Týdenní OSINT a cybercrime přehled
Výběr nových veřejných materiálů z oblasti OSINT, phishingu, kyberkriminality, investičních podvodů a zneužívání AI infrastruktury za období od 31. října do 5. listopadu 2026.
Phishing, falešné pracovní nabídky a zneužívání AI infrastruktury
Kvalitativním výběrem prošlo šest nových materiálů. Tento týden je mimořádně silný především na současné phishingové techniky, falešné pracovní pohovory, krádeže cloudových a AI přístupů a rozkrývání infrastruktury rozsáhlých investičních podvodů.
Tři materiály s největším praktickým přesahem
Pokud nemáte čas na celý přehled, začněte těmito třemi položkami.
Microsoft – Email threat landscape Q3 2026
Nejucelenější aktuální přehled phishingu, škodlivých příloh, Teams komunikace a falešné technické podpory.
Binance + Chainalysis – falešné pracovní pohovory
Mimořádně názorné propojení sociálního inženýrství, GitHub repozitáře, kompromitovaného zařízení, tokenů, AI nástrojů a kryptoměnových toků.
Google – LLMJacking
Výrazný nový způsob finančně motivovaného zneužívání odcizených cloudových přístupů a placené AI infrastruktury.
Email threat landscape: Q3 2026 trends and insights
Microsoft shrnuje phishingové a komunikační hrozby pozorované během třetího čtvrtletí a ukazuje, jak se mění používané přílohy, distribuční kanály i způsob vydávání se za technickou podporu.
🆕 Co je nové
Microsoft zachytil přibližně 7,3 miliardy phishingových zpráv. QR phishing výrazně ustoupil, zatímco se vrátily SVG přílohy a phishing schovaný za CAPTCHA. U 94–96 % škodlivých příloh nebyl cílem malware, ale odcizení přihlašovacích údajů. V Teams bylo zaznamenáno přibližně 141 000 škodlivých pokusů o volání a pachatelé častěji používali běžná osobní jména místo označení „IT podpora“.
🎯 Proč to stojí za pozornost
Materiál je praktický pro vyhodnocování e-mailů, SVG, HTML a PDF příloh, QR kódů, device-code phishingu i živých relací přes Teams nebo nástroje vzdálené podpory. Upozorňuje také, že vlastní výjimky a allowlisty mohou přebít správnou bezpečnostní detekci.
⚠️ Omezení
Jde o rozsáhlou primární telemetrii doplněnou konkrétními kampaněmi, IOC a hunting dotazy. Čísla ale vyjadřují viditelnost Microsoftu, nikoliv počet unikátních pachatelů nebo úspěšných kompromitací. Například pokus o volání v Teams nemusí znamenat, že byl hovor skutečně navázán.
29 October 2026 Binance Security Incident: Initial Findings and Response Update
Incident začal zdánlivě legitimním pracovním náborem a programovacím úkolem. Následný řetězec spojil sociální inženýrství, škodlivý repozitář, kompromitované zařízení, odcizené tokeny a kryptoměnovou infrastrukturu.
🆕 Co je nové
Po dvou videopohovorech dostal zaměstnanec údajný programovací úkol obsahující škodlivý repozitář. Útok následně propojil kompromitované zařízení, odcizené tokeny, interní AI nástroj a přístup k peněženkové infrastruktuře. Chainalysis spojuje podobné falešné pracovní pohovory s desítkami předchozích kompromitací.
🎯 Proč to stojí za pozornost
Při podobném incidentu je důležité zajistit komunikaci z pracovních platforem, identity recruiterů, metadata videohovorů, stažený repozitář, shell historii, cloudové relace, tokeny, interní AI logy a následné blockchainové transakce. Případ zároveň ukazuje riziko kódu a „bezplatných nástrojů“ získaných z důvěryhodně působících repozitářů.
⚠️ Omezení
Binance zveřejnila konkrétní časovou osu, ale jde zatím o vlastní prvotní zprávu po závažném incidentu. Nezávislé přezkoumání nebylo dokončeno. Atribuci k Severní Koreji a související vyčíslení škod je nutné chápat jako průběžné analytické hodnocení, nikoliv automaticky procesně prokázané autorství.
The Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources
Mandiant popisuje finančně motivované zneužívání odcizených cloudových přístupů k přeprodeji cizího přístupu k placeným AI modelům.
🆕 Co je nové
Pachatelé získávali API klíče, service-account credentials, GitHub PAT nebo aktivní cloudové tokeny a následně přeprodávali cizí přístup k AI modelům prostřednictvím takzvaných LLM mixerů. U jednotlivých organizací vznikaly během krátké doby náklady ve statisících až přibližně milionu dolarů.
