Česko čelí každý rok tisícům kybernetických incidentů, od podvodných e-mailů a krádeží přihlašovacích údajů až po rozsáhlé ransomware a DDoS útoky. Zatímco některé míří na jednotlivce, jiné mohou během několika hodin ochromit provoz firem, úřadů nebo kritické infrastruktury. Jaké kybernetické hrozby dnes v ČR představují největší riziko, kdo bývá jejich terčem a jak poznat, že se vás útok může týkat?
Kybernetická bezpečnost dnes není pouze agendou IT oddělení, ale i vedení firmy. Podle Policie ČR tvoří trestná činnost páchaná v kyberprostoru přes 14 % veškeré evidované kriminality v zemi. Jen v roce 2025 směřovalo na české firmy, úřady, školy a nemocnice více než 1 700 kybernetických útoků, úspěšný byl zhruba každý dvacátý a škody přesáhly půl miliardy korun. Nejvyšší škoda z jediného útoku na firmu činila loni necelých šest milionů, letos policie vyšetřuje případ se škodou 24,5 milionu korun.
Těžiště útoku se přesunulo od softwaru k identitě
Podle reportu Sophos State of Ransomware 2026, který vychází z dat 2 158 organizací zasažených ransomwarem, poprvé za čtyři roky nejsou u těchto útoků hlavní vstupní branou zneužité zranitelnosti softwaru. Škodlivý e-mail (26 %) a phishing (24 %) tvoří polovinu incidentů, kompromitované přihlašovací údaje stojí za 23 % případů a zneužití zranitelnosti kleslo meziročně o 14 procentních bodů na 18 %. Celkem 79 % ransomwarových útoků začalo prací s identitou.
Důvod je ekonomický. Vyvinout spolehlivý exploit (zneužití zranitelnosti software) je drahé, zatímco funkční přihlašovací údaje stojí na černém trhu jednotky dolarů. Útočník se navíc nemusí nikam prolamovat, protože přijde předními dveřmi. Legitimní přihlášení totiž nelze tak snadno odhalit jako útok, takže neaktivuje antivirus ani firewall. Kdo investuje výhradně do kybernetického perimetru, "chrání dveře", kterými už většina útočníků nechodí.
Sociální inženýrství jako nejjednodušší cesta
Phishing je podvodná zpráva vydávající se za důvěryhodného odesílatele s cílem získat přihlašovací údaje, platbu nebo spuštění přílohy. Cílená varianta mířená na konkrétní osobu se nazývá spear phishing, telefonická vishing.
Účinnost těchto technik nestojí na technické důmyslnosti, ale na fyziologii lidského rozhodování. Pod časovým tlakem se člověk přepíná do rychlého uvažování, které nekontroluje detaily a spoléhá na vzory jako logo či oslovení jménem. Proto útočníci o to víc pracují ve svých podvodech s autoritou, naléhavostí a výjimkou z běžného postupu.
Prostor pro realizaci podvodu je díky samotným uživatelům značný. Podle průzkumu Mastercard 35 % lidí přiznalo, že kliklo na podezřelý odkaz, a hlavní bariérou bezpečného chování je pro 36 % prostá pohodlnost. Podobně benevolentní přístup lze ale vidět nejen u uživatelů ale i u podniků samotných. „Kybernetická bezpečnost často není vůbec prioritou a firmy na ni nechtějí vynakládat prostředky. To se samozřejmě změní ve chvíli, kdy u nich k nějakému incidentu dojde." dodává Adam Křiva ze společnosti PREMO.
Rozeznávat phishing se navíc nedá naučit stejně snadno jako seznam vizuálních znaků, protože generativní AI smazala výhodu, kterou obraně dávaly např. gramatické chyby. Scénář útoků však mívá určitá specifika. Zpráva přijde zpravidla nečekaně, tlačí na čas a žádá přihlášení, platbu nebo změnu údajů. Splní-li se všechny tři podmínky, nezbývá než zprávu ověřit jinou cestou a upozornit IT oddělení.
