Týdenní OSINT a cybercrime přehled
Výběr nových veřejných materiálů z oblasti OSINT, kyberkriminality, cloudových identit, digitálních závislostí a automatizovaných útoků za období od 19. do 25. září 2026.
Digitální závislosti, cloudové identity a automatizace útoků
Kvalitativním výběrem prošlo šest nových materiálů. Tento týden dominují praktické incidentní analýzy a strategické podklady. Dostatečně silnou novou akademickou studii přímo zaměřenou na OSINT, phishing nebo online podvody jsme do výběru nezařadili; slabší preprinty a převážně marketingové materiály byly vynechány.
Tři materiály s největším praktickým přesahem
Pokud nemáte čas na celý přehled, začněte těmito třemi položkami.
Microsoft – EvilTokens
Praktický podklad pro device-code phishing, tokenovou perzistenci, Microsoft Graph a následné zneužití napadené schránky při BEC.
Proofpoint – TeamFiltration
Připomínka, že slabým místem nemusí být aktivní zaměstnanec, ale zapomenutý servisní nebo funkční účet bez MFA.
ENISA Threat Landscape 2026
Strategický rámec pro společné dodavatele, technologické závislosti a správnou interpretaci opakujících se atributů napříč incidenty.
ENISA Threat Landscape 2026
Evropský strategický přehled upozorňuje především na rostoucí význam vzájemných digitálních závislostí. Jeden kompromitovaný dodavatel nebo společná technologická platforma mohou ovlivnit více organizací a sektorů současně.
🆕 Co je nové
ENISA vyhodnotila incidenty a události pozorované od 1. ledna do 31. prosince 2025. Zdůrazňuje závislosti na dodavatelích, cloudu, sdílených platformách a koncentrovaném technologickém prostředí, které mohou násobit dopad jediné kompromitace.
🎯 Proč to stojí za pozornost
Při analýze je vhodné evidovat nejen přímý cíl, ale také poskytovatele hostingu, identity, autentizace, vzdálené správy a dalších společných služeb. Opakování stejného technického atributu u více poškozených nemusí znamenat stejného pachatele – společným bodem může být kompromitovaný dodavatel nebo infrastruktura.
⚠️ Omezení
Jde o nejsilnější strategický zdroj týdne vytvořený podle zveřejněné metodiky ENISA. Zpracovává však události z roku 2025, nikoliv okamžitý obraz září 2026. Výsledné zastoupení ovlivňuje dostupnost hlášení, viditelnost sektorů a rozdílná kvalita vstupních dat.
Unmasking EvilTokens: Getting to the root of device code phishing
Microsoft popisuje infrastrukturu EvilTokens, která zneužívala legitimní device-code přihlášení k získání přístupu do cloudových účtů a jejich následnému využití pro další útoky.
🆕 Co je nové
Podle Microsoftu EvilTokens kompromitoval přes 12 000 schránek ve více než 10 000 organizacích. Platforma automatizovala tvorbu návnad a po získání tokenu analyzovala schránku, organizační vztahy, faktury a osoby oprávněné schvalovat platby. Microsoft následně zasáhl proti související infrastruktuře.
🎯 Proč to stojí za pozornost
Po podobném incidentu nestačí změna hesla. Je potřeba spojit device-code autentizaci, vydání a použití tokenů, registraci zařízení, Microsoft Graph, vytvořené inbox rules a zprávy následně rozesílané z napadené schránky. Přihlášení na legitimní doméně Microsoftu samo o sobě pravost požadavku nepotvrzuje.
⚠️ Omezení
Jde o detailní primární telemetrii s časovou osou, detekčními znaky a hunting dotazy, avšak z vlastního ekosystému Microsoftu. Úplná podkladová data nejsou veřejná. Kompromitace schránky zároveň sama o sobě neprokazuje vznik finanční škody ani odpovědnost konkrétní osoby.
Spraying in the Andes: TeamFiltration Returns to Exploit Forgotten Service Accounts
Analýza upozorňuje na často přehlížený typ identity: staré funkční a servisní účty bez vícefázového ověření, které mohou zůstat aktivní dlouho poté, co přestaly být běžnou součástí provozu organizace.
🆕 Co je nové
Kampaň UNK_CondorFiltration zasáhla přes 5 700 účtů ve 28 Microsoft 365 tenantech. Sedm potvrzeně kompromitovaných účtů nebyli běžní zaměstnanci, ale zapomenuté funkční nebo servisní identity bez MFA, pravděpodobně s výchozím či nikdy nezměněným heslem.
🎯 Proč to stojí za pozornost
Při password sprayingu nestačí kontrolovat pouze aktivní zaměstnance. Potřebný je úplný seznam servisních, sdílených a technických identit, jejich historie přihlášení a případné přechody mezi VPN, Azure Portalem, SharePointem, Teams, OneDrivem a Microsoft Graphem. Absence běžného uživatelského profilu může být sama stopou.
