Většina rad proti kybernetickým hrozbám zní „neklikejte na podezřelé odkazy“. Útok, který začátkem listopadu 2026 popsala francouzská bezpečnostní firma Sekoia, tuhle radu obchází: nemusíte kliknout na nic. Stačí, že z telefonu otevřete web, kterému roky věříte – a zbytek proběhne sám, bez jediného doteku. Technika se jmenuje watering hole („napajedlo“) a je stará jako lov: otráví se místo, kam oběť stejně přijde sama.
Za kampaní stojí podle Sekoia s vysokou pravděpodobností APT29 – skupina spojovaná s ruskou civilní rozvědkou (SVR), známá také jako Cozy Bear nebo Midnight Blizzard. Je to stará známá i pro Česko. A jeden z napadených webů byl český.
Co se stalo
Útočníci se dostali do kódu několika desítek legitimních, důvěryhodných stránek a vložili do nich neviditelný skript. Na část webů ho propašovali přímo, u jiných zvolili elegantnější cestu: napadli cizí měřicí skript (analytický nástroj Plerdy ukrajinského původu), který si samo načítají tisíce dalších webů – a zasáhli je tak všechny najednou. Třetí variantou byly podvržené klony prestižních stránek, přes které měla projít cílená pozvánka konkrétním lidem.
Jakmile takovou stránku otevřel návštěvník z mobilu, skript si ho nenápadně „oťukal“ – zjistil model, operační systém a jeho verzi, prohlížeč. Podle toho se rozhodl, zda a kterou útočnou sadu nasadit. U zranitelného telefonu následoval tichý průnik, u aktuálního se nestalo nic a oběť ani nepoznala, že byla prověřena.
Proč zrovna mobil – a proč je to zrádné
Na watering hole je nepříjemné hlavně to, že obezřetnost nepomůže. Nejde o podezřelý e-mail ani o web s překlepem v adrese – je to stránka, kterou běžně a oprávněně otevíráte. Útok navíc mířil na telefony, které většina lidí považuje za bezpečnější než počítač.
Co dokázal útok ukrást, záleželo na zařízení. U zranitelných iPhonů se nasadila pokročilá sada (výzkumníci jí říkají DarkSword), která sáhla prakticky na vše: SMS a iMessage, e-maily, WhatsApp a Telegram, hesla z Klíčenky, kontakty, historii hovorů, kalendář, poznámky, polohy, zdravotní data i fotografie. U Androidu přes napadený prohlížeč Chrome unikly přihlašovací údaje, historie a dokonce uložená hesla k Wi-Fi. Jde o plnohodnotné špehování, ne o klasický virus.
Z forenzního pohledu je mrzuté, že se tahle sada neusazuje natrvalo – po restartu po sobě zametá stopy a na telefonu nezůstane klasická „infekce“, kterou by šlo snadno najít. Právě proto u rizikových osob dává smysl odborné zajištění a rozbor zařízení, a ne jen pohled do nastavení.
Jedna dobrá zpráva: záplatované telefony byly v bezpečí
Teď to podstatné. Útočníci nepoužili žádnou neznámou „díru“. Všechny zneužité zranitelnosti už byly v době kampaně výrobci opravené – útok cílil výhradně na telefony, které aktualizaci neměly nainstalovanou. Sekoia to shrnuje jednoznačně: kdo má aktuální systém, byl proti téhle kampani v bezpečí. Na iPhonech útok mířil na starší verze iOS, na Androidu na starší verze prohlížeče Chrome.
To je zároveň celý návod, jak se bránit:
- Aktualizujte hned, ne „až bude čas“. Mezera mezi vydáním opravy a jejím nainstalováním je přesně to okno, do kterého tyhle útoky míří. Zapněte automatické aktualizace systému i prohlížeče.
- Nezapomínejte na prohlížeč. Na Androidu šel útok přes zastaralý Chrome – aktualizace aplikací je stejně důležitá jako aktualizace systému.
- Starý telefon bez aktualizací je riziko. Zařízení, které už výrobce bezpečnostně nepodporuje, se k citlivým věcem nehodí. U firemních mobilů na to má smysl mít pravidlo.
A obraz Česka
Pro Česko má tahle kampaň dvě roviny. Ta první je konkrétní: mezi zneužitými weby byl podle Sekoia i web jednoho českého hnutí. Nešlo o útok na jeho provozovatele, ale o zneužití jeho návštěvnosti – stránka posloužila jako ono „napajedlo“ pro návštěvníky, kteří na ni chodí. Je to připomínka, že obětí nemusí být jen banka nebo úřad. Stačí mít publikum, které někoho zajímá.
Ta druhá rovina je širší. APT29 není pro Česko nové jméno. NÚKIB i BIS opakovaně varují, že ruské zpravodajské služby dlouhodobě míří na české i evropské diplomatické a státní cíle – už v roce 2023 NÚKIB řešil phishingovou kampaň proti českým a evropským diplomatům, kterou analytici přisoudili právě APT29. Jako země EU a NATO, navíc hlasitě podporující Ukrajinu, je Česko na seznamu přirozeně. Tahle kampaň přitom ukázala novou, mnohem tišší metodu než hrubý phishing: žádný podezřelý e-mail, jen důvěryhodný web a neaktualizovaný telefon.
Poučení: tahle kampaň se nedala poznat obezřetností – stránky byly pravé a nic se neklikalo. Jediné, co oddělilo zasažené od nezasažených, byla nainstalovaná aktualizace. Zapněte automatické aktualizace systému i prohlížeče.
Zdroje: Sekoia TDR – Poisoned Source: APT29 watering holes (4. 11. 2026, primární analýza) · BleepingComputer – shrnutí kampaně · Lupa.cz – NÚKIB o kampani APT29 proti českým diplomatům (2023).