Týdenní OSINT a cybercrime přehled
Výběr nových veřejných materiálů z oblasti OSINT, kyberkriminality, cíleného phishingu, supply-chain útoků a prevence podvodů za období od 12. do 18. září 2026.
Cílený phishing, supply-chain kompromitace a převzetí účtů
Kvalitativním výběrem prošly čtyři nové materiály a jeden hodnotný oficiální podklad z 10. září, který se nevešel do minulého vydání. Tento týden nepřinesl dostatečně silnou novou akademickou studii, proto nebyly slabší preprinty a převážně marketingové materiály do výběru zařazeny.
Tři materiály s největším praktickým přesahem
Pokud nemáte čas na celý přehled, začněte těmito třemi položkami.
CHOSEN BRICK
Silný model cíleného phishingu přes WhatsApp a Telegram, postupného budování důvěry a následného zajištění komunikačních i systémových stop.
PhantomRaven
Praktická případová studie supply-chain kompromitace přes npm, vzdálené závislosti, CI/CD tokeny a opatrné hodnocení stop údajně vytvořených pomocí LLM.
Federal Reserve ATO Toolkit
Užitečný rámec pro rozlišení skutečného převzetí účtu od situace, kdy byl oprávněný uživatel zmanipulován k autorizovanému úkonu.
Iranian cyber targeting of dissidents, activists and journalists: CHOSEN BRICK
Společné technické upozornění popisuje cílené útoky proti novinářům, aktivistům a odpůrcům íránského režimu, při kterých útočníci kombinují detailní studium cíle, sociální inženýrství přes messengery a následné nasazení spyware pro Windows.
🆕 Co je nové
Útočníci nejprve důkladně studují cíl a následně se přes WhatsApp nebo Telegram vydávají za důvěryhodnou osobu. Postupně budují vztah a používají personalizované návnady, například podvržené výsledky MRI. Malware CHOSEN BRICK získává kontakty, e-maily, komunikaci, snímky obrazovky a zvuk z mikrofonu a zachovává perzistenci po restartu.
🎯 Proč to stojí za pozornost
Jde o velmi dobrý model ohledání cíleného phishingu mimo e-mail. Důležité je zajistit celé komunikační vlákno, původní profil a jeho identifikátory, časovou osu, originální soubor nebo odkaz a související systémové artefakty – nikoliv pouze screenshot poslední zprávy. Pozdější zveřejnění získaných dat může být součástí téže operace.
⚠️ Omezení
Jde o silný primární zdroj tří státních institucí s technickými indikátory a mapováním na MITRE ATT&CK. Atribuce Íránu je však zpravodajským hodnocením, nikoliv soudním závěrem. U ohrožených osob je navíc nutné počítat s fyzickým rizikem a citlivým zacházením s osobními údaji.
PhantomRaven: LLM-generated Information Stealer for Bug Bounty Hunting
Analýza popisuje škodlivé npm balíčky, které působily téměř prázdně, ale prostřednictvím vzdálené závislosti spouštěly informační stealer a získávaly data související také s vývojářským a CI/CD prostředím.
🆕 Co je nové
Aktér šířil přes překlepové názvy npm balíčky, které odkazovaly na vzdálenou HTTP závislost. Ta při instalaci spouštěla informační stealer a sbírala systémové údaje, Git a npm konfiguraci a proměnné CI/CD prostředí. CrowdStrike aktéra spojuje také s bug-bounty činností.
🎯 Proč to stojí za pozornost
Při prověřování škodlivé závislosti nestačí kontrolovat pouze obsah zobrazený v registru. Významné jsou manifesty a lockfile, vzdálené dependency URL, instalační logy, DNS a proxy telemetrie, spuštěné lifecycle skripty a možné kompromitované CI/CD tokeny. Případ spojuje supply-chain útok, krádež přístupů a možné zneužití legitimního disclosure procesu.
⚠️ Omezení
Dodavatelská analýza obsahuje IOC a ATT&CK mapování, ale úplná interní telemetrie není veřejná. Závěr o tvorbě kódu pomocí LLM vychází z tokenových vzorců, komentářů a nedokončených částí. Samotný „AI styl“ kódu autorství neprokazuje a IOC jsou časově omezené.
