Mobilní aplikace mSpy byla v minulosti zneužívána ke stalkingu i špehování zaměstnanců. Dnes láka mimo jiné na odhalení nevěry partnera. Vlastníci původně běloruské aplikace jsou neznámí, navenek ji ale reprezentuje česká firma. 

K tomuto tématu jsme vydali podcast Odposlech:

MSpy je jednou z nejkontroverznějších sledovacích aplikací na světě. V minulosti se opakovaně dostávala do centra pozornosti kvůli zneužívání ke sledování romantických partnerů či zaměstnanců i rozsáhlým únikům dat. Firmu v roce 2011 založil běloruský podnikatel Andrej Šimanovič, jehož rodinné vazby sahají až do nejvyšších pater běloruského režimu.

Dnes jsou majitelé skrytí za složitou korporátní strukturou. Jak ale zjistila redakce investigace.cz, navenek mSpy reprezentuje mimo jiné česká firma Altercon Group s estonským majitelem Artjomem Jastrebovem.

Aplikace mSpy po nainstalování dokáže zaznamenávat polohu zařízení, zobrazovat textové zprávy, historii hovorů, fotografie, obsah některých komunikačních aplikací nebo aktivitu na sociálních sítích. V závislosti na typu zařízení a udělených oprávněních umožňuje také vzdálený přístup k dalším datům uloženým v telefonu.

Přečtěte si

Česká firma inkasovala 2,2 milionu korun od tvůrců špionážního systému Predator

Odhalíme nevěru

„Zjistěte, zda vám láme srdce… A žili šťastně až do smrti je jen pohádka. Stačí se podívat na statistiky. Zhruba 20 % manželských párů podvádí.“ Tak zní text jednoho z marketingových e-mailů mSpy. „A zatímco včerejší nevěry se provozovaly v levných motelech, dnes se odehrávají digitálně, přímo v telefonech. Nevhodné konverzace. Sexting. Videa. Je tam všechno,“ pokračuje e-mail z letošního léta.

Výrobce aplikace na svých stránkách poukazuje především na ochranu dětí, ovšem v mailingové kampani láká i na sledování partnerů. Ostatně už v roce 2013 podle vlastního průzkumu používalo 50 % uživatelů službu mSpy pro sledování partnerů.

Aplikace se opakovaně stala předmětem kritiky právě kvůli jejímu zneužívání ke sledování partnerů, expartnerů nebo zaměstnanců bez jejich vědomí. Bezpečnostní experti ji řadí mezi takzvaný stalkerware – od slova stalking –, tedy software, který může být zneužit k tajnému monitorování jiné osoby.

MSpy se v minulosti také opakovaně potýkala s úniky citlivých dat. K poslednímu známému incidentu došlo v roce 2024. Ze zákaznické podpory uniklo přibližně 2,4 milionu unikátních e-mailových adres, IP adresy a komunikace mezi zákazníky a podporou.

Tehdejší CEO firmy a zakladatel mSpy Andrej Šimanovič už v roce 2014 kritiku aplikace odmítl a řekl, že mSpy je pouze nástroj a odpovědnost za jeho zneužití nese uživatel, nikoli výrobce. Situaci přirovnal k výrobci zbraní, který podle něj také nenese odpovědnost za to, jak jeho produkt někdo použije.

Přečtěte si

Trojský adblocker: Rozšíření v Chromu se tváří prospěšně, ale mohou vás špehovat. Nikdo to neřeší

Šimanovič má podle běloruského investigativního média Buro Media rodinné vazby na Viktora Šejmana, jednoho z nejbližších spolupracovníků běloruského prezidenta Alexandra Lukašenka. V roce 2016 se oženil se Šejmanovou dcerou. Novináři popisují, že krátce po svatbě začal Šimanovič svého tchána doprovázet na zahraniční cesty.

Během své kariéry zastával Viktor Šejman několik nejvyšších státních funkcí, mimo jiné vedl prezidentskou administrativu a působil jako generální prokurátor nebo tajemník Bezpečnostní rady. Jeho jméno je zároveň spojováno s řadou kontroverzí, od podezření z podílu na represích vůči politickým odpůrcům až po netransparentní obchodní aktivity v Africe.

Navenek česká a estonská firma

Kdo v současnosti mSpy skutečně vlastní, není jasné. Firemní struktura končí u společností registrovaných v jurisdikcích, kde údaje o skutečných vlastnících nejsou veřejně dostupné. Veřejně za mSpy vystupují především dvě společnosti. Jedna je česká a druhá estonská.

Česká firma Altercon Group je uvedena jako kontaktní údaj na webu mSpy.com, estonská společnost na velmi podobném webu mSpy.org. Obě společnosti se objevují také v komunikaci se zákazníky, která je součástí výše zmiňovaného úniku dat z roku 2024. Redakce investigace.cz má k dispozici i screenshoty internetového bankovnictví – ty ukazují, že peníze od některých zákazníků putovaly na bankovní účty mSpy vedené v Praze.

Českou firmu také mSpy na svém webu jmenuje jako oficiálně licencovanou k poskytování jejich služeb. Česká republika je zároveň uvedena jako jurisdikce pro případné právní spory se zákazníky.

Přečtěte si

Česko povolilo vývoz špionážních technologií i do zemí, které dlouhodobě porušují lidská práva

Několik stížností na mSpy české úřady skutečně řeší, jak redakci investigace.cz sdělil mluvčí České obchodní inspekce František Kotrba.

„Co se týče obsahu podání, týkají se v souvislosti se službou mSpy například nemožnosti zrušení předplatného a vrácení zaplacené částky bezprostředně po uzavření smluvního vztahu, tedy v termínu do 14 dnů od uzavření smlouvy distančním způsobem, kdy má spotřebitel možnost využít svého práva na odstoupení od smlouvy,“ uvedl mluvčí.

Naopak policie a Úřad pro ochranu osobních údajů (ÚOOÚ) žádné problémy s mSpy neevidují. Podle tiskové mluvčí policie Jihomoravského kraje Andrey Cejnkové je používání tohoto stalkerwaru ke sledování dětí nebo zaměstnanců v pořádku, pokud sledující dodržuje zákony o ochraně osobních údajů (GDPR).

„Úřad pro ochranu osobních údajů neobdržel žádnou stížnost, přičemž ani jiný dozorový úřad členského státu mu neindikoval, že by řízení v této věci otevřel,“ sdělil redakci mluvčí ÚOOÚ Josef Štípský. „Jelikož se Úřad těmito věcmi dosud nezabýval, není možné zaujímat stanovisko pouze na základě obsahu internetových stránek, aniž by měl z úřední činnosti k dispozici další relevantní informace a skutková zjištění. Obsah internetových stránek totiž může obsahovat reklamní a marketingová sdělení, která se liší od popisu skutečného zpracování,“ doplnil.

Altercon Group: česká firma s estonským vlastníkem

Českou společnost s virtuálním sídlem Altercon Group založil v roce 2018 Artjom Jastrebov, dnes třiapadesátiletý občan Estonska, který ji také vlastní.

Podle účetních závěrek firmy se její roční tržby v posledních letech pohybovaly kolem jednoho milionu korun. Vzhledem k tomu, že mSpy podle vlastních tvrzení obsluhuje miliony uživatelů po celém světě, je možné, že Altercon Group představuje pouze jednu část širší firemní struktury, přes kterou služba funguje a přijímá platby.

Altercon Group figuruje také u dalších webů zaměřených na monitorování mobilních zařízení, například MyKidsGuard a Kidsecured.

Redakce investigace.cz oslovila společnost mSpy i jednatele české Altercon Group s otázkami týkajícími se vlastnictví, role české firmy a jejího vztahu k dalším společnostem. Do vydání článku nikdo z oslovených neodpověděl.

Přečtěte si

Surveillance Secrets: Tajný archiv celosvětového sledování skrze telefonní sítě

Nejasný vlastník

Zahraniční média, například Netzpolitik a TechCrunch, analyzovala data uniklá v roce 2024. Zjistila, že za společností by mohla stát ukrajinská Brainstack, jejíž zaměstnanci se podle dat starali o zákazníky, odpovídali na jejich otázky nebo rušili předplatné.

Tvůrce aplikace Andrej Šimanovič po prvním velkém úniku dat v roce 2015 přestal jako ředitel mSpy veřejně vystupovat. Do roku 2017 byla doména webu mSpy registrována na běloruského podnikatele Pavla Daletského, který pro mSpy pracoval už od jejího založení. Postupně ale zmizely také informace o vlastníkovi domény.

Dalším vodítkem je ochranná známka značky mSpy. Do roku 2023 ji vlastnila seychelská společnost BITEX Group Ltd. Podle dokumentů ze seychelského obchodního rejstříku patřila tato firma od roku 2010 právě Pavlu Daletskému.

BITEX Group Ltd přepsala práva na používání značky na firmu Virtuoso Holding se sídlem ve Spojených arabských emirátech. Jako nová majitelka mSpy byla jmenována Viktorija Adamčuk. Jak zjistili novináři z Netzpolitik, tato žena pracuje jako zubařka v západní Ukrajině. Když ji kontaktovali, nechtěla se s nimi o mSpy bavit.

Autorky článku: Šárka Tomečková a Barbora Šturmová

The post „Zjistěte, zda vám láme srdce.“ Kontroverzní stalkerware se zakladatelem spjatým s Lukašenkem má firmu a účty v Praze appeared first on investigace.cz.

Osobní data uživatelů internetu jsou komoditou 21. století. Výzkumníci ze skupiny Q Continuum popsali, že 287 populárních rozšíření prohlížeče Chrome sbírá a prodává citlivé údaje. Investigace.cz zjistila, že i přes riziko zneužití evropské dozorové úřady toto porušování soukromí dosud neřešily.

Souboj mezi běžným smrtelníkem a marketingovými odděleními veškerých firem je nekonečný. Reklamě nelze uniknout na ulicích, v televizi, v rádiu, ale ani na internetu. Právě webové rozhraní je jedním z mála prostorů, kde lze proti reklamám alespoň částečně bojovat. I proto vzniká nespočet adblockerů neboli rozšíření pro webové prohlížeče, které mají reklamy blokovat. Většinou jsou i zdarma. 

