Statistiky bezpečnostní společnosti Check Point z počátku letošního roku potvrdily, že české organizace patří v Evropě k nejčastějším cílům kybernetických útoků.

S průměrem přes 2 370 útoků týdně na jednu firmu překračujeme celosvětový průměr téměř o 300 útoků. Výše se v evropském žebříčku umístila už jen Itálie. Samotné množství útoků ale vypovídá jen o části problému. Podstatnější je, jak se mění jejich povaha. To jasně odhaluje výroční studie Check Point Software za loňský rok společně se zprávami Národního úřadu pro kybernetickou bezpečnost (NÚKIB) za uplynulé měsíce.

Průniky do sítí převažují nad DDoS

Data NÚKIB z letošního jara vykreslují jasný vzorec. Útoky typu DDoS, které dominovaly statistikám v úvodu roku, následně prudce klesly a drží se na velmi nízkých hodnotách. Dominantní roli převzaly průniky do sítí, které představují více než polovinu všech hlášených incidentů. Významná část těchto průniků cílila na mapové portály samospráv, zbylé případy zahrnovaly kompromitaci uživatelských účtů a zařízení na okraji sítě.

Celkový počet incidentů v oficiálních statistikách sice vykazuje drobné výkyvy a mírný pokles, současně ale roste jejich závažnost. Počty vážných incidentů dosahují nejvyšších hodnot za poslední rok. Méně útoků tedy neznamená menší riziko. Právě naopak – útoky, které projdou obranou organizací, mají mnohem větší a tvrdší dopad.

Relativně nízký počet útoků, které eviduje NÚKIB, na první pohled ostře kontrastuje se zmíněnou statistikou společnosti Check Point. Skutečnost je ale taková, že NÚKIB eviduje pouze útoky na organizace, které mají zákonnou povinnost tyto bezpečnostní incidenty hlásit. Jde tak jen o pověstnou špičku ledovce, tedy statistiku pokrývající organizace s významným vlivem na chod státu.

S účinností nového zákona o kybernetické bezpečnosti, který zásadně rozšiřuje okruh povinných subjektů, lze reálně očekávat, že množství oficiálně evidovaných kyberútoků v grafech NÚKIB rychle poroste.

Rekordní rok ransomwaru

Když nahlédneme do globálních reportů společnosti Check Point, zjistíme, že ransomwarové gangy za loňský rok veřejně vystavily data odcizená 7 960 firmám, které odmítly zaplatit výkupné. To je meziročně o 53 % více. Závěr loňského roku byl s 2 473 oběťmi dokonce nejaktivnějším obdobím v historii měření.

Zásadní proměnou prošel samotný ekosystém útočníků. Když na jaře 2025 bez varování zmizel RansomHub a souběžně mezinárodní policejní operace vyřadily skupiny 8Base a Phobos, vzniklý prostor okamžitě zaplnili noví hráči. Počet identifikovatelných ransomwarových skupin tehdy narostl z přibližně 90 na 140. Většina nových hráčů přitom začala operovat bez formálních partnerských programů, v malých týmech a s minimální infrastrukturou.

Dominantní pozici si vydobyl Qilin, který za loňský rok zveřejnil data více než tisícovky obětí. Po kolapsu RansomHub agresivně přetáhl osiřelé operátory a téměř ztrojnásobil měsíční objem útoků. Jeho obchodní model nabízí partnerům 80–85 % z výkupného a zahrnuje i nástroje pro „právní analýzu“ ukradených dat – tedy vyhledávání porušení regulatorních povinností oběti, která pak slouží jako další páka při vyjednávání. Některé z těchto funkcí navíc nesou znaky využití generativní AI.

V druhé polovině loňského roku se vrátil i LockBit s přepracovaným šifrovacím nástrojem a novým rozhraním pro partnery, přičemž stihl zveřejnit data více než stovky obětí. Návrat LockBitu potvrzuje, že zavedená značka s reputací spolehlivého „obchodního partnera“ dokáže přitáhnout operátory zpět, i když byla předtím téměř zlikvidována policejní operací.

Pro české firmy je podstatné geografické rozložení: 52 % všech obětí pochází z USA, 5 % z Velké Británie, po 4 % z Kanady a Německa. Evropa jako celek představuje zhruba čtvrtinu obětí. Mezi nejčastější cíle patří sektor služeb, spotřební průmysl a výrobní podniky.

Drtivé ransomwarové útoky nemusí být nutně vysoce sofistikované – útočníci si často vystačí s lidskou chybou nebo nedodržením bezpečnostních politik. Například skupina Scattered Spider pronikla na jaře 2025 do sítě britského řetězce Marks & Spencer tak, že zavolala na helpdesk třetí strany, přesvědčivě se vydávala za zaměstnance a nechala si resetovat heslo. Následovalo nasazení ransomwaru DragonForce, měsíční výpadek online prodeje a odhadované ztráty přes 430 milionů liber. Podobný scénář postihl automobilku Jaguar Land Rover s odhadovanými škodami 1,9 miliardy liber.

