Napadené weby kradou data z neaktualizovaných iPhonů a Androidů, jeden je český

Bezpečnostní firma Sekoia 4. listopadu 2026 zveřejnila rozbor kampaně, kterou připisuje ruské skupině APT29. Útočníci vložili škodlivý kód do skutečných webů – mezi nimi i webu jednoho českého hnutí – a z návštěvníků se starým iOS nebo Chromem na Androidu kradli data. Používají staré, dávno opravené chyby. Kdo má telefon aktualizovaný, chráněný je.

Redakce Kyberkitu · 7. listopadu 2026 · událost ze dne 4. listopadu 2026 · čtení na 5 minut

Ve zkratce

Sekoia 4. 11. 2026 popsala kampaň typu watering hole (napadené weby, které oběti samy navštíví). Připisuje ji se střední až vysokou jistotou ruské skupině APT29.
Mezi napadenými weby je podle Sekoia i web krajně pravicového hnutí v Česku, dále weby na Ukrajině, v USA a Bulharsku a podvržené domény v USA a Velké Británii.
Cílem jsou iPhony se starým iOS (16.x a 18.5) a Chrome 139–145 na Androidu. Kód krade cookies, hesla k Wi-Fi a na iOS 18.5 i zprávy, fotky, kontakty a klíčenku.
Všechny použité chyby byly opravené už před kampaní. Jedna z nich, CVE-2024-27834 (Apple, opraveno v květnu 2024), je od 4. 11. 2026 v katalogu CISA KEV.
Aktualizujte iOS a Chrome na nejnovější verzi. Telefon, který aktualizace už nedostává, nepoužívejte na citlivé účty.

Zranitelnosti: CVE-2024-27834

Co se stalo

Francouzská bezpečnostní firma Sekoia zveřejnila 4. 11. 2026 rozbor kampaně, kterou její tým odhalil v polovině října. Útočníci napadli skutečné weby a vložili do nich škodlivý JavaScript. Kdo stránku otevřel v telefonu se zastaralým systémem, mohl o data přijít – stačila návštěva, nic dalšího nemusel udělat. Tomuto postupu se říká watering hole (napajedlo): útočník nečeká na kliknutí v e-mailu, ale napadne weby, které cílová skupina sama navštěvuje.

Sekoia kampaň se střední až vysokou jistotou připisuje skupině APT29 (známé také jako Midnight Blizzard nebo Cozy Bear), kterou spojuje s ruskou zahraniční zpravodajskou službou SVR. Na vyšetřování se podle firmy podílel i Google a národní CERTy dotčených zemí.

Ve stejný den, 4. 11. 2026, zařadila americká agentura CISA jednu z použitých chyb – CVE-2024-27834 od Applu – do katalogu aktivně zneužívaných zranitelností (KEV).

Údaj	Hodnota
Zveřejnění rozboru	4. 11. 2026 (Sekoia)
Útočník	APT29 (podle Sekoia, střední až vysoká jistota)
Způsob	škodlivý kód na napadených nebo podvržených webech
Cíl	iOS 16.x a iOS 18.5; Chrome 139–145 na Androidu (kromě verze 143)
Chyba v KEV	CVE-2024-27834, přidáno 4. 11. 2026
Oprava	už dávno k dispozici – aktuální iOS a Chrome

Které weby byly napadené

Podle Sekoia šlo mimo jiné o:

Česko: web krajně pravicového hnutí,
Ukrajina: firma těžící plyn a analytický nástroj Plerdy, přes který se kód od 27. 8. do 3. 9. 2026 dostal na tisíce převážně ukrajinských webů, včetně vojenských,
USA: oborové sdružení chemického průmyslu a podvržená doména napodobující oslavy 250. výročí USA (America250),
Bulharsko: web s vojenskou tematikou,
Velká Británie: podvržená doména napodobující hotel poblíž vládních budov v Londýně.

Konkrétní jména webů neuvádíme. Slovenský web mezi nimi zmíněný není.