Jenže základní poučka kyberbezpečnosti praví, že na internetu není zdarma nic, jen ne vždy víte, čím platíte. A jak ukazuje studie výzkumníků ze skupiny Q Continuum, adblocker může být větším problémem než samotná reklama. Netýká se to pouze blokátorů reklam – jde také například o AI asistenty nebo nástroje pro nahrávání obrazovky. Jakékoli rozšíření v prohlížeči totiž může získat přístup k hromadě citlivých osobních informací a bez vědomí uživatele je začít shromažďovat a později i prodávat dalším stranám.

Výzkumníci z Q Continuum, kteří si přáli zůstat v anonymitě, letos zveřejnili studii, v níž zkoumali 32 tisíc nejpopulárnějších rozšíření ve webovém obchodě prohlížeče Chrome od společnosti Google. A našli 287 takových, které označili za špionážní.

Ve své zprávě uvádějí, že tato rozšíření se často tváří jako neškodné doplňky, jako třeba právě blokátor reklamy nebo měnič tapety, ale na pozadí běží proces exfiltrace, tedy vytahování dat, které pak provozovatelé rozšíření prodávají dál. Podle výzkumu tyto doplňky v prohlížeči odesílaly provozovatelům historii prohlížení neboli weby, které uživatel navštívil. 

Přečtěte si

Špionážní systém Webloc sleduje 500 milionů lidí přes mobilní reklamy. Používá ho i Maďarsko

Data nad zlato

Osobní informace mají pro takzvané data brokery, tedy firmy, které se věnují získávání a prodávání dat uživatelů webu nebo aplikací, v současné době hodnotu snad i větší než zlato.

Ze získaných informací lze následně poskládat profil určité osoby zahrnující pohlaví, věk, místo pobytu, zaměstnání či podnikání, rodinný stav, zájmy a koníčky. „Takový profil, který lze z dat získat, pak může být využit k tomu, aby na uživatele mohly firmy zacílit svou reklamu,“ vysvětluje redakci investigace.cz Robert Šuman, vedoucí pražské výzkumné a vývojové pobočky společnosti Eset. 

Eset je slovenská kyberbezpečnostní firma, která se zaměřuje na ochranu počítačů před viry. Kromě toho se v rámci kyberbezpečnostní prevence věnuje i tématům ochrany soukromí a osobních údajů na internetu. 

Výčet informací, které lze o uživatelích internetu nashromáždit, ale nekončí jen těmi „banálními“ jako zájmy nebo koníčky. Není výjimkou, že se získávají informace i o zdravotním stavu, sexuální orientaci, genderové identitě nebo třeba náboženském vyznání. 

Ohroženo mohlo být 37 milionů lidí 

Chrome od společnosti Google je s obrovským náskokem nejpoužívanějším prohlížečem na světě, v dubnu 2026 mu připadal 68% podíl trhu. Druhé Safari mělo 17 % a třetí byl prohlížeč Edge od Microsoftu s pěti a půl procenty.

Podle propočtů skupiny Q Continuum tak mohl únik dat zasáhnout víc než 37 milionů uživatelů.

Redakce oslovila české zastoupení společnosti Google s dotazem, jak se s informacemi od výzkumníků vypořádalo. „Všechna rozšíření pro prohlížeč Chrome zmíněná ve zprávě jsme důkladně prověřili. U 124 z nich jsme již zasáhli – buď jsme je zcela odstranili, nebo jsme vývojáře upozornili na nutnost zjednat nápravu. U zbývajících 163 rozšíření kontrola ukázala, že žádná pravidla neporušují,“ sdělila redakci manažerka komunikace společnosti Google pro Česko Alžběta Houzarová. 

Špioni pro eBay

Výzkumníci z Q Continuum provedli analýzu toho, kolika uživatelům mohly osobní údaje uniknout a na jaké servery zmíněná rozšíření odesílala data. Jako hlavního aktéra, který těží z takto získaných dat, identifikovali firmu Similarweb. 

Ta se profiluje jako platforma pro analyzování webových stránek, zaměřené třeba na návštěvnost, ale i chování uživatelů. Před dvěma lety si otevřela svou tehdy třetí pobočku v Praze.

Přečtěte si

Špionážní technika z Krnova pro řeckou Intellexu

Společnost Similarweb podle výzkumníků postavila svůj obchodní model na sběru dat prostřednictvím nevinně působících rozšíření a následném prodeji těchto dat svým předplatitelům, mimo jiné velkým společnostem jako eBay, Amazon nebo Booking.com.

Jedná se nejen o mateřskou firmu, ale i v minulosti kritizovanou společnost Big Star Labs, která je podle Q Continuum „prodlouženou rukou“ firmy Similarweb. Již v roce 2018 jiní výzkumníci popsali stejný problém – rozšíření v prohlížeči využívala Big Star Labs jako otevřené dveře k osobním údajům uživatelů. Velký počet uživatelů zasáhly i úniky dat směrem k dalším platformám zaměřeným na jejich prodej, například Butterfly Effect, Curly Doggo nebo Offidocs.

Similarweb na sadu otázek, jak nakládají s daty získávanými z těchto rozšíření, do uzávěrky článku nereagoval.

Sledovali jste porno? Víme o tom

Řekněme, že si vyhledáte obsah pro dospělé. Pokud máte zapnuté některé z problematických rozšíření, to může o vašich preferencích nebo času, který na webech trávíte, na pozadí sbírat data (nutno dodat, že rozšíření mohou fungovat i v anonymním okně).

Právě takový způsob „špehování“ ze strany problematických rozšíření popsala investigaci.cz skupina Q Continuum.

Profitovat se z těchto dat dá dvojím způsobem. Marketingové firmy se naučily prodávat vysoce personalizovanou reklamu. Hledali jste na Googlu, kde je nejbližší Lidl? O několik minut později se na nesouvisejícím webu, třeba tam, kde čtete zprávy, zjeví aktuální leták obchodu. To je ten méně škodlivý způsob využití vašich dat.

Pak je tady ale šedá zóna, která se může přelít až do porušení zákona. Můžete se stát snazším cílem pro podvodníky nebo například terčem personalizovaného phishingového útoku. Data, která lze volně zakoupit na webu, ale používají i výrobci spywaru, ať už k vývoji těchto nástrojů, nebo přímo k identifikování uživatelů a infikování jejich zařízení.

„Pokud se data sbírají delší dobu a mají detailnější charakter, lze následně provést takzvanou Big Data analýzu, na základě které může zadavatel získat velmi osobní a důvěrné informace. Kromě marketingových účelů mohou být data následně zneužita i k vydírání, zvlášť u politicky a ekonomicky významných subjektů,“ sděluje redakci expert firmy Eset Robert Šuman.

Co s daty dělá Čína, nikdo neví

U některých rozšíření identifikovaných jako špionážní ovšem výzkumníci nedokázali určit, jakým způsobem byla sebraná data nakonec využita. To se týkalo hlavně rozšíření od čínských společností jako Alibaba (majitel Aliexpressu) nebo ByteDance (majitel TikToku). 

V případě Alibaby se jednalo například o vyhledávač podle obrázků, zatímco ByteDance provozoval třeba záznam obrazovky nebo AI asistenta. 

Více o tématu čínských firem si přečtete zde: 

Přečtěte si

Čína, kam až dohlédneme. Jak české státní instituce používají rizikové čínské technologie

Skupina Q Continuum sice zjistila, že posbíraná data putují na servery v Číně, ale za oponu komunistického státu už nedohlédla. V odpovědi na dotazy redakce skupina naznačila, že čínské firmy mohou uživatele sledovat pro svou vlastní potřebu. 

Rozdíl mezi čínskými a „západními“ rozšířeními je i ve způsobu sběru a využití dat. Čínská špionážní rozšíření se podle výzkumníků zaměřují na jednotlivce, zatímco rozšíření související s analytickými společnostmi jako Similarweb shromažďují údaje o prohlížení ve velkém měřítku, aby data vyčistila a následně prodala komukoli, kdo si zakoupí předplatné.

Důvodem, proč se výzkumníci a autoři zprávy rozhodli zůstat v anonymitě, jsou právě čínští hráči. „V případě Similarwebu jsme zvažovali odhalení své identity, ale zapojení čínských aktérů naznačovalo možnou činnost sponzorovanou státem, což nás vedlo k větší opatrnosti,“ vysvětlila skupina redakci investigace.cz.

Více světla se pokusil do čínské problematiky vnést Robert Šuman z Esetu. „Problémem u aplikací se sídlem v Číně je skutečnost, že tyto společnosti pracují s daty uživatelů na základě tamní legislativy. I proto nevíme, jak s nimi tyto společnosti dále nakládají. Data uživatelů nemusejí být zpracovávána v souladu s evropskými principy a standardy zpracování dat,“ míní expert.

Přečtěte si

Když vám zavolá klon: Anatomie miliardového byznysu s AI podvody

Kdo to kontroluje? Nikdo

V rámci Evropské unie existuje hned několik orgánů, které by se měly věnovat ochraně osobních údajů uživatelů internetu, v realitě však tuto funkci z různých důvodů neplní. 

Českým regulatorním orgánem pro dodržování celoevropského nařízení GDPR (General Data Protection Regulation) je Úřad pro ochranu osobních údajů (ÚOOÚ). Ten ale nemá kompetence vyšetřovat případy, kdy se pochybení dopustily nadnárodní firmy, jako je třeba Google – protože má podobně jako další velké technologické firmy své evropské sídlo v Irsku. 

„ÚOOÚ neeviduje podnět ani stížnost související se sběrem a prodejem osobních údajů uživatelů prostřednictvím rozšíření webového prohlížeče Chrome. Zároveň však platí procedura one stop shop (jednoho správního místa), takže k řešení takové stížnosti (či podnětu) by byl příslušný irský dozorový úřad,“ odepsal investigaci.cz Roman Štípský, ředitel kanceláře předsedy ÚOOÚ. 

Přečtěte si

Když vám zavolá klon: Anatomie miliardového byznysu s AI podvody

Irský dozorový úřad neboli Data Protection Commission (DPC) se ale s podobným případem ještě nesetkal. V odpovědi investigaci.cz tvrdí, že jelikož na tento problém nedostali stížnost, nemají prostředky se mu věnovat.