🎯 Proč to stojí za pozornost
Při vyšetřování je potřeba propojit okamžik úniku klíče s cloudovým auditním logem, nově povolenými AI službami, tvorbou service accounts, změnami kvót, API provozem a fakturací. Zajímavým indikátorem mohou být jednorázové dotazy s minimálním počtem tokenů používané pouze k ověření funkčnosti odcizeného klíče.
⚠️ Omezení
Jde o silná primární incident-response data a transparentně popsané fáze zneužití. Pojem „LLM mixer“ i názvy clusterů jsou ale analytickou taxonomií Googlu. Zveřejněné případy nemusí reprezentovat celý trh a očekávaný další růst představuje prognózu.
Investment scams with potential victims in at least 50 countries: over 100 servers seized
Mezinárodní operace ukazuje posun od vyšetřování jednotlivého call centra k infrastruktuře dodávající falešné obchodní platformy více kriminálním skupinám.
🆕 Co je nové
Vyšetřování se zaměřilo na společnost podezřelou z poskytování falešných obchodních platforem. Zajištěno bylo více než 100 serverů, provedeno 17 prohlídek a zadrženo sedm osob. Původní oznámení německého páru postupně vedlo k rozkrytí infrastruktury a dalších klientů v několika státech.
🎯 Proč to stojí za pozornost
Jde o praktický příklad přechodu od jedné poškozené osoby k infrastrukturnímu šetření: společné webové platformy, servery, call centra, správci, klientské skupiny a finanční toky. Europol uvádí také okamžité databázové kontroly a digitálně-forenzní podporu přímo během zásahu.
⚠️ Omezení
Jde o primární informace Europolu a Eurojustu o reálné společné operaci. Nejde však o forenzní metodiku a zveřejněná data neumožňují samostatně ověřit vazbu všech serverů na konkrétní poškozené. Zadržení a podezření nejsou pravomocným závěrem o vině.
SlippyNunchucks hijacks Sogou Input Method’s brand promotion mechanism to distribute malware
ESET popisuje zneužití legitimního mechanismu aplikace Sogou Input Method, přes který byla uživatelům podvržena škodlivá konfigurace a následně malware.
🆕 Co je nové
Legitimní mechanismus pro propagaci značek komunikoval přes nezabezpečené HTTP. V kombinaci s manipulací DNS bylo možné podvrhnout konfiguraci a distribuovat implantát DarkVigil. Tencent problém následně opravil ve verzi 16.10.
🎯 Proč to stojí za pozornost
Nalezení malwaru spuštěného legitimním programem ještě neprokazuje kompromitaci samotného instalačního balíčku. Pro rekonstrukci je potřeba korelovat DNS, HTTP provoz, konfiguraci aplikace, vytvořené soubory, registry a následnou C2 komunikaci.
⚠️ Omezení
Jde o podrobnou reverzní analýzu se zveřejněnými IOC a koordinovaným oznámením výrobci. ESET ale neurčil, kde přesně k manipulaci DNS docházelo. Atribuce čínsky orientovanému aktérovi je zpravodajským hodnocením založeným na telemetrii a viktimologii.
Artificial intelligence and cyber intrusion
Britské NCSC aktualizovalo své strategické hodnocení, jak může AI ovlivňovat schopnosti útočníků a obránců v horizontu do roku 2028.
🆕 Co je nové
Dokument rozlišuje základní, pesimistický a optimistický scénář a používá standardizované pravděpodobnostní formulace. Za pravděpodobný považuje růst rychlosti hledání zranitelností, levnější nahrazování ztracených přístupů a růst attack surface způsobený samotným nasazováním AI.
🎯 Proč to stojí za pozornost
Materiál je užitečný zejména pro analytickou argumentaci a dlouhodobé plánování. Dobře odděluje dostupné poznatky, pravděpodobnostní hodnocení a budoucí scénáře – tedy kategorie, které bývají v běžných threat-intelligence materiálech často smíchány.
⚠️ Omezení
Jde o autoritativní vládní assessment kombinující utajované, průmyslové, akademické a otevřené zdroje. Kompletní zdrojová data však nejsou veřejná a scénáře do roku 2028 nejsou předpovědí ani důkazem, že popsané schopnosti již byly použity v konkrétním incidentu.
Důvěryhodná komunikace může být pouze vstupní branou k dalšímu útoku
Materiály tohoto týdne ukazují, že první kontakt může působit mimořádně přesvědčivě: legitimní videohovor, pracovní pohovor, běžný GitHub projekt, Microsoft Teams, známá cloudová služba nebo skutečný software. Rozhodující je proto sledovat celý řetězec, nikoliv pouze první bod kontaktu.
Další aktuality a týdenní přehledy
Na hlavní stránce Aktualit DPP najdete nejnovější vydání i předchozí týdenní přehledy z oblasti kyberbezpečnosti, OSINT a internetových podvodů.
Zpět na Aktuality DPP →