Týdenní OSINT a cybercrime přehled
Výběr nových veřejných materiálů z oblasti OSINT, kyberkriminality, phishingu, cloudových hrozeb a zneužití AI za období od 5. do 11. září 2026.
Cloudové identity, AI-assisted podvody a rychlejší automatizace útoků
Kvalitativním výběrem prošlo sedm materiálů. Pět vyšlo přímo v období od 5. do 11. září, dvě mimořádně relevantní položky z 3. září doplňujeme dodatečně. Největší praktický přesah mají nové scénáře kompromitace cloudových účtů, BEC a podvodů využívajících AI k rychlejší personalizaci a automatizaci.
Tři materiály s největším praktickým přesahem
Pokud nemáte čas na celý přehled, začněte těmito třemi položkami.
Microsoft: passkey-themed social engineering
Praktická časová osa kompromitace cloudového účtu: telefonát nebo SMS, falešná aktualizace autentizace, device code, změny MFA a následná aktivita v Microsoft Graph.
Microsoft: AI-assisted executive impersonation
Konkrétní kombinace BEC, napodobené domény, falešné faktury, podvrženého předchozího vlákna a sociálního inženýrství zaměřeného na finanční oddělení.
GTIG AI Threat Tracker
Jeden z nejucelenějších aktuálních pohledů na skutečně pozorovaný přechod od jednotlivých promptů k agentním a rychle automatizovaným pracovním postupům.
Passkey-themed social engineering leads to identity and cloud compromise
Kampaň využívá téma passkey, MFA nebo SSO jako záminku k převzetí cloudové identity. Samotná legitimní technologie není zranitelností – zneužívána je důvěra uživatele a proces přihlášení.
🆕 Co je nové
Útok začíná telefonátem nebo SMS od falešné IT podpory a údajnou nutností aktualizovat passkey, MFA či SSO. Následuje AiTM phishing nebo přihlášení přes device code. Po získání relace pachatel přidává vlastní autentizační metodu a automatizovaně prochází Microsoft Graph, SharePoint, OneDrive a Exchange.
🎯 Proč to stojí za pozornost
Při ohledání kompromitovaného účtu může být první stopou pouze vzpomínka zaměstnance na telefonát. Následně je potřeba propojit přihlášení, device-code události, změny MFA, aktivitu Microsoft Graph a přístupy k souborům. Samotný záznam přístupu ke službě ale ještě nedokládá stažení konkrétního dokumentu.
⚠️ Omezení
Jde o primární analýzu reálné telemetrie s podrobnými scénáři. Současně je specifická pro prostředí Microsoftu a část doporučených detekcí vyžaduje placené licence. Atribuce i dynamické IOC mohou rychle zastarávat.
Protecting organizations from AI-assisted executive impersonation and invoice fraud
Analýza popisuje rozsáhlou kampaň kombinující vydávání se za vedení firmy, falešnou fakturu, napodobeného dodavatele a uměle vytvořenou historii předchozí komunikace.
🆕 Co je nové
Microsoft zachytil více než milion e-mailů, které spojovaly executive impersonation, falešnou fakturu, podvržené předchozí vlákno a napodobení dodavatele. Finanční oddělení bylo vyzýváno k ACH platbě přibližně 50 000 USD.
🎯 Proč to stojí za pozornost
Při analýze BEC nestačí kontrolovat zobrazenou adresu. Významné jsou Reply-To, datum registrace napodobené domény, skutečné hlavičky vloženého vlákna, konzistence faktury a nezávislé ověření obchodního vztahu i platebních údajů. Profesionální vzhled ani dlouhá historie komunikace nejsou silným znakem pravosti.
⚠️ Omezení
Jde o detailní primární telemetrii, převážně však z amerického prostředí. Microsoft uvádí pouze znaky odpovídající využití generativní AI. HTML komentáře, typografické prvky nebo jednotný styl samy o sobě autorství AI neprokazují.
GTIG AI Threat Tracker: From Prompting to Autonomy
Report sleduje posun od jednotlivých dotazů k modelům zapojeným do delších a částečně automatizovaných pracovních postupů a upozorňuje také na rostoucí hodnotu AI infrastruktury samotné.
🆕 Co je nové
GTIG popisuje přechod od jednotlivých promptů k agentním pracovním postupům. V jednom incidentu pachatel během méně než šesti hodin připravil a spustil automatizovanou kampaň, která získala tisíce přístupových údajů. Roste také krádež API klíčů, konfigurací AI nástrojů a cloudového výpočetního výkonu.
🎯 Proč to stojí za pozornost
Pro analytickou práci může být důležitější sledovat rychlost a návaznost událostí než pouze hledat „AI malware“. Relevantními stopami mohou být kompromitované cloudové prostředky, agentní konfigurační soubory, nečekaná spotřeba, odcizené vývojářské tokeny a rychle opakované infrastrukturní operace.
⚠️ Omezení
Analýza vychází z Mandiant incident response, platformní telemetrie a sledování aktérů, ale kompletní podkladová data nejsou veřejná. GTIG zároveň výslovně uvádí, že dosud nepozoroval plně autonomní nasazování zero-day útoků v reálných kampaních.