„Touto otázkou jsme se dosud příliš podrobně nezabývali. Pokud jde o stanovení priorit v oblastech, kterým se v daném okamžiku věnujeme, vzhledem k tomu, že stejně jako u všech dozorových orgánů nejsou ani naše zdroje neomezené, se často řídíme podněty, které nám předkládají stěžovatelé. Naše týmy prohledaly celou naši databázi stížností a v této věci jsme od jednotlivců žádné stížnosti neobdrželi,“ odpovídá na otázku redakce zástupce komisaře DPC Graham Doyle. 

„Pokud se nakonec touto záležitostí budeme zabývat, samozřejmě se s vámi znovu spojíme.“

Dozorovým orgánem Evropské unie je Evropský sbor pro ochranu osobních údajů (European Data Protection Board, EDPB). Pravomoc tohoto centrálního úřadu je však dost limitovaná. Z odpovědi sekretariátu úřadu investigaci.cz vyplývá, že mohou vydávat obecné pokyny, poskytovat poradenství Evropské komisi a přijímat rozhodnutí a stanoviska o „soudržnosti“, pokud se vede přeshraniční spor. 

„Upozorňujeme, že pravomoc vydávat obecné pokyny nelze chápat jako mechanismus, kterým by EDPB vykonával dohled nad tím, jak orgány pro ochranu údajů řeší jednotlivé případy,” píše úřad v odpovědi redakci.

Evropský úřad dodává, že pokud občan EU není s reakcí orgánu pro ochranu údajů spokojen, může zahájit i soudní řízení u Soudního dvora EU. 

„Mějte však na paměti, že orgány pro ochranu údajů denně přijímají velké množství žádostí, a proto nejsou vždy schopny na vaši žádost odpovědět v krátké době,“ uzavírá EDPB.

Autor textu: Dávid Pásztor

The post Trojský adblocker: Rozšíření v Chromu se tváří prospěšně, ale mohou vás špehovat. Nikdo to neřeší appeared first on investigace.cz.

Sedíte v uzavřeném salónku oblíbené kavárny. S obchodním partnerem projednáváte citlivý byznys. Pokud by se o obsahu schůzky dozvěděla konkurence, mohla by vás předběhnout a desítky milionů korun by byly v tahu. Jednání bylo úspěšné a vy se spokojeně vracíte domů. Ještě v taxíku vám ale volá šéf. Někdo konkurenci vyzradil obsah celého vašeho rozhovoru. Kontrakt je ztracený. Koukáte do telefonu a nechápete. Jak je možné, že se to dozvěděli?

Tento text si můžete poslechnout i v audioverzi. Audiočlánky pro vás načítá Renata Klusáková.
Audioverze vybraných článků investigace.cz odebírejte zde.

Možná za to celé může technologie bluetooth a člověk sedící ve vedlejší místnosti jen pár metrů od vás. Zneužil totiž jednu z bezpečnostních chyb ve vašich sluchátkách, připojil se vám na dálku k telefonu a celý rozhovor odposlechl.

Na konci loňského roku princip takového útoku předvedli na živo výzkumníci Dennis Heinze a Frieder Steinmetz z německé bezpečnostní firmy ERNW na hackerské konferenci 39C3 v Hamburku.

Útok vypadal přibližně takto: útočník sedí v místnosti s notebookem. Pátrá po signálech bluetooth v okolí a najde sluchátka oběti. Připojí se k nim bez jakéhokoli upozornění a pomocí příkazů protokolu RACE identifikuje typ čipu a verzi softwaru. Z paměti sluchátek vytáhne šifrovací klíč, kterým jsou sluchátka spárována s telefonem oběti. S tímto klíčem se útočník dokáže vydávat za majitelova sluchátka. Telefon oběti nepozná rozdíl. Věří, že komunikuje se sluchátky majitele.

V tu chvíli má útočník přístup ke všemu, co sluchátka normálně dělají. Může odposlouchávat hovory. Získat telefonní číslo oběti a seznam kontaktů. Spustit hlasového asistenta Siri nebo Google Assistant, aniž oběť cokoli uslyší. Může iniciovat skryté hovory. Na konferenci 39C3 výzkumníci demonstrovali převzetí whatsappu nebo přístupy k účtu na Amazonu. Nástroje k provedení útoku ERNW zveřejnili na GitHubu. K jeho spuštění stačí obyčejný notebook.

Jádrem problému je chyba v čipech tchajwanské firmy Airoha Technology, která umožňuje číst v libovolné části paměti zařízení a zapisovat tam, a to včetně té části, kde jsou uložena citlivá data a šifrovací klíče. Není k tomu třeba heslo ani žádné ověření. Kdokoli se k zařízení připojí, získá plný přístup.

Výzkumníci na tuto chybu upozornili již v březnu loňského roku. Airoha zareagovala relativně rychle a vydala bezpečnostní záplaty. Jako větší problém se ale ukázali výrobci sluchátek, kteří buď nekomunikovali, nebo záplaty vydávali pozdě. Přitom čipy Airoha využívají některá sluchátka značek Sony, Bose, JBL nebo Marshall. Nicméně většina společností postupně chybu opravila. Pokud tedy uživatel pravidelně aktualizuje sluchátka, měl by být v bezpečí.

Deset sekund stačí ke spárování s cizími sluchátky

Aby toho nebylo málo, 15. ledna 2026 se objevila zpráva o další bezpečnostní chybě. Tentokrát spojené nikoli s výrobcem čipu, ale s technologií Google Fast Pair. Jde o systém, který zjednodušuje párování bluetooth sluchátek s telefonem s Androidem – přiblížíte sluchátka a na obrazovce se objeví nabídka ke spárování. Zprávu zveřejnil tým z belgické KU Leuven a jeho výzkumníci Sayon Duttagupta a Seppe Wyns.

Google Fast Pair výslovně požaduje, aby sluchátka přijímala požadavky na párování jen v párovacím režimu, což je typicky prvních pár minut po vybalení z krabice a první aktivaci nebo po aktivním zásahu uživatele. Výzkumníci zjistili, že mnoho výrobců tento postup nedodržuje. Sluchátka přijmou párovací požadavek kdykoli a od kohokoli.

Útočníkovi stačí notebook nebo třeba počítač Raspberry Pi za pár stovek korun. Najde sluchátka s Fast Pair, pošle párovací požadavek a sluchátka ho přijmou místo toho, aby ho odmítla. Za deset sekund je spárován na vzdálenost až čtrnáct metrů, a to bez jakékoli interakce ze strany oběti. S úspěšným spárováním přichází plná kontrola: přehrávání zvuku, nahrávání přes mikrofon, změna nastavení.

Odposlech ale není vše. Řada sluchátek podporuje síť Google Find Hub – systém, který pomáhá najít ztracená zařízení pomocí okolních telefonů s Androidem. Výzkumníci zjistili, že pokud sluchátka nebyla nikdy spárována s telefonem s Androidem, útočník je může zaregistrovat do vlastního účtu Google. Od toho okamžiku sleduje pohyb oběti prostřednictvím sítě dalších zařízení s Androidem. Oběť sice může po hodinách nebo dnech dostat varování o nežádoucím sledování, ale systém zobrazí jako zdroj její vlastní zařízení. Většina lidí to odmítne jako chybu. “Riziko je trvalé sledování, nikoli jednorázový incident v blízkosti. Podobně jako když vidíte své AirTagy na iPhonu,” potvrdil investigaci.cz Sayon Duttagupta, jeden z výzkumníků, kteří se na objevu zranitelnosti podíleli. Z dvaceti pěti testovaných zařízení od šestnácti výrobců bylo sedmnáct zranitelných, tedy šedesát osm procent.

Google klasifikoval zranitelnost jako kritickou a výzkumníkům udělil odměnu patnáct tisíc dolarů (tedy přibližně 300 000 korun).

Bluetooth mluví dánsky

To, co vypadá jako hypotetický scénář, se nebezpečně zhmotnilo v Dánsku. Dne 16. ledna 2026, tedy pouze jeden den po zveřejnění studie, informovala vojenská rozvědka FE (Forsvarets Efterretningstjeneste) dánské úřady o riziku odposlechu přes bluetooth. Následující den IT oddělení Národní policie rozeslalo svým příslušníkům po celé zemi interní zprávu, která jim doporučovala okamžitě deaktivovat bluetooth na všech zařízeních – mobilním telefonu, tabletu i počítači. Služebním i soukromém. Odpojit handsfree soupravu v hlídkovém autě. Přestat používat bezdrátová sluchátka. Do odvolání.

Zpráva nesla předmět “Slå Bluetooth fra” — Vypněte bluetooth. Výslovně varovala před rizikem odposlechu prostřednictvím „Bluetooth-hovedtelefoner og AirPods“. Příjemci nebyli jen policisté. Směrnice pokrývala úřady, agentury a policejní obvody.

O dva dny později to zveřejnil dánský server Radar. Podle něj některé okrsky zavedly úplný zákaz. Jiné směrnici interpretovaly volněji. Napříč celou zemí ale začali technici vytahovat z šuplíků drátová sluchátka a IT oddělení urychlovala nákupy kabelových alternativ. FE na dotaz serveru Radar odpověděla, že šlo prý o “pouhé přeposlání upozornění z webu whisperpair.eu”. Nejedná se o nezávislá hodnocení FE, zdůraznila rozvědka.

Anonymní policejní zdroje ale serveru Radar řekly něco jiného. Takto se prý “nepanikařilo” jen kvůli akademickému výzkumu a za směrnicí stojí “zcela konkrétní incident nebo podezření”.

Navíc, jak serveru investigace.cz potvrdil přímo Sayon Duttagupta, vedoucí výzkumník projektu WhisperPair z Katolické univerzity v Leuvenu, akademici neměli o reakci dánské tajné služby tušení. “Žádná dánská zpravodajská služba ani vládní agentura nás v tomto smyslu nekontaktovala,” řekl. Před rozhodnutím FE je ale oslovil člověk, který se představil jako pracovník dánského parlamentu, s technickými dotazy k fungování WhisperPair. “Odpověděli jsme mu e-mailem. Nedostali jsme žádnou zpětnou vazbu ani náznaky, že informace od nás budou použity jako formální zdůvodnění politického opatření.”

