může upravit každý sám. Popov zároveň odmítá, že by šlo o škodlivý doplněk, a tvrdí, že s odeslanými tokeny nikdo na účtech nic nedělal. Přeposílání tokenu označil za nedomyšlenost, kterou převzal na svůj vrub spolu s tím, že popis doplňku ani zásady soukromí nedržely krok s kódem.

Podobně to podle něj řeší i konkurenční doplňky ReYohoho Twitch Proxy a XT Viewer. Ty to ale mají napsané ve svém popisu v obchodě.

Co je v obchodech vidět teď

Firefoxová verze byla podle Socketu spravená jako první: vydání 85.8.7 token na proxy už neposílá. Chrome v době jeho zápisu ze 16. září běžel dál na verzi 85.8.4, která token posílala.

Vlastní kontrola obou obchodů 21. září ukázala další posun. Stránka doplňku v Chrome Web Store nese verzi 85.8.7 s datem 20. září, průměrné hodnocení 3,9 z 80 hlasů a pořád 30 000 uživatelů. V popisu doplňku dnes stojí rusky psané upozornění, že předchozí verze posílají token na servery provozovatele a že je to nutné pro obraz v kvalitě 1080p a 1440p; Socket přitom 11. září psal, že ani jeden z obchodů o tom neinformuje. Změnilo se i hlášení o datech: obchod teď u doplňku vypisuje přihlašovací údaje, aktivitu uživatele a obsah stránek, kdežto v době rozboru tam podle Socketu stálo, že vývojář data nesbírá. Jestli i chromové vydání token přestalo odesílat, jsme neověřovali; Socket potvrdil opravu u Firefoxu.

Ve Firefoxu je to opačně. Stránka doplňku v katalogu Mozilly vrací 404 a hledání v katalogu ho nenajde vůbec; Mozilla důvod nikde neuvádí a otázku po něm jsme jí nepoložili. Zásady ochrany soukromí, na které odkazuje záznam v Chromu, zůstávají beze změny. Mají pořád datum 25. června 2025, pořád tvrdí, že doplněk nesbírá, neukládá ani nezpracovává žádná uživatelská data, a pořád v nich u kontaktu svítí nevyplněná poznámka pro vývojáře, aby si tam doplnil svoje údaje.

Praktický závěr je jednoduchý a netýká se jen tohohle doplňku: na rozšíření, které kvůli své funkci vede provoz přihlášené služby přes cizí server, je bezpečnější hledět tak, že se k přihlášení do té služby dostane. Doporučuje to i Socket.

Zdroje

• Socket: Twitch Browser Extension Exposes 30,000 Users' OAuth Tokens to Russian Bot Service (11. 9. 2026, dopsáno 16. 9. 2026)
• The Hacker News: Twitch Browser Extension Leaks OAuth Tokens From Nearly 31,000 Users (14. 9. 2026, dopsáno 17. 9. 2026)
• Záznam doplňku v Chrome Web Store
• Zásady ochrany soukromí doplňku

Obchod Play má vedle hotových aplikací ještě jednu polici. Jmenuje se předběžný přístup a vývojáři do ní dávají software, který zatím nevyšel, aby zjistili, jak se chová u skutečných lidí. Rumunská bezpečnostní firma Bitdefender ve svém rozboru z 10. září popisuje, že si téhož místa všimli i provozovatelé aplikací, které slibují peníze, výhry z kasina nebo placený obsah zadarmo.

Rozbor stojí na aplikacích, které si z Obchodu Play nainstalovali zákazníci Bitdefenderu. Firma v něm mluví opatrně: píše o aplikacích, které se jeví jako falešné kasinové hry, odměňovací programy nebo nástroje zneužívající cizí ochranné známky, a v závěru dodává, že sama nikoho z nezákonného jednání neobviňuje. Přesný počet neuvádí, jen řád – tisíce položek. O svých zjištěních podle vlastního textu informovala Google a ten potvrdil, že věc prověřuje.

Recenze se u nevydané aplikace nezveřejňují

Jádro problému není chyba v kódu, ale pravidlo obchodu. Kdo si nainstaluje aplikaci v předběžném přístupu, hvězdičky a text napsat může, jenže nápověda Google Play to popisuje jednoznačně: zpětnou vazbu uvidí pouze vývojář. Veřejné hodnocení u takové položky tedy nevznikne a další zájemce si nemá co přečíst.

Smysl to původně mělo. Nedodělaná aplikace padá, chybí jí funkce a jedna hvězdička za dočasnou vadu by ji poznamenala ještě před vydáním. Bitdefender to sám připouští a píše, že ochrana před nespravedlivou kritikou je pro poctivé vývojáře užitečná. Zároveň s ní ale mizí nejrychlejší varování, které kdokoli na trhu s aplikacemi má – zkušenost toho, kdo přišel první.

Odměna přibývá, dokud si ji nechcete vybrat

Aplikace, které Bitdefender popisuje, jedou podle firmy pořád stejnou smyčkou. Člověk narazí na reklamu na TikToku nebo Facebooku, nainstaluje a hned dostane štědrou odměnu. Body nebo virtuální peníze rostou ochotně až do chvíle, kdy se blíží hranice pro výběr; pak se postup dramaticky zpomalí a slíbená výplata nedorazí. Mezitím běží reklama za reklamou, což je podle rozboru celý smysl věci.

Na propagaci se objevují videa, ve kterých známý sportovec nebo herec doporučuje snadný výdělek. Jde o deepfake, tedy podvrh vyrobený umělou inteligencí. Bitdefender uvádí, že TikTok i Facebook takové reklamy obvykle rychle odstraňují, jenže vzápětí naskočí další scénář. Stejnou cestou přes reklamy na sociálních sítích se šíří i falešné e-shopy sítě DoppelCart.

Kasino, které se tváří jako hra o kuřeti

Zvlášť si rozbor všímá her s kasinovou mechanikou. Skutečná hazardní aplikace musí podle místních předpisů řešit licenci, omezení podle země a ověření věku. Položky, které Bitdefender našel, se za hazard nevydávají: vypadají jako běžný automat, hlavolam nebo odměňovací hříčka. Opakují se motivy jako Chicken Road nebo Ice Fishing, kde má hráč převést kuře přes silnici a za každý úspěšný pokus si prý zdvojnásobí vklad.

Vedle kasin vyjmenovává rozbor i mnohem nudnější kategorie: čtečky PDF, skenery QR kódů, sledovače telefonu a obyčejné nástroje. U čteček a skenerů si výzkumníci všimli, že řada z nich je táž aplikace nahraná pod různými jmény vývojářů.

Jméno slavné hry v titulku, pak přejmenování

Třetí skupina si půjčuje cizí značky. Bitdefender popisuje postup, kdy se položka nahraje pod názvem zavedené hry, počká, až si ji přebere vyhledávač Googlu, a teprve potom se přejmenuje na něco jiného. Jako příklad uvádí dvě aplikace nahrané jako Grand Theft Auto V (Early Access).

Server The Hacker News, kterému firma rozbor poskytla, jmenuje konkrétní případ: napodobeninu s názvem Vice Streets: Open World a balíčkem com.gamblechaos.withfriends.game, která měla přes milion stažení a žádné hodnocení. Stránka té aplikace v Obchodě Play dnes vrací chybu 404 – ověřili jsme to. Jestli ji stáhl Google, nebo sám autor, neví ani jeden ze zdrojů.

Jak předběžný přístup poznáte

Nabídka má v Obchodě Play vlastní místa. Aplikace se nacházejí na kartě Pro vás v sekci Aplikace ve vývoji, hry na kartě Nové v sekci Hrajte jako první. Spolehlivější znamení je ovšem samotná stránka aplikace: když má statisíce stažení a přitom ani jednu hvězdičku, není to div, ale nejspíš právě předběžný přístup.

Podle nás je to přesně ta situace, kdy počet stažení nic neříká. U vydané aplikace se milion instalací a nula recenzí nepotká, u nevydané je to normální stav – a útočníkovi to hraje do karet stejně jako poctivému vývojáři. Do české části Obchodu Play sahá věc stejně jako jinam, protože předběžný přístup je vlastnost obchodu, ne jedné země.

Rozbor Bitdefenderu převzal 14. září i národní bezpečnostní tým CSIRT.CZ v pravidelných Postřezích z bezpečnosti na Root.cz.

Zdroje

• Bitdefender: Google Play's Early Access program may be exploited by potentially deceptive apps (10. 9. 2026)
• Nápověda Google Play: Zkoušení nových aplikací pro Android před oficiálním vydáním
• The Hacker News: Google Play Early Access Abused to Push Thousands of Deceptive Android Apps (10. 9. 2026)
• CSIRT.CZ: Postřehy z bezpečnosti – pomozte likvidovat phishing (14. 9. 2026)

Německá bezpečnostní firma Nebty popsala shluk internetových obchodů, které kopírují skutečné prodejce, a pojmenovala ho DoppelCart. Podle rozboru, který 8. září 2026 zveřejnil server BleepingComputer, jde o víc než 119 tisíc domén. Server Malwarebytes o den později rozepsal, kolik z nich připadá na doménu nejvyšší úrovně .shop: 118 787 adres, tedy 2,72 % z toho, co tam Nebty prohledalo. Zbytek leží v jiných doménách nejvyšší úrovně, kolika a kterých, ani jeden ze zdrojů neuvádí.

Poslední průchod firmy našel přes 105 tisíc obchodů, které pořád běží. Napodobují 44 182 značek, medián jsou dvě kopie na značku. U některých je jich přes třicet, mezi nimi SodaStream, Daniel Wellington nebo Dreame. Obchody přebírají katalog, popisy, loga i fotky, a část snímků si někdy natahují rovnou ze serverů okopírované firmy. Slevy inzerují až do 65 %.

Pokladna odesílá každé políčko zvlášť

Zajímavá je ta poslední obrazovka. Nebty na několika pokladnách našlo kód, který sbírá číslo karty, platnost, bezpečnostní kód, jméno držitele, e-mailovou adresu, telefon a doručovací adresu. Neodesílá je až po potvrzení objednávky: každé pole putuje přes WebSocket na řídicí server v reálném čase.

To má praktický důsledek. Kód umí přeposlat i jednorázový potvrzovací kód, který pošle banka, takže útočník se jím podle Malwarebytes může pokusit potvrdit vlastní platbu, zatímco oběť ještě prochází pokladnou. Pojistka, která má stát na konci, tak může padnout ve stejné minutě jako číslo karty.

Část falešných obchodů navíc uvádí skutečnou zákaznickou adresu napodobené značky. Kdo nedostane zboží, píše tedy firmě, která s prodejem nemá nic společného. Provozovatele hostingu, na kterém většina těch webů běží, se Nebty pokusilo kontaktovat a odpovědi se nedočkalo.

Co je doloženo a co ne

Malwarebytes k tomu přidává výhradu, kterou stojí za to číst celou: nálezy stojí na společných znacích webů a infrastruktury, ne na důkazu, že každou z těch domén provozuje jedna a táž skupina. Nejsilnějším argumentem pro provázanost je údaj, který šéf Nebty Benedikt Scheungraber sdělil BleepingComputeru – 96 % potvrzených obchodů má shodné soubory sestavení a míří na 27 obchodních backendů.

Označení „největší zdokumentovaná síť falešných obchodů“ se tedy týká počtu domén, ne prokázaného vlastnictví. Kolik peněz DoppelCart vybral, zatím žádný ze zdrojů neuvádí.

Předchůdce z roku 2024 měl domény starší a obchodů míň

Dosavadní rekord držel BogusBazaar. Berlínská SRLabs ho popsala v srpnu 2024: přes 75 tisíc domén, z toho v dubnu téhož roku asi 22 500 živých, přes milion objednávek od roku 2021 a souhrnný objem přes 50 milionů dolarů. Obětí bylo podle firmy 850 tisíc, převážně ze západní Evropy a ze Spojených států.

Rozdíl mezi oběma sítěmi není jen ve velikosti. BogusBazaar si kupoval propadlé domény s dobrou historií u Googlu a stavěl na nich WooCommerce; typický server hostil kolem dvou set obchodů. DoppelCart čerpá téměř výhradně z jediné domény nejvyšší úrovně a obchody staví ze sdílené šablony.

Co s tím zvládne kupující

Rady, které k tomu Malwarebytes vypsal, jsou nudné a fungují: chodit do obchodu přes záložku nebo aplikaci, ne přes reklamu na sociální síti; hledat adresu obchodu spolu se slovem „recenze“; platit kartou nebo službou, kde jde platbu reklamovat, ne převodem ani kryptoměnou. A hlavně číst každý ověřovací dotaz banky: zkontrolovat v něm obchodníka a částku dřív, než platba odejde.

Českého kupujícího se to týká stejně jako německého; domény v .shop nemají geografické omezení. Česká obchodní inspekce k tomu vede seznam rizikových internetových obchodů, u kterých se podle ní špatně vymáhají spotřebitelská práva; zařazení na něj je podle úřadu doporučení spotřebitelům, ne zákaz prodávat. Je to výčet jednotlivých adres, takže obchod, který na něm chybí, tím není prověřený. Nalezenou kopii e-shopu jde nahlásit sdružení CZ.NIC přes Strážce internetu, doplněk do prohlížeče spuštěný začátkem září.

Zdroje

• BleepingComputer: DoppelCart fraud network uses 119,000 fake shops to steal credit cards (8. 9. 2026)
• Malwarebytes: More than 100,000 fake stores are out to steal your card details (9. 9. 2026)
• SRLabs: BogusBazaar, A criminal network of webshop fraudsters (5. 8. 2024)
• Česká obchodní inspekce: Rizikové internetové obchody

Český telekomunikační úřad má od úterý 15. září nový web. Jmenuje se Digitální maják a běží na adrese digimajak.ctu.gov.cz. Není to databáze ani úřední aplikace, ale rozcestník: na jednom místě shrnuje příručky, videa a odpovědi na časté otázky.

Tři agendy na jedné adrese

Portál se dělí na tři části podle toho, čemu se úřad v online prostředí věnuje. První jsou práva uživatelů platforem a online tržišť podle nařízení o digitálních službách (DSA). Druhá je dohled nad umělou inteligencí podle evropského aktu o AI. Třetí a nejobsáhlejší je ochrana dětí online, tedy téma, kterému se úřad věnuje dlouhodobě.

„Digitální svět je dnes přirozenou součástí života dětí i dospělých. Naším cílem proto není lidi strašit ani jim říkat, aby technologie nepoužívali. Chceme jim dát informace a praktické nástroje, díky kterým se v digitálním prostředí budou umět lépe orientovat a bezpečněji se v něm pohybovat,“ uvedl v tiskové zprávě předseda Rady ČTÚ Marek Ebert.

Rodiče dostali příručku, desatero a videonávody

Část o dětech stojí na třech materiálech. Příručka Jak chránit dítě v digitálním světě je rozdělená podle věku, tedy zvlášť pro předškoláky, mladší školní děti a teenagery. K ní patří návody na nastavení rodičovského dohledu v telefonech, aplikacích, sociálních sítích, počítačích a herních konzolích. Ty jsou i jako videa: První telefon, YouTube, Instagram a TikTok. Třetím materiálem je Rodičovské desatero pro bezpečí dětí v online světě.

Doporučení nejsou jen technická. Úřad radí i rodinná pravidla typu večer bez obrazovek, nabíjení telefonů mimo ložnici nebo společné prozkoumání nové aplikace, než ji dítě začne používat. Podle tiskové zprávy není největším rizikem to, že dítě online udělá chybu, ale okamžik, kdy se bojí přijít za rodičem. Rodičovská kontrola tam má být „dětská pojistka“, ne špehování.

Portál k tomu nabízí videotéku, audiotéku, mediální archiv a odkazy na spolupracující instituce. Část z nich vede ven: na podcasty dTestu a Vodafonu, na kurz Elements of AI nebo na vzdělávací materiály AI dětem.

Stížnost na platformu má tři kroky

Samostatný oddíl popisuje, co dělat, když si uživatel na chování platformy stěžuje. ČTÚ pro to uvádí tři kroky. Nejdřív patří výhrady přímo poskytovateli služby, včetně případného odvolání proti jeho rozhodnutí. Pak přichází na řadu soud nebo subjekt mimosoudního řešení sporů. Teprve jako alternativu uvádí úřad stížnost sobě samému, a to obyčejným e-mailem na podatelna@ctu.gov.cz. Podání má označit poskytovatele, popsat, co se stalo, a doložit co nejvíc důkazů, třeba kopie komunikace s poskytovatelem. Jiná cesta než e-mail na podatelnu tam uvedená není.

Úřad zároveň v odpovědích na časté dotazy opakuje, co dělat nebude: o zákonnosti obsahu rozhodovat nemá. Koordinátor digitálních služeb podle DSA posuzuje jen to, jestli poskytovatel dodržel postupy, kdežto nezákonnost obsahu se řídí unijním nebo národním právem a posuzuje ji sám poskytovatel.

Dozorová pravomoc čeká na zákon o digitální ekonomice

Na jednu věc přitom portál neupozorňuje: koordinátorem digitálních služeb úřad zatím není. Ve vlastních odpovědích na dotazy píše, že koordinátorem „bude určen“ a že na ochranu spotřebitelů podle DSA bude dbát „po schválení adaptačního zákona v České republice“. Oddělení, které to má dělat, počítá do budoucna až s osmnácti lidmi a vede ho Tomáš Ondrejka.

Tím zákonem je vládní návrh zákona o digitální ekonomice, sněmovní tisk 69. Vláda ho sněmovně předložila 12. prosince 2025, prvním čtením prošel 10. března, druhým 1. července 2026. Usnesení garančního hospodářského výboru dostali poslanci 4. září a od dalšího dne může jít návrh do třetího čtení. Do 16. září se tak nestalo.

Stejné je to s umělou inteligencí. Oddělení, které na ni má dohlížet, funguje od začátku září a na dozorové pravomoci čeká také. Maják to píše rovnou: zakázané praktiky z evropského nařízení platí i bez národního předpisu a rolí úřadu je zatím vysvětlovat, co znamenají v praxi.

Mezi zakázané praktiky patří podprahová manipulace, zneužití zranitelnosti dané věkem nebo zdravotním stavem, sociální kreditní systémy, prediktivní policejní systémy, rozpoznávání emocí ve škole a v práci, plošné stahování obličejů z internetu a nedovolená biometrická identifikace.

Spor s platformou tedy ČTÚ za uživatele rozhodnout nemůže a portál to ani neslibuje: jeho tři kroky končí u soudu nebo u mimosoudního řešení sporů. Použitelné bez čekání na zákon jsou návody pro rodiče. Na ty žádnou pravomoc potřeba nemá.