Co útočníci kradli

Kód nejdřív zjistí, jaký telefon a prohlížeč návštěvník má, a podle toho spustí jednu ze tří sad útoků:

iPhone s iOS 16.7 (podle Sekoia může fungovat na iOS 16.0 až 17.4): krade cookies z prohlížeče a aplikací. S nimi se útočník může dostat do přihlášených účtů bez hesla. Tady se používá právě chyba CVE-2024-27834 – obejití ochrany Pointer Authentication v WebKitu.
iPhone s iOS 18.5: sbírá téměř vše – SMS a iMessage, databáze WhatsAppu a Telegramu, položky klíčenky, hesla k Wi-Fi, kontakty, historii hovorů a Safari, polohu, data ze Zdraví, fotky a soubory z iCloud Drive.
Android s Chromem 139–145 (kromě 143): krade cookies, uložená přihlášení a historii z Chromu a nastavení Wi-Fi.

Průběh útoku podle rozboru Sekoia

Škodlivý kód se podle Sekoia v telefonu neusazuje natrvalo – po restartu zmizí. Data ale mezitím odešla útočníkům.

Koho se to týká

Přímo jsou ohrožení hlavně lidé, o které má ruská rozvědka zájem: politici a jejich okolí, novináři, aktivisté, armáda, státní správa a firmy z citlivých oborů. Napadený web ale nevybírá – kód se spustí každému návštěvníkovi se zranitelným telefonem.

Všechny chyby, které útočníci použili, byly opravené ještě před začátkem kampaně. Ohrožené jsou tedy jen telefony, které nemají nejnovější aktualizace – typicky starší iPhony, které už novější iOS nedostanou, nebo zařízení, na kterých někdo aktualizace odkládá.

Co udělat

Zkontrolujte verzi iOS. Otevřete Nastavení → Obecné → Aktualizace softwaru a nainstalujte, co je k dispozici. Mějte nejnovější verzi, kterou váš iPhone podporuje.
iPhone, který neumí nic novějšího než iOS 16: nainstalujte poslední dostupnou verzi iOS 16. Chybu CVE-2024-27834 Apple opravil v iOS 16.7.8 a 17.5 (13. 5. 2024). Jestli starší řada dostala opravy i ostatních chyb z útoku, Sekoia neuvádí – na takovém telefonu nepoužívejte citlivé účty (banka, pracovní e-mail).
Android: otevřete Obchod Play → Profil → Spravovat aplikace a zařízení a aktualizujte Chrome. Zkontrolujte i aktualizaci systému – víc v článku o listopadové aktualizaci Androidu.
Zapněte automatické aktualizace systému i aplikací.
Pokud jste citlivá osoba a mohli jste mít zranitelný telefon: odhlaste se ze všech zařízení u důležitých účtů (Google, Apple, Microsoft, sociální sítě), změňte hesla a zkontrolujte přihlášená zařízení. Ukradené cookies tím přestanou fungovat. Postup najdete v návodu Někdo mi ukradl účet – co dělat.

Časová osa

Údaje Sekoia, Applu a CISA

Aktualizace

7. 11. 2026 – doplněny časté otázky, schéma útoku, časová osa a hlášení na Slovensku.
7. 11. 2026 – první verze článku.

Časté otázky

Navštívil jsem český web, který byl napadený. Mám se bát?

Pokud máte aktuální iOS a Chrome, ne. Všechny chyby z kampaně byly podle Sekoia opravené už před jejím začátkem. Ohrožené byly jen telefony se starým systémem (iOS 16.x a 18.5) nebo s Chromem 139–145 na Androidu.

Mám starý iPhone, který už novější iOS nedostane. Co s ním?

Nainstalujte poslední dostupnou verzi iOS. Chybu CVE-2024-27834 Apple opravil v iOS 16.7.8 a 17.5. Zda starší řada dostala opravy i ostatních chyb z útoku, Sekoia neuvádí, proto na takovém telefonu nepoužívejte bankovnictví ani pracovní e-mail.

Zůstane škodlivý kód v telefonu?

Podle Sekoia ne, po restartu zmizí. Data, která mezitím odešla, ale útočníci už mají. Ukradené cookies zneplatníte odhlášením ze všech zařízení a změnou hesel u důležitých účtů.

Kde najdu indikátory napadení (IOC)?

Sekoia je podle svého rozboru poskytuje jen národním CERTům a policii. Organizace v ČR se mohou obrátit na NÚKIB nebo CSIRT.CZ, na Slovensku na SK-CERT.

Zdroje

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.