Dánská vojenská rozvědka FE ve své směrnici na vypnutí bluetooth výslovně varovala i před Apple AirPods, přestože se na ně nevztahují objevené zranitelnosti Google Fast Pair ani čipů Airoha. Výzkumníci to potvrdili. Plošný zákaz včetně zařízení od Applu vysvětluje pragmatický přístup institucionálních politik, pro které je snazší přijmout konzervativní formulaci “všechna bluetooth zařízení” než zavádět technologicky specifická omezení.

Máme se bát?

Praktické riziko odposlechů přes bluetooth závisí na tom, kdo jste. Všechny zmíněné útoky vyžadují fyzickou blízkost — do deseti až čtrnácti metrů. Nástroje pro jejich provedení jsou ale veřejně dostupné na GitHubu a k útoku stačí běžný notebook.

Pro běžného spotřebitele je riziko nízké. Cílený odposlech náhodného kolemjdoucího nemá ekonomický smysl, existují jednodušší cesty — phishing, malware, napadení Wi-Fi.

Pro novináře, aktivisty nebo obchodní manažery je riziko střední. Útočník, který se opakovaně pohybuje ve vaší blízkosti — kolega, účastník konference, stálý návštěvník oblíbené kavárny —, může odposlech provést nenápadně.

Pro státní úředníky, diplomaty a zpravodajské důstojníky je riziko vysoké. Státy mají zdroje, trpělivost i schopnost zajistit fyzickou blízkost. Dánský utajený „konkrétní incident“ do tohoto scénáře přesně zapadá. Nicméně samotní výzkumníci z Leuvenu nemají žádnou informaci o tom, že by chyba byla již využita.

Chránit lidi, ne prostor

Dánské opatření překvapuje ještě jednou věcí. To, že je zařízení s bluetooth určité bezpečnostní riziko samo o sobě, jsme již viděli. Je proto zcela logické, že jeho vypnutí vyžadují bezpečnostní protokoly celé řady bezpečnostních složek. Vždy se to ale týká jeho používání v určitém prostoru.

Americké SCIF klasifikují bluetooth jako vysoce rizikové a říkají, že pro jejich provozování v zabezpečených prostorech musí být riziko sníženo na nízké. Jak, to ponechávají na konkrétních situacích. Český NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) vyžaduje deaktivaci bezdrátových technologií v utajovaných prostorách na všech stupních utajení včetně nejnižšího. Britská policie doporučuje vypnout bluetooth při protiteroristických operacích.

Jakmile ale člověk opustí zabezpečený prostor, může svá zařízení v klidu používat. V případě Dánska ale poprvé vidíme, že se zákaz vztahuje na jakékoli používání bluetooth při práci — ať v autě, doma, nebo na cestách. Žádná jiná země NATO ani Evropské unie podobné nařízení nemá.

A ke konci února 2026 v Dánsku směrnice stále platí.

Autor textu: Josef Šlerka

The post I sluchátka můžou poslouchat. Technologie bluetooth vás může připravit o bezpečí i o miliony appeared first on investigace.cz.

Technologie pro klonování hlasu či vytváření falešných videí jsou dnes dostupné téměř komukoli. S expertem na kybernetickou bezpečnost doc. Kamilem Malinkou z brněnské Fakulty informačních technologií VUT jsme hovořili o nové podobě zločinů, kterou technologie umožňují – od šikany přes vydírání a krádeže až po falšování důkazů u soudu. Můžeme se vůbec bránit? A umíme to?

Jsme v situaci, kdy si i laik s minimálním úsilím může vyrobit kopii cizího hlasu nebo falešný obraz. Existují na to komerční služby i open-source software, přicházejí nástroje jako Sora nebo Veo. S jakými typy útoků se dnes můžeme setkat a jakou kreativitu při využívání těchto technologií kyberzločinci prokazují?

Extrémně velkou. Útočníci tyto technologie ovládli velmi rychle. V kontextu deepfakes byl nejrychlejší pornoprůmysl – ještě před rokem či dvěma tvořily 98 % takového obsahu pornografické materiály, do kterých byly vkládány obličeje známých osobností.

Jak se technologie zlepšovala, možnosti útoků se rozšířily. Dnes vidíme útoky na biometrické systémy (systémy, které ověřují unikátní charakteristiky jako otisk prstu nebo tvar obličeje, pozn. red.), tvorbu materiálů pro manipulaci veřejného mínění, krádeže identity i takzvaný vishing. V kombinaci s ukradenou občankou a virtuální identitou se útočníci dokáží dostat do peněžních systémů. Škála je široká – od finančních podvodů až po manipulaci s důkazy či nenávistnou propagandu.

Zmínil jste vishing. Můžete vysvětlit, o co jde a jak takový útok vypadá?

Vishing je zkratka pro „voice phishing“. Klasický phishing známe z e-mailů, kdy se útočník vydává třeba za správce IT nebo banku a snaží se vás přimět kliknout na falešný odkaz. Vishing je to samé, ale přes telefon.

Někdo vám zavolá, vydává se za vašeho bankéře a tvrdí například: „Kradou vám peníze, musíme je rychle převést na zabezpečený účet.“ Útočníci využívají různé manipulativní techniky, včetně podvržení telefonního čísla, takže to na displeji vypadá, že opravdu volá banka. Deepfakes to posunuly o úroveň výš – volající už může znít přesně jako váš bankéř, nebo dokonce jako vaše manželka.

Přečtěte si

Když vám zavolá klon: Anatomie miliardového byznysu s AI podvody

Jak složité je dnes pro útočníka „naklonovat“ hlas mého bankéře nebo někoho blízkého?

Je to už poměrně jednoduché. Ještě před čtyřmi či pěti lety jsme potřebovali zhruba dvacet minut kvalitní nahrávky. Dnes, díky novým modelům, nám stačí minuty, někdy se dá pracovat i s třiceti vteřinami. Pokud mám více než minutu záznamu, vygenerovaný deepfake je velmi kvalitní.

Získat takový vzorek není složité. Stačí, když vás zastavím na ulici, budu mít v kapse telefon, který bude náš rozhovor nahrávat, a zeptám se vás na cestu k nejbližší hospodě. Za chvilku mám potřebných 30 vteřin. Ale to je velmi paranoidní scénář, útočník bude volit méně náročnou cestu. Stejně tak lze použít jakékoli video z YouTube nebo veřejnou prezentaci.

Je už technicky možné vést s takovým „klonem“ plynulý rozhovor? V textu o nové podobě kyberzločinů jsem použil příběh ženy, které volala vyděšená dcera, ale pak převzal telefon „právník“. Proč v hovoru nepokračuje ta dcera?

To závisí na použité technologii. U metody „text-to-speech“ (převod textu na řeč) útočník píše text, který model následně vysloví hlasem oběti. Dnes už umíme měnit dynamiku hlasu a přidávat emoce, ale generování trvá pár vteřin. Pro plynulý rozhovor je to komplikované. Proto útočníci raději využijí krátkou předpřipravenou nahrávku s „legendou“ a pak hovor předají živému člověku – údajnému právníkovi nebo policistovi.

Druhým způsobem je „voice conversion“ (převod hlasu na hlas) v reálném čase. Dostupné modely ale zatím nejsou tak kvalitní a rychlé, aby se daly seriózně použít pro sofistikované útoky. Odhaduji však, že je to otázka dvou až tří let, než budeme mít rozumně dostupné kvalitní systémy pro konverzi v reálném čase. Pak bude možné vést diskuzi přímo s falešným hlasem. Prostě si budete s hlasovým klonem přímo povídat. Zajímavé je, že podobnou technologii pro výměny obličejů v reálném čase na videu už máme k dispozici několik let i formou otevřených a veřejně přístupných modelů.

Zmiňoval jste také biometriku a její obcházení. Jaká je situace v této oblasti?

Biometrický systém vás ověřuje na základě unikátních charakteristik – otisku prstu, oční duhovky nebo tvaru obličeje. Systém porovná váš aktuální vzorek s uloženou šablonou. Problém deepfakes spočívá v tom, že vytváříme existující obličej oběti a ten má tedy stejné charakteristiky a může být zneužitý ke zločinu. Pro biometrický systém je tedy deepfake často nerozeznatelný od originálu.

Proti tomu se samozřejmě systémy brání, často obsahují například takzvanou „kontrolu živosti“ (liveness check). Systém vás vyzve, abyste se podívali do rohu nebo zamrkali, což s obyčejnou fotkou neuděláte. Jenže moderní deepfakes dokážou v reálném čase animovat tvář tak, že na tyto výzvy zareagujete. Hlasová i obličejová autentizace se tak stává zranitelná. Kde naopak nevidíme smysluplné možnosti, je zneužití otisků prstů – tam syntéza nepomůže.

Znamená to, že by lidé měli v mobilech raději zadávat PIN než používat odemykání obličejem?

Je určitě vhodné se zamyslet nad tím, co používáte za bezpečnostní opatření. Hlasovou autentizaci lze dnes velmi dobře obejít, obličejovou také. Výjimkou jsou například zařízení od Applu, která při FaceID neměří jen obraz, ale i hloubku obličeje, což je s displejem zobrazujícím deepfake těžké ošálit. Většinou totiž potřebujete nějaké jiné zařízení pro zobrazení deepfake. Uživatelé ostatních zařízení by měli zvážit přidání PINu nebo hesla. Obecně platí: používejme vícefaktorovou autentizaci.

To samé platí u telefonátů. Pokud vám volá dcera a tvrdí, že má průšvih, zeptejte se jí na něco, co ví jen ona – třeba jak se jmenuje váš pes. Útočník to nebude vědět.

Biometrika nás obklopuje i jinde, třeba na letištích. Setkáváme se se zneužitím i mimo bankovní sektor?

Ano. Krásným příkladem je takzvaný „morphing“ obličeje. Ve Slovinsku řešila policie asi čtyřicet incidentů, kdy byly biometrické pasy zneužity pro transport lidí do Kanady. Útočník vytvořil fotku, která byla průnikem obličeje „bílého koně“ a osoby, kterou potřebovali propašovat. Bílý kůň si legálně vyřídil pas s touto upravenou fotkou. Protože podoba seděla na oba, pašovaná osoba pak s tímto pravým pasem prošla přes automatizované brány na letišti.