Podvody na účtárnu, spoofing a deepfake
Nejdražší varianta sociálního inženýrství však necílí na řadové uživatele, ale na zaměstnance s přístupem k firemním penězům. Útočník tiše sleduje e-mailovou komunikaci, naučí se firemní zvyklosti a teprve pak zasáhne. Např. pošle opravenou fakturu se změněným číslem účtu nebo
Zejména telefonní varianta podobných podvodů roste v ČR velmi rychle. Středočeská policie zaznamenala loni stoprocentní nárůst podvodů s legendou falešného bankéře. Zde je klíčové pochopit, že zobrazené telefonní číslo není ověřením volajícího. Jde jen o údaj přenášený v signalizaci hovoru, který lze podvrhnout (spoofing). Také hlas přestal být důkazem totožnosti, protože AI nástroje pro syntézu řeči potřebují jen desítky sekund nahrávky. Stačí, aby vám cizí člověk zavolal, vedl krátký rozhovor a dostatečný vzorek pro syntézu je na světě.
Obranou proto není technologie, ale samotný proces a vytvoření záměrných frikcí v místě, kde chyba znamená velké riziko. Např. spolupodpis, tedy pravidlo podpisu dvou osob u plateb nad stanovený limit, patří k nejúčinnějším opatřením vůbec a nestojí nic než rozhodnutí vedení.
Proč je šifrování až poslední krok
Ransomware je škodlivý kód, který zašifruje data a za jejich zpřístupnění požaduje výkupné. Standardem je přitom dnes hned dvojí vydírání. Data útočníci nejprve ukradnou a až pak zašifrují, takže zálohy chrání před výpadkem, nikoliv před zveřejněním.
To je ovšem popis finále, nikoliv útoku jako takového. Typický scénář má pět fází: 1) získání přístupu, 2) tichý průzkum sítě, 3) eskalace oprávnění, 4) exfiltrace dat a teprve nakonec 5) šifrování se smazáním záloh. Mezi průnikem a šifrováním uplynou často dny až týdny, což je okno, ve kterém lze útok ještě zastavit.
V modelu ransomware as a service navíc vývojáři pronajímají nástroj partnerům, kteří vedou samotné útoky. Skupiny jako Qilin či The Gentlemen tak zasahují i české cíle, nejčastěji výrobu, zdravotnictví a energetiku. Pro představu - celosvětově se data podařilo zašifrovat v 56 % útoků oproti loňským 50 % a průměrné náklady na obnovu vzrostly o 11 % na 1,7 milionu dolarů na incident. Výkupné tedy není hlavní položkou účtu, tou jsou prostoje, forenzní analýza a právní služby. Např. útok na benešovskou nemocnici z roku 2019 skončil škodou přes 59 milionů korun, přestože nemocnice odmítla zaplatit.
Zásadní je i propast v připravenosti u různých velikostí podniků. Organizace se 100 až 250 zaměstnanci zastavily útok před zašifrováním jen ve 34 % případů, zatímco podniky nad tři tisíce zaměstnanců ve 46 %. Menší firmy tak nesou větší část škod, protože jsou levnějším cílem.
Odpovědí je zde zálohování podle pravidla 3-2-1-1. Tzn. tři kopie dat, na dvou typech médií, jedna mimo lokalitu a jedna offline nebo v neměnitelném úložišti (nelze na nich data po určitou dobu měnit), protože útočník s doménovými právy smaže všechny zálohy dostupné po síti. Stejně důležité jako testovat existenci záloh je kontrolovat i jejich bezproblémovou obnovu.
Malware, únik dat a dodavatelský řetězec
V rámci škodlivého software dnes kralují infostealery, tedy programy odesílající z nakaženého počítače hesla, cookies a session tokeny. Ty následně končí na trzích s přístupy, odkud si je kupují ransomwarové skupiny. V praxi to vypadá tak, že nákaza soukromého notebooku o pár týdnů později vede k průniku do firemní VPN. Krádež tokenu ohrožuje i firmy s vícefaktorovým ověřením, protože token reprezentuje již ověřenou relaci a přihlašování obchází.
Druhou kategorií je samotný dodavatelský řetězec a jeho slabiny. NÚKIB letos referoval o operaci ruského státního aktéra, který zneužíval zranitelnost v routerech TP-Link a budoval z nich síť pro kyberšpionáž. Že nejde o ojedinělý případ, ukazuje jarní vlna infekcí botnetem REDHEBERG. Kvůli špatně zabezpečeným službám otevřeným směrem do Internetu evidoval úřad v ČR přes 3 200 kompromitovaných zařízení.