Threat matrix: Mapping threats across cloud web applications
Nová matice propojuje webovou aplikaci, zdrojový kód, CI/CD, workload identity, runtime a další cloudové vrstvy do jednoho vyšetřovacího rámce.
🆕 Co je nové
Matice zasazuje cloudové webové aplikace a serverless služby do struktury MITRE ATT&CK. Propojuje aplikaci, repozitář, CI/CD, workload identity, runtime, konektory, úložiště a cloudové logy.
🎯 Proč to stojí za pozornost
Upozorňuje na chybu, kdy se kompromitace aplikace a cloudové platformy vyšetřují odděleně. Rámec může pomoci sestavit plán zajištění logů a prověřit změny zdrojového kódu, deployment credentials, tajemství v konfiguraci, zneužití konektorů, staging sloty nebo vypnutí logování.
⚠️ Omezení
Jde o veřejně dostupný a systematicky strukturovaný rámec, nikoliv empirickou studii četnosti útoků. Některé příklady vycházejí z Azure a je potřeba je převést na terminologii a logy konkrétního poskytovatele.
Detecting and countering misuse of AI: September 2026
Soubor případových studií ukazuje různé role, které mohou modely sehrávat při kybernetických operacích, podvodech, sledování osob a dalších formách zneužití.
🆕 Co je nové
Případové studie pokrývají odhalené a přerušené zneužívání AI od prosince 2025 do srpna 2026, včetně kybernetických operací, sledování osob, podvodů a pokusů o neoprávněnou extrakci schopností modelů.
🎯 Proč to stojí za pozornost
Materiál pomáhá rozlišovat běžné zrychlení práce pachatele od skutečně nové schopnosti. Praktické je mapovat konkrétní úlohu AI v řetězci: rešerši cíle, personalizaci záminky, překlad, úpravu kódu, třídění získaných dat nebo koordinaci dílčích činností.
⚠️ Omezení
Jde o primární platformní zdroj a současně vlastní zprávu poskytovatele o zneužívání jeho služby. Výběr případů, způsob detekce ani úplná telemetrie nejsou nezávisle reprodukovatelné. Atribuci je proto vhodné chápat jako hodnocení Anthropic, nikoliv soudní závěr.
Engineered Persuasion: Evaluating Personalized Pretexts in LLM-Generated Spear Phishing
Experiment se zaměřuje na to, jak kontextově správná personalizace ovlivňuje přesvědčivost spear-phishingových zpráv generovaných za pomoci jazykových modelů.
🆕 Co je nové
Ve zveřejněném experimentu hodnotilo 180 pracujících dospělých celkem 1 436 simulovaných phishingových zpráv. S každou další úrovní relevantní personalizace vzrostla pravděpodobnost deklarovaného kliknutí přibližně o 28 %. Nejúčinnější byly odkazy na konkrétního kolegu a společný projekt.
🎯 Proč to stojí za pozornost
Rizikem není pouze množství osobních údajů, ale jejich správné zasazení do pracovního kontextu. Při analýze incidentu proto dává smysl zjišťovat, odkud mohl pachatel znát role, vztahy, projekty a obvyklý způsob komunikace.
⚠️ Omezení
Jde o transparentně popsaný, ale zatím nerecenzovaný preprint. Výsledky vycházejí z deklarovaných reakcí v americkém průzkumu, nikoliv ze skutečných útoků. Nelze je automaticky převádět na české prostředí ani skutečnou míru kompromitace.
Digital Asset Investment Scams: 2023–2025 Threat Pattern & Trend Information
FinCEN nabízí regulatorní pohled na rozsah podezřelé finanční aktivity spojované s kryptoměnovými investičními podvody a na mechanismy přesunu a praní prostředků.
🆕 Co je nové
FinCEN vyhodnotil 33 904 hlášení finančních institucí se zhruba 12,7 miliardy USD v aktivitách spojovaných s podezřením na kryptoměnové investiční podvody. Popisuje také guarantee marketplaces, profesionální prače peněz, nastrčené společnosti, sítě bílých koní a převody stablecoinů.
🎯 Proč to stojí za pozornost
Příjemce první platby nemusí být organizátorem podvodu. Tok prostředků může pokračovat přes více účtů, směnáren, peněženek a profesionálních zprostředkovatelů. Včasná komunikace s finanční institucí nebo příslušnou FIU může být zásadní pro zadržení prostředků.
⚠️ Omezení
Jde o silný primární FIU zdroj založený na regulatorních hlášeních, nikoliv na pravomocně prokázaných trestných činech. Uváděná částka představuje podezřelou finanční aktivitu, nikoliv automaticky čistou škodu. Americké mechanismy sdílení dat nelze bez právní kontroly přenášet do ČR.
AI často nezavádí nový typ útoku – zrychluje a propojuje už známé postupy
Tento týden se napříč několika zdroji opakuje stejný motiv: technologicky známé útoky mohou díky automatizaci, personalizaci a rychlejšímu zpracování dat probíhat ve větším měřítku a s kratší dobou mezi prvním kontaktem a kompromitací.
Další aktuality a týdenní přehledy
Na hlavní stránce Aktualit DPP najdete nejnovější vydání i předchozí týdenní přehledy z oblasti kyberbezpečnosti, OSINT a internetových podvodů.
Zpět na Aktuality DPP →