Jaké další hrozby kromě propagandy a finančních podvodů vidíte?

Obáváme se manipulace s důkazy. Pokud chceme použít u soudu video nebo audio, bude potřeba se postupně začít ujišťovat, zda nebylo syntetizováno nebo jinak upraveno pomocí AI. Můžete vytvořit falešný důkaz nebo naopak ten pravý zpochybnit tvrzením, že jde o deepfake.

Dalším problémem je kyberšikana. V Německu jeden žák vytvořil pomocí AI pornografický materiál s obličeji patnácti spolužaček a zveřejnil ho. Společenská nebezpečnost se může zdát malá, ale všech patnáct dívek skončilo v péči psychologa. Jednoduchost výroby otevírá dveře šikaně a vydírání. Šíře zneužití se může ještě dále zvětšovat – ať už na úroveň hybridní války, nebo „automatizace“ útoku, například ve scénáři, kdy pomocí AI agentů pomocí vibecodingu vyrobím program, který mi stahuje fotky a kontaktní údaje ze sociálních sítí, automatizovaně vyrobí příslušný pornografický materiál oběti, cíleně jej pošle na zjištěný kontakt a bude oběť vydírat s pohrůžkou zveřejnění. A to vše plně automatizovaně.

Přečtěte si

Nová éra kyberzločinu: Hackeři s umělou inteligencí

To zní děsivě. Jakou máme šanci se bránit – ať už jako běžní uživatelé, nebo na úrovni institucí?

Dokonalá bezpečnost neexistuje, je to vždy otázka času a peněz, které je útočník ochoten investovat do útoku. Pro běžné lidi je klíčové o tom mluvit a dozvědět se víc o aktuálních rizicích. Musíme si zvyknout, že ne vše, co vidíme a slyšíme, je pravda. Technická obrana se vyvíjí, v budoucnu budeme mít v telefonech detektory deepfakes, podobně jako máme antiviry.

Zatím je nejlepší obranou zdravá skepse. Pokud má hovor podezřelé znaky – časový nátlak, stres, neobvyklé požadavky –, ověřujte. Zavěste a zavolejte zpátky, použijte dohodnuté rodinné heslo. Pomáhá také chránit si své biometrické vzorky, tedy nebýt digitálně aktivní úplně všude, i když to je dnes pro mnoho lidí těžké.

Firmy musí provádět důkladnou analýzu rizik. Pokud proces umožňuje poslat velkou částku jen na základě telefonátu, je to chyba. Je třeba zavést vícefaktorové ověření, digitální podpisy nebo zpětné potvrzení jiným kanálem.

Zmínil jste antiviry. S počítačovými viry jsme se nakonec naučili žít. Čeká nás podobná „gramotnost“ i u deepfakes?

Myslím si, že ano. Vidím světlo na konci tunelu. Lidé už začínají tušit, že něco takového existuje, a přestávají bezmezně věřit obsahu na internetu. Směřujeme do stavu, kdy budeme předpokládat, že digitální obsah může být falešný, a budeme více ověřovat. Nicméně stále budou existovat zranitelné skupiny.

Zajímavá je spekulace, že nízká kvalita některých deepfakes nemusí být náhodná. Může fungovat jako filtr – pokud člověk nepozná ani nekvalitní podvod, je pro útočníka ideálním terčem pro další manipulaci, podobně jako u e-mailů od „nigerijských princů“. Ale abych nebyl negativní: je to jen další riziko v řadě. Denně žijeme s množstvím kyberbezpečnostních rizik, jako jsou viry nebo podvodné e-maily. A deepfakes budou jen další „breberka“, se kterou se musíme naučit fungovat.

Autor rozhovoru: Josef Šlerka

The post „Dokonalá bezpečnost neexistuje, nejlepší obranou je zdravá skepse.“ Expert Kamil Malinka o nových hrozbách kyberzločinu appeared first on investigace.cz.

Využívají strachu o milovaného člověka nebo obav z nadřízeného. A mají k dispozici umělou inteligenci. S její pomocí dokážou podvodníci simulovat hlas nebo podobu jakéhokoli člověka. Investigace.cz mapuje, jak nová generace podvodů funguje. 

Tento text si můžete poslechnout i v audioverzi.
Audioverze vybraných článků investigace.cz odebírejte zde.

Když loni v červenci zazvonil Američance Sharon Brightwell mobilní telefon, číslo na displeji ukazovalo, že volá její dcera. Bylo to jako zlý sen. V telefonu se ozval známý hlas její dcery. Zajíkavě jí vysvětlovala, že právě autem srazila těhotnou ženu a potřebuje naléhavě pomoc. Potom si vzal telefon do rukou muž, který se představil jako právník její dcery a vysvětlil jí, že dcera naléhavě potřebuje patnáct tisíc dolarů, aby mohla zaplatit kauci.

Nakonec se domluvili, že matka ze svého účtu vybere peníze a předá je v krabici pomocníkovi právníka, který si pro ně přijede. Jak se domluvili, tak se stalo. A tak Sharon Brightwell přišla o své peníze, stala se totiž obětí podvodu využívajícího umělou inteligenci a takzvaný deepfake hlasu.

Raketový nárůst podvodů

Podle statistik počet pokusů o podobný podvod od roku 2023 raketově vzrostl – o tři tisíce procent. Vytvořit takový deepfake je totiž jednoduché a levné. To, co dříve dělala jen velká filmová studia, zvládne dnes útočník za pár minut s využitím běžně dostupných internetových služeb nebo s pomocí vlastního počítače.

Základní technologie jsou přitom v podstatě dvě. Tou první je syntéza hlasu. Syntetizátory jsou založeny na dvou principech: text-to-speech, takzvaný TTS, převod textu na řeč, kdy se vytvoří model schopný generovat hlas oběti dle textového vstupu, a konverze hlasu, kdy útočník mapuje svůj hlas na nahrávku oběti. „Z důvodu kvality výstupů se pro útoky používá téměř výhradně TTS a jde o předem připravenou nahrávku,“ vysvětluje postup útoku pro server investigace.cz docent Kamil Malinka z Fakulty informačních technologií VUT v Brně.

Dnes stačí přibližně 3 až 10 sekund vašeho hlasu, aby z něj AI zvládla vytvořit model, který říká cokoli, co si přejete. Pro jistotu však útoky probíhají podle zavedeného scénáře – oběť slyší krátký emotivní projev blízkého, načež hovor přebírá „právník“ nebo „policista“ a interaktivní část hovoru už pak nevyžaduje napodobení hlasu ad hoc. Obětí právě tohoto typu útoku se stala Sharon Brightwell.

Druhou technologií, stále častěji využívanou pro kyberpodvody, je generování umělého videa. AI se naučí tvář i pohyby falšované oběti a buď je generuje přímo, nebo synchronizuje pohyby rtů s podvrženým zvukem. Zatím neumí dokonale udržet konzistenci tváře, ale to je jen otázka času.

Obětí takového podvodu se stal finanční pracovník hongkongské pobočky britské inženýrské firmy Arup. V lednu 2024 se připojil k videokonferenci, na níž viděl svého finančního ředitele i další kolegy z londýnské centrály. Všichni ale byli deepfake – útočníci použili veřejně dostupná videa k natrénování AI modelů. Výsledkem bylo patnáct převodů v celkové hodnotě 25,6 milionu dolarů (přibližně 530 milionů korun). Také v České republice máme s těmito útoky zkušenosti, jejich cílem se stala například společnost GymBeam. Nutno dodat, že útok byl neúspěšný.

Přímé podvody jsou ovšem jen jednou z možností, jak zneužít technologii deepfake v kyberzločinu. Stále častěji se setkáváme s případy, kdy jsou deepfakes použity pro obcházení biometrického ověřování. Tomuto typu útoku se říká Injection Attack a představuje zásadní hrozbu pro KYC (Know Your Customer) procesy. Viděli jsme ho třeba v případu hongkongské sítě podvodníků rozbité v roce 2025, která pomocí deepfakes a ukradených dokladů zakládala podvodné bankovní účty. Celkové ztráty činily 193 milionů dolarů (zhruba 4,05 miliardy Kč).

„Biometrické systémy jsou totiž z principu náchylné k deepfake útokům – pokud je falzifikát dostatečně kvalitní, jeho charakteristiky jsou identické s originálem. Biometrika sama o sobě nemá šanci deepfake odhalit. Ochrana proto stojí na dodatečné kontrole živosti, tzv. liveness detection, která má ověřit, že před kamerou sedí skutečný člověk, a dále na detektoru deepfakes – spolehlivost obou přístupů ovšem v kontextu aktuálních AI-based útoků není dostatečná,“ vysvětluj Malinka.

Demokratizace útoků

S tím, jak se snižují náklady na provedení tohoto typu útoku, roste i počet zasažených skupin. Na pomyslném vrcholu stojí tzv. CEO podvody, kdy se útočníci vydávají za vysoké manažery firmy a nařizují urgentní převody peněz. Vzhledem k náročnosti přípravy útoku se zatím opravdu vyplatí cílit na velké částky. Známým případem je útok na britskou energetickou firmu z roku 2019, kdy „generální ředitel německé mateřské společnosti“ zavolal a nařídil urgentní převod 220 000 eur (přes 5 milionů korun).

Novějším příkladem je pokus o podvod na Ferrari z července 2024. Útočníci kontaktovali vedoucího pracovníka přes WhatsApp a následně telefonicky – použili AI klon hlasu CEO Benedetta Vigni včetně jeho charakteristického jihoitalského přízvuku. Podvod však selhal, protože vedoucí položil ověřovací otázku o knize, kterou mu Vigna nedávno doporučil. Podvodník nedokázal odpovědět a zavěsil.

Šíří se i zmíněné útoky využívající nouzové situace. Říká se jim Grandparent Scams (nebo obecněji Family Emergency Scams). Jsou vlastně evolucí podvodných telefonátů. Dříve volal údajný kamarád vnuka nebo policista s tím, že váš blízký měl nehodu. Nyní místo kamaráda vnuka volá přímo sám „vnuk“ svým vlastním hlasem. To výrazně zvyšuje úspěšnost útoku, protože oběť slyší hlas, který důvěrně zná. Hlavní roli hrají emoce a pocit naléhavosti.