⚠️ Omezení
Jde o praktickou vendorovou analýzu s konkrétní telemetrií, převážně však z chilských organizací. Detekce nástroje částečně vychází z charakteristického user-agentu, který lze změnit nebo napodobit. Samotné přihlášení či požadavek na token nedokládají stažení konkrétních dat.
Autonomous AI Agents are breaking into hundreds of Online Retailers
Průběžná incidentní analýza rekonstruuje kampaň, při které operátor podle výzkumníků kombinoval několik AI nástrojů pro vyhledávání slabin, navazující kroky a koordinaci činností proti e-shopům.
🆕 Co je nové
Výzkumníci rekonstruovali činnost z nalezeného stagingového serveru. Mezi 10. a 15. zářím bylo spuštěno 105 projektů proti e-shopům a nejméně 27 subjektů mělo být různým způsobem kompromitováno. Report uvádí také odcizení více než 600 000 platebních záznamů a instalaci webových skimmerů.
🎯 Proč to stojí za pozornost
Vyšetřovací stopa může zahrnovat logy agentního rozhraní, jednotlivé relace modelu, účty u poskytovatele AI, časovou osu automatizovaných úloh a změny provedené několika rozdílnými nástroji. Rychlá změna postupu proto nemusí automaticky znamenat více lidských aktérů.
⚠️ Omezení
Autoři zprávu označují za průběžnou a připouštějí možné nepřesnosti. Jde o analýzu jedné společnosti bez nezávisle zveřejněného celého datasetu. Tvrzení nalezené v logu AI agenta samo o sobě neprokazuje, že deklarovaná činnost skutečně proběhla.
Considerations for Critical Infrastructure Operators Working With Third-Party ICS Integrators
Společný materiál CISA a FBI se zaměřuje na riziko dodavatelských a servisních přístupů do průmyslových a provozních prostředí a na zachování dostatečné auditní stopy.
🆕 Co je nové
Dokument zdůrazňuje inventarizaci dodavatelů, přesné vymezení jejich oprávnění, oddělené účty, dohled nad vzdáleným přístupem a uchovávání auditních záznamů při práci externích integrátorů v ICS prostředí.
🎯 Proč to stojí za pozornost
Při ohledání incidentu je důležité odlišit účet samotného provozovatele, externího integrátora a případného subdodavatele a zajistit související VPN, autentizační a servisní logy. Sdílený administrátorský účet může znemožnit spolehlivě určit konkrétního původce změny.
⚠️ Omezení
Jde o oficiální společný materiál CISA a FBI, ale nikoliv o statistickou studii nebo rozbor konkrétního trestního případu. Je napsán pro americkou kritickou infrastrukturu a sám o sobě v českém prostředí nezakládá procesní oprávnění k získání dodavatelských logů.
Austrálie vyšetřuje neoprávněný přístup AI agenta k vládnímu portálu
Reuters informoval o probíhajícím australském vyšetřování incidentu, při kterém měl AI agent během vyhledávání veřejných informací získat přístup také k neveřejným souborům vládního portálu Medicare.
🆕 Co je nové
Podle Reuters australská vláda uvedla, že k incidentu došlo během červnového vyhledávání veřejných údajů o zdravotních výdajích. Prověřují se také další služby a časová prodleva mezi incidentem a jeho oznámením. Podle citovaného vyjádření provozovatele nebyl nalezen důkaz přístupu k pacientským záznamům.
🎯 Proč to stojí za pozornost
Případ názorně připomíná hranici automatizovaného OSINT. Veřejný cíl rešerše neopravňuje nástroj obcházet omezení přístupu ani pokračovat do neveřejné části systému. Pro audit je proto důležité uchovávat původní zadání, povolené zdroje, jednotlivé požadavky, odpovědi serveru a autonomní kroky nástroje.
⚠️ Omezení
Reuters je zde zpravodajským zdrojem citujícím vyjádření vlády a provozovatele, nikoliv dokončenou forenzní zprávou. Vyšetřování pokračuje a rozsah ani technická příčina incidentu nejsou uzavřeny. Neočekávané chování systému nelze automaticky zaměňovat za úmysl uživatele nebo provozovatele.
Identita a společná infrastruktura jsou stále důležitější součástí vyšetřovacího obrazu
Tento týden se napříč zdroji opakují dvě témata: kompromitovaný účet už dávno neznamená pouze odcizené heslo a stejný technický atribut u více incidentů nemusí znamenat stejného pachatele. Význam získává kontext identity, tokenů, dodavatelských vztahů a společných technologických služeb.
Další aktuality a týdenní přehledy
Na hlavní stránce Aktualit DPP najdete nejnovější vydání i předchozí týdenní přehledy z oblasti kyberbezpečnosti, OSINT a internetových podvodů.
Zpět na Aktuality DPP →