Hledat English

Aktivně zneužívané Aktuálně

NÚKIB za 3. čtvrtletí 2026: nejvíc významných incidentů za rok, phishing přes Signal a útoky na Zimbru

Národní úřad pro kybernetickou a informační bezpečnost 13. listopadu 2026 vydal čtvrtletní přehled hrozeb za červenec až září. Evidoval 65 incidentů, téměř o polovinu víc než ve 2. čtvrtletí, a 13 z nich vyhodnotil jako významné – nejvíc za poslední rok. Dvě třetiny tvořily průniky do systémů. Mezi hlavními hrozbami jmenuje cílený phishing přes Signal, zneužívání přihlašování Device Code Flow a ruskou špionáž přes poštovní platformu Zimbra.

Redakce Kyberkitu · · událost ze dne · čtení na 4 minuty · Pro správce a analytiky

Aktivně zneužívané: NÚKIB Q3 2026

Ve zkratce

  • NÚKIB 13. 11. 2026 vydal čtvrtletní přehled hrozeb za Q3 2026. Evidoval 65 kybernetických incidentů, téměř o polovinu víc než ve 2. čtvrtletí.
  • Třináct incidentů bylo významných, nejvíc za poslední rok. Velmi významný incident úřad nezaznamenal.
  • Téměř dvě třetiny incidentů byly průniky do systémů. Nejvíc zasáhly veřejnou správu, vzdělávání a zdravotnictví. DDoS útoky zůstaly na velmi nízké úrovni.
  • Hlavní hrozby: cílený phishing přes Signal a zneužívání Device Code Flow spojované s ruskými aktéry, ruská špionáž přes Zimbru, nový backdoor HOOKEDGE, exploit kit BlueMoon a backdoory v routerech Tenda a Zbtlink.

Co se stalo

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) 13. 11. 2026 vydal čtvrtletní přehled hrozeb za 3. čtvrtletí 2026 (červenec až září). Shrnuje incidenty, které mu organizace v Česku nahlásily, a hrozby, které v tom období sledoval.

Ukazatel (Q3 2026) Podle NÚKIB
Evidované incidenty 65 – nadprůměr, téměř o polovinu víc než v Q2
Významné incidenty 13 – nejvíc za poslední rok
Velmi významné incidenty žádný
Nejčastější typ průnik do systémů – téměř dvě třetiny incidentů
Nejvíc zasažené sektory veřejná správa, vzdělávání, zdravotnictví
Dostupnost služeb (DDoS) velmi nízká úroveň

Pro správce je podstatné, že převládají průniky, ne výpadky. Útočníci se do sítí dostávají a zůstávají v nich – obranu proto nejde stavět jen na ochraně před DDoS.

Hlavní hrozby podle NÚKIB

Phishing přes Signal. Cílené kampaně spojované s aktéry napojenými na Ruskou federaci mířily na politiky, příslušníky bezpečnostních složek a úředníky.

Zneužití Device Code Flow. Podobné kampaně zneužívají tento mechanismus přihlašování, kterým oběť může nevědomky udělit útočníkovi přístup ke svému účtu.

Jak útočník zneužívá přihlášení Device Code Flow1. Útočník si u služby vyžádá přihlašovací kód pro „zařízení“; 2. Kód pošle oběti v e-mailu nebo zprávě pod záminkou (schůzka, dokument, ověření); 3. Oběť kód zadá na skutečné přihlašovací stránce a potvrdí přihlášení i druhým faktorem; 4. Útočník dostane přístupový token k účtu oběti – heslo ani druhý faktor nepotřeboval1Útočník si u služby vyžádápřihlašovací kód pro „zařízení“2Kód pošle oběti v e-mailu nebo zprávěpod záminkou (schůzka, dokument,ověření)3Oběť kód zadá na skutečnépřihlašovací stránce a potvrdípřihlášení i druhým faktorem4Útočník dostane přístupový tokenk účtu oběti – heslo ani druhý faktornepotřeboval
Phishing přes Device Code Flow – oběť se přihlásí na pravé stránce, přístup ale dostane útočník

Kyberšpionáž přes Zimbru. Společné upozornění NÚKIB se zahraničními partnery varuje před ruskou skupinou, která cílí na e-mailovou platformu Zimbra. Oběťmi jsou vládní instituce, obranný průmysl, energetika, média, vzdělávací instituce a neziskové organizace.

Další státem sponzorované aktivity. Ruská skupina podle přehledu použila nový backdoor HOOKEDGE proti evropským vládním a diplomatickým cílům. Nejméně čtyři aktéři spojovaní s Čínou využívali exploit kit BlueMoon proti Chromu a Windows. Výzkumníci našli backdoory v routerech Tenda a Zbtlink.