Jiným typem útoku jsou případy okradení lidí, kteří uvěří dlouhodobě budovaným vztahům na seznamkách či sociálních sítích, které končí okradením oběti o celoživotní úspory. Tomuto typu útoku se říká Romance Scam nebo také pohrdlivě Pig Butchering. Podvodníci se nesnaží vydávat za konkrétní existující osobu. AI generované selfies a deepfake videohovory vytvářejí iluzi skutečného člověka, zatímco podvodník může vést desítky paralelních vztahů s různými oběťmi.

V říjnu 2024 hongkongská policie rozbila organizovanou skupinu sedmadvaceti podvodníků, kteří pomocí deepfakes na seznamovacích platformách okradli oběti napříč Asií o 46 milionů dolarů (skoro 1 milarda korun). Podvodníci se nevyhýbají ani falšování celebrit. Nejznámějším případem roku 2025 se stala francouzská žena jménem Anne, která přišla o 850 000 dolarů (více než 17 a půl milionu korun) po osmnáctiměsíční komunikaci s údajným Bradem Pittem.

Konečně pak dalším cílem bývají bankovní a finanční instituce. V nich podvodníci používají deepfakes k zakládání bankovních účtů na cizí jména, aby mohli například prát špinavé peníze. Příkladem je platforma OnlyFake odhalená v roce 2024, která za pouhých 15 dolarů generovala falešné doklady totožnosti. Útok na bankovní systémy je typicky dvoustupňový: prvním krokem je výroba kvalitního falzifikátu dokumentu, druhým krokem pak překonání biometrického ověření a kontroly živosti při zakládání účtu. Oba kroky AI výrazně usnadňuje.

Jak se bránit

Všechny tyto podvody spojuje často vlastně jednoduchá psychologická manipulace. Buď je to strach o blízkého nebo z nadřízeného, nebo láska k virtuálnímu partnerovi. Navíc lidé často selhávají ve schopnosti rozpoznávat deepfake podvody. Podle výzkumů lidé správně identifikují vysoce kvalitní deepfake pouze v 24,5 % případů – což je horší než náhodný odhad. Celých 68 % deepfake videí je dnes téměř nerozeznatelných od autentického materiálu.

„Ještě před čtyřmi lety se úspěšnost rozpoznání deepfakes lidmi pohybovala kolem 70–80 %, nicméně s vývojem nových generací syntetizátorů se kvalita podvrhů natolik zlepšila, že se již na svou schopnost deepfake rozpoznat nemůžeme spolehnout. Naše výzkumy navíc ukazují, že pokud lidé předem nevědí, že mají hodnotit deepfake – což je scénář, který při útoku nastává, protože útočník vás na rozdíl od vědce typicky nevaruje o povaze útoku –, jejich schopnost rozpoznání klesá prakticky k nule,“ říká docent Kamil Malinka z brněnského VUT.

Situace se navíc rychle vyvíjí. „U deepfake videí už dnes útočníci disponují real-time nástroji, které jim umožňují reagovat na podněty oběti přímo během hovoru. U hlasových útoků je zatím situace o něco lepší, ty stále potřebují čas na přípravu. Očekávám ale, že do přibližně tří let budou běžně dostupné dostatečně kvalitní systémy pro konverzi hlasu, takže pak půjde dělat i audio útoky v reálném čase,“ dodává Malinka.

Jak se proti tomu všemu bránit, když naše schopnost odhalení podvodů takto selhává? Podle odborníků z World Economic Forum a bezpečnostních firem jako Reality Defender nebo Pindrop existuje obrana v zásadě dvojího druhu. První je technický, například nasazení softwaru, který se snaží deepfakes detekovat. „Je však důležité si uvědomit, že technická detekce je až poslední vrstvou obrany – když selže, útok je úspěšný. Proto je klíčové budovat vícevrstvou ochranu: od minimalizace veřejně dostupných nahrávek vlastního hlasu a fotografií přes různé regulatorní požadavky na tvůrce modelu až po procesní opatření – například omezení výše plateb autorizovaných pouze hlasem. Teprve na konci stojí detekční software. Ten je nicméně zatím v plenkách, komerčně dostupných a skutečně spolehlivých detektorů je stále málo,“ upozorňuje Malinka.

Druhým typem obrany je změna procesů. Je to vlastně jediný rychlý krok, který lze udělat hned: zavést další faktor ověření nebo přestat spoléhat na hlasovou a jinou biometriku při autentizaci během videohovorů. Žádný převod peněz by neměl být možný jen na základě jednoho hovoru od nadřízeného. Pokud volá banka nebo šéf s urgentním požadavkem, prostě zavěste a zavolejte na ověřené číslo. Pro rodiny a blízké přátele může zase pomoci zavést bezpečné heslo. Prostě se domluvit na tom, že se zeptáte na nějakou věc, kterou může znát jen skutečný volající. Zní to trochu jako z Harryho Pottera, jenže technologie deepfake v něčem skutečně kouzelná je.

Dříve platilo důvěřuj, ale prověřuj. Dnes žijeme v online světě nulové důvěry ve kterém nemůžeme věřit ani našim očím a uším.

Autor textu: Josef Šlerka

The post Když vám zavolá klon: Anatomie miliardového byznysu s AI podvody appeared first on investigace.cz.

Čas mezi objevením bezpečnostní díry a jejím zneužitím se zkrátil z týdnů na hodiny. Útoky, které dřív vyžadovaly tým expertů, dnes zvládne jednotlivec s AI asistentem. Hackeři navíc mění kódy svých škodlivých programů pomocí AI přímo v počítačích obětí.

Bezpečnostní tým Googlu publikoval zprávu o nových druzích škodlivého softwaru (tzv. malwaru). Jeden z nich se za běhu dotazuje umělé inteligence, jak má napadnout počítač, ve kterém se právě nachází. Další využívá AI k tomu, aby měnil svůj kód a unikal tak antivirům.

Zpráva společnosti Anthropic ukázala, že velké jazykové modely nemusí pouze pomáhat s psaním kódu, ale mohou celé útoky orchestrovat. AI provedla 80 až 90 % operace samostatně – od průzkumu sítě přes generování exploitů až po třídění ukradených dat podle jejich hodnoty. AI snižuje náklady a čas potřebný k provedení komplexních útoků.

Zpráva Google Threat Intelligence Group dokumentuje řadu nových typů škodlivého softwaru. PROMPTFLUX se dotazuje umělé inteligence Google Gemini 1.5 Flash a mění svůj kód tak, aby maskoval jeho podobu a škodlivost. Varianta nazvaná „Thinging“ instruuje model, aby přepisoval celý zdrojový kód malwaru každou hodinu. Díky tomu obchází ochranu založenou na rozpoznávání známých vzorců škodlivého kódu.

PROMPTSTEAL využívá model Qwen2.5-Coder-32B-Instruct přes API platformy Hugging Face s 284 ukradenými přístupovými klíči, aby za běhu generoval Windows příkazy pro sběr systémových informací a kopírování cílených dokumentů. Malware se přitom maskuje jako program pro generování obrázků. Podle všeho jej využívá hackerská skupina APT28, napojená na ruskou GRU, proti Ukrajině.

Snaha zamaskovat kód nebo dynamicky měnit svou podobu není nic nového. Tradičně ale programy měly škodlivé instrukce stále v sobě, byť zakódované nebo zašifrované, a tak je mohly bezpečnostní systémy najít. Nová generace však tyto instrukce vůbec neobsahuje. Místo toho se za běhu ptá externího jazykového modelu, co má udělat, a ten mu pokaždé vygeneruje unikátní odpověď přizpůsobenou konkrétnímu prostředí.

A to nebylo jediné. Google dokumentoval i další druhy jako FRUITSHELL (nástroj umožňující vzdálené ovládání napadeného počítače), PROMPTLOCK (experimentální ransomware generující skripty v jazyce Lua) a QUIETVAULT (program kradoucí přihlašovací údaje). Ačkoli se zatím jedná o spíše neohrabané pokusy, ukazují směr, kterým se může další vývoj ubírat.

Útočník, který se neunaví

Společnosti Anthropic popsala, jak čínská skupina GTG-1002 využila model Claude pro rozsáhlou automatizovanou kampaň.

Klíčovou technikou bylo zmanipulování modelu Claude tak, aby fungoval jako autonomní orchestrátor bezpečnostního testování. Claude, kterému útočníci pomocí manipulativních instrukcí (tzv. jailbreakingu) namluvili, že je zaměstnancem legitimní bezpečnostní firmy provádějící testování, dostával jednotlivé části útoku rozložené do menších samostatných úkolů, které působily neškodně. Útočníci přitom využili schopnost AI spouštět různé nástroje, jako jsou síťové skenery a crackery hesel. Anthropic odhaduje, že AI provedla 80 až 90 % operace bez zásahu člověka, včetně průzkumu, generování exploit kódu na míru, přesunu na další počítače v síti, sběru přihlašovacích údajů a extrakce dat, které AI sama rozdělovala podle důležitosti pro možný průnik do systému. Lidští operátoři se soustředili pouze na dohled a na čtyři až šest kritických rozhodnutí.

Ačkoli Anthropic označil tento typ útoku za první zdokumentovaný případ rozsáhlého kybernetického útoku provedeného bez podstatného zásahu člověka, vyvolal její report celou řadu pochybností a Anthropic byl obviňován z přifukování celého incidentu. Jádrem kritiky bylo hlavně zpochybnění míry autonomnosti útoku a schopnosti AI ho plánovat. „AI je superboost, ale není to Skynet, nemyslí, není to skutečná umělá inteligence,“ reagoval bezpečnostní výzkumník Daniel Card.

Nicméně právě tento „AI superboost“, tedy fakt, že model působil jako neúnavný asistent, představuje do budoucna skutečné riziko. To totiž nespočívá v nějakém revolučním objevu nových, neviděných zranitelností, ale v akceleraci a demokratizaci stávajících útoků. Byť společnosti jako AISLE nebo XBOW mluví o nových chybách v systémech, které AI rozpoznala sama.