Tichá vstupní brána

Extrémně rizikovými vstupními body pro útočníky jsou zařízení na okrajích sítě – routery, firewally, VPN brány nebo virtualizační platformy. Tato zařízení typicky fungují mimo dosah řešení typu EDR (Endpoint Detection and Response – pokročilá ochrana koncových zařízení, jako jsou počítače a servery), mají minimální logování a je obtížné bez výpadku aktualizovat jejich software.

Čínské skupiny jako UNC5221 systematicky zneužívají zero-day zranitelnosti (dosud neopravené bezpečnostní chyby) v zařízeních Ivanti, Cisco a Juniper k vybudování dlouhodobého, skrytého přístupu. Malware BRICKSTORM, navržený pro provoz v síťových zařízeních, v několika případech přetrval i po standardních nápravných opatřeních. Skupina dokonce pronikla do vývojového prostředí společnosti F5 Networks a odcizila zdrojový kód. Kompromitace na straně dodavatele se tak přímo promítá do bezpečnostní pozice jeho zákazníků.

Ani ransomwarové skupiny nejsou pozadu. Akira v průběhu loňského roku masově zneužívala starší zranitelnost v SonicWall SSL VPN a Qilin zase zranitelnosti ve FortiOS umožňující získání administrátorských oprávnění. Oficiální zprávy NÚKIB tyto trendy potvrzují i v českém kontextu – zaznamenané průniky z počátku letošního roku zahrnovaly právě kompromitaci těchto okrajových zařízení.

AI v rukou útočníků

Během loňského roku se nedílnou součástí útočných operací stala umělá inteligence. Nejzávažnějším zdokumentovaným případem byla kampaň GTG-1002, při které čínská skupina využila AI model k provedení 80–90 % taktických úkolů celého průniku – od průzkumu přes vývoj exploitů (kódů zneužívajících chyby) po exfiltraci dat a třídění zpravodajsky hodnotných informací. Model byl navíc útočníky oklamán, aby věřil, že provádí legitimní bezpečnostní audit. Kampaň zasáhla přibližně 30 organizací včetně velkých technologických firem a vládních agentur.

Nový AI model Claude Mythos od společnosti Anthropic odhalil během testování tisíce dosud neznámých zranitelností v každém z hlavních operačních systémů i webových prohlížečů. Ke každé z těchto zranitelností pak dokázal rovnou navrhnout i způsob, jak ji zneužít. Anthropic zatím poskytnul tento model jen vybraným firmám, aby měly možnost odhalit a opravit zranitelnosti ve svých produktech, ale je jen otázkou času, než bude všeobecně k dispozici model s podobnými schopnostmi.

Co nás čeká?

Dosavadní data za letošní rok potvrzují trend, který se rýsoval celou předchozí sezónu: množství útoků roste, stejně jako jejich sofistikovanost. Útočníci stále častěji cílí tam, kde je obrana nejslabší – na lidi a jejich uživatelské účty, stejně jako na zařízení, která nikdo příliš nehlídá. S průměrem přes 2 370 útoků týdně na jednu organizaci patříme k nejexponovanějším zemím v Evropě. A jak ukazují statistiky, i když celkový počet drobných incidentů může lokálně klesat, jejich průměrná závažnost roste. Většinu útoků se daří odrazit, ale ty, které obranou projdou, způsobují dramaticky větší škody.

Tento problém nelze vyřešit jednorázově. Nový firewall nebo školení zaměstnanců jednou za rok situaci nijak nezmění. Útočníci operují nepřetržitě, neustále vylepšují své techniky a taktiky a stále intenzivněji využívají umělou inteligenci. Obrana proto musí fungovat podobně – neustále odhalovat slabá místa, reagovat na nové hrozby, a především mít dokonalý přehled o tom, co se v síti skutečně děje.

Pro většinu firem to v praxi znamená rozhodnutí, které není primárně technické, ale strategické. Buď si vybudovat a průběžně rozvíjet vlastní bezpečnostní tým, což je ovšem při současném nedostatku specialistů na kyberbezpečnost velmi náročné, nebo najít partnera, který bezpečnost zajistí formou služby.

V cloudovém prostředí AppOn.cloud například dbáme na to, aby naši klienti měli špičkové zabezpečení vyřešené automaticky jako součást služby. Jedině tak lze reagovat dřív, než se z incidentu stane problém ohrožující samotný chod firmy.