Fake Voicemail Transcript Emails Target 7,800+ Organizations
Rozsáhlá phishingová kampaň napodobovala automatické přepisy hlasových zpráv a jako údajný záznam hovoru používala SVG přílohu, která ve skutečnosti fungovala jako aktivní dokument.
🆕 Co je nové
Check Point mezi 17. a 31. srpnem zachytil přes 58 000 e-mailů mířících na více než 7 800 organizací. SVG příloha vydávaná za záznam hovoru obsahovala JavaScript a přesměrování na stránku určenou k odcizení přihlašovacích údajů.
🎯 Proč to stojí za pozornost
Při ohledání je potřeba uchovat původní MIME zprávu, hlavičky, přesné bajty přílohy a její hash. Ikona, název souboru ani jeho náhled nevypovídají o skutečném chování. Významná může být také následná URL posloupnost a předvyplněná identita oběti, která může propojit zprávu s konkrétní kampaní.
⚠️ Omezení
Jde o rozsáhlou telemetrii jednoho komerčního poskytovatele, nikoliv reprezentativní měření celého e-mailového provozu. Pojmy „spoofed sender“ a „spoofed domain“ je nutné chápat podle metodiky Check Pointu. Dynamickou analýzu příloh je vhodné provádět pouze v autorizovaném izolovaném prostředí.
New Educational Resources in the Account Takeover Fraud Mitigation Toolkit
Rozšířený toolkit přináší praktické scénáře k převzetí účtů, detekci podvodů a jednotnějšímu rozlišování mezi kompromitací účtu a manipulací oprávněného uživatele.
🆕 Co je nové
Nové moduly pokrývají malware, kompromitaci osobního e-mailu a kombinaci informací ze sociálních sítí se SIM swapem. Součástí je také jednotnější třídění prostřednictvím modelů FraudClassifier a ScamClassifier.
🎯 Proč to stojí za pozornost
Materiál může pomoci při prvotním třídění oznámení. Rozlišuje situaci, kdy pachatel účet skutečně převzal, od případu, kdy oprávněného uživatele zmanipuloval k autorizovanému úkonu. Rozdíl ovlivňuje požadované logy, rozhovor s poškozeným i následnou komunikaci s bankou nebo poskytovatelem služby.
⚠️ Omezení
Jde o oficiální a prakticky strukturovaný materiál, nikoliv nový statistický výzkum. Je vytvořen pro americké platební prostředí a jeho klasifikace nezakládá právní odpovědnost. Pro české použití je nutné převést terminologii na zdejší bankovní a procesní rámec.
Protecting Customers During Stressful Moments
Materiál převádí obecné poznatky o vlivu stresu na rozhodování do konkrétních životních situací, ve kterých může být člověk vůči podvodné manipulaci zranitelnější.
🆕 Co je nové
Analýza pracuje s konkrétními situacemi, jako je koupě nemovitosti, úmrtí blízkého, rozvod, odchod do důchodu, katastrofa nebo první samostatné finanční kroky mladého člověka. Doporučuje načasovaná varování a bezpečnostní „tření“ právě v obdobích zvýšené zranitelnosti.
🎯 Proč to stojí za pozornost
Při rozhovoru s poškozeným může být důležité rekonstruovat nejen samotnou zprávu, ale také kontext, který pachatel znal nebo odhadl. Změna platebních instrukcí během koupě bytu, kontakt po zveřejnění parte nebo nabídka pomoci po mimořádné události mohou vysvětlit výběr cíle i účinnost použité legendy.
⚠️ Omezení
Jde o oficiální edukační analýzu, nikoliv samostatnou empirickou studii s novým datasetem. Životní událost nesmí být automaticky interpretována jako důkaz snížené způsobilosti nebo nedbalosti poškozeného. Případné profilování musí respektovat soukromí a účelové omezení zpracování dat.
Kontext útoku je často stejně důležitý jako samotný technický indikátor
Materiály tohoto týdne spojuje potřeba zachovat širší kontext: celé komunikační vlákno, původ souboru, časovou osu, vývojářské a CI/CD artefakty, způsob převzetí účtu i situaci, ve které byl člověk osloven.
Další aktuality a týdenní přehledy
Na hlavní stránce Aktualit DPP najdete nejnovější vydání i předchozí týdenní přehledy z oblasti kyberbezpečnosti, OSINT a internetových podvodů.
Zpět na Aktuality DPP →