Řešení kybernetické bezpečnosti se proto nemůže zastavit na hranici podniku. Únik dat navíc spouští povinnosti podle GDPR včetně ohlášení úřadu zpravidla do 72 hodin, a před únikem nechrání zálohování dat, nýbrž šifrování a řízení přístupů.
DDoS útoky a zranitelný perimetr
V ČR slouží DDoS útoky hlavně jako o nástroj hacktivismu. NÚKIB evidoval v prvním čtvrtletí 2026 přes 70 incidentů, nejvíce za dvanáct měsíců, a hlavní příčinou byla lednová vlna DDoS útoků proruských skupin. Ve druhém čtvrtletí počet klesl na 44, což ukazuje na kampaňový charakter. DDoS obvykle neznamená ztrátu dat, obranu ale nelze postavit na vlastním serveru.
Typicky tento typ útoku zahltí službu takovým objemem požadavků, že přestane odpovídat legitimním uživatelům. Zahlcenou přípojku tak nevyřešíte zevnitř, podobně jako se ucpaná dálnice nedá vyřešit rozšířením garáže. Filtrovat provoz musí již poskytovatel konektivity nebo CDN.
Zranitelnosti sice klesly na čtvrté místo mezi příčinami, jejich dopad ale zůstává nadprůměrný. Útoky začínají nejčastěji na vystavených aplikacích a systémech (38 %), dále na uživatelských zařízeních (30 %), firewallech (21 %) a VPN (8 %). Rozdíl je v ceně následku. Začne-li útok zneužitím zranitelnosti firewallu, 59 % požadavků na výkupné přesahuje milion dolarů oproti 48 % u ostatních útoků, protože firewall stojí v privilegované pozici napříč infrastrukturou.
Prioritizace záplat by proto neměla vycházet jen ze skóre CVSS, ale hlavně z toho, co je dostupné z Internetu. NÚKIB navíc dodává, že nová generace modelů umělé inteligence zrychluje vyhledávání zranitelností, čímž se zkracuje čas mezi zveřejněním chyby a jejím zneužitím.
Jaká opatření proti hrozbám fungují
Nyní se podíváme krátce na to, jak podobným hrozbám vlastně lze čelit - postupovat budeme od opatření s dobrým poměrem cena / výkon k těm méně výhodným.
Levná opatření s největším efektem
Základem je dvoufaktorové ověření všude, kde se lze přihlásit zvenčí. Současně je fér ale říct, že 97 % obětí, u nichž byly příčinou kompromitované údaje, mělo vícefaktorové ověření nějakým způsobem zavedeno.
Důvod se skrývá v mezerách v pokrytí tímto opatřením. MFA bývá např. na cloudovém mailu, ale chybí třeba na VPN, na administraci firewallu či u starších aplikací. V 59 % řešených incidentů chybělo právě tam, kde na něm záleželo. U administrátorů má navíc smysl přejít na phishing-odolné metody (např. FIDO2 či passkeys), protože kód z SMS lze v reálném čase přeposlat útočníkovi.
Druhým opatřením je tzv. pravidlo čtyř očí u plateb a změn bankovních údajů, třetím pak funkční zálohy s otestovanou obnovou a čtvrtým průběžné školení kybernetické bezpečnosti doplněné phishingovým testem. Jednorázové roční proškolení má efekt řádově týdny a smyslem opakovaných testů není trestat chybující, ale vytvořit prostředí, kde zaměstnanec své kliknutí nahlásí okamžitě.
Středně velká investice a tři drahé mýty
Teprve po zvládnutí výše uvedeného dává smysl utrácet za technologie. Nejvyšší přínos má EDR nebo XDR na koncových stanicích a serverech, tedy nástroj sledující chování, nikoliv jen známé vzorky. Následuje segmentace sítě omezující boční pohyb útočníka, centrální sběr logů a řízení oprávnění podle principu nejnižšího nutného přístupu (v souladu se Zero Trust). Menším firmám bez vlastního bezpečnostního týmu se obvykle vyplatí monitoring nakoupit jako službu (MDR).