Hlavní problém je jinde. AI snižuje bariéru vstupu pro méně zkušené aktéry, kteří nyní mohou provádět sofistikované, vícekrokové operace dříve vyhrazené pouze státům nebo skupinám sponzorovaným organizovaným zločinem. Tím se vytváří značná asymetrie nákladů a rychlosti. AI agenti mohou pracovat nepřetržitě s výrazně menším vkladem lidské práce a rychle se učit o nových zranitelnostech. Z AI se stává neúnavný asistent hackerů.

I tento přístup má limity a tím, co je celkově na obtíž při jakékoli rozsáhlejší operaci, jsou tzv. halucinace. Je to fenomén, kdy jazykový model sejde při generování z cesty a začne si plně vymýšlet. To se stalo i v případě Anthropicu, který uvádí, že model při útoku „často přeháněl zjištění a občas si vymýšlel data“, například tvrdil, že získal přihlašovací údaje, které následně nefungovaly.

Nové schopnosti přinášejí nové zranitelnosti

Zneužívání velkých jazykových modelů k psaní škodlivých kódů je stejně staré jako samotné jazykové modely. Firmy, které jazykové modely programují a trénují, se tomu snaží od počátku bránit. Nicméně nikdy není jejich ochrana stoprocentně účinná, a tak i v případě reportu Anthropicu se útočníkům podařilo AI přesvědčit, že má jednat jako pracovník bezpečnostní firmy, která pracuje na vylepšení kyberbezpečnosti a pomáhá odhalit chyby v systému, které je třeba opravit. Jinou technikou často používanou útočníky je tzv. prompt injection, tedy situace, kdy škodlivý pokyn přidá uživatel přímo do nějakého dotazu či dat, které AI konzumuje. Dokud AI zůstávala uzavřena jen v chatech našich prohlížečů, byly tyto útoky spíše demonstrací nedokonalosti.

S rostoucí složitostí celého ekosystému velkých jazykových modelů mohou mít tyto průniky stále více a více fatální dopad. Zejména od okamžiku, kdy se naplno rozjely tzv. AI agentní systémy a jejich schopnost využívat nástroje nejen v cloudu, ale také přímo v počítačích. Na jednu stranu je tato schopnost to, co v letošním roce pohánělo a pohání revoluci v oblasti AI. Uživatel díky nim může doslova během pár minut vygenerovat relativně komplexní webovou aplikaci. Pokud dokáže takového agenta infikovat útočník, otevírá se nová dimenze útoku.

AI agent kombinuje dvě vlastnosti: schopnost zpracovávat data z vnějšího světa a oprávnění provádět reálné akce v systému. Když uživatel požádá agenta, aby „prošel e-maily a shrnul důležité informace“, agent musí tyto e-maily přečíst – a pokud některý z nich obsahuje skrytý škodlivý prompt, může jej agent vykonat jako legitimní instrukci. Totéž platí pro dokumenty, webové stránky nebo databázové záznamy. Útočník tak nemusí prolomit žádné heslo ani exploitovat technickou zranitelnost – stačí, když do dat, která agent zpracovává, vloží správně formulovaný příkaz.

Případy z posledních měsíců ukazují, že toto riziko je reálné. V červnu 2025 výzkumníci odhalili zranitelnost nazvanou EchoLeak v Microsoft 365 Copilot, která umožňovala útočníkovi ukrást citlivá data pouhým odesláním e-mailu – bez nutnosti, aby jej oběť otevřela nebo na cokoli klikla. E-mail obsahoval skryté instrukce, které Copilot při automatickém skenování interpretoval jako legitimní příkaz a odeslal útočníkovi historii konverzací, soubory i zprávy z Teams. Nejde nejde o nic nového – kombinace e-mailu, zranitelnosti v náhledu a maskovaného útoku provází e-mailové klienty od počátků. Copilot je tak jen novou konstelací známého vzorce.

Podobný problém postihl i vývojářské prostředí Cursor s integrovanou AI. Útočník mohl do veřejného repozitáře vložit dokument se škodlivým promptem, a když vývojář požádal AI o jeho analýzu, agent automaticky přepsal konfigurační soubory a spustil útočníkův kód. Podobnou chybu můžeme najít i u dalších konkurenčních programů, jako je třeba AI editor Antigravity od společnosti Google.

Tyto útoky spojuje společný vzorec: AI agent nedokáže spolehlivě rozlišit mezi legitimními instrukcemi od uživatele a škodlivými příkazy ukrytými v datech, která zpracovává. Výzkum společnosti Mindgard z roku 2025 ukázal, že techniky využívající neviditelné Unicode znaky nebo emoji smuggling umí obejít všech šest testovaných bezpečnostních systémů, přičemž úspěšnost se pohybovala mezi 70 až 100 %.

Jako dřív už to nepůjde

„Nejzávažnější změnou je zhroucení času mezi zveřejněním zranitelnosti a jejím zneužitím,“ říká bezpečnostní expert Petr Špiřík z PwC. Tradičně podle něj existovalo okno příležitosti: od chvíle, kdy se objevila nová zranitelnost, trvalo útočníkům dny až týdny, než vyvinuli funkční exploit – pokud se jim to vůbec podařilo. „Okno umožňovalo výrobcům softwaru vydat záplaty a organizacím nasadit je dříve, než se exploit rozšířil. AI toto okno dramaticky zkracuje,“ dodává.

Podle společnosti CrowdStrike klesla průměrná doba, za kterou se útočník po prvním průniku rozšíří na další systémy v síti, na pouhých 48 minut, s nejrychlejším zaznamenaným případem pouhých 51 sekund. Průmyslový průměr pro manuální zpracování bezpečnostních alertů je 30 až 60 minut. Útočník může být rychlejší než obránce.

Generování exploit kódu, které dříve vyžadovalo hlubokou expertízu, nyní zvládne i méně zkušený útočník během hodin. A pokud se AI naučí zranitelnosti nejen exploitovat, ale i nacházet, zmizí tradiční náskok obránců zcela. Klasická obrana založená na reaktivním záplatování přestane fungovat – záplata prostě nepřijde včas. Segmentace sítí a omezení přístupových práv zůstávají důležité, ale nesnižují pravděpodobnost průniku, pouze omezují jeho dopad.

„AI nepřináší revoluci v kvalitě útoků, ale v jejich objemu a dostupnosti. Nejvíce ohroženy jsou organizace, které dosud přežívaly nikoli díky kvalitní obraně, ale díky štěstí,“ vysvětluje Petr Špiřík.

Organizace s robustní pasivní obranou, důslednou vícefaktorovou autentizací, passwordless přístupem a kvalitními preventivními opatřeními mohou celé třídy automatizovaných útoků odrazit. „Pokud laťka obrany leží nad úrovní toho, co průměrný AI asistovaný útok dokáže překonat, k závodům v rychlosti reakce vůbec nedojde – útok selže na pasivní ochraně,“ dodává.

Podle Špiříka bude pro mnohé další rok bolestným probuzením – ne proto, že by AI překonala jejich obranu, ale proto, že ukázala, že žádnou reálnou obranu nikdy neměly.

Autor textu: Josef Šlerka

Slovníček:

Malware (z anglického malicious software, škodlivý software) – záměrně vytvořený program, který škodí uživateli, krade data nebo získává neoprávněný přístup k počítači či síti. Patří sem viry, červy, trojské koně, ransomware (vyděračský software) nebo spyware (špionážní software). Malware se nejčastěji šíří e-mailem – podle studií tvoří e-mail až 96 % všech způsobů doručení škodlivého kódu.

Exploit – kód nebo metoda zneužívající konkrétní bezpečnostní chybu (zranitelnost) v softwaru, operačním systému nebo síti. Exploit sám o sobě není malware, ale slouží jako „páčidlo“, které útočníkovi otevře dveře do systému. Zvláště nebezpečné jsou tzv. zero-day exploity: ty zneužívají chyby, o kterých výrobce softwaru ještě neví, a neexistuje proti nim záplata. Útočníci často řetězí více exploitů za sebou, aby postupně získali vyšší oprávnění až k plné kontrole nad systémem.

Prompt injection – typ útoku proti velkému jazykovém modelu, který využívá omezené schopnosti AI rozlišit hranici mezi pokynem a zpracovaným obsahem. Příkaz může být skrytý v e-mailu, dokumentu nebo na webové stránce, a když AI tato data zpracuje, vykoná útočníkův příkaz jako legitimní instrukci. Například skrytý text v životopise může přimět hodnotící AI, aby kandidáta ohodnotila kladně bez ohledu na obsah.

MFA / vícefaktorová autentizace – metoda přihlašování vyžadující více než jeden typ ověření. Kombinuje typicky něco, co uživatel zná (heslo), něco, co má (telefon, hardwarový klíč), a něco, čím je (otisk prstu, obličej). Příkladem je výběr z bankomatu: potřebujete kartu i PIN. Účty s aktivní MFA jsou výrazně odolnější vůči kompromitaci – i když útočník získá heslo, bez druhého faktoru se nepřihlásí.

Passwordless – přihlašování zcela bez hesla. Uživatel se identifikuje pomocí něčeho, co má (telefon, hardwarový klíč) nebo čím je (otisk prstu, obličej), nikoli pomocí něčeho, co si pamatuje. Soukromý klíč zůstává v zařízení uživatele a nelze ho ukrást phishingem ani uhodnout. Systém passwordless eliminuje celé třídy útoků založených na slabých, opakovaně používaných nebo ukradených heslech.

The post Nová éra kyberzločinu: Hackeři s umělou inteligencí appeared first on investigace.cz.

Podvržené zpravodajské servery, masivní šíření konspiračních teorií prostřednictvím botů, zahlcování fact-checkingových organizací a přímé kybernetické útoky na státní správu a instituce – to jsou jen některé z nástrojů, které ruské skupiny využívají v rámci svých rozsáhlých dezinformačních kampaní. Cílem těchto operací je podkopávat důvěru ve společnosti, zpochybňovat současné uspořádání a vyvolávat nespokojenost. Tento tlak na veřejné mínění vzrostl zejména před německými parlamentními volbami. Jaké konkrétní metody byly použity k ovlivňování voličů? O tom v rozhovoru s datovým analytikem Josefem Šlerkou mluví Petr Gojda.

