Seznam.cz odmítá, že by data zapsaná v evidenci obětí ransomwaru pocházela z jeho systémů

Účet Dark Web Intelligence, který na síti X o podobných útocích pravidelně informuje, napsal 23. září, že mezi oběťmi ransomwaru MedusaLocker přibyl Seznam.cz. Zpráva se téhož dne dostala do českých médií. Seznam ji odmítl: data podle svého vyjádření prověřil a z jeho systémů nepocházejí.

Co v evidenci obětí opravdu stojí

Veřejná evidence ransomware.live, která weby vyděračských skupin sleduje a archivuje, vede záznam pod názvem Seznam a doménou seznam.cz. Objevení datuje na 23. září 2026, 7:40 UTC, a odhadovaný den útoku klade na tentýž den. Popis u záznamu je jediná věta: organizace, ze které bylo vytaženo 115 e-mailových adres, doména seznam.cz.

Právě u té domény začíná vysvětlení. Podle Seznamu ta doména není známkou napadeného podniku, ale koncovkou adres, které v uniklých datech stojí.

Seznam ukazuje na distributora vodní techniky

Seznam podle Lupy.cz uvedl, že jde o problém jiné české firmy zaměřené na prodej přístrojů na práci s vodou, a že jediným pojítkem je doména zdarma dostupné freemailové služby Email.cz, kterou provozuje.

Živě.cz došlo ke stejnému závěru vlastní cestou. V dostupných datech je podle něj produktový katalog a celek ukazuje na průmyslový podnik, který distribuuje čerpací techniku, přístroje na úpravu vody a zavlažování a komerční bazénové a wellness systémy. Jméno té firmy neuvedl ani jeden ze serverů.

Pronajímaný nástroj, který popsala FBI

MedusaLocker popsalo společné varování FBI, americké agentury CISA, ministerstva financí a úřadu FinCEN, vydané 30. června 2022 a naposledy revidované 11. srpna téhož roku. Útočníci se podle něj dostávají do sítí obětí hlavně přes zranitelná nastavení vzdálené plochy RDP, druhou cestou jsou phishingové e-maily s přiloženým škodlivým souborem. Data pak zašifrují algoritmem AES-256 a výsledný klíč zamknou veřejným klíčem RSA-2048.

Je to nástroj k pronájmu. Výkupné se podle varování dělí tak, že 55 až 60 procent dostane ten, kdo útok provedl, a zbytek autor programu. Lupa.cz uvádí podíl autorů 40 až 45 procent, tedy tutéž dělbu popsanou z druhé strany.

Podobných poplachů bylo letos víc

Koncem května nabídl někdo na darknetových fórech zhruba 437 tisíc záznamů se jmény, e-maily, telefonními čísly a daty narození jako data zákazníků Alzy. Mluvčí e-shopu Eliška Čeřovská tehdy Lupě.cz řekla, že analýza jednoznačně potvrdila, že zveřejněná data ze systémů Alza.cz nepocházejí, a že firma nezaznamenala ani náznak neoprávněného přístupu. Nedlouho předtím vyvracelo podobné tvrzení ČVUT.

Společné jim je, že se ohlášený útok zveřejní dřív, než ho kdokoli ověří, a vyvracet ho pak musí firma, která s ním nemá nic společného.

Co to znamená pro běžnou schránku

Adresa na Email.cz se do uniklé databáze dostane tím, že ji někdo vyplnil v cizí firmě. Kdo ji tam kdy zadal, se z takového seznamu nedozví, ale důsledek je stejný jako u každého jiného úniku: adresa se objeví v nabídkách na darknetových fórech a zvýší se pravděpodobnost cíleného phishingu. Pomáhá dvoufázové ověření a jedinečné heslo, které se nepoužívá nikde jinde. Na samotný fakt, že adresa v cizí databázi je, nedosáhne nikdo.

Zpráva o napadení konkrétní firmy stojí a padá s tím, jestli ji potvrdí sama firma, nebo jestli někdo ukáže data, která k ní vedou jinak než doménou v e-mailových adresách.

Zdroje

• Jan Sedlák: Hackeři prý napadli Seznam.cz. Ten to odmítá, jde o data jiné české firmy, Lupa.cz
• Petr Urban: Seznam.cz byl údajně obětí ransomwaru MedusaLocker. Útok ale mířil na jinou firmu, Živě.cz, 23. září 2026
• Záznam oběti Seznam u skupiny Medusalocker, ransomware.live
• FBI, CISA, U.S. Department of the Treasury, FinCEN: #StopRansomware: MedusaLocker (AA22-181A)
• Jan Sedlák: Hackeři nabízí k prodeji údajná data zákazníků Alzy. Nic se nestalo, odmítá e-shop, Lupa.cz, 30. května 2026