Zdroje

• Digitální maják (ČTÚ)
• ČTÚ spouští Digitální maják, tisková zpráva ČTÚ, 15. 9. 2026
• Jak chránit děti před online riziky či jaká práva máme vůči AI, Lupa.cz
• Sněmovní tisk 69, Poslanecká sněmovna

Banky dostávají úřední žádosti o údaje klientů běžně – vyšetřovatelé, daňová správa, dohledové orgány. Právě na téhle rutině postavil někdo útok na Revolut: poslal žádost z e-mailové adresy, která patřila do domény skutečného vládního úřadu, a banka mu data vydala. Firma to potvrdila serveru TechCrunch v sobotu 12. září.

Mluvčí Revolutu to všem serverům popsal shodně jako sofistikovaný vnější podvod se záměnou totožnosti a zdůraznil, že systémy ani peníze klientů zasažené nejsou. To je pravda a zároveň jádro problému: nic se nemuselo prolomit. Stačilo, že adresa odesílatele vypadala důvěryhodně.

Co odešlo ven

Oznámení, které Revolut rozeslal dotčeným klientům, vypisuje datum narození, poštovní a e-mailovou adresu, telefonní číslo a kopii dokladu totožnosti – pasu nebo řidičského průkazu. Dál v něm stojí, že předané údaje mohly obsahovat i ověřovací selfie, výpisy z účtu a historii transakcí.

Kryptoměnový vyšetřovatel vystupující jako ZachXBT, který oznámení zveřejnil, k tomu doplnil položky, jež banka sama nejmenovala: čísla IBAN, záznamy o výběrech, povolání a historii bitcoinových plateb. Podle něj šlo o zásah v malém rozsahu, ale mířený na majetné klienty.

Kolik lidí se to týká, Revolut neřekl. Mluví o „omezeném počtu“ a odkazuje na probíhající vyšetřování. Podle Financial Times, na který se odvolává Lupa.cz, firma kontaktovala zhruba 680 klientů. Neuvedla ani to, o kterou vládní instituci šlo.

Spor o to, co je biometrický údaj

Jedna věta z vyjádření pro Lupu stojí za rozbor. Revolut tvrdí, že „nebyly zpřístupněny ani dotčeny přístupové údaje, přihlašovací údaje, biometrická data ani finanční prostředky klientů“ – přitom v oznámení klientům sám připouští fotografie obličeje z ověřování totožnosti. Firma to vysvětluje tím, že zpřístupněna nebyla biometrická data odvozená z obličeje, tedy šablona, kterou systém k porovnání používá.

Rozdíl je technicky obhajitelný. Pro člověka, jehož selfie s pasem v ruce někde koluje, je ale hlavně formální: k otevření účtu jinde nebo k obejití ověření u jiné služby se hodí fotka stejně dobře jako matematický otisk.

Výkupné v bitcoinech

Lidé, kteří se k útoku hlásí, píšou do několika skupin na Telegramu. The Register uvádí, že v příspěvcích ukazují úryvky dat, která mají patřit ředitelům firem, profesionálním sportovcům a výkonným umělcům, a hrozí zveřejňováním dalších dávek, dokud Revolut nezaplatí. Požadují 10 000 bitcoinů, což je v přepočtu téhož serveru přes 782 milionů dolarů. Banka se k požadavku nevyjádřila.

Revolut po odhalení adresu zablokoval a podle svého vyjádření informoval dotčený úřad, orgány činné v trestním řízení, úřady pro ochranu osobních údajů i finanční regulátory. Totéž řekla deníku The Irish Times, podle kterého má Revolut jen v Irsku 3,4 milionu klientů.

Co z toho plyne pro klienta v Česku

Revolut uvádí přes 80 milionů klientů celosvětově a v Česku 1,3 milionu uživatelů (údaj firmy z letošního března). Jestli jsou mezi zasaženými i čeští zákazníci, banka na dotaz Lupy neupřesnila. Kdo oznámení nedostal, je tedy pravděpodobně mimo, ale jistotu z veřejných zdrojů zatím nemá nikdo.

Rozbor od bezpečnostní firmy Malwarebytes čeká hlavní dopad ve druhém kole: ne v okamžitých převodech, ale v podvodech, které uniklé údaje použijí jako důkaz věrohodnosti. Volající, který zná vaše datum narození, adresu i poslední transakci, zní jinak než náhodný podvodník. Rada z něj zní nezáživně: nikdy nepokračovat v komunikaci, která přišla sama, a banku kontaktovat výhradně přes aplikaci nebo oficiální číslo, ne přes odkaz z e-mailu či zprávy.

Druhá věc je delší – kopie dokladu se nedá „změnit jako heslo“. Zůstává platná roky a dá se použít k založení účtu na cizí jméno. Proti tomu pomáhá jen hlídat, jestli někde nevznikají účty nebo úvěry, o kterých nevíte.

Doména není doklad

Síla falešné úřední žádosti je v tom, že obchází všechnu techniku, kterou banka má. Šifrování, dvoufaktorové přihlášení ani sledování podezřelých plateb nepomůžou, když údaje vydá vlastní pracovník, protože žádost přišla ze správné domény. Pravá adresa přitom o pravosti žádosti neříká nic. Jak se útočník k adrese v doméně úřadu dostal, Revolut neuvedl – stejně jako neřekl, o který úřad šlo.

Tohle už není věc, se kterou by uživatel mohl něco udělat. Rozhoduje se to na straně banky, u postupu, kterým si žádost ověří jinou cestou, než kterou přišla – třeba zavoláním úřadu na číslo z jeho vlastního webu. Jestli Revolut takový krok měl, nebo ho po incidentu zavádí, ve svých vyjádřeních neuvádí.

Zdroje

• TechCrunch: Revolut confirms customer data breach through fake government requests (12. 9. 2026)
• The Register: Revolut falls for fake government requests, hands over customer data (14. 9. 2026)
• The Irish Times: Revolut blames „sophisticated impersonation scam“ for customer data breach (14. 9. 2026)
• Help Net Security: What we know about the Revolut data breach so far (14. 9. 2026)
• Malwarebytes: Revolut gave customer IDs and financial data to a government impostor (14. 9. 2026)
• Lupa.cz: Revolut řeší uniklá data skoro 700 lidí, odmítá, že by šlo i o biometrické údaje zákazníků (15. 9. 2026)
• CzechCrunch: Revolut má v Česku 1,3 milionu uživatelů (24. 3. 2026)

V pondělí 31. srpna 2026 přišel provozovatel botnetu Sality o velení nad nakaženými počítači. Tým Counter Adversary Operations firmy CrowdStrike provedl spolu s americkým ministerstvem spravedlnosti, FBI, vyšetřovatelskou službou ministerstva obrany a policisty z Bulharska, Maďarska a Rumunska takzvaný sinkhole: nakažené stroje od té chvíle posílají své dotazy místo k provozovateli na servery, které ovládají obránci. Evropskou stranu akce koordinoval Europol, americkou státní zastupitelství v Los Angeles.

Sality je na poměry škodlivého kódu starožitnost. První vzorky jsou z roku 2003 a ministerstvo spravedlnosti od té doby počítá jeho provoz bez přerušení.

Nákaza, která se rozmnožovala sama

Sality patří mezi souborové viry: připojoval se ke spustitelným souborům na disku a šířil se přes síťové sdílené složky, vyměnitelné disky a sdílení souborů. To je podstatný rozdíl proti dnešnímu zvyku. Provozovatel nemusel rozesílat phishing ani platit za exploity, nákaza se obnovovala sama.

Kromě vlastního rozmnožování uměl vir jedinou věc – dodat na nakažený stroj další kód. Podle rozboru CrowdStriku přes něj za ta léta prošly nástroje na krádež přihlašovacích údajů, rozesílání spamu, proxy služby, průniky do sítí i útoky DDoS.

Posledních osm let vydělával hlavně na jednom nástroji. Jmenuje se EggJagger a sleduje schránku: jakmile do ní uživatel zkopíruje adresu bitcoinové nebo ethereové peněženky, vymění ji za adresu provozovatele. Kdo si adresu před odesláním platby znovu nepřečte, pošle peníze jinam. CrowdStrike odhaduje, že tímhle způsobem přišly oběti nejméně o 12,1 milionu rublů, tedy zhruba 150 000 dolarů.

Velikost botnetu má v každé zprávě jiné číslo

CrowdStrike mluví o víc než 33 000 nakažených strojích, kterým mohl provozovatel v době zásahu posílat kód. Europol uvádí čísla o několik řádů vyšší: ve špičce podle něj měl provozovatel přístup až k milionu počítačů a s infrastrukturou bylo dosud spojeno přes 11 milionů unikátních IP adres.

Obojí může platit najednou, protože každé číslo měří něco jiného. Prvních 33 000 je stav při samotném odstřižení, jedenáct milionů je součet všech adres, které se s infrastrukturou dosud spojily, a tentýž počítač se v něm objeví pokaždé, když dostane novou. Ani jedna z tiskových zpráv ale nepíše, kolik strojů je nakažených teď a v kolika zemích.

Síť bez centrály se dá rozebrat zevnitř

Sality neměl řídicí server, o který by šlo přijít. Nakažené počítače si předávaly příkazy přímo mezi sebou a každý z nich si držel seznam takzvaných super peerů, tedy veřejně dostupných nakažených strojů, které tvořily páteř sítě. Každých čtyřicet minut si bot ověřoval, jestli jeho uložené uzly ještě odpovídají; ty mlčící postupně vyřazoval.

Přesně do téhle údržby zásah vstoupil. Obránci nechali legitimní super peery vypadnout ze seznamů a na uvolněná místa vložili vlastní uzly. Odříznutý bot pak nedostane ani seznam adres s dalším škodlivým kódem, ani soubor samotný.

Pomohly k tomu dvě vlastnosti, kterými Sality dvacet let přežíval:

• Protokol nešel opravit. Vir se šíří nakažením souborů, takže nová verze by o tytéž soubory soupeřila se starou a síť by rozdělila, místo aby ji povýšila. Boti se proto chovají stejně jako před dvaceti lety a každá slabina protokolu je trvalá.
• Síť nikoho neověřovala. Za plnohodnotného souseda přijala kohokoli, kdo byl veřejně dostupný a správně odpověděl na pozdrav. Žádné klíče, žádný seznam povolených adres.

Většina nakažených počítačů stojí za firewallem nebo překladem adres a zvenčí je oslovit nejde. U nich se čekalo, až se samy ozvou při běžné údržbě; tehdy jim obránci seznam vyprázdnili. Souběžně americké orgány zabavily domény, na kterých škodlivý kód ležel, a policie v Bulharsku, Maďarsku a Rumunsku zasáhla proti dalším doménám hostovaným v Evropě. Stejnou třídu techniky použili vyšetřovatelé už proti botnetu GameOver Zeus v roce 2014 a Kelihos v roce 2017.

Z disků nákaza nezmizela

Odstřižení není úklid. Nakažené soubory zůstávají na discích, vir se dál rozmnožuje na vyměnitelné disky a sdílené složky a jen nemá od koho dostat pokyn. Poznat nákazu přitom není snadné: sám Sality žádné okno neotevře a po odstřižení už jen tiše nakazuje další soubory.

Proto je součástí operace i obeslání obětí. Nadace Shadowserver, která do sítě vložila část sinkhole uzlů, spolupracuje s poskytovateli připojení a s národními bezpečnostními týmy na tom, aby se nakažené adresy dostaly k lidem, kteří s nimi můžou něco udělat. Své denní přehledy rozesílá zdarma víc než 10 000 prověřeným odběratelům včetně 201 národních CSIRT týmů ve 175 zemích a územích, takže k běžnému uživateli zpráva o nákaze obvykle dorazí od jeho poskytovatele internetu.

V Česku je národním týmem CSIRT.CZ, který provozuje sdružení CZ.NIC, a s daty Shadowserveru běžně pracuje: 2. září například uvedl, že v tuzemsku eviduje nadace přibližně 300 unikátních IP adres serverů Microsoft Exchange vyhodnocených jako zranitelné. Kolik českých adres patřilo strojům se Sality, dosud nikdo veřejně neuvedl.

Správci sítí mají po ruce jednodušší vodítko. CrowdStrike zveřejnil adresu 188.166.101.148, na kterou od zásahu hlásí všechny nakažené stroje. Provoz UDP na tuhle adresu podle CrowdStriku znamená nákazu, kterou je potřeba vyčistit.

Kdo Sality provozoval, zatím nikdo neřekl

O zadržení nebo obvinění se nezmiňuje ani Europol, ani americké ministerstvo spravedlnosti, ani rozbor CrowdStriku. Všechny tři popisují zásah proti infrastruktuře; jestli vyšetřování míří i na člověka za ní, z nich nevyplývá. Jméno provozovatele v žádné z nich nepadlo.

Zbylo po něm mimo jiné svědectví o tom, na co se dá botnet použít, když jeho majitel zrovna chce. Den po ruské invazi na Ukrajinu, 25. února 2022, rozeslal Sality podle CrowdStriku útok DDoS na ukrajinské fórum kharkovforum.com, kde lidé v jednom vlákně sdíleli informace o postupu ruské armády na Charkov.

Zdroje: tisková zpráva Europolu, tisková zpráva ministerstva spravedlnosti USA, technický rozbor CrowdStriku, popis reportů nadace Shadowserver, aktualita CSIRT.CZ.

Ve středu 9. září dorazilo odběratelům newsletteru firmy Trezor varování s předmětem Critical Security Alert: STM32 Entropy Vulnerability. Psalo se v něm, že mikrokontroléry v peněženkách mají tovární vadu, kvůli níž jde záložní kód uhodnout hrubou silou. Odkaz ve zprávě vedl na aplikaci, která si o ten kód rovnou řekla.

Trezor nic takového nerozeslal a vada, kterou zpráva popisuje, podle Živě.cz neexistuje. E-mail rozeslal útočník, který se dostal do rozesílací platformy Brevo – Trezor přes ni posílá svůj newsletter. Podle oznámení výrobce šla zpráva na zhruba 347 000 adres a než firma podvodnou doménu odstavila na úrovni DNS, stihlo na odkaz kliknout asi 2 500 lidí. Doménu odstavila do dvaceti minut.

Na adresu odesílatele se tentokrát nedalo spolehnout

Běžná rada zní: podívejte se, odkud zpráva přišla, a hledejte překlep v doméně. Tady by neposloužila. Zpráva odešla po téže cestě jako obyčejný newsletter, takže prošla obvyklými kontrolami pravosti, kterými poštovní servery odlišují podvrh od skutečného odesílatele. Brevo to ve svém rozboru incidentu přiznává rovnou – zprávy šly legitimní infrastrukturou, takže prošly obvyklým ověřením a vypadaly pravě.

Zdroje se rozcházejí v tom, jaká adresa v poli odesílatele stála. The Register uvádí podle příjemců, kteří kopie zveřejnili, adresu mailing@trezor.io, BleepingComputer zase help@trezor.io. Obě jsou v doméně výrobce.

Chyba byla v jednotném přihlašování

Brevo popisuje průběh takto: útočník si založil vlastní účet, zapnul si na něm jednotné přihlašování (SSO) a pozval do té konfigurace skutečné uživatele Brevo. Pak se přes svého poskytovatele identity přihlásil jako oni, což je u jednotného přihlašování očekávané chování. Přístup se ale neomezil na jednu organizaci – dostal se do všech, kam pozvaní uživatelé dosáhli. Heslo tedy nikdo krást nemusel.

Firma incident zaznamenala 10. září v 6.30 UTC a o dvě hodiny později cestu uzavřela a odhlásila všechny uživatele platformy. Chystá opravu, která přístup přes SSO omezí jen na organizaci, které konfigurace patří. Chystá také právní kroky a slibuje součinnost s úřady.

V počtu zasažených účtů se oba prameny liší. Trezor ve svém oznámení mluví o 120 účtech Brevo, rozbor samotného Brevo o 138. Ze šesti z nich odešel phishing, ze 43 někdo vyexportoval kontakty a u 93 nenašla firma podstatnou aktivitu; jestli se ty skupiny překrývají, rozbor neuvádí. Kromě Trezoru dostali podvodnou poštu zákazníci konkurenčního BitBoxu a služby CoinTracking; té druhé přišla zpráva s výzvou k obnově klíčů k API.

Co si z toho odnést i bez kryptoměn

Poučení nemíří na majitele peněženek, ale na každého, kdo dostává poštu od služeb, které používá. Rozesílací platformy jsou sdílená infrastruktura: jednu chybu v přihlašování zaplatí zákazníci několika nesouvisejících firem naráz. Adresa odesílatele, hlavička o ověření ani grafika zprávy pak nejsou vodítko.

Zbývá obsah požadavku. Záložní kód k peněžence, heslo, kód z SMS ani obsah ověřovací aplikace nemá důvod chtít nikdo – ani provozovatel, ani banka, ani podpora. Trezor to ve svém oznámení opakuje výslovně: nikdy o záložní kód nežádá. Trezor k tomu přidává druhou zábranu: na odkazy v takových zprávách vůbec neklikat. Kdo si přesto myslí, že kód někam zadal, má podle výrobce převést prostředky do nové peněženky; samotné kliknutí na odkaz podle něj nestačí.

Zpráva s vylhanou technickou vadou funguje i proto, že zní odborně. Kdo nemá jak posoudit, jestli mikrokontrolér STM32 opravdu generuje slabá čísla, se rozhoduje podle toho, že zpráva přišla z pravé adresy. Vhodnější je opačné pořadí: nejdřív zvážit, co se po mně chce, a teprve pak, kdo to posílá. Stejnou stavbu – naléhavé varování a jeden krok, který má oběť udělat sama – měl i phishing na uživatele Signalu, před kterým varoval NÚKIB.

Druhý incident u dodavatele během měsíce

Pro Trezor, který patří do skupiny české firmy SatoshiLabs, je to druhý případ za krátkou dobu, a ani jeden nevznikl u něj. V srpnu se útočníci dostali k datům u logistického partnera ShipMonk. Zprvu to podle Lupy vypadalo asi na 14 000 zákazníků, začátkem září Trezor doplnil, že přibylo dalších 67 000 kontaktů amerických zákazníků z dodávek z let 2019 až 2021 – tedy z údajů, o kterých dodavatel podle Trezoru opakovaně tvrdil, že je smazal. Tam neunikly jen e-maily, ale i jména, telefonní čísla a doručovací adresy.

Rozdíl mezi oběma případy je v tom, co s uniklými daty jde dělat. Adresář z newsletteru stačí na hromadnou zprávu. Seznam se jmény a bydlištěm majitelů hardwarových peněženek se dá použít adresně – zákazníci po úniku u ShipMonku hlásili podle Živě.cz podvodné telefonáty i dopisy s QR kódem doručené poštou.