Malé podniky nejsou neviditelné
Častým mýtem je, že pokud jste malá firma, nikoho nezajímáte. Je potřeba si uvědomit, že útočníci používají automatizované nástroje a cíl nevybírají podle jména, ale podle zranitelnosti. Podobně mylná je představa, že pokud máte zálohy, ransomware vás neohrozí. Zálohy dostupné po síti útočník totiž smaže jako první a před zveřejněním dat neochrání vůbec. Pokud si myslíte, že tedy jednoduše zaplatíte a budete mít klid, i zde se pletete. Výkupné se k nákladům na obnovu přičítá, nenahrazuje je. Útočníci vám nic do firmy opravovat nepřijdou.
Zákon o kybernetické bezpečnosti a NIS2
Od 1. listopadu 2025 platí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který do českého práva přenáší směrnici NIS2 a nahrazuje úpravu z roku 2014. Zatímco dřívější zákon mířil na stovky subjektů, nový dopadá podle NÚKIB zhruba na 6 000 organizací. Povinné subjekty se měly ohlásit přes Portál NÚKIB do konce roku 2025, do února 2026 tak ale učinilo jen přes 4 800 z nich. Část regulovaných firem se tedy dosud nepřihlásila. Na zavedení bezpečnostních opatření běží lhůta jednoho roku od registrace, takže většině firem vyprší na přelomu let 2026 a 2027.
Rozsah povinností přitom určuje vyhláška č. 408/2025 Sb., která rozlišuje režim vyšších a nižších povinností. Sankce odpovídají unijnímu vzoru. V režimu vyšších povinností až 250 milionů korun nebo 2 % čistého celosvětového obratu, v nižším až 175 milionů nebo 1,4 %. Podstatnější je ovšem to, že zákon výslovně akcentuje odpovědnost statutárních orgánů. I firma, která do regulace nespadá, se tak s požadavky potká přes smlouvy se zákazníky.
S čím začít
Začněte tím, že si ujasníte, jaký výpadek nebo únik by firmu skutečně poškodil, a podle toho stanovte priority. Zaveďte dvoufaktorové ověření na všechny vzdálené přístupy včetně VPN a administrace firewallu apod. Nenechávejte ve svých opatřeních žádné zjevné mezery. Nastavte pravidlo dvou osob u plateb a zpětné volání při každé změně bankovního spojení dodavatele. Zálohujte podle pravidla 3-2-1-1 a dvakrát ročně nacvičte obnovu včetně měření času. Zjistěte, co máte otevřeně přístupné z Internetu, a přednostně tyto zranitelné body opravte. Zajistěte průběžné školení s phishingovým testem a definujte, komu se hlásí podezření. Teprve poté investujte do EDR či XDR, segmentace a monitoringu. A spadáte-li pod nový zákon, ověřte si datum registrace. Roční lhůta běží a u většiny subjektů se její konec blíží.
Zdroje
https://www.premocz.eu/co-je-kyberneticky-utok
https://www.chip.cz/bezpecnost/kyberkriminalita-cr-rust-firmy
https://portal.nukib.gov.cz/informacni-servis/aktualne/69b2c68863fa523bb001ae52
https://nvd.nist.gov/vuln-metrics/cvss
https://e-sbirka.gov.cz/sb/2025/264
https://www.sophos.com/en-us/blog/sophos-state-of-ransomware-2026
https://www.sophos.com/en-us/blog/2026-sophos-active-adversary-report
https://policie.gov.cz/clanek/bilance-kriminality-za-rok-2025-ve-strednich-cechach.aspx
https://policie.gov.cz/clanek/stredocesti-kriminaliste-ukoncili-vysetrovani-ransomware-utoku-na-benesovskou-nemocnici.aspx
https://nukib.gov.cz/cs/infoservis/aktuality/2399-vydali-jsme-ctvrtletni-prehled-hrozeb-nukib-q1-2026/
https://nukib.gov.cz/download/publikace/vyzkum/Ctvrtletni-prehled-hrozeb-pohledem-NUKIB-Q2-2026.pdf
https://nukib.gov.cz/cs/infoservis/aktuality/2372-ohlaseni-podle-noveho-zakona-o-kyberneticke-bezpecnosti-provedlo-pres-4800-organizaci/
https://portal.nukib.gov.cz/storage/uploads/2025/11/20/videoprenaska-nzkb_uid_691ee0e537a80.pdf