Přečtěte si

Jak Rusko útočilo na německé volby

The post Podcast Odposlech: Ruské kybernetické zločiny a německé volby appeared first on investigace.cz.

Evropská média čelí rostoucí cenzuře a tlaku ze strany politiků. Na území Jižní Ameriky lidé bojují proti nelegálnímu těžebnímu průmyslu, ročně jsou tu zavražděny desítky ekologických aktivistů. Kybernetická skupina operující pod křídly ruské zpravodajské služby napadá globální počítačové sítě. Americká banka Citigroup skrytě převedla miliardy dolarů ropné společnosti ze Spojených arabských emirátů.

Za kybernetickými útoky na členské státy EU a NATO stojí ruská rozvědka. Informovala o tom německá zpravodajská služba Bundesnachrichtendienst (BfV) ve spolupráci s dalšími národními bezpečnostními složkami. Varování přišlo poté, co německá vláda obvinila Moskvu z krádeží a zveřejňování citlivých údajů svých politiků a firem.

Kyberzločinecká skupina patřící ruské vojenské zpravodajské službě (GRU) prováděla špionáže a sabotáže globálních počítačových sítí už od roku 2020. Napadala především klíčová vládní a finanční odvětví, dopravu, energetiku a zdravotnictví. Od začátku ruské invaze bylo cílem útoků, uskutečněných s pomocí malwaru WhisperGate, především zamezit poskytování pomoci Ukrajině. 

Přečtěte si

Jak Rusko paralyzuje OBSE: Sabotáž, špioni a zatčení úředníci

Počet zavražděných ochránců přírody přesáhl od roku 2012 dva tisíce, jen v loňském roce přišlo o život 196 z nich. Jak upozorňuje nezisková organizace Global Witness, skutečné číslo může být ještě vyšší. Vyšetřování mnoha případů totiž znemožňuje korupce a napojení státních činitelů na průmyslová odvětví a organizovaný zločin. Hlavním cílem útoků je umlčet environmentální aktivisty, a zabránit tak zveřejňování informací o ničivých dopadech velkých průmyslových hráčů na životní prostředí a lokální komunity. 

Až 85 % všech vražd environmentalistů se odehrává v Jižní Americe. Ta dlouhodobě bojuje s ekologickou krizí v podobě rozsáhlého odlesňování amazonského deštného pralesa, který je kácen především kvůli expanzi zemědělství i těžbě ropy a drahých kovů.

Za nájemnými vraždami ochránců přírody nejčastěji stojí právě vysoce ziskový a mnohdy nelegální těžební průmysl. Naleziště ropy, zlata, mědi či lithia se nacházejí také na domorodých územích, a původní obyvatelé jsou proto terčem téměř poloviny všech násilných útoků. Domorodé komunity a ostatní aktivistická uskupení nejen v Jižní Americe, ale také v Asii a Africe evidují případy zmizení svých členů, zastrašování, věznění a represe ze strany státních aparátů.

Zastrašování, cenzura a právní útoky ohrožují nezávislou žurnalistiku v Evropě. Monitorovací zpráva projektu Media Freedom Rapid Response (MFRR) odhalila, že znepokojivě rostou případy porušování svobody tisku v EU a v kandidátských zemích. Podle zprávy došlo v první polovině tohoto roku celkem k 756 takovým incidentům. Téměř stovka z nich se odehrála v Itálii, kde se jednalo především o verbální a právní útoky pravicově populistické vládnoucí strany Fratelli d’Italia (Bratři Itálie) proti novinářům a médiím kritickým vůči státu.

Podobný vývoj zaznamenala MFRR rovněž na Slovensku, kde podle zprávy představuje pro nezávislá média nejakutnější hrozbu vláda premiéra Roberta Fica a jeho koalice. Ta osobně napadala novináře Denníku N, TV Markízy, TV JOJ a deníku SME, přijala diskriminační mediální zákony a také zlikvidovala existující veřejnoprávní média RTVS. Více o současné podobě slovenské mediální krajiny si můžete poslechnout v rozhovoru investigace.cz se slovenským novinářem a politickým komentátorem Arpádem Soltészem.

Přečtěte si

Banka jenom podle názvu. Falešná instituce prala zločinecké peníze

Banka Citigroup pomohla ropnému gigantovi získat miliardy dolarů. Nadnárodní korporace, jejíž centrálu v New Yorku letos v červnu zablokovali environmentální aktivisté, se tak vyhnula svým klimatickým závazkům. Přestože banka slíbila, že dodrží Pařížskou dohodu a do roku 2050 sníží emise spojené s jejími finančními aktivitami na nulu, převedla celkem 3,5 miliardy dolarů ropné společnosti Abu Dhabi National Oil Company (ADNOC). Aby se však banka vyhnula represím plynoucím ze spolupráce s jedním z největších světových znečišťovatelů životního prostředí, neučinila tuto finanční operaci přímo. Místo toho peníze převedla na chemickou společnost Borouge, jež je ve formě akcií prodala ADNOCu a Fertiglobe, kterou ADNOC částečně vlastní.

„Vzhledem k tomu, že většina financování proudí přes tajné jurisdikce prostřednictvím složitých dceřiných struktur, je obtížné vyčíslit skutečnou míru angažovanosti bank v oblasti fosilních paliv,“ potvrdila britská advokátní skupina Tax Justice Network.

Autorka článku: Adéla Gajdicová
Zdroj úvodní fotografie: Carlos Garcia Granthon / Zuma Press / Profimedia

The post #zesvěta: Tichá válka v Amazonii. Ochránci přírody proti těžařům appeared first on investigace.cz.

Pegasus, Predator nebo Formbook. To je jen zlomek špionážních softwarů neboli spywarů, jež dokáží získat z počítače nebo telefonu uživatelova data a bez jeho souhlasu je přeposílat. Tyto programy se používají proti aktérům organizovaného zločinu, jak se ale ukázalo, některé vlády je zneužily například i proti novinářům nebo proti svým odpůrcům. Přinášíme rozhovor s Jakubem Drmolou, odborníkem na kyberbezpečnost a spywary, který působí jako odborný asistent katedry politologie na Masarykově univerzitě.

V poslední době stále někde čteme, že se objevil nový spyware nebo že ho nějaký stát použil proti novinářům či aktivistům. Přibývá rizik spojených s těmito softwary, nebo se o tom jen více informuje?

Osobně nemám dojem, že bychom spywarům čelili víc než v minulosti. Ten trend trvá už docela dlouho. Momentálně jen na ně zaměřujeme víc pozornosti. Samotný spyware je s námi už od devadesátých let. Je to velký problém a současně dlouhodobá věc.

Evropská federace novinářů zveřejnila otevřený dopis, v němž vyzývá europoslance k úplnému zákazu používání špionážního softwaru proti novinářům. Měly by být tyto programy takto regulovány?

Aktivita zmíněné federace je pěkná a inspirativní, ale neřekl bych, že je to reálné vzhledem k tomu, jak populární nástroj je spyware, který vlády i jiné subjekty používají v rámci řešení kriminality, boje proti terorismu, ale i proti novinářům nebo disidentům. Bylo by hezké, kdyby to prošlo. Problém je ale v tom, že spyware je dost široký a nejednoznačný pojem.

Dá se alespoň obecně nějak definovat?

Pokud to vezmeme obecně, tak je to malware, který bez explicitního souhlasu uživatele z jeho přístroje odesílá někam data. Do toho spadá extrémní množství všeho možného a ze strany vlád různých zemí to nemusí působit vyloženě špionážně, tedy v tom smyslu, jak to napsali ti novináři.

Přečtěte si

EU: Svoboda médií versus špionážní softwary

Co ještě kromě takových nástrojů může pod pojem spyware spadat?

V rámci širší uživatelské komunity například nějaký software, který si záměrně nainstalujete třeba na vypalování CD. Aniž byste to věděla, může o vás někam odesílat informace. Takto funguje velké množství aplikací, které vyžadují povolení ke sledování. Jenomže lidi o tom většinou nepřemýšlejí. Nevědí, že když si nainstalují aplikaci, aby měli dvouprocentní slevu na boty, může taková aplikace sledovat jejich pohyb nebo zjistit, jaké mají kontakty. To je další spektrum spywarů, přičemž mezi těmito dvěma póly existují i jiné nástroje. Pro většinu populace je ale větší hrozbou spíš kyberkriminalita, u níž jde útočníkům o peníze, než politicky motivovaný spyware.

Zaměřme se nyní na spywary typu Pegasus. Proč není tak jednoduché je regulovat?

Protože nemůžete oddělit fakt, že tento nástroj lze použít jak proti novinářům a politickým oponentům, tak proti teroristům. Může jít o ten samý nástroj a může být nasazen stejnými vládami.

Česko chce v tomto ohledu volnější pravidla, což místopředsedkyně Evropské komise a evropská komisařka pro hodnoty a transparentnost Věra Jourová obhajuje tím, že se pod štítkem „novináři“ mohou skrývat špioni či žločinci – co si o tom myslíte?

Můžou se klidně vydávat za novináře, proč by také nemohli. Jak se vlastně dá rozlišit, kdo je a není novinář? Nějakou průkazkou či certifikací? Nebo je poznáte podle toho, že jsou uvedeni na nějaké stránce nebo že mají svůj blog? Existuje velký prostor pro to, aby se někdo vydával za novináře. Některé zpravodajské služby západního typu mají etický kodex, v němž tvrdí, že se nebudou vydávat za určité profese – třeba právě za novináře, náboženské funkcionáře nebo zdravotníky. Samozřejmě to můžou deklarovat, otázka ale je, zda jim věřit, a pokud ano, tak zda věřit všem. Když někdo využívá například diplomatického krytí, tak proč ne toho novinářského.

Vlastní podle vás některá česká instituce spyware?

Myslím, že na seznamech států, které mají spyware Pegasus, se Česká republika neobjevila. Ale to neznamená, že ho nemá. Nelze to potvrdit ani vyloučit. Ostatně vlastnění tohoto spywaru by nebylo nijak šokující. Dřív se v tomto smyslu mluvilo o jiných podobných nástrojích. Považoval bych téměř za jisté, že