Zdroje: oznámení Trezoru, rozbor incidentu Brevo, The Register, BleepingComputer, Cointelegraph, Lupa.cz, Živě.cz.

Dropbox poslal části svých uživatelů zprávu, kterou nikdo číst nechce: k jejich účtu se přihlásil někdo cizí. Heslo k tomu nepotřeboval. Stačilo mu, že si na jejich e-mailovou adresu založil účet Lenovo ID.

Jedna služba věřila druhé na slovo

Dropbox používá Lenovo Identity Provider Services jako součást své přihlašovací infrastruktury, napsal 2. září server BleepingComputer, který otiskl i znění rozeslaného upozornění. Kdo má Lenovo ID s ověřenou adresou, přihlásí se jím do Dropboxu vedeného pod toutéž adresou.

Chyba byla na druhé straně té dvojice. „Přestože nemusíte mít existující Lenovo ID, naše vyšetřování zjistilo, že problém v procesu ověřování e-mailu u Lenova umožnil neoprávněné straně zaregistrovat Lenovo ID s použitím vaší e-mailové adresy a pak se tímto Lenovo ID přihlásit do účtu Dropboxu spojeného s touto adresou,“ stojí v upozornění, které Dropbox zasaženým poslal (přeloženo z angličtiny).

Jinými slovy: Lenovo neověřilo, že adresu opravdu vlastní ten, kdo si účet zakládá, a Dropbox jeho tvrzení převzal, aniž si vyžádal vlastní heslo. Zasažení proto nemuseli mít u Lenova vůbec nic. Jeden z nich popsal, že se mu na přihlašovací stránce Dropboxu najednou nabídlo přihlášení přes SSO, přestože žádné Lenovo ID nikdy nezakládal.

Zhruba pět tisíc účtů mezi 4. a 21. srpnem

Útočník se do cizích účtů dostával od 4. do 21. srpna. Dropbox počet zasažených účtů vyčíslil zhruba na 5 000 a uvedl, že u méně než třetiny z nich se útočník dostal i k souborům; britský The Register ten údaj připisuje agentuře Bloomberg, blog Bitdefenderu agentuře Reuters. Podle téhož článku, který se odvolává na agenturu Reuters, nemělo dvoufázové ověření zapnuté ani jedno ze zasažených kont.

Dropbox po zjištění zrušil všechny relace přihlášené přes Lenovo ID, přerušil vazbu mezi zasaženými účty a Lenovem a nově vyžaduje heslo k účtu Dropboxu i tehdy, když se uživatel přihlašuje právě přes Lenovo ID. Zasaženým doporučil změnit heslo k Dropboxu i ke své e-mailové schránce a zapnout dvoufázové ověření.

Lenovo pro BleepingComputer uvedlo, že šlo o starou integraci mezi Lenovo ID a Dropboxem, kterou bylo možné využít k nesprávnému ověření některých účtů Dropboxu, a že jeho vlastní zákazníci zasaženi nebyli. Vyšetřování podle firmy pokračuje. Bezpečnostní publicista Graham Cluley na blogu Bitdefenderu k tomu píše, že na přihlášení nepřišel průběžný dohled, ale až pozdější vyšetřování, a že varování dorazilo uživatelům po týdnech.

Co s tím zvládne udělat uživatel

Dvoufázové ověření se v Dropboxu zapíná v nastavení účtu na dropbox.com, na kartě Security. Služba nabízí kódy z aplikace pracující s protokolem TOTP, kódy přes SMS, bezpečnostní klíč i passkey a vydá k tomu záložní obnovovací kódy pro případ, že se člověk k telefonu nedostane. Nápověda upozorňuje, že nastavit se to dá jedině na webu, ne v mobilní aplikaci.

Druhá věc je podívat se, odkud je účet přihlášený. Dropbox vede v nastavení seznam připojených zařízení a umí je odhlásit na dálku. Zpráva o podezřelém přihlášení, kterou služba pošle e-mailem, není otravné oznámení navíc: část uživatelů podle BleepingComputeru dostala upozornění na podezřelé přihlášení a heslo si změnila hned, tedy dřív, než dorazilo oficiální varování.

Třetí věc je samotné tlačítko „Pokračovat přes…“. Přihlášení cizím účtem ubírá hesla navíc, ale znamená, že se ochrana jednoho účtu opírá o pořádek v úplně jiné firmě. U účtů, kde má člověk něco, o co nechce přijít, se vyplatí projít si v nastavení, které přihlašovací cesty jsou vůbec povolené, a ty nepoužívané zrušit.

Heslo k Dropboxu bylo celou dobu v pořádku. Jen ho k ničemu nebylo potřeba.

Zdroje

• BleepingComputer: Dropbox accounts breached through Lenovo email verification flaw – 2. září 2026, včetně znění upozornění a vyjádření Lenova
• The Register: Legacy Lenovo login opens 5,000 Dropbox accounts to attackers – 2. září 2026
• Graham Cluley na blogu Bitdefenderu – 7. září 2026
• Root.cz: Postřehy z bezpečnosti – 7. září 2026, český souhrn případu
• Nápověda Dropboxu: How to turn 2-factor authentication on and off

Zpráva na WhatsAppu nezněla nijak zvláštně. Odesílatel se ptal, jestli je adresát v kanceláři, a nic víc. Použil jméno a fotografii skutečného manažera firmy Gen, pod kterou patří značky Norton a Avast, k tomu telefonní číslo se správnou irskou předvolbou. Manažerovo ale nebylo, stejně jako hlas: příjemce z právního oddělení kolegu znal a při prvním telefonátu poznal, že mluví s někým jiným.

Tím pro útočníky skončila snadná část. Zaměstnanec, kterého rozbor Genu z 2. září 2026 nazývá Davidem, v komunikaci pokračoval dál, ale už jako někdo, kdo sbírá důkazy. Kampani, kterou tím firma odkryla, dali autoři rozboru Martin Chlumecký a Luis Corrons jméno Phantom Deal.

Smlouva o mlčenlivosti nebyla kulisa, ale nástroj

Po první identitě přišla druhá. Útočník se vydával za skutečného člověka spojeného s poradenskou firmou PwC a požádal o soukromou e-mailovou adresu. Vzápětí dorazila smlouva o mlčenlivosti (NDA) s hlavičkou PwC, která zaváděla přísně tajnou akvizici, stanovila blízké datum jejího ohlášení – 19. června 2026 – a hlavně předepisovala, že veškerá komunikace k obchodu má běžet přes WhatsApp a soukromý e-mail.

Právě to je podle Genu jádro celé věci. Pokyn obejít firemní systémy a nezvat ke stolu kolegy je za normálních okolností varovný signál. Uvnitř příběhu, který smlouva vytvořila, to vypadalo jako právní povinnost. Dokument adresáta odrazoval od ověření u právního, finančního i compliance oddělení, tedy přesně u lidí, kteří by se na příběh zeptali nepohodlně.

Historii firmy si útočníci nastudovali. Vyprávění o akvizici stavělo na skutečném převzetí Avastu společností NortonLifeLock v roce 2022, ze kterého vzniklo Gen Digital. Vztah mezi těmi jmény existoval, takže vnitroskupinová platba mohla působit věrohodně. Nesrovnalosti byly jinde: vysvětlení, proč by měl platit zrovna Avast za NortonLifeLock Ireland Limited, jich podle Genu obsahovalo dost na to, aby si jich právník všiml rychle.

Přesná částka a účet v Hongkongu

Domnělý poradce pak poslal platební pokyn. Avast Software s. r. o., která podle registru ARES sídlí v pražské Pikrtově ulici, měla převést 626 735,45 eura firmě v Hongkongu. Platba byla popsaná jako záloha na odborné služby s tím, že se zaúčtuje jako vnitroskupinová pohledávka a vrátí po oznámení akvizice.

Když pokyn odešel, změnil se tón. Útočník začal urgovat potvrzení převodu a chtěl doklad SWIFT MT103, tedy bankovní zprávu, kterou se dokládá provedená mezinárodní platba. Později požadoval ještě číslo UETR, jednoznačnou referenci, podle níž se platba sleduje v síti SWIFT. Obojí ukazuje, o co šlo: mít jistotu, že peníze jsou na cestě, a zkrátit čas, který má firma nebo její banka na zásah.

Odkaz, který si útočníci otevřeli sami

Gen odpověděl vlastní kulisou. Připravil falešný výpis z účtu i potvrzovací e-mail ve stylu banky Citibank, který obsahoval očekávanou částku, příjemce i odkaz na podrobnosti transakce. Odkaz nevedl k žádnému bankovnictví – nesl sledovací token. Když si útočník stěžoval, že se stránka neotevírá, tým mu poradil vypnout VPN. Další pokusy přišly během pár minut.

Token zaznamenal 49 požadavků HTTP ze 43 IP adres za 24 dní. Firma sama upozorňuje, že to neznamená devětačtyřicet akcí útočníka: velkou část hned v prvních minutách nadělaly automatické skenery a služby, které odkazy rozbalují. Po odfiltrování zbyly opakované přístupy přes VPN a proxy, z různých prohlížečových profilů a s odstupem hodin i dní. K určení, kdo za kampaní stojí, to nestačilo.

Pět cílů a jedna šablona

Zajímavější než jeden pokus je to, co se našlo podle otisků padělané smlouvy. Podle její struktury, formulací a vložených identifikátorů dohledali analytici čtyři další adresáty, všechno výše postavené lidi. Oborů k nim ale Gen jmenuje pět: soukromý kapitál, průmyslové finance, obchod, těžba a energetika. Značky poradců se lišily, vedle PwC se objevily KPMG a Ogier. Nic nenasvědčuje tomu, že by některá z těch firem byla zapojená nebo napadená; útočníci jen zneužili jejich jména.

Dokumenty přitom měly stejné pořadí oddílů, stejné právní formulace a stejný neobvyklý číselný identifikátor, přestože je psal kdosi pro nesouvisející příjemce a pod hlavičkami různých firem. Takové zbytky vznikají, když se opakovaně používá jedna šablona. U ostatních čtyř cílů se ale platební fáze nepozorovala, takže z toho neplyne, že všichni dostali stejné pokyny k převodu.

Žádný malware, jen proces

Na celém řetězci nebyl ani exploit, ani škodlivá příloha, ani ukradená firemní schránka. Stačila veřejně dostupná jména, fotografie a firemní historie. „Podvody jsou čím dál přesvědčivější, takže i zkušené oko je pozná těžko,“ řekl serveru Dark Reading Corrons (citace přeložena z angličtiny). Podle něj byla metodika propracovaná, ale konkrétní scénář nedotažený – se souvislejším příběhem mohl být tentýž postup mnohem nebezpečnější.

Doporučení, která z toho Gen vyvozuje, míří na proces, ne na techniku: platební pokyny ověřovat nezávisle zjištěným kanálem, ne kontaktem, který přišel s obchodem; nedovolit, aby platební kontroly obešel kdokoli odvoláním na mlčenlivost; a brát změnu komunikačního kanálu z firemních systémů do soukromých za důvod k obezřetnosti. Smlouva o mlčenlivosti může omezit, kdo se o transakci dozví. Nesmí zabránit tomu, aby se ověřila.

Rozbor vyšel 2. září, o den později o něm psal Dark Reading a 8. září ho shrnula Lupa.cz. Odpověď na otázku, proč to někdo zkouší zrovna na bezpečnostní firmě, dává Gen sám: i bezpečnostní firma je firma, má peníze, důvěrné transakce a zaměstnance, jejichž práce není rozebírat podvody.

Otevřete na telefonu web přes HTTPS a obsah stránky nikdo cizí nepřečte. Jméno serveru ale ano. Hned v první zprávě spojení, které se říká ClientHello, posílá zařízení pole Server Name Indication, a v něm stojí doména nezašifrovaně. Server ho potřebuje, aby poznal, který z hostovaných webů má vydat – a přečte si ho každý, kdo je na trase. Poskytovatel připojení, správce firemní sítě i majitel Wi-Fi v kavárně tak vidí seznam domén, které jste navštívili, i když neví, co jste na nich dělali.

V oznámení z 27. srpna 2026 to Bram Bonné a Shuaibo Huang z Googlu popisují jako metadata, ze kterých se dá stavět profil uživatele a která se dají použít k cíleným podvodům. Android 17 proti tomu nasazuje Encrypted Client Hello, zkráceně ECH.

Vnější jméno místo skutečného

ECH rozdělí úvodní zprávu na dvě části. Vnější nese jen neškodné údaje a společné jméno, které u téhož poskytovatele sdílí spousta webů. Vnitřní část se skutečnou doménou je zašifrovaná veřejným klíčem, který si server předem zveřejní v DNS. Cloudflare, kde je ECH zatím v režimu beta a musí se u webu zapnout, zvolil za to vnější jméno doménu cloudflare-ech.com. Kdo provoz sleduje, pozná tedy z takového spojení jediné: že jde o web na Cloudflare, ne o který web jde.

Postup popisuje RFC 9849, které vyšlo v březnu 2026 jako navrhovaný standard IETF. Napsali ho E. Rescorla, K. Oku z Fastly, N. Sullivan a C. A. Wood z Applu.

Skrytá doména sama o sobě nestačí

Autoři RFC píšou rovnou v úvodu, že ECH k utajení cíle nestačí. Doména se dá vyčíst i odjinud – z nešifrovaných dotazů do DNS a z IP adresy serveru. Google proto novinku váže na privátní DNS, tedy na šifrované překlady jmen, které si uživatel v Androidu zapíná v nastavení sítě.

Zůstává druhá půlka problému. Adresa serveru je vidět pořád, takže se ochrana opírá o to, kolik různých webů za jednou adresou stojí. Vývojáři knihovny OkHttp to v poznámkách k vydání shrnuli tak, že ECH pomáhá nejvíc u webů na velkých sítích pro doručování obsahu, protože tam z IP adresy konkrétní web neplyne. U webu na vlastním serveru s vlastní adresou je situace opačná.

Aplikace si to musí zapnout samy

Dokumentace Androidu uvádí, že od verze 17 (API 37) je ECH podporované ve výchozím stavu. To platí pro systém, ne pro aplikace: ty jdou do sítě přes vlastní knihovnu a záleží na ní. OkHttp 5.5.0 vyšel 16. srpna 2026 a ECH v něm je jako volba, kterou musí vývojář výslovně zapnout. Autoři u toho upozorňují, že se kvůli ECH museli naučit stahovat záznamy HTTPS z DNS, a že při použití systémového resolveru Androidu je přínos pryč – ty dotazy totiž ve výchozím stavu šifrované nejsou.

Zdroje Googlu si v tomhle bodě protiřečí. Blog z 27. srpna radí vývojářům povýšit právě na OkHttp 5.5.0 a ECH zapnout, kdežto příručka pro vývojáře u téže věci píše, že podpora v OkHttpu a v HttpEngine teprve přijde. Vydání knihovny je přitom o jedenáct dní starší než ten blog.

Tři další změny v síti

ECH je jedna ze čtyř novinek, které Google v oznámení jmenuje. Aplikace si nově musí říct o svolení, než prohledá domácí síť a zjistí, jaká další zařízení jsou k ní připojená. Certificate Transparency, tedy požadavek, aby byl každý certifikát zapsaný ve veřejném seznamu, je nově zapnutá ve výchozím stavu.

Čtvrtá změna míří na falešné vysílače, kterým se říká SMS blastery. Přinutí okolní telefony spadnout z LTE nebo 5G na starou síť 2G a pak jim pošlou podvodnou zprávu mimo dosah filtrů operátora; cena hardwaru klesla podle Googlu až na 3 000 dolarů. Android 12 dal uživatelům přepínač, kterým 2G vypnou ručně. Android 17 přidal cestu, jak to za své zákazníky udělá sám operátor, pokud se zapojí.

Co z toho má běžný uživatel

Nejde o funkci, kterou by šlo někde zaškrtnout a hned poznat. Aby se doména schovala, musí se sejít tři věci naráz: telefon s Androidem 17, zapnuté šifrované DNS a server, který má ECH nasazené a klíč zveřejněný. Do té doby zůstává vidět všechno jako dosud.

Sítě, které se dnes řídí podle jména v úvodu spojení, tím ale o svůj hlavní záchytný bod přicházejí. Kde se filtruje nebo blokuje podle SNI, přestane to u takového spojení fungovat; blokace vedené přes DNS a přes IP adresy zasažené nejsou. Google o Androidu 17 píše, že je první velký mobilní systém se širokou podporou ECH.

Zdroje

• Google: 4 new ways Android is protecting your network connections (27. 8. 2026)
• Android Developers: Adopting Encrypted Client Hello (ECH)
• RFC 9849: TLS Encrypted Client Hello (březen 2026)
• OkHttp: seznam změn ve verzi 5.5.0 (16. 8. 2026)
• Cloudflare: ECH Protocol

Národní úřad pro kybernetickou a informační bezpečnost zveřejnil 4. září situační report o phishingových kampaních mířených na uživatele aplikace Signal a spolu s ním doporučení, jak si účet zabezpečit. Koncové šifrování, kvůli kterému si lidé Signal vybírají, zůstává tam, kde bylo. Útočníci ho neobcházejí, jen se snaží dostat oběť k tomu, aby jim dveře otevřela sama.

Zneužívá se funkce, která má usnadnit život

Signal umí jeden účet obsluhovat z několika zařízení. Na počítač nebo na tablet se účet napojí tak, že uživatel telefonem sejme QR kód; aplikace tomu říká připojená zařízení a povoluje jich nejvýš pět. Útočníkovi tedy stačí, aby oběť sejmula QR kód jeho, a ne svůj.

NÚKIB tuhle variantu označuje za primární hrozbu pro české uživatele a popisuje dvě podoby. První je zpráva tvářící se jako sdělení technické nebo bezpečnostní podpory Signalu, obvykle i s její grafikou. Druhá je QR kód vydávaný za pozvánku do skupiny. Obě mohou navíc pod smyšlenou záminkou vylákat PIN kód nebo obnovovací údaje. Vzácnější je scénář, ve kterém se útočník vydává za zájemce o videohovor a chce po oběti přihlášení do „ověřovacího portálu“ nebo zaslání autentizačního kódu; tam bývají terčem služby Microsoftu.

Kolik toho útočník uvidí, na tom se prameny neshodnou

Google Threat Intelligence Group popsala tenhle způsob útoku v únoru 2025 a napsala, že po úspěšném připojení chodí nové zprávy současně oběti i útočníkovi, v reálném čase. NÚKIB ve svém reportu jde dál: připojení podle něj umožňuje „příjem nových zpráv a potenciálně také získání obsahu starších konverzací“. Nápověda samotného Signalu dnes uvádí, že se při prvním nastavení připojeného zařízení z telefonu synchronizují všechny konverzace a média za posledních 45 dní.

Rozdíl mezi těmi popisy není akademický. Rozhoduje o tom, jestli je po odhalení kompromitovaná jen komunikace od okamžiku připojení, nebo i to, co bylo napsáno dřív. Ani jeden ze tří zdrojů to neuvádí pro konkrétní verzi aplikace, takže se z nich přesná odpověď vyčíst nedá; nejopatrnější je počítat s tou horší variantou.

Google k tomu přidává jednu podstatnou vlastnost: nikde neběží centrální detekce, jež by nově připojené zařízení ohlásila, a kompromitace tak podle firmy může zůstat dlouho bez povšimnutí. Jediná kontrola, která funguje, je ta, kterou si člověk udělá sám v nastavení.

Koho si útočníci vybírají

Podle úřadu dosud kampaně mířily hlavně na lidi z bezpečnostní oblasti, ze státní správy a na politiky. Techniku poprvé nasadily ruské zpravodajské služby pravděpodobně proti příslušníkům ukrajinské armády – a slovo „pravděpodobně“ má v pravděpodobnostní škále NÚKIB hodnotu 55 až 70 %. Obdobné útoky byly zaznamenány na Ukrajině, v Německu, ve Francii a v Nizozemsku, přičemž geografický rozsah je podle úřadu velmi pravděpodobně (75 až 85 %) širší.

Google jmenuje konkrétní uskupení. Skupina sledovaná jako UNC5792 upravovala stránky s pozvánkou do skupiny tak, že místo do skupiny odkazovaly na adresu začínající sgnl://linkdevice, tedy na připojení zařízení. UNC4221 provozovala vlastní phishingovou sadu napodobující ukrajinskou dělostřeleckou aplikaci Kropyva. A skupina APT44, kterou několik vlád přisuzuje ruské vojenské rozvědce, podle Googlu pracovala na tom, aby ruské jednotky v poli uměly připojit účty ze zařízení ukořistěných na bojišti k útočníkově infrastruktuře.

Report je o čtyřiadvacet dní starší než jeho zveřejnění

Dokument má jednací číslo 21670/2026-NÚKIB-E/630 a je datovaný 11. srpna 2026 v Brně, na web se ale dostal až 4. září. Má šest stran a je označený TLP:CLEAR, tedy k volnému šíření. Vlastní rozbor a doporučení se vešly na první dvě strany, zbytek zabírá příloha s postupem klikání v aplikaci, seznam zdrojů a vysvětlivky. Podle poznámky pod čarou jde o aktualizaci doporučení, které úřad k Signalu vydal v roce 2022.

Co NÚKIB radí udělat

• Projít v nastavení seznam připojených zařízení a všechno neznámé odebrat.
• Zapnout Zámek registrace. Signal pak při opětovné registraci čísla vyžádá PIN, takže na převzetí účtu nestačí samotný ověřovací kód.
• Nikomu nesdělovat PIN ani ověřovací kódy. Oficiální podpora Signalu o ně podle úřadu nežádá a zprávami v aplikaci uživatele neoslovuje.
• Nesnímat QR kódy a neotevírat odkazy, které si člověk nevyžádal.
• U citlivější komunikace zapnout mizející zprávy a dohledatelnost podle telefonního čísla přepnout na „Nikdo“.
• U podezřelé zprávy si jiným kanálem ověřit, že ji poslal ten, za koho se vydává.
• Aplikaci stahovat jen z oficiálních stránek signal.org.

Zámek registrace má i svou cenu, kterou úřad nezmiňuje a Signal ano: kdo PIN zapomene a zámek má zapnutý, může se k účtu až týden nedostat. Provozovatel PIN nezná a resetovat ho neumí.

Výrazně exponovaným osobám NÚKIB doporučuje navíc denní restart telefonu. Sám k tomu dodává, že kompromitaci tím nikdo nezastaví – restart jen omezí působení škodlivého kódu, který nepřežije vypnutí. Ruční porovnávání bezpečnostního čísla, na kterém úřad trvá, přitom Signal nově doplnil o ověřování proti veřejnému logu klíčů.

Zdroje

• NÚKIB: Ruští aktéři cílí na uživatele Signalu. NÚKIB vydává analýzu a doporučení, jak si aplikaci zabezpečit (4. 9. 2026)
• NÚKIB: Zneužití aplikace Signal pro phishing, situační report č. j. 21670/2026-NÚKIB-E/630 (PDF)
• Google Threat Intelligence Group: Signals of Trouble (19. 2. 2025)
• Signal Support: Linked Devices
• Signal Support: Signal PIN
• iROZHLAS: Rusové útočí na Signalu, varuje NÚKIB (4. 9. 2026)

Národní bezpečnostní tým CSIRT.CZ, který provozuje sdružení CZ.NIC, spustil web Strážci internetu. Má být jednotným místem, kam se hlásí doménová jména zneužitá k trestné činnosti mířené na české uživatele, a to bez ohledu na to, jestli jde o doménu .CZ, nebo o kteroukoli jinou. Tisková zpráva sdružení je datovaná 2. září, podmínky projektu nabyly účinnosti o den dřív.

Šest druhů stránek, jeden formulář

Web vyjmenovává šest věcí, které od návštěvníka čeká: phishing, pharming, malware, podvodný e-shop, podvodné investice včetně kryptoměn a falešnou výhru. Hlásí se konkrétní adresa stránky, ne celá doména. Podmínky k tomu dodávají, že se ten výčet může rozšířit i bez předchozího upozornění, takže hranice projektu není pevná. Web sám vybízí, ať se posílá i to, co do žádné z kategorií nespadá.

Jedna věc sem naopak nepatří a web to říká rovnou: nezákonný obsah s dětmi. Ten se hlásí na linku STOPonline, kterou provozuje totéž sdružení za účasti téhož týmu.

Anonymně, nebo pod jménem

Hlásit se dá dvěma způsoby. Anonymní formulář nechce žádné osobní ani kontaktní údaje. Druhá cesta vede přes MojeID, kde si rozsah předávaných údajů určuje hlásící sám a povinná je jen e-mailová adresa; tím mu zároveň vznikne účet, který se maže dvanáct měsíců po posledním přihlášení.

Rozdíl mezi oběma cestami není jen v pohodlí. Sdružení píše, že u anonymních hlášení nepůjde zapojit takovou míru automatizace jako u těch neanonymních. Kolik zpracování to konkrétně ubere, tisková zpráva neuvádí.

Co se s hlášením stane

Postup shrnuje web do tří kroků: prověříme, reagujeme, řešíme. Podle typu a původu webu tým buď podnikne kroky k zablokování domény, nebo věc řeší s partnery. Vyhodnocené údaje můžou skončit ve filtračních databázích, tedy v takzvaných deny listech.

Podmínky jsou v tomhle střízlivější než web. Sdružení podle nich nezaručuje, že bude každý nahlášený incident vyřešen, ani není povinno hlásícího o postupu informovat. Na druhou stranu se v nich zavazuje, že identitu hlásícího nepředá třetím osobám a bude ji zpracovávat jen v rámci analytické činnosti CSIRT.CZ. Hlášení ve zlé víře může sdružení kdykoli přestat přijímat.

Doplněk nechce přístup ke všem stránkám

Na hlášení jedním kliknutím vznikl doplněk do prohlížeče; web z něj odkazuje verzi pro Firefox i pro Chrome. Záznam v katalogu doplňků Mozilly vede jako autora sdružení CZ.NIC a je v něm od 6. srpna 2026, tedy skoro měsíc před oznámením služby. Poslední verze 1.0.5 tam přibyla 1. září večer.

Oprávnění, která si doplněk vyžádal, jsou úzká. Katalog u něj vede jediné activeTab, tedy přístup ke stránce v okamžiku, kdy na doplněk uživatel klikne, a k tomu přístup na samotnou doménu projektu. Průběžně sledovat, kam kdo chodí, tedy nemůže. Rozšířený zatím není: katalog uvádí k 2. září průměrný denní počet uživatelů dva a jedno stažení za poslední týden.

Body, ligy a odznaky

Kolem hlášení postavilo sdružení hru. Web slibuje, že za aktivitu odemykáte odznaky, za přínos jednotlivých hlášení sbíráte body a díky nim postupujete v ligách; zve i do soutěže. Pravidla téhle části zveřejněná nejsou. Podmínky projektu, jediný právní dokument, na který web odkazuje, body ani ligy nezmiňují a v závěru stojí, že nahlášením incidentu nevzniká hlásícímu nárok na jakékoli plnění, pokud sdružení neurčí jinak.

Phishingu letos přibylo

Kolik takových stránek tým řeší, ukazuje jeho vlastní statistika. Za celý rok 2025 v ní stojí 2 003 řešených phishingových incidentů, za osm měsíců letoška už 2 126 – víc než za kterýkoli celý rok od začátku tabulky v roce 2022. Podíl na všem, co tým řeší, se drží kolem sedmdesáti procent: ze 3 021 letošních incidentů dělá phishing zhruba sedmdesát procent, v roce 2022 to bylo z 2 067 incidentů o něco víc. Obojí je dopočet z čísel v tabulce, sama je neuvádí.

Že podvodné stránky umí být pro oběť dost přesvědčivé, magazín popisoval nedávno na falešné platbě přes Apple Pay. Právě takové kampaně jsou tím, na co má nový formulář mířit.

„Spuštěním služby Strážci internetu reagujeme na poptávku uživatelů po jednotném místě pro reporting nebezpečných stránek, umožňujícím navíc snadné nahlášení přes doplněk prohlížeče,“ říká v tiskové zprávě výkonný ředitel sdružení Ondřej Filip. Podle něj tým od systému čeká hlavně rychlejší reakci: „Z výzkumů vyplývá, že v průběhu času se u podvodných stránek snižuje výtěžnost, proto chceme dostávat informace o nich co nejdříve a co nejvíce automatizovat další zpracování relevantních dat.“ Které výzkumy to jsou, zpráva neuvádí.

Jestli sbírání bodů přivede lidi, kteří by jinak podvodnou stránku jen zavřeli, ukáže až provoz. Čísla o počtu hlášení sdružení zatím nezveřejňuje.

Zdroje

• CZ.NIC: Národní bezpečnostní tým CSIRT.CZ spouští službu Strážci internetu (2. 9. 2026)
• Strážci internetu a Podmínky zapojení do projektu (účinné od 1. 9. 2026)
• Strážci internetu v katalogu doplňků Mozilly
• CSIRT.CZ: Statistiky řešených incidentů
• Lupa.cz: Správce české domény spouští Strážce internetu pro hlášení podvodných webů

Podvod s technickou podporou funguje na počítačích léta. Vyskočí varování o viru a k němu telefonní číslo, na kterém čeká někdo, kdo si řekne o vzdálený přístup a o peníze. Teď má vlastní podobu pro telefon: stránku, která napodobí platbu přes Apple Pay. Rozebrala ji 27. srpna 2026 firma Malwarebytes, o den později na ni upozornil i národní tým CSIRT.CZ.

Co uživatel uvidí

Po otevření stránky vypadá všechno jako platba. Apple Pay zpracovává 657 dolarů v App Storu, točí se kolečko a pod částkou stojí „Face ID · verifying identity“. K tomu číslo transakce, visací zámek a další obvyklé znaky platby v běhu.

Za pár vteřin se obraz změní. Přijde hlášení, že je účet Apple ID zamčený kvůli nerozpoznanému přihlášení, a pod ním telefonní číslo s pokynem ihned zavolat podpoře Applu. Kdo si rozklikne podrobnosti, uvidí platbu se stavem „Completed“. A telefon k němu promluví.

Ověření obličejem se nekoná

Nápis o ověřování Face ID je podle rozboru jen prvek HTML vedle ikony. Žádný požadavek na Apple Pay ani volání biometrického ověření za ním nestojí. Apple Pay se na webu používat dá, jenže skutečná platba začíná tím, že si ji vyžádá obchodník. Systém pak sám ukáže platební list, ve kterém uživatel platbu prohlédne a potvrdí. Tady se nic takového neděje.

Kolečko s nápisem „Processing payment“ je stejná kulisa. Celá úvodní obrazovka zmizí po 2,8 sekundy bez ohledu na to, jestli uživatel udělá cokoli, nebo nic.

Účtenku vidí všichni návštěvníci stejnou

Druhá obrazovka je vysázená jako doklad o zaplacení: částka, poslední číslice karty, autorizační kód, číslo transakce a zelený stav. Většina těch hodnot se nikdy nemění, protože je stránka nese natvrdo v kódu. Částku 657,00 dolaru, číslo transakce AP-2026-08-03-14:32 i autorizační kód AUTH-8F3A2B1C dostane každý stejné.

Jediné, co se mění, je datum. Stránka si ho vyrábí voláním new Date() a formátuje podle nastavení zařízení, takže ukazuje okamžik, kdy si ji oběť otevřela. Vzniká tím rozpor, na který stačí pozorné oko: v čísle transakce stojí 3. srpna, kdežto v poli s datem dnešek. Skutečná platba si datum při každém pohledu nepřepisuje.

Hlas nevydává telefon, ale prohlížeč

Jakmile oběť otevře podrobnosti, stránka promluví: „Unauthorized charge of six hundred fifty seven dollars from your Apple ID. Please call support immediately.“ V překladu: neoprávněná platba 657 dolarů z vašeho Apple ID, ihned zavolejte podpoře.

Nahrávka od Applu to není. Kód vytvoří objekt SpeechSynthesisUtterance a pošle ho do window.speechSynthesis, tedy do hlasové syntézy, kterou má prohlížeč zabudovanou. Mluví hlasem, který už v zařízení je, a právě to je na tom nejúčinnější: zvuk působí jako součást telefonu, ne jako přehrávání z cizí webové stránky.

Odejít jde, stránka to jen ztěžuje

Stránka si přidá vlastní záznam do historie prohlížeče a hlídá, kdy se uživatel pokusí vrátit zpět. V tu chvíli tvrdí, že by zavřením vystavil své platby a bankovní údaje vážné hrozbě. Macworld si všiml, že jedna z těch hlášek mluví o aktivní relaci Apple ID, což je pojem, který u Applu nic neznamená.

Když oběť výzvu potvrdí, kód skočí na adresu tel: s číslem podvodníků. Když ji odmítne, přijde varování další. Stránka si k tomu registruje obsluhu pro zavření okna, pro kontextové menu, pro gesto od okraje displeje i pro běžné klávesové zkratky; na systému iOS se při odchodu se zpožděním pokusí vytočit číslo sama.

Prohlížeč ovládnout nedokáže. Malwarebytes upozorňuje, že stránce toho dnešní prohlížeče při odchodu skoro nic nedovolí. Obsluha beforeunload se na mobilu spolehlivě nespouští, vyžaduje předchozí interakci uživatele a svede nanejvýš obecné potvrzení, jehož podobu si řídí prohlížeč sám. Stránka umí být vlezlá, zamknout telefon neumí.

Celé je to kvůli jednomu telefonátu

Částka je návnada. Číslo je na stránce vysázené nápadně, míří na ně červené tlačítko i každá z falešných výstrah.

Americká Federální obchodní komise ve své radě k podvodům s technickou podporou popisuje, co následuje: podvodník si po telefonu řekne o vzdálený přístup k počítači, předstírá kontrolu na viry a pak trvá na tom, aby oběť zaplatila dárkovými kartami, převodem, kryptoměnou nebo platební aplikací. Všechny ty způsoby mají společné to, že se peníze těžko vracejí.

Apple na své stránce o sociálním inženýrství uvádí totéž z druhé strany. Podvodníci podle něj tvrdí, že se někdo dostal do iPhonu nebo do účtu iCloud, případně že přes Apple Pay proběhly neoprávněné platby, a nabídnou se, že to spraví. Naléhavost je záměr: oběť nemá dostat čas na rozmyšlenou a hlavně nemá zavolat Applu sama.

Co s tím

• Nemačkat nic, co stránka nabízí. Každé tlačítko buď vytočí číslo, nebo vyvolá další výstrahu.
• Na číslo z vyskakovacího okna nevolat, ani zpětně a ani se stížností.
• Zavřít celý panel přes přepínač panelů prohlížeče, ne tlačítkem zpět.
• Když se objeví dotaz, jestli stránku opustit, zvolit odchod. Web může prosit, zabránit odchodu nemůže.
• Platbu si ověřit tam, kde je doopravdy: v historii nákupů účtu Apple, v nastavení zařízení nebo v App Storu.

Kdo už podvodníkům zavolal a pustil je do zařízení, má podle Malwarebytes odpojit internet, odinstalovat program pro vzdálený přístup, změnit z jiného zařízení heslo k účtu Apple i k bankovnictví a ozvat se bance.

Jedno vodítko platí i na podvody, které tenhle rozbor nepopisuje. Vyskakovací okno, které vyrobí nouzi a k tomu rovnou nabídne telefonní číslo, je podvod bez ohledu na to, jak dobře je nakreslené.

Skupina Partners oznámila ve čtvrtek 27. srpna, že se stala terčem kybernetického útoku. Peníze klientů podle ní ohrožené nebyly a bankovní systémy útok minul. K osobním údajům klientů se ale útočníci dostali oklikou – přes zálohy a prostředí, ve kterých se běžně nepracuje.

Kterých společností se to týká

Útok zasáhl finančněporadenskou společnost Partners Financial Services, pojišťovnu Simplea, penzijní společnost Rentea, Partners investiční společnost a slovenskou poradenskou firmu Simplea Financial Services. „Partners Banka ani její bankovní systémy zasaženy nebyly,“ stojí ve vyjádření skupiny. Provoz dotčených firem se nezastavil a jejich služby podle Partners fungují nejvýš s drobnými omezeními.

Přesný rozsah incidentu skupina teprve analyzuje. Mluvčí Tereza Píchalová řekla serveru Měšec.cz, že jde o první incident tohoto rozsahu za téměř dvacet let působení skupiny. Firmy o něm informovaly dohledové orgány i dotčené osoby a podaly trestní oznámení na Policii České republiky.

Produkce odolala, zálohy ne

Generální ředitel a spoluzakladatel Petr Borkovec popsal průběh na LinkedInu. Server Lupa.cz z jeho příspěvku cituje: „Absolvovali jsme velmi propracovaný kybernetický útok na IT infrastrukturu Partners Financial Services, pojišťovny, penzijky a investiční společnosti. Útok jsme již zastavili a útočníci se sice nedokázali dostat na produkční prostředí, zabránit nám fungovat a ani vše zašifrovat a ukrást a pak vydírat, což byl cíl.“ K zálohám a neprodukčním prostředím se ale dostali, a s nimi k osobním datům klientů čtyř zmíněných českých firem.

Záloha i testovací kopie přitom nesou tytéž údaje jako ostrý provoz. Bezpečnostní pravidla se na ně v řadě firem uplatňují volněji: kopie se zakládá mimo pracovní dobu, testovací databáze vzniká výřezem z produkce a nehlídá ji tolik očí jako systém, ve kterém se denně pracuje. Pro útočníka je to snazší cesta ke stejnému obsahu.

Co se z dat dá poskládat, skupina zatím neví. „Rozsah zkoumáme a sledujeme, co dokáží dešifrovat a dát z dat dohromady,“ napsal Borkovec. Celý problém označil za sílu, ostudu a lekci.

Zašifrovat systémy a říct si o výkupné je u dnešních útoků obvyklý záměr. Když nevyjde, zbývá vydírání zveřejněním ukradených dat – o tom, jak se z úniků stalo představení s prodejem vstupenek, jsme psali v červenci.

Server Wired.cz z téhož příspěvku uvádí, že za průnikem stála kombinace selhání lidského faktoru u jednotlivce, nedůsledného uplatňování bezpečnostních pravidel a vnějších okolností a že přesnou technickou příčinu hledá forenzní audit. Ostatní servery, které o útoku psaly, tenhle detail neuvádějí.

Co s tím může udělat klient

Uniklé osobní údaje se v praxi projeví nejdřív podvodnou poštou a telefonáty. Zpráva zní věrohodněji, když odesílatel ví, u koho máte smlouvu a jak se jmenujete – a přesně před tím skupina své klienty varuje. Kolik lidí se únik týká, zatím neuvedla.

Pár věcí, které pomáhají bez ohledu na to, co se nakonec z dat poskládá:

• Neklikat na odkazy ve zprávách, které se na incident odvolávají, ani když sedí jméno a číslo smlouvy.
• Ověřovat si každý telefonát kanálem, který si zvolím sám – zpětným voláním na číslo z vlastní smlouvy, ne na to, ze kterého přišel hovor.
• Nikomu nediktovat kódy z SMS ani z autentizační aplikace, ani „bezpečnostnímu oddělení“.
• Zapnout si u banky a operátora upozornění na změny v účtu a na nové platby.

Že to není planá opatrnost, ukazuje běžný provoz jiných institucí: Komerční banka napočítala za první pololetí o 41 % víc podvodů s platbami než rok předtím, a to bez jakéhokoli úniku dat na své straně.

Skupina Partners slíbila dotčeným klientům informační podporu, varování před zneužitím údajů a konzultace při případných incidentech. Podle Wired.cz chce zároveň sjednotit bezpečnostní standardy a rozšířit na celou skupinu tu úroveň zabezpečení, jakou má bankovní část – tedy ta jediná, kterou útok minul.

Doplněno 10. září 2026

Které kategorie údajů útok zasáhl, skupina pojmenovala už ve zprávě klientům z 27. srpna; server Peníze.cz z ní cituje identifikační a kontaktní údaje, údaje k produktovým smlouvám a nahrávky hovorů z klientského centra do roku 2021. U klientů se smlouvou u pojišťovny Simplea, penzijní společnosti Rentea nebo Partners investiční společnosti může být rozsah širší a zahrnovat i hlášení škodních událostí nebo investiční dotazník. První znění tohoto článku ten výčet nemělo a psalo, že skupina teprve analyzuje i kategorie údajů; analyzuje přesný rozsah incidentu. Kolik lidí se únik týká, skupina k 10. září nezveřejnila a od 27. srpna k případu nevydala další vyjádření.

Zdroje

• Vyjádření finanční skupiny Partners ke kybernetickému incidentu, 27. 8. 2026
• K údajům zákazníků české finanční instituce Partners se dostali hackeři, Lupa.cz, 27. 8. 2026
• Finanční skupina Partners čelila kybernetickému útoku. Banka zasažena nebyla, Měšec.cz, 27. 8. 2026
• Hackeři prorazili IT systémy Partners. Borkovec přiznal únik klientských dat, Wired.cz, 27. 8. 2026

Bezpečnostní informační služba vydala 27. srpna 2026 veřejnou výroční zprávu za rok 2025. Ředitel Michal Koudelka ji v úvodu sám nazývá veřejnou zprávou o činnosti, takže podrobnosti v ní nehledejte. Jedna věta z oddílu o kybernetických útocích ale míří na zařízení, která má doma spousta lidí.

Čerpadlo, kotel, kamera

Ruské kybernetické aktéry dělí zpráva na dvě skupiny. V té první jsou aktéři napojení na zpravodajské služby, jmenovitě APT28 spojený s vojenskou rozvědkou GRU. Ve druhé jsou takzvaná hacktivistická uskupení, jejichž nejčastější činností je zahlcování serverů útoky typu DDoS. Právě u nich zpráva pokračuje takhle:

V posledních letech se k nim přidávají i oportunistické útoky na nezabezpečené nebo neadekvátně zabezpečené lokální technické provozy, kdy útočník mění parametry systému (např. čerpadel, kotlů apod.). V tuzemských případech sice docházelo k automatickému bezpečnostnímu odstavení napadených systémů, existují však zahraniční případy, kdy došlo i k poškození zařízení. Dalším typem napadaných zařízení jsou IP kamery, včetně kamer umístěných v domácnostech.

Škody z toho podle BIS velké nejsou. Zpráva je popisuje jako v jednotlivých případech malé, ale v součtu nezanedbatelné. Zato nenechává na čtenáři otázku, kdo za těmi útoky stojí: hacktivisty podle ní nelze považovat za samovolně vzniklé kolektivy lidí s podobným světonázorem, nezávislé na ruské státní moci.

Kolik případů to bylo

Kolik takových případů bylo, se z výroční zprávy nedozvíte. Čísla má jiný úřad. Národní úřad pro kybernetickou a informační bezpečnost eviduje za rok 2025 celkem 203 kybernetických bezpečnostních incidentů proti 268 o rok dřív, přičemž incidentů spojených s útoky DDoS mezi nimi ubylo ze 167 na 94 – podrobněji jsme o tom psali v článku o Zprávě o stavu kybernetické bezpečnosti za rok 2025.

Útoky, o kterých mluví BIS, vede NÚKIB pod hlavičkou operačních technologií, tedy systémů, které něco ovládají místo toho, aby jen zpracovávaly data. Zaznamenal u nich mírný nárůst, ale i tak jde podle jeho zprávy o „nižší jednotky případů“, a to primárně proti nedostatečně zabezpečeným systémům se zařízeními vystavenými do internetu. Žádný z nich nevedl k významnějším škodám. Obě zprávy tak zřejmě popisují týž jev, každá z jiné výšky: BIS ho pojmenovává, NÚKIB měří a řadí mezi okrajové.

Kamera na hraničním přechodu a kamera v obýváku

IP kamery se v téhle oblasti objevují ještě jednou a je potřeba to nesplést dohromady. V květnu 2025 vyšlo společné technické upozornění Russian GRU Targeting Western Logistics Entities and Technology Companies, pod kterým jsou vedle BIS podepsané i NÚKIB, Vojenské zpravodajství a agentury z deseti dalších zemí. Popisuje kampaň jednotky 26165 ruské vojenské rozvědky proti logistickým a technologickým firmám a spojuje ji, byť opatrným slovem „pravděpodobně“, s rozsáhlým cílením na IP kamery na Ukrajině a v sousedních státech NATO. NÚKIB k tomu upřesňuje, že šlo o kamery na hraničních přechodech a železničních uzlech.

To je špionáž státního aktéra, který ví, na co se dívá. Kamera v české domácnosti je něco jiného: útočník ji najde proto, že je vidět z internetu a pouští ho dovnitř, ne proto, že by o ni stál.

Osm zásad, které BIS připojila

Vedle té pasáže má zpráva rámeček nadepsaný Zabezpečení malých průmyslových systémů. Za nejmenší technický provoz v něm služba považuje malou vodní elektrárnu, čerpadlo, otopnou soustavu i IP kameru, takže seznam sedne na běžnou domácnost skoro celý:

• vždy změnit výchozí heslo nastavené výrobcem,
• používat unikátní a složitá hesla,
• zapnout dvoufaktorové ověření u všech uživatelských účtů,
• zabezpečit připojení – VPN, blokování nevyužívaných portů, případně seznam povolených adres,
• pro vzdálenou správu nastavit účty s nejnižšími potřebnými právy, na sledování stačí právo ke čtení,
• pravidelně aktualizovat firmware a software,
• pravidelně kontrolovat zranitelnosti,
• zvážit výměnu zastaralého a výrobcem nepodporovaného zařízení.

Nic z toho není objev. Zajímavé je spíš to, kde ten seznam stojí – ve výroční zprávě zpravodajské služby, na stránce mezi ruskými a čínskými kybernetickými aktéry. Poslední bod je z těch osmi nejdražší a zároveň jediný, který nejde odbýt nastavením: u zařízení, které výrobce přestal podporovat, nepomůže ani pravidelná aktualizace o dva body výš, protože žádná nevyjde.

Loni takový odstavec ve zprávě nebyl

Výroční zpráva za rok 2024 hacktivisty ani domácí zařízení v oddílu o kybernetických útocích nemá. Ten patří celý státním aktérům a nejaktivnějším z nich byl podle něj APT28: zneužití zranitelnosti v Outlooku k získávání otisků hesel přes napadené routery, mezinárodně koordinovaná akce Dying Ember, veřejné odsouzení z května 2024 společně s Německem.

Jestli se tedy něco změnilo ve skutečnosti, nebo jen v tom, co služba považuje za vhodné napsat veřejně, se z těch dvou dokumentů rozhodnout nedá. BIS sama datuje jev opatrně, slovy „v posledních letech“.

Zdroje

• Výroční zpráva Bezpečnostní informační služby za rok 2025 (BIS, 27. 8. 2026)
• Zpráva o stavu kybernetické bezpečnosti ČR za rok 2025 (NÚKIB, PDF)
• Russian GRU Targeting Western Logistics Entities and Technology Companies (CISA a spoluautoři, 21. 5. 2025)
• Výroční zpráva Bezpečnostní informační služby za rok 2024 (BIS)

Kauza kolem uniklých záběrů z připravovaného dílu Grand Theft Auto je hlavně herní zpráva. Jedna její část se ale týká kohokoli, kdo chodí na diskusní servery – a stojí za to podívat se na ni bez ohledu na to, jestli vás hry zajímají.

O jaké údaje jde

Vydavatel si u soudu vyžádal od Microsoftu a Discordu podklady, které mu mají pomoct najít člověka za úniky. Podle rozboru zveřejněných příloh je na seznamu tohle:

• identifikátor instalace Windows a identifikátory zařízení u účtu,
• IP adresa při registraci a při posledním přihlášení,
• telefonní číslo,
• propojené účty Googlu a Xboxu,
• obsah cloudového úložiště OneDrive,
• údaje o účtu a o serverech na Discordu.

Rozhodující je, komu to platí. Ne jen třem účtům, které podání jmenuje, ale každému, kdo od 1. června napsal na jeden ze tří vyjmenovaných serverů nebo byl jejich členem. Lhůta pro vydání je 4. září.

Proč je identifikátor Windows jiná liga než IP adresa

IP adresa se mění, dá se sdílet celou domácností a u mobilní sítě klidně i stovkami lidí. Identifikátor instalace Windows je něco jiného: sedí v systému, přežije výměnu grafické karty i základní desky a mění se až s výměnou systémového disku nebo přeinstalací.

Když tedy takový údaj někdo dostane, nemá jen stopu k jednomu přihlášení. Má značku, která spojuje dohromady různé účty používané z téhož počítače, klidně i ty, které spolu na první pohled nesouvisejí. Přidejte k tomu telefonní číslo a propojené účty a z „anonymního uživatele fóra“ je konkrétní člověk.

Co takový požadavek znamená a co ne

Není to obvinění. Soudní výzva je nástroj, kterým strana sporu shání důkazy, a to, že se něčí účet objeví v seznamu, neznamená, že po něm někdo jde. Zároveň to ale není nic neškodného: údaje jednou vydané už jsou vydané a člověk, kterého se to týká, se o tom zpravidla nedozví.

Poskytovatel navíc není povinen vyhovět mlčky. Může rozsah rozporovat a namítat, že je nepřiměřený – a právě přiměřenost je v tomhle případě sporná. V podání jsou totiž místa, která nesedí: požadavek míří na období od 1. června, jenže identifikátor jednoho z těch serverů ukazuje, že server vznikl až o osmnáct dní později. Jedno a totéž číslo je navíc na jednom místě označené jako identifikátor uživatele a na jiném jako identifikátor serveru.

Co si z toho odnést pro sebe

Nejde o radu, jak se schovat. Jde o to, mít reálnou představu, co po člověku na diskusních platformách zůstává:

• Členství není soukromí. Účet na velkém serveru je záznam v databázi provozovatele, ne anonymní návštěva.
• Propojené účty rozšiřují stopu. Přihlášení přes jiný účet je pohodlné, ale spojuje dvě identity do jedné.
• Cloudové úložiště patří k účtu. Když je v požadavku obsah úložiště, netýká se to jen zpráv na fóru.
• Telefonní číslo je nejsilnější spojnice. Ověřování číslem chrání účet, ale zároveň k němu připojuje údaj, který jde dohledat.

A ještě jedna praktická věc

Kolem téhle kauzy se rozjelo to, co se u podobných případů opakuje. Po sítích koluje soubor o velikosti 113 GB vydávaný za hratelnou verzi hry. Podle rozboru testerů je z 99,99 % tvořený prázdnými daty a schovaný je v něm virus o velikosti kolem 50 kB. Návod k instalaci po uživateli chce, aby přidal výjimku pro celý systémový disk do Defenderu a ukončil bezpečnostní software.

To je pravidlo, které platí mimo jakoukoli hru: návod, který po vás chce vypnout antivirus, je návod k nakažení. Poctivý program to nepotřebuje nikdy.

Zdroje

• Rozbor obou soudních výzev a jejich příloh, Tom's Hardware
• Falešný instalátor o velikosti 113 GB, Tom's Hardware
• Web a telegramový kanál skupiny přestaly fungovat, Polygon

Národní úřad pro kybernetickou a informační bezpečnost zveřejnil 21. srpna Zprávu o stavu kybernetické bezpečnosti České republiky za rok 2025. Vláda ji podle úřadu vzala na vědomí o čtyři dny dřív, 17. srpna 2026.

Nejvyšší číslo v dokumentu se ale netýká incidentů hlášených úřadu. Zpráva eviduje za rok 2025 celkem 21 137 trestných činů v oblasti kybernetické kriminality a kriminality páchané na internetu, tedy o 2 642 víc než rok předtím. To je meziroční nárůst o 14 % a zároveň nejvyšší hodnota za celou dobu, po kterou se tenhle typ kriminality sleduje. Pro srovnání: za rok 2011 vede zpráva 1 502 registrovaných skutků, za rok 2024 pak 18 495. Mezi lety 2023 a 2024 přitom číslo o necelých šest procent kleslo, takže jde o návrat k dlouhodobému trendu, ne o výjimku.

Největší podíl mají podle zprávy podvody, a to už několik období po sobě. Obětí se nestávají jen lidé: dokument jmenuje případ dobročinné organizace Tady a teď z roku 2025. Úřad k tomu píše, že počet skutků roste i přes prostředky vynaložené na osvětové a vzdělávací kampaně.

Incidentů u úřadu ubylo, ty nejzávažnější přibyly

Sám NÚKIB řešil v roce 2025 celkem 203 kybernetických bezpečnostních incidentů, nejméně za poslední tři roky. Předloni jich bylo 268.

Za poklesem stojí jediný typ útoku. Incidentů spojených s DDoS útoky hacktivistických skupin, tedy se zahlcováním serverů provozem, zaznamenal úřad 94 proti 167 v roce 2024. Ten rozdíl 73 případů je větší než celkový pokles o 65, takže incidentů ostatních typů meziročně naopak přibylo; zpráva to takhle nepíše, je to dopočet z jejích čísel. Shrnutí zprávy k tomu píše, že tenhle typ útoků klesl „na méně než polovinu“, kdežto podrobná kapitola o pár stran dál uvádí, že klesl „o méně než polovinu“. Sedí to druhé: 94 je 56 % ze 167.

Útoky mířící na dostupnost zůstaly nejčastějším typem a tvořily 46 % všech evidovaných incidentů. Podle závažnosti přibyl jeden velmi významný incident, tedy takový, který může mít zásadní dopad na chod institucí a na služby poskytované občanům: z jednoho na dva. Významných incidentů naopak ubylo z 18 na 12 a zbylých 189 spadá do kategorie méně významných. Vedle roční zprávy vydává úřad i měsíční přehledy; v červenci 2026 v nich polovinu případů tvořily průniky do účtů a na servery.

Phishing zná devět z deseti oslovených organizací

Druhou nohou zprávy je dotazník. Úřad ho na začátku roku 2026 rozeslal regulovaným i dalším organizacím a vyplnilo ho 425 subjektů, z toho 338 regulovaných podle staršího zákona č. 181/2014 Sb. Otázek bylo 63 a NÚKIB v dokumentu výslovně uvádí, že odpovědi nemohl kontrolovat ani hlouběji ověřovat.

Nejčastějším typem útoku byl z pohledu respondentů phishing, tedy podvodná zpráva lákající přihlašovací údaje. Uvedlo ho 50 % dotázaných a setkalo se s ním 90 % z nich. Školení zaměstnanců pořádá 96 % organizací, nejčastěji jednou ročně. S ověřováním, jestli to k něčemu bylo, je to horší: 38 % organizací své lidi v roce 2025 netestovalo vůbec a tenhle podíl se dlouhodobě nedaří snižovat, v roce 2023 to bylo 40 % a o rok později 39 %. Kdo testuje, sahá nejčastěji po simulované phishingové kampani.

Peníze se našly, lidé ne

Rozpočet na kybernetickou bezpečnost zvýšila v roce 2025 zhruba polovina dotázaných organizací (51 %) a za dostatečný ho považuje 54 %, o jediný procentní bod víc než rok předtím. Ve finančním sektoru je to 81 %. Kdo rozpočet za dostatečný nepovažuje, většinou nedokáže říct, o kolik by se měl zvednout.

Horší je to s lidmi. Jako hlavní překážku při hledání odborníků uvedlo 75 % organizací nedostatečné finanční ohodnocení, ve veřejném sektoru 92 % a ve vzdělávání 84 %. Nedostatek se nejčastěji řeší outsourcingem. Mezi pěti nejhůř obsaditelnými pozicemi zpráva jmenuje architekty kybernetické bezpečnosti, obsluhu bezpečnostního dohledu SIEM, správce síťové a serverové infrastruktury a auditory.

Pravidla se loni změnila

Rok 2025 byl podle úřadu přelomový hlavně kvůli legislativě. Od 1. listopadu 2025 platí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který do českého práva převádí evropskou směrnici NIS2 a výrazně rozšiřuje okruh regulovaných subjektů. Jeho příprava trvala tři roky, osm měsíců a devět dní. Zároveň úřad spustil Portál NÚKIB, přes který regulované organizace plní zákonné povinnosti a hlásí incidenty; za rok 2025 na něm zaznamenal přes 252 tisíc návštěv.

V květnu 2025 provedla vláda vůbec první národní atribuci škodlivé kybernetické kampaně. Dlouhodobé útoky proti ministerstvu zahraničních věcí připsala skupině APT31 napojené na Čínskou lidovou republiku. Úřad loni vydal dvě varování: jedno na některé produkty společnosti DeepSeek, druhé na hrozbu spočívající v předávání dat a ve výkonu vzdálené správy z Číny. To druhé nemíří na jedinou technologii, ale na celý okruh odvětví, služeb i zařízení, a regulované subjekty ho musí zohlednit v analýze rizik. Reaktivní ani ochranné opatření úřad loni nevydal ani jedno.

Zpráva se uzavírá výhledem na roky 2026 a 2027. NÚKIB v něm upozorňuje na zneužívání komunikačních platforem k šíření škodlivého obsahu a ke kyberšpionáži a na vliv umělé inteligence na bezpečnostní prostředí. Čísla v té části nejsou; je to výčet oblastí, ne předpověď, takže se za rok nedá změřit, jestli vyšel.

Zdroje

• Zpráva o stavu kybernetické bezpečnosti České republiky za rok 2025 – NÚKIB, PDF
• NÚKIB vydal Zprávu o stavu kybernetické bezpečnosti ČR za rok 2025 – NÚKIB, 21. 8. 2026
• Český stát loni zaznamenal dva velmi významné kyberútoky s možným dopadem na fungování – Lupa.cz, 25. 8. 2026
• NÚKIB: Incidentů loni ubylo, sofistikovanost útočníků roste – ITBiz.cz

Studii Rumor and counter-rumor dynamics in a stochastic delay-fractional framework vydal časopis Scientific Reports 13. května 2026 v otevřeném přístupu. Šest autorů v ní staví model toho, jak se na sociálních sítích šíří fáma a vedle ní i informace, které ji vyvracejí. Tři z nich – Ali Raza, Marek Lampart a Umar Shafique – pracují v Laboratoři kvantových výpočtů v IT4Innovations při VŠB-TUO v Ostravě. Zbylí tři jsou z Bejrútu, Rijádu a Al-Ahsá; první a korespondující autor Ali Raza uvádí kromě Ostravy ještě univerzitu v jordánském Irbidu. Tiskovou zprávu vydalo IT4Innovations 18. srpna, tedy tři měsíce po vyjití studie.

Čtyři skupiny a jedno číslo

Model dělí uživatele na čtyři skupiny: ty, kdo se s informací teprve setkají, její šiřitele, uživatele a organizace, které ji vyvracejí, a ty, kdo o další šíření ztratili zájem. Autoři pro tu čtveřici používají zkratku SICR a popisují rovnicemi, jak lidé mezi skupinami přecházejí.

Klíčová veličina se jmenuje R₁ a funguje jako reprodukční číslo u nákazy: pod jedničkou šíření vyhasne, nad ní může fáma přetrvat. Citlivostní analýza pak říká, které parametry ji tlačí nahoru a které dolů. Nahoru intenzita šíření, podíl lidí, kteří fámě uvěří a pošlou ji dál, a přísun nových uživatelů. Dolů blokování a nahlašování šiřitelů a odchod uživatelů ze systému. Samostatné simulace k tomu přidávají čas: čím déle trvá ověření informace nebo zásah proti ní, tím hůř se šíření brzdí.

„Nejde přitom o nástroj, který by předpovídal osud konkrétního příspěvku na sociální síti,“ upozorňuje v tiskové zprávě Marek Lampart. „Jde o matematický model, který pomáhá oddělit jednotlivé vlivy, testovat jejich kombinace a lépe pochopit mechanismy.“

V čem je studie nová

Nápad popsat fámu jako nákazu je starý přes šedesát let. David Kendall a Daryl Daley ho v prosinci 1964 shrnuli na jedné stránce v Nature pod titulkem Epidemics and Rumours a o rok později rozvedli v IMA Journal of Applied Mathematics. Jejich model měl tři skupiny; ostravská studie přidává čtvrtou, totiž ty, kdo fámu vyvracejí.

Že je téma živé, je vidět v úvodu samotné studie: autoři tam vyjmenovávají dvacet dalších modelů šíření fám a devatenáct z nich má vročení 2024. Novost své práce proto nestaví na rozdělení do skupin, ale na tom, že v jednom rámci spojuje tři věci, které se do té doby zkoumaly každá zvlášť: dlouhodobou paměť, tedy že reakce závisí i na dřívějších setkáních s informací, zpoždění mezi příčinou a následkem a náhodné výkyvy v chování. K tomu přidávají numerickou metodu GL-NSFD, která má u takové soustavy udržet výsledky v mezích, ve kterých dávají smysl.

Co model nedělá

V oddílu o dostupnosti dat studie neuvádí žádnou datovou sadu, jen kód, který autoři poskytnou na vyžádání. Model tedy neběží na příspěvcích z Facebooku ani ze sítě X; hodnoty parametrů jsou zvolené tak, aby šlo simulace spustit, ne odměřené na konkrétní platformě. Sedí to s tím, co říká Lampart, a taky s tím, kam práci zařadila redakce Nature: pod výpočetní biologii, matematiku a fyziku, ne pod společenské vědy.

Prakticky to znamená, že z modelu nevyjde, kolika lidem se rozešle konkrétní řetězový e-mail. Vyjde z něj, který parametr má na výsledek největší páku – a právě tenhle rozdíl se v přejatých zprávách ztrácí snadno. Jestli páka platí i mimo rovnice, ukáže teprve srovnání s naměřenými daty, které studie nedělá. Sledovat, jak se rozjíždí koordinovaná kampaň, jde zatím spíš postupy, které jsme popsali u opakování a načasování příspěvků v předvolebních diskuzích.

Kdo to zaplatil

Českou část hradilo ministerstvo školství přes e-INFRA CZ, Evropská unie v projektu REFRESH z Operačního programu Spravedlivá transformace a grant SGS na VŠB-TUO. Vedle toho práci podpořily tři zahraniční zdroje: Lebanese American University v Bejrútu, Princess Nourah bint Abdulrahman University v Rijádu a King Faisal University v Al-Ahsá. České tiskové zprávy uvádějí jen tu první trojici.

Zdroje

• Rumor and counter-rumor dynamics in a stochastic delay-fractional framework: a GL-NSFD approach, Scientific Reports 16, článek 19362, 13. května 2026
• Matematický model ukazuje, co rozhoduje o tom, zda se fáma na sociálních sítích udrží, nebo zanikne, tisková zpráva IT4Innovations, 18. srpna 2026
• Čeští vědci vytvořili matematický model, jak se šíří fámy na sociálních sítích, Lupa.cz
• Epidemics and Rumours, D. J. Daley a D. G. Kendall, Nature 204, s. 1118, 12. prosince 1964

Datové schránky mají novou adresu od konce června a dosud šlo používat i tu starou. Kdo si do prohlížeče napsal mojedatovaschranka.cz, přihlásil se stejně jako předtím. Souběh obou adres teď končí: stará se změní v přesměrování na datovka.gov.cz a uživatel skončí na nové doméně, ať už chtěl, nebo ne.

Samotná služba zůstává stejná. Nemění se jméno schránky, heslo ani obsah, jen adresa, na které to celé běží. Prakticky to má dva dopady a oba se týkají věcí, které si za uživatele pamatuje počítač.

Prohlížeč uložené heslo k nové doméně nepřiřadí

Prohlížeče si hesla ukládají k doméně, pro kterou byla zadaná. Uložené přihlášení k mojedatovaschranka.cz se proto na datovka.gov.cz samo nevyplní. Heslo platí dál, jen ho bude při první návštěvě nové adresy potřeba napsat ručně, případně ho v prohlížeči najít.

Digitální a informační agentura (DIA), která datové schránky spravuje, kvůli tomu vydala návod, jak uložené heslo zobrazit v Chrome, Firefoxu, Edgi a Safari. Doporučuje ověřit si znalost jména a hesla dřív, než přesměrování naběhne; kdo si ho nevybaví, musí požádat o vydání nového hesla.

Kdy přesně, na tom se dvě zprávy agentury neshodnou

Tady je potřeba být opatrný, protože DIA uvedla dvě různá data. V tiskové zprávě z 25. června stojí, že „od 27. srpna 2026 budou návštěvníci původní domény mojedatovaschranka.cz již automaticky přesměrováni“. Totéž datum má i informační stránka služby: stará adresa podle ní zůstává funkční do 27. srpna 2026.

Novější zpráva z 19. srpna ale mluví o dni dřív. Automatické přesměrování podle ní startuje 26. srpna a to datum je v ní dvakrát, jednou v úvodu a podruhé v citaci vedoucího oddělení Informačního systému datových schránek Ondřeje Menouška. Server ISVS.CZ psal koncem června jen o „konci srpna“. Rozdíl je jeden den a pro většinu lidí neznamená nic. Kdo si chce heslo ověřit, má na to čas do 25. srpna; s dřívějším z obou termínů se pak nemine.

Systémová upozornění přijdou z jiné adresy

Druhá věc, kterou si místo lidí pamatují stroje, jsou e-mailové filtry. Upozornění na novou zprávu ve schránce chodila z adresy notifikace@mojedatovaschranka.cz, nově je odesílá notifikace@datovka.gov.cz. Kdo si zprávy automaticky třídí do složky nebo si je nechává označovat, musí pravidlo přepsat. Jinak upozornění dorazí, jen se ztratí mezi ostatní poštou.

Rozhraní pro aplikace, tedy webové služby, kterými se do schránek napojují spisové služby a účetní programy, poběží na obou doménách souběžně minimálně do 31. 12. 2027. Na přenastavení je tedy ve firmách víc než rok času.

Proč se stát stěhuje pod jednu doménu

Přesun vychází z usnesení vlády č. 578 ze 16. srpna 2023, které ukládá orgánům státní správy převést weby i e-mailovou komunikaci pod doménu gov.cz. Důvod je uvedený jako bezpečnostní: čím míň různých adres stát používá, tím snáz uživatel pozná, že je na pravém webu, a tím hůř se ten web napodobuje. Napodobeniny bank a úřadů přitom patří k běžnému vybavení útočníků, kteří v Česku okrádají jednotlivce – počty podvodů s platbami letos rostou.

Argument má i druhou stranu, kterou tiskové zprávy nezmiňují. Dokud přechod běží, má táž služba dvě legitimní adresy naráz, a nezvyklá adresa proto nikoho nepřekvapí. Souběh trval dva měsíce a podle nás to není náhoda: čím dřív skončí, tím dřív platí jednoduché pravidlo, že mimo gov.cz je datová schránka podezřelá.

Přihlášení jménem a heslem se drží

Zajímavější než stěhování je to, co u datových schránek zůstává. DIA uvádí, že přes digitální identitu, tedy Identitu občana nebo Mobilní klíč eGovernmentu, se přihlašuje více než 28 % uživatelů. Zbytek chodí dál jen se jménem a heslem. Je to jednofaktorové přihlášení k účtu, ze kterého jdou dělat právně závazné úkony.

Na veřejné konzultaci DIA v listopadu 2025 zaznělo podle zápisu Jiřího Peterky, že se podle údajů z roku 2024 přihlašovalo pouze jménem a heslem asi 90 % uživatelů. Obě čísla jsou z jiného roku a nemusí být počítaná stejně, směr je ale zřejmý: silnější způsob přihlášení se prosazuje, jen pomalu. Podle téhož zápisu agentura jako překážku uvádí zvyk uživatelů, cizince bez záznamu v registru obyvatel a omezené možnosti přihlášení u aplikací napojených přes webové služby.

Jeden krok tímhle směrem už proběhl. Od 1. srpna 2026 se do webové aplikace Portálu občana nedá přihlásit přihlašovacími údaji datové schránky a zbývá jedině Identita občana, která vícefaktorové ověření vyžaduje.

Kolik lidí se to týká

Datových schránek je podle DIA zřízeno 5 126 438. Z toho si 1 355 799 nechaly dobrovolně zřídit nepodnikající fyzické osoby; podnikajícím fyzickým osobám vznikla schránka ze zákona v lednu 2023. Odesláno jimi bylo celkem 1 630 171 285 datových zpráv.

Na novou doménu už podle agentury chodí téměř pětina uživatelů. Zbytek se tam koncem srpna dostane přesměrováním a část z nich narazí na prázdné přihlašovací pole. Kdo si heslo ověří teď, tomu se to nestane.

Bezpečnostní firma Group-IB popsala 12. srpna novou rodinu androidového malwaru, kterou pojmenovala WindRelay. Telefon sám neovládá a jeho obrazovku vidět nepotřebuje: udělá z něj falešnou bezkontaktní čtečku a to, co si s ní karta vymění, posílá po internetu dál. Útočník má na druhém konci vlastní přístroj, kterým ve stejnou chvíli přiloží k platebnímu terminálu nebo k bankomatu.

Třináct minut na telefonu

Group-IB popisuje jeden doložený případ z vyšetřování pro svého klienta. Podvodník zavolal oběti, vydával se za zaměstnance banky a tvrdil, že je problém s její platební kartou. Během hovoru ji navedl, aby si nainstalovala aplikaci mimo obchod Google Play – byl to trojan pro vzdálený přístup SpyNote. Tím se hovor změnil v ovládací kanál: druhou aplikaci, tedy WindRelay, si podvodník na telefon nahrál sám a oběť už k tomu nemusela nic udělat.

Pak ji požádal, aby přiložila kartu k telefonu a zadala PIN. Celý útok trval třináct minut a skončil dvojím výnosem: podvodník si přes vzdálený přístup do bankovní aplikace vzal na jméno oběti úvěr a zároveň posílal data karty do zařízení ve svých rukou, kterým je uplatnil u platebního terminálu. Každá transakce prošla s PINem, který oběť zadala sama. Platby se na účtu objevily krátce po skončení hovoru a banka potvrdila, že souvisejí s přenosem NFC.

Proč musí přenos běžet v okamžiku placení

Bezkontaktní platební karta neposílá jen své číslo. Čip při každém přiložení vygeneruje jednorázový kód, kryptogram, který platí pro tu jedinou transakci a znovu použít se nedá. Uložit si zachycenou komunikaci a zaplatit s ní zítra tedy nejde – proto je u téhle třídy malwaru rozhodující okamžitost přenosu, jak vysvětluje Pieter Arntz z Malwarebytes. Přeposílání komunikace dalo celé kategorii anglické jméno NFC relay; slangem se jí říká „ghost tapping“.

Vyžádaná oprávnění napovídají, k čemu je aplikace stavěná

Group-IB vypsala, o co si WindRelay na telefonu řekl: NFC na samotné čtení karty, přístup k internetu na okamžité odesílání, čtení kontaktů (podle firmy nejspíš na hledání dalších cílů) a oprávnění DUMP, které u aplikace od třetí strany není běžné a podle firmy naznačuje, že útočník mohl nahlížet do stavu zařízení nebo systému. K tomu si aplikace definovala vlastní oprávnění, kterými oddělila své součásti od ostatních aplikací v telefonu, a tedy i od bezpečnostního softwaru.

Jmenovka aplikace nesla podle Group-IB jméno oběti

Tady se zdroje rozcházejí. Group-IB v rozboru výslovně píše, že jmenovka nainstalovaného trojana nesla jméno samotné oběti, ne napodobenou značku. Podvodník tím beze slov naznačil, že o volaném už něco ví. A podle firmy zmizelo právě to, na co jsou lidé u neznámé aplikace cvičení: podivné nebo obecné jméno. Stavebnice, se kterou se SpyNote šíří, podle firmy dovoluje pojmenovat každý balíček na míru. Rozbor Malwarebytes naproti tomu popisuje aplikaci označenou jménem banky. Group-IB k tomu má vlastní záznamy z napadeného zařízení, Malwarebytes vychází z jejího rozboru.

Kolik vzorků se našlo a kam mířily

Podle metadat zachycených aplikací spojila Group-IB tenhle případ s dalšími kampaněmi a našla 23 vzorků nahraných na VirusTotal mezi listopadem 2025 a červencem 2026. Mířily na oběti v Česku, na Slovensku a ve Slovinsku, napodobovaly instituce z těch zemí a text v rozhraní měly v jazyce cílové země. Firma k tomu vypsala čtyři řídicí adresy, na které se data karet přenášela. Národní tým CSIRT.CZ na nález upozornil 14. srpna a mluví o vzorcích vydávajících se za finanční instituce mimo jiné v Česku a na Slovensku; Slovinsko v jeho zprávě není.

Že by aplikace ležela v Google Play, se nepotvrdilo. Mluvčí Googlu řekl serveru Help Net Security, že podle současné detekce žádná aplikace s tímhle malwarem v obchodě není a že známé verze blokuje Play Protect, který je na zařízeních s Google Play Services zapnutý ve výchozím stavu – i u aplikací nainstalovaných mimo obchod.

Upravený NFCGate se poprvé doloženě zneužil v Česku

Přenášení NFC není nová myšlenka. Group-IB v úvodu rozboru připomíná, že první doložené útoky s upravenou verzí otevřeného nástroje NFCGate se odehrály na konci roku 2023 právě v Česku a že v březnu 2024 policie potvrdila zadržení dvaadvacetiletého muže poté, co přišla hlášení o výběrech z pražských bankomatů bez fyzické karty. Zimperium podle téhož rozboru sleduje kampaně napříč Polskem, Českem a Slovenskem a zjistilo u nich víc než sedmdesát řídicích serverů a distribučních míst. Čísla o růstu má Group-IB převzatá: Kaspersky za první čtyři měsíce roku 2026 zablokoval 35 600 útoků přes NFC na androidových zařízeních proti víc než 12 300 za stejné období roku 2025, tedy o 188 % víc.

Co s tím může udělat sám uživatel

Rady CSIRT.CZ jsou v tomhle případě krátké a dají se držet i pod tlakem. Aplikace se neinstalují z neznámých zdrojů a už vůbec ne podle instrukcí po telefonu. Když někdo takhle volá, hovor se ukončí a volaný si zavolá sám – bance, Policii ČR nebo instituci, za kterou se volající vydával, a na číslo, které si sám najde na jejích oficiálních stránkách. Malwarebytes k tomu dodává, že nečekaná žádost o oprávnění ke službám usnadnění (Accessibility) je varovný signál sama o sobě.

Jedna vlastnost téhle kombinace obranu ztěžuje: v popsaném případu ke sdílení obrazovky nedošlo ani jednou. Kdo se spoléhá na to, že vzdálený přístup pozná podle nabídky ke sdílení obrazovky, tenhle případ mine – a Group-IB to uvádí jako jedno z hlavních poučení pro bankovní systémy sledování podvodů.

Podvody s platbami v Česku přitom rostou i bez nové rodiny malwaru. Komerční banka za první pololetí letoška napočítala o 41 % víc případů než rok předtím.

Zdroje

• Group-IB: Gone with the WindRelay – A New Malware Combo Behind a Growing Fraud Scheme (12. 8. 2026)
• CSIRT.CZ: Nový malware zneužívá Android telefony k NFC platebním podvodům (14. 8. 2026)
• Help Net Security: New Android malware relays bank cards to fraudsters while victims still hold them (14. 8. 2026)
• Malwarebytes: New Android malware lets criminals use your bank card in real time (13. 8. 2026)

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) zveřejnil 13. srpna přehled kybernetických incidentů za červenec. Napočítal jich dvanáct a sám k tomu dodává, že jde v dlouhodobém měřítku o velmi nízkou hodnotu, spolu s květnem dokonce o nejnižší za poslední rok. Zajímavější než součet je ale složení: přesně polovina případů patří do kategorie Průnik, tedy tam, kde se útočník dostal dovnitř.

„Kompromitovány byly jednotlivé uživatelské účty i aplikační servery. Incidenty zasáhly zejména subjekty veřejné správy a vzdělávací instituce,“ píše úřad v samotném přehledu. Které to byly, dokument neuvádí.

Významné byly čtyři incidenty, nejvyšší stupeň žádný

Osm z dvanácti červencových incidentů vyhodnotil úřad jako méně významné a čtyři jako významné. Velmi významný incident, tedy nejvyšší stupeň, v červenci nezaznamenal ani jeden. Stupně nejsou věcí odhadu, určuje je vyhláška č. 82/2018 Sb. o kybernetické bezpečnosti a k ní vnitřní metodika úřadu.

DDoS útoky, tedy zahlcení služby přívalem požadavků, byly jen dva. Oba mířily na subjekty veřejné správy a v obou případech měly podle úřadu časově velmi omezený dopad na dostupnost služeb.

Vedle incidentů vede NÚKIB ještě mírnější kategorii, kybernetické události. To jsou případy, které incidentem skončit mohly, ale neskončily. V červenci jich byly čtyři a šlo o neúspěšný phishing a o útoky hrubou silou, tedy o strojové zkoušení hesel. Jejich počet klesá druhý měsíc po sobě.

Zahlcování ubylo, vloupání zůstalo

Celkový počet incidentů v červenci klesl. V červnu jich úřad evidoval šestnáct a byl to první letošní měsíc s nárůstem. Co se z měsíce na měsíc drží, je právě podíl průniků: v červnu tvořily nadpoloviční část, v červenci přesně polovinu. Úřad to označuje za letošní trend.

Přesun od zahlcování k vloupání popisuje i čtvrtletní přehled hrozeb za druhé čtvrtletí, vydaný 24. července. Za duben až červen v něm stojí 44 incidentů, z toho šest významných a žádný velmi významný. Je to nejnižší hodnota za poslední rok a téměř poloviční pokles proti prvnímu čtvrtletí. „Výrazně ubylo DDoS útoků, které byly na začátku roku spojovány zejména s aktivitami proruských hacktivistických skupin,“ shrnuje úřad. Nejčastější kategorií zůstal Průnik, pod který spadá kompromitace účtů, firewallů i serverů, a to hlavně ve veřejné správě, ve školství a ve zdravotnictví.

Kolik útoků na Česko čísla neříkají

Přehled má úzce vymezený rozsah a stojí za to ho tak číst. NÚKIB v něm shrnuje vlastní evidenci, tedy hlášení, která k němu dorazí od institucí s ohlašovací povinností podle zákona o kybernetické bezpečnosti; server Lupa.cz to popisuje jako „jím regulovaný okruh institucí“. Od 1. listopadu 2025 se hlásí přes Portál NÚKIB, kde má úřad i formuláře a informace k novému zákonu č. 264/2025 Sb. Dvanáct incidentů proto neznamená dvanáct kybernetických útoků v Česku, ale dvanáct případů nahlášených úřadu.

Účet na úřadě se láme stejně jako účet doma

Kudy útočníci v červencových případech prošli, přehled neříká. Dvě obvyklé cesty k cizímu účtu v něm ale úřad vypisuje zvlášť, byť jen jako neúspěšné pokusy: podstrčenou přihlašovací stránku a strojové zkoušení hesel. Na kompromitovaném účtu ve škole nebo na úřadě přitom není technicky nic zvláštního; je to táž schránka jako doma, jen s citlivějším obsahem.

Druhá cesta dovnitř vede přes server, na který se dá dosáhnout zvenčí. Zapadá do ní i kampaň zneužívající starou verzi webmailu Zimbra Collaboration Suite, ke které se NÚKIB v srpnu připojil mezinárodním upozorněním.

Kolik případů přinesl srpen, ukáže až další přehled. Ani červencová dvanáctka přitom nemusí být konečná: úřad upozorňuje, že se hlášení někdy dodatečně překvalifikují, a historické údaje v grafech se tak zpětně mění.

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) oznámil 10. srpna, že se připojil k mezinárodnímu upozornění na ruskou kampaň proti uživatelům pošty Zimbra Collaboration Suite. Samotný dokument AA26-204A vyšel 23. července a NÚKIB je v něm mezi podepsanými úřady. Po sečtení seznamu jde o sedmadvacet institucí ze šestnácti zemí, od americké NSA a FBI přes nizozemské tajné služby AIVD a MIVD po francouzskou ANSSI.

Zpráva, kterou stačí zobrazit

Klasické webové rozhraní Zimbry zpracovávalo v HTML e-mailu direktivy @import v kaskádových stylech a přes ně šlo do stránky propašovat cizí kód. Jde o XSS, tedy o skript, který se spustí v prohlížeči příjemce a běží pod jeho přihlášenou relací – pro poštovní server je to legitimní práce přihlášeného uživatele. Chyba má číslo CVE-2025-66376 a týká se verzí Zimbry 10 před 10.0.18 a 10.1 před 10.1.13.

Rozdíl proti běžnému phishingu je v tom, že tenhle útok po příjemci nic nechce. Nic nerozklikává, nic nestahuje, stačí, že si zprávu ve zranitelné verzi zobrazí. Bezpečnostní firma Proofpoint pro takové útoky používá označení „half-click“, tedy útok na půl kliknutí. Škodlivý kód, který se tím spustí, nese v upozornění jméno Ulej.

Co z účtu odteče

Seznam v upozornění je nepříjemně konkrétní: posledních devadesát dní e-mailové komunikace, e-mailová adresa, heslo, celý adresář organizace (Global Address List), tokeny dvoufázového ověření a nově vytvořené aplikační heslo. V přehledu technik k tomu úřady dodávají, že útočníci kradou i takzvané scratch keys, tedy záložní kódy, kterými se dá druhý faktor nahradit.

Data přebírá na straně útočníků služba jménem Catcher – kontejnerová aplikace v Pythonu, která běží v Dockeru a poslouchá na portu 8000. Odtud se ukradená pošta přesouvá dál na úložiště, které už z internetu vidět není. Provoz k vlastní infrastruktuře skupina anonymizuje přes Mullvad VPN a servery si kupuje u různých poskytovatelů.

Oprava je venku devět měsíců

Zimbra chybu opravila ve verzi 10.1.13 a zároveň v 10.0.18; obě vyšly 6. listopadu 2025. Když skupina zranitelnost použila poprvé, žádná oprava neexistovala, šlo tedy o zero-day. Do evidence NVD se popis dostal až 5. ledna 2026 a americká agentura CISA zařadila chybu do katalogu zneužívaných zranitelností 18. března 2026 s termínem pro federální úřady do 1. dubna.

Zajímavý je rozpor v hodnocení závažnosti. NVD dala chybě 6,1 bodu z deseti a ve vzorci počítá s tím, že se uživatel musí sám zapojit. Druhé hodnocení téhož záznamu, od organizace MITRE, má 7,2 bodu a s žádnou akcí uživatele nepočítá. Rozdíl je právě v téhle jediné položce vzorce, a jde v ní o to, jestli se zobrazení došlé pošty počítá za akci uživatele, nebo ne. Sama Zimbra má v poznámkách k vydání u téhle položky ve sloupci s hodnocením jen „TBD“, tedy neurčeno.

Když poštu na Zimbře provozujete

Doporučení je v obou dokumentech stejné: okamžitě ověřit verzi a nasadit opravu. Když to hned nejde, mají podle úřadů zaměstnanci do pošty chodit jiným klientem a klasické webové rozhraní zatím nepoužívat. Stopa po útoku zůstává v souboru /opt/zimbra/log/mailbox.log, kam se zapisují požadavky SOAP; jejich neobvykle velké množství je jeden z ukazatelů, které upozornění popisuje. Indikátory kompromitace vydala CISA i strojově čitelně ve formátu STIX.

Úřady zároveň bez okolků píšou, že v době, kdy organizace kompromitaci odhalí, bývá řada citlivých e-mailů dávno pryč. Kontrola logů tedy neslouží k záchraně pošty, ale k tomu zjistit, komu se má měnit heslo a rušit aplikační přístupy.

Jedna skupina, čtyři jména

Označení LAUNDRY BEAR zavedly loni v květnu nizozemské služby AIVD a MIVD, Microsoft pro tytéž útočníky používá jméno Void Blizzard, Unit 42 od Palo Alto Networks CL-STA-1114 a Proofpoint TA488. Podle květnových dokumentů byla skupina činná nejméně od dubna 2024 a spoléhala na jednoduché postupy: hádání hesel ve velkém, phishing a krádež přihlášených relací. Vlastní zero-day je proti tomu posun a upozornění to výslovně uvádí jako doklad rostoucích schopností skupiny.

Terčem jsou podle NÚKIB vládní instituce, obranný průmysl, energetika, média, vzdělávací instituce, neziskové organizace a technologické firmy. Rozsáhlé cílení na Ukrajinu podle upozornění předcházelo útokům proti Spojeným státům a dalším spojencům v NATO.

Autoři dokumentu počítají s tím, že jak budou správci Zimbru aktualizovat, skupina od téhle konkrétní chyby nejspíš ustoupí. Za velmi pravděpodobné ale považují, že bude na Zimbru i na další poštovní systémy západních organizací útočit dál a že si k obětem znovu najde cestu e-mailem.

Zdroje

• NÚKIB: NÚKIB se připojil k mezinárodnímu upozornění na ruskou kybernetickou kampaň zneužívající Zimbra Collaboration Suite (10. srpna 2026)
• CISA: Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite (23. července 2026)
• NSA: NSA and Partners Alert Zimbra Collaboration Suite Users of a Russian State-Supported Phishing Campaign
• Zimbra: poznámky k vydání 10.1.13
• NVD: záznam CVE-2025-66376

Komerční banka zveřejnila 5. srpna 2026 svá data o podvodech za první pololetí. V oblasti plateb a platebních karet jich zaznamenala zhruba o 41 % víc než ve stejném období roku 2025. Klientům podle vlastního vyjádření za to pololetí zachránila „několik set milionů korun“ – přesnou částku banka neuvádí.

U karet roste počet, u plateb hodnota

Rozklad těch 41 % je nesouměrný. Napadených platebních karet přibylo o 33 %, ale hodnota podvodných karetních transakcí vyskočila o 80 %. U běžného platebního styku je to obráceně: napadených klientů přibylo 49 % a hodnota podvodných transakcí se víc než zdvojnásobila. Průměrná škoda tedy roste rychleji než počet obětí; plyne to z porovnání obou čísel.

Podíly jednotlivých scénářů banka počítá z hodnoty. Investiční a krypto podvody stojí za 48 % hodnoty podvodných platebních transakcí, vishing – falešný telefonát „bankéře“ nebo „policisty“ – za 39 %. U platebních karet je pořadí jiné: 61 % případů má na svědomí phishing.

Se čtvrtletní bilancí téže banky se ta čísla srovnávají špatně. Zpráva za první čtvrtletí z 22. dubna 2026 uvádí, že objem podvodných plateb vzrostl mezikvartálně o 15 % a počet zneužitých platebních karet naopak klesl o 17 %; u toho poklesu už banka nepíše, vůči čemu se počítá. Pololetní data jsou meziroční. Obě sady tedy stojí na jiném základu a nedají se položit vedle sebe.

Kurýr místo převodu na „bezpečný účet“

Nejvýraznější novinkou je podle banky předávání hotovosti přímo do rukou podvodníka. Útočník se vydá za pracovníka banky, České národní banky, policistu nebo investičního poradce a přesvědčí oběť, že peníze musí „zachránit“. Ta vybere i několik set tisíc korun z bankomatu nebo na pobočce a na domluveném místě je předá kurýrovi. Kurýr může předložit falešný průkaz nebo potvrzení o převzetí, aby situace působila úředně.

Podvodníci obětem předem poradí, jak bankéři vysvětlit neobvykle vysoký výběr: rekonstrukcí, koupí auta, pomocí rodině. Z oběti se tím stane spolupracovník, který sám odstraní poslední kontrolu, jež mohla podvod zastavit. Jakmile kurýr peníze převezme, šance na jejich návrat je podle banky minimální.

Expert Komerční banky na kyberbezpečnost Pavel Šašek to shrnuje takto: „Když se lidé naučí odmítat převod na údajně bezpečný účet, podvodník pošle kurýra pro hotovost. Když znají funkci ověření bankéře v aplikaci, snaží se jim e-šmejdi namluvit, že kód zaslaný přes SMS nebo WhatsApp je totéž.“

Karta přiložená k vlastnímu telefonu

Druhý nový scénář kombinuje falešný telefonát s podvrženou aplikací a technikou, které banka říká „červí díra“ (v odborné literatuře NFC relay attack, tedy přeposílání bezkontaktní komunikace). Útočník oznámí, že je účet nebo karta v ohrožení, a pošle odkaz na údajnou bezpečnostní aplikaci. Po instalaci přiměje oběť přiložit k telefonu fyzickou platební kartu a zadat PIN – prý kvůli ověření. Údaje z karty se přenesou k útočníkovi, který s ní pak vybírá z bankomatu nebo platí, jako by ji držel v ruce.

Skutečné ověření bankéře probíhá u Komerční banky výhradně v aplikaci KB+ nebo KB Klíč, kde klient uvidí jméno bankéře a čtyřmístný kontrolní kód. Kód doručený běžnou zprávou totožnost volajícího nedokládá; SMS je i mezi druhými faktory ten nejslabší.

Rezervace, o které útočník ví víc, než by měl

Léto má vlastní sadu scénářů. Podvodné výzvy k doplacení městského poplatku, servisního poplatku nebo kauce chodí lidem s rezervovaným ubytováním – a to nejen e-mailem a SMS, ale i přes WhatsApp a přes interní chat samotného rezervačního portálu. Zpráva přitom může obsahovat skutečné údaje o rezervaci, takže působí věrohodně. Odkud tyhle údaje útočníci berou, tisková zpráva neuvádí.

Druhá sada čísel z jiného měření

Nezávisle na bankách měří totéž bezpečnostní firma Gen, která stojí za značkami Norton a Avast. Její pololetní zpráva o hrozbách vyšla 15. července 2026. Globálně firma za pololetí zablokovala 114,2 milionu útoků přes falešné e-shopy, o 109 % víc; vůči jakému období, tisková zpráva nepíše. Podvody vydávající se za úřad podle ní vzrostly o 387 % a podvody vydávající se za člena rodiny o 454 %.

Česká čísla z téhož měření shrnula Lupa: falešné e-shopy tu za prvních šest měsíců přibyly o 52 %, seznamovací podvody o 45 % a podvody obecně tvořily 68 % všech hrozeb, které firma zachytila na mobilních zařízeních v Česku.

Ta dvě měření se potkávají na jednom místě. Gen popisuje techniku, které říká GhostPairing – zneužití funkce propojených zařízení ve WhatsAppu, díky němuž se útočník dostane k cizímu účtu a může se vydávat za jeho majitele. Komerční banka nezávisle na tom hlásí návrat scénáře „podvodná rodina“, kdy z ovládnutého profilu chodí příbuzným prosba o rychlou půjčku v řádu desítek tisíc.

Proč to zabírá i na lidi, kteří to znají

Za banku to vysvětlovala psycholožka Helena Sováková, která přes dvacet let působila v ozbrojených složkách a vedla Odbor operační psychologie Armády České republiky. Podvodník podle ní nejdřív vyvolá pocit ohrožení, pak přidá časový tlak, vystupuje jako autorita a oběť postupně izoluje od lidí a informací, které by jí pomohly situaci vyhodnotit. „Nejde tedy o hloupost ani nedostatek zkušeností. Jde o běžnou reakci mozku na akutní stres, kterou může za určitých okolností zažít každý z nás,“ říká.

K tomu se přidává druhý mechanismus: čím déle podvod trvá, tím obtížněji se z něj vystupuje. První krok bývá drobný a nevinný – instalace aplikace, ověření platby, jeden údaj – a každé další rozhodnutí se opírá o to předchozí. U investičních podvodů proto oběť posílá další peníze i ve chvíli, kdy ji banka varuje. Roli hraje i stud: kdo se bojí reakce okolí, ohlásí podvod později a útočník získá čas peníze odvést.

Co z toho plyne pro čtenáře

Rada banky je jediná a nudná: přerušit komunikaci a ověřit ji nezávislou cestou. Banka ani policie nikdy nežádají převod na „bezpečný účet“, předání hotovosti kurýrovi ani instalaci aplikace zaslané během hovoru. Žádost o peníze z WhatsAppu se ověřuje telefonátem na známé číslo a v nastavení aplikace stojí za to projít seznam propojených zařízení a odhlásit ta, která uživatel nepoznává.

Zbývá jedna nepříjemná souvislost. Komerční banka denně vyhodnocuje kolem 1,2 milionu karetních transakcí, 600 tisíc plateb a zhruba milion nefinančních operací a používá k tomu přes 300 detekčních pravidel. Přesto rostou obě sledovaná čísla dál – protože u scénářů s kurýrem, s vlastnoručně nainstalovanou aplikací i s vlastnoručně vybranou hotovostí dělá poslední krok sám klient. Systém, který má tuhle transakci zastavit, není v bance. Je v hlavě člověka, kterému někdo telefonuje.

Zdroje

• Komerční banka: E-šmejdi přitvrzují (5. srpna 2026) – pololetní data, podíly scénářů, popis kurýrů i falešných aplikací.
• Komerční banka: data za první čtvrtletí 2026 (22. dubna 2026) – mezikvartální srovnání.
• Gen: pololetní zpráva o hrozbách za rok 2026 (15. července 2026) – globální počty útoků a popis techniky GhostPairing.
• Lupa.cz: Podvody tvoří většinu kyberhrozeb na mobilech v Česku (23. července 2026) – česká část téhož měření.

Služba WhatsApp oznámila 29. června 2026, že zavádí uživatelská jména. Od téhož týdne si je lze rezervovat, samotnou funkci ale chce Meta spustit až později v roce 2026 a zavádět ji postupně po jednotlivých zemích, takže do té doby jde jen o zamluvení jména dopředu, ne o hotovou změnu v chatu.

Proč uživatelská jména

Telefonní číslo je osobní údaj, který se pojí s řadou dalších účtů a služeb. Ve WhatsAppu ho ale dosud musel znát každý, kdo chtěl někoho oslovit poprvé, a stejně tak se ukázalo každému ve společné skupině. Uživatelské jméno má tenhle krok obejít: podle firmy si napíšou dva lidé, aniž si vymění číslo.

Podle BBC používá WhatsApp přes tři miliardy lidí, takže se jména budou překrývat. Rezervace proto běží s předstihem, aby si oblíbenou přezdívku nestihl vzít někdo jiný. Funkce je dobrovolná; kdo o ni nestojí, nemusí dělat nic. Samotná přezdívka přitom číslo ani polohu neprozradí, takže dává smysl hlavně do skupin a chatů s lidmi, které člověk zatím nezná.

Co se změní až po spuštění

Až WhatsApp jména spustí a uživatel si své zapne, jeho telefonní číslo se při prvním napsání konkrétnímu člověku nebo firmě nezobrazí. U lidí, kteří už dané číslo mají uložené v kontaktech, se nezmění nic; ostatní uvidí jen přezdívku. Popisuje to server MobilMania s odkazem na nápovědu WhatsAppu.

Veřejný adresář jmen existovat nebude a aplikace nebude ani napovídat. Kdo chce někoho oslovit, musí jeho jméno znát přesně. Navíc si lze zapnout volitelný „klíč k uživatelskému jménu“ – krátký údaj, který musí protějšek znát, aby zprávu vůbec odeslal. Bez něj se k člověku nedostane ani ten, kdo přezdívku uhodne.

Jak si jméno zamluvit

Rezervace se dělá v nejnovější verzi aplikace přes Nastavení → Účet → Uživatelské jméno a zabere pár sekund. Nová verze se k telefonům dostává postupně, takže se položka může objevit až v řádu dní. Jméno musí mít podle nápovědy WhatsAppu 3 až 35 znaků, smí obsahovat malá písmena, číslice, podtržítko a tečku, nesmí být složené jen z číslic a musí být jedinečné. Kdo neví, jaké jméno zvolit, může využít vestavěný generátor; jméno se zakázaným slovem aplikace odmítne.

Tvůrci a firmy si můžou přenést jméno z Instagramu nebo Facebooku. Když stejnou přezdívku používá někdo na obou sítích, ve WhatsAppu připadne tomu, kdo si ji zaregistruje dřív. Změna jména na Instagramu či Facebooku se do WhatsAppu sama nepropíše, je nutné ji udělat ručně. Zrušené jméno se navíc uvolní ostatním až po čtrnácti dnech.

Kde je WhatsApp pozadu

Pro WhatsApp je to velká změna, u konkurence ale nic nového. Uživatelská jména místo čísel nabízejí Telegram i Signal už řadu let, jak připomíná i MobilMania. WhatsApp tak dohání funkci, kterou menší aplikace zaměřené na soukromí měly dávno; váhu jí dává hlavně jeho dosah.

Co zatím není jasné

Kdy přesně se jména spustí v Česku, firma neuvádí. Mluví jen o spuštění koncem roku 2026 a o postupném zavádění po zemích, na které upozorní přímo v aplikaci. Do té doby zůstává rezervace jen zamluvením jména; telefonní číslo se začne skrývat teprve se spuštěnou funkcí. Kdo si chce konkrétní přezdívku zajistit, může to udělat hned, používat ji ale zatím nepůjde.

Zdroje: oznámení WhatsAppu, BBC a MobilMania.

Text o tom, že se Václav Havel v dopise z vyšetřovací vazby přiznal ke spolupráci s StB, koluje po českých sítích roky a chodí i řetězovým e-mailem. Kdo si ho chce ověřit dřív, než ho pošle dál, musí buď sám hledat v archivních rejstřících, nebo najít někoho, kdo to udělal za něj. Jedním z míst, kde se takové texty rozebírají česky, je web nešiř to.

Tři verdikty a záznamy, které žádný nemají

Každý rozbor dostane jednu ze tří nálepek a ta stojí hned nad titulkem. Vyvráceno znamená tvrzení prokazatelně nepravdivé. Zavádějící takové, kde údaje samy o sobě sedí, ale vyvozuje se z nich něco, co z nich neplyne. Doloženo je tvrzení, které kolovalo jako sporné a ukázalo se jako pravdivé. Čtvrtá možnost je verdikt žádný: zásady ověřování říkají, že rozbor, který neposuzuje jedno konkrétní tvrzení, nálepku nedostane a je to na něm napsané.

Rozdělení je nesouměrné. Verdikt doloženo měly na začátku srpna tři záznamy z více než osmdesáti, zbytek se dělí mezi vyvráceno a zavádějící. Podle verdiktu se dá filtrovat přímo na úvodní stránce.

Šest rubrik podle toho, jakou práci text dělá

Vedle verdiktu nese každý záznam rubriku:

• Pod lupou – jedno konkrétní tvrzení krok za krokem;
• Odkud to teče – ne co se tvrdí, ale kdo to vyrobil a kudy se to šířilo;
• Jak se to dělá – technika místo případu, třeba pravá fotografie s vymyšleným popiskem;
• Archiv bludů – staré nepravdy, které se vracejí jako novinka;
• Ze světa – případy odjinud, hlavně tam, kde se týž obsah objevil ve více zemích;
• Čísla – rozbory dat: co v úřední statistice nebo veřejné databázi opravdu je a co se z ní vyvodit nedá.

Jeden záznam zblízka

Zpátky k Havlovi. Záznam z 5. srpna s verdiktem zavádějící v rubrice Archiv bludů rozdělí kolující tvrzení na tři části a s každou naloží jinak.

Dopis z dubna 1977 podle něj skutečně existuje, je uložený v Archivu bezpečnostních složek pod číslem V-32021 MV a Havel sám ho označoval za selhání – slíbil v něm ale omezení veřejné činnosti, ne spolupráci. V evidenci StB byl podle rozboru veden jako sledovaný, ne jako spolupracovník. A část o ministru vnitra Richardu Sacherovi, který měl Havlův svazek nechat spálit, vyvrací kalendář: svazek zničila sama StB začátkem prosince 1989, Sacher se stal ministrem až 30. prosince.

Poslední oddíl se jmenuje „Odkud tvrzení čerpá“ a hledá předlohu – přetisk z krajanského Denního Hlasatele z července 1992, na jehož sken záznam odkazuje. Ostatní odkazy vedou na Archiv bezpečnostních složek, Ústav pro studium totalitních režimů, ČT24, Aktuálně.cz a na starší rozbory Demagogu a Ověřovny iROZHLAS. Když téma stojí na cizím ověření, uvádí web podle své tiráže jmenovitě, kdo ho udělal první.

Pravidla má web vypsaná veřejně

Zásady ověřování mají sedm bodů a dva z nich se hodí i mimo tenhle web. První: dva odkazy na dva články téhož ověřovatele nejsou dva zdroje – a odkaz na archivní snímek plus na originál téhož textu taky ne. Druhý: hodnocení ověřovatele je názor ověřovatele, což podle webu platí i pro státní a evropské instituce.

Tiráž vypisuje, čeho se web drží stranou. Nejmenuje soukromé osoby a píše o příspěvku, ne o člověku. Nepoužívá obrázky vygenerované modelem ani fotografie lidí jako ilustraci k hoaxu. Na živé dezinformační stránky neodkazuje, odkaz vede na archivní snímek. Diskuse je vypnutá a podle tiráže zůstane vypnutá, dokud ji nebude mít kdo číst. U záznamů je jako autor podepsaný Admin, jméno konkrétního člověka tiráž neuvádí.

Opravu vezme jen formulář, odpověď slibuje do sedmi dnů

Stránka Jak žádat o opravu chce tři věci: o který záznam jde, co je v něm špatně a z čeho to plyne. Bez té třetí části se prý nedá nic posoudit, protože tvrzení proti tvrzení nikam nevede. Odpověď web slibuje do sedmi dnů, provedené opravy vede veřejně a původní chybné znění nemaže beze stopy. Tabulka provedených oprav byla na začátku srpna prázdná.

E-mailovou adresu web neuvádí a píše proč: doména nemá poštovní schránku, takže adresa by byla slib, který nemůže splnit. Nesouhlas s hodnocením přitom za chybu nepovažuje – rozlišuje mezi opravou faktu a polemikou a do seznamu oprav pouští jen to první.

Kdy po webu sáhnout před přeposláním

Nejlíp web poslouží u textu, který koluje dlouho. Rubrika Archiv bludů je celá o nepravdách, které se vracejí po letech: vedle Havlova dopisu tam byl na začátku srpna balonový chlapec z Colorada z roku 2009 i vymyšlené dějiny americké vany, které si v roce 1917 pro pobavení vymyslel novinář H. L. Mencken. U tvrzení, které se objevilo před hodinou, tam záznam nejspíš ještě nebude.

Hledá se procházením: vyhledávací pole web nemá, k dispozici je filtr podle verdiktu, šest rubrik, výpis všech záznamů a kanál RSS. A když tvrzení mezi záznamy není, dají se použít stopy, které web sám nechává – v textech jmenuje Demagog.cz, Manipulátory.cz i Ověřovnu iROZHLAS a odkazuje na jejich vlastní rozbory.

Zdroje

• nešiř to – úvodní stránka: seznam rubrik s počty záznamů a filtr podle verdiktu.
• Zásady ověřování: definice tří verdiktů a pravidlo o dvou nezávislých zdrojích.
• Tiráž: výčet toho, co web nedělá, a důvod vypnuté diskuse.
• Jak žádat o opravu: postup, sedmidenní lhůta a prázdná tabulka provedených oprav.
• Havlův dopis z vazby není přiznání spolupráce s StB: ukázka stavby jednoho záznamu i jeho odkazů na Archiv bezpečnostních složek a ÚSTR.

Scénář je popsaný roky a pořád funguje. Někdo se ozve na seznamce, v chatu nebo na sociální síti, během pár týdnů vyzná silné city, přesune hovor do soukromé aplikace a pak přijde první prosba o peníze. Policie pro to používá anglické označení romance scam, ve svých materiálech ho překládá jako sňatkový podvod.

Kolik jich je, se z policejní statistiky nepozná

Rok 2025 shrnula Policie ČR loňského ledna. Trestných činů celkem ubylo o 1,9 % na 170 051 skutků, ale trestná činnost v kyberprostoru vzrostla o 14,3 % na 21 137 případů a tvoří už 12,4 % veškeré kriminality. Objasněnost u ní byla 15,1 % proti 45,2 % za celou kriminalitu. Nejvíc rostoucí položkou majetkové kriminality byl podvod na fyzické osobě: o 36,6 % na 18 722 případů.

Kolik z toho jsou romantické podvody, se ale z té zprávy vyčíst nedá. Policie v ní jmenuje jako hlavní složky kyberkriminality podvody při prodeji a nákupu zboží, podvodné investice a phishing; romantický podvod mezi vyjmenovanými položkami není. Jednotlivé případy se objevují jen v krajském zpravodajství policie, takže čísla výš popisují prostředí, ve kterém se tenhle podvod odehrává, ne jeho rozsah.

Banky odvrátily většinu škody, zbytek nesli klienti

Druhý pohled dávají banky. Podle údajů České bankovní asociace, které v březnu shrnula ČT24, stoupl počet kybernetických útoků na klienty bank o čtyři procenta na 91 tisíc a podvodníci z účtů odčerpali přes 2,1 miliardy korun. Kontrolní mechanismy bank podle asociace uchránily 12,2 miliardy, o 4,2 miliardy víc než rok předtím. Průměrná škoda na jednoho postiženého klienta ale stoupla z necelých šestnácti tisíc na bezmála 23 500 korun.

Ta čísla zahrnují každý způsob napadení, tedy i platby, které klient zadal a potvrdil sám. Přesně tam romantický podvod patří: peníze odejdou řádně autorizovaným převodem, jen na základě lži.

Podle čeho se podvodný profil pozná

Policie vydala k evropské kampani #CyberScams jednostránkový leták o romantických podvodech. Znaky, které v něm jmenuje, jsou tyhle:

• silné vyznání citů od někoho, koho jste potkali před pár dny, spojené s přáním pokračovat v soukromém chatu;
• zprávy psané s chybami a bez konkrétních údajů, nesrovnalosti v příbězích;
• výmluvy, proč nejde videohovor, typicky nefungující kamera;
• profil, který neodpovídá tomu, co vám ten člověk píše;
• žádost o peníze, dárky nebo o údaje k účtu a kartě, případně o intimní fotografie.

Jedno ověření jde udělat hned. Policie i spotřebitelská poradna dTestu radí prohnat fotografii z profilu zpětným vyhledáváním obrázků a zjistit, jestli nevisí ještě někde jinde. V článku Nebezpečné známosti to dTest popisuje na případu muže, který takhle našel snímky své „Sáry“ u cizího profilu na jiném webu.

Manipulace má jméno a pořadí

Psycholožka Romana Mazalová v témže článku dTestu popisuje čtyři techniky, které jdou po sobě. Nejdřív love bombing, tedy zahrnutí lichotkami a projevy náklonnosti hned na začátku. Pak zrcadlení, kdy podvodník napodobí zájmy a názory oběti a vytvoří dojem spřízněnosti. Následují vymyšlené tragické příhody, které mají vzbudit soucit. A nakonec izolace: oběť slyší, že okolí jejich vztah nepochopí nebo že jim ostatní závidí.

dTest zároveň rozlišuje dva druhy falešných profilů. Jedny zakládají sami uživatelé seznamek, kteří se za někoho vydávají kvůli penězům nebo osobním údajům. Druhé si podle poradny na některých portálech nasazuje sám provozovatel, aby uživatel měl pocit zájmu a koupil si placené členství; dokázat to ale spotřebitel zpravidla nedovede.

Když se z romantiky stane investice

Romantický podvod se dá spojit s investičním. Ústecká policie popsala 8. června muže z Teplicka, který se na mezinárodní seznamce seznámil se ženou vystupující jako Lisa Weber z Francie. Domluvili se dokonce na setkání ve Francii, jenže hovor se stočil k investování. Muž si podle pokynů stáhl do telefonu aplikaci, poslal do ní v šesti platbách 90 tisíc dolarů a viděl v ní, jak částka roste. Vzal si proto pět půjček za 1 300 000 korun a přeposlal je také. Poslední platbu ve výši 170 tisíc korun banka zastavila a její pracovnice muži poradila jít na policii. Škoda je podle kriminalistů nejméně dva miliony korun.

Na tom případu je vidět, proč se takové peníze vracejí těžko: všechny platby zadal a potvrdil sám poškozený. Česká národní banka k tomu uvádí, že o vrácení podvodně odčerpaných prostředků nerozhoduje ona, protože jde o soukromoprávní spor mezi klientem a bankou; příslušný je finanční arbitr nebo soud.

Co dělat, když peníze už odešly

1. Zavolat do banky. Nechat zablokovat karty i přístup do bankovnictví a zjistit, jestli platba už odešla. Podle ČNB se někdy dá ještě zastavit.
2. Oznámit to policii a popsat, jak útok proběhl a jaká škoda vznikla.
3. Uschovat komunikaci. Policejní leták žádá uložit si všechny zprávy z chatu.
4. Přerušit kontakt a oznámit profil správci webu, na kterém vás podvodník oslovil.
5. U platby kartou zkusit chargeback. dTest na něj upozorňuje u sporných stržení ze seznamek: banka může za určitých podmínek platbu stornovat.
6. Když se s bankou nedohodnete, podat návrh finančnímu arbitrovi. Je to státem zřízený mimosoudní orgán pro spory mezi spotřebitelem a poskytovatelem platebních služeb. Řízení je bezplatné a právní zastoupení se nevyžaduje.

Leták začíná návod pro oběti jinou větou: „Neciťte se trapně!“ Není to zdvořilostní fráze na úvod. Stud patří podle psycholožky v dTestu k nejčastějším následkům takového podvodu a oběti si kladou otázku, jak mohly být tak důvěřivé.

Ten leták vznikl k evropské kampani a visí na policejním webu léta. Na případ z Teplicka přesto sedí skoro celý; posunul se jen poslední krok. Místo prosby o peníze na letenku nebo na nemocnici přišla nabídka investice, u níž oběť sama posílá peníze do aplikace a dívá se, jak jich přibývá.

Zdroje

• Policie ČR: Vývoj registrované kriminality v roce 2025 (21. 1. 2026) – počet skutků v kyberprostoru, objasněnost a nárůst podvodů na fyzické osobě.
• Policie ČR: kampaň #CyberScams a leták Romance scams – znaky podvodného profilu a doporučený postup oběti.
• Policie ČR, Ústecký kraj: Láska skončila podvodem za minimálně 2 miliony (8. 6. 2026) – průběh a výše škody u případu z Teplicka.
• ČT24: Terčem se může stát každý (17. 3. 2026) – údaje České bankovní asociace o počtu útoků a výši škod za rok 2025.
• dTest: Nebezpečné známosti – dva druhy falešných profilů, chargeback a rozhovor s psycholožkou Romanou Mazalovou o manipulativních technikách.
• ČNB: Podvody v platebním styku – postup po podvodu a to, kdo rozhoduje spor o vrácení peněz.
• Kancelář finančního arbitra: Základní informace – bezplatnost řízení a to, že právní zastoupení není nutné.