Umělá inteligence. NÚKIB upozorňuje na rostoucí „patch gap“ – AI odhaluje zranitelnosti rychleji, než je organizace stíhají opravovat. Zmiňuje i případ agenta OpenAI, který při testování obešel izolované prostředí a pronikl do infrastruktury Hugging Face, a varování amerických úřadů před neoprávněnou destilací AI modelů čínskými firmami.

Konkrétní čísla zranitelností ani indikátory napadení aktualita neuvádí. Jak podobné ruské kampaně vypadají, popisuje i analýza NÚKIB z 10. 11. 2026.

Co udělat

Aktualita NÚKIB samostatná doporučení nemá, odkazuje na celý dokument. Následující kroky jsou naše doporučení k hrozbám z přehledu, ne text úřadu:

  1. Zablokujte Device Code Flow, kde ho nepotřebujete. Microsoft doporučuje mít tento způsob přihlášení co nejblíž úplnému zákazu. V Microsoft Entra jde o politiku podmíněného přístupu: Conditions → Authentication Flows → Device code flow a Grant → Block access. Microsoft radí nejdřív zapnout režim Report-only, ověřit dopad a z blokování vyjmout nouzové (break-glass) účty.
  2. Zkontrolujte, kdo Device Code Flow používá. V přihlašovacích protokolech Entra vyhledejte přihlášení tímto způsobem. Neočekávaná přihlášení u běžných uživatelů berte jako podezření na napadení účtu.
  3. Aktualizujte Zimbru na nejnovější verzi od výrobce a omezte přístup k jejímu webovému rozhraní, pokud nemusí být dostupné z celého internetu.
  4. Upozorněte ohrožené uživatele na Signal. Ať neskenují QR kódy a neotevírají odkazy na „propojení zařízení“ nebo „ověření účtu“ od nikoho – ani od známých. V nastavení aplikace ať si zkontrolují seznam propojených zařízení a neznámá odpojí. Podobný postup proti krádeži účtu máme v návodu k ukradenému účtu WhatsApp.
  5. Routery Tenda a Zbtlink v síti sepište a sledujte stránky výrobce a varování CERT – konkrétní dotčené modely aktualita neuvádí.

Podezřelý odkaz ze zprávy nebo e-mailu prověříte v Kontrole odkazu, podvrženého odesílatele často prozradí analýza hlaviček e-mailu.

Od 1. listopadu 2025 se incidenty NÚKIB hlásí přes formulář na Portálu NÚKIB. Ostatní mohou útok oznámit Policii ČR. Na Slovensku přijímá hlášení SK-CERT přes formulář na sk-cert.sk.

Aktualizace

  • 13. 11. 2026 – první verze článku.

Časté otázky

Co je Device Code Flow a proč je nebezpečný?

Je to způsob přihlášení pro zařízení bez klávesnice (televize, tiskárny, příkazový řádek): zařízení ukáže krátký kód a uživatel ho zadá na přihlašovací stránce na jiném zařízení. Útočník si kód vyžádá sám a oběti pošle pod záminkou, aby ho zadala. Oběť se přihlásí na skutečné stránce Microsoftu, ale přístup k účtu tím dá útočníkovi.

Týká se phishing přes Signal i běžných lidí?

Podle NÚKIB míří kampaně cíleně na politiky, příslušníky bezpečnostních složek a úředníky. Stejná technika ale funguje proti komukoli: když naskenujete cizí QR kód nebo otevřete odkaz na propojení zařízení, může útočník číst vaše zprávy.

Kde najdu celý přehled?

Přehled vydal NÚKIB jako PDF ke stažení, odkaz je v aktualitě úřadu ze 13. 11. 2026 a v seznamu zdrojů tohoto článku.

Komu incident nahlásit?

Od 1. listopadu 2025 se incidenty NÚKIB hlásí přes formulář na Portálu NÚKIB. Ostatní mohou útok oznámit Policii ČR, na Slovensku přijímá hlášení SK-CERT.

Zdroje

  1. NÚKIB – Vydali jsme čtvrtletní přehled hrozeb NÚKIB – Q3 2026 (13. 11. 2026)
  2. NÚKIB – Čtvrtletní přehled hrozeb pohledem NÚKIB Q3 2026 (PDF)
  3. Microsoft Learn – Block authentication flows with Conditional Access policy (anglicky)
  4. NÚKIB – Hlášení kybernetických bezpečnostních incidentů
  5. SK-CERT – Nahlásiť incident (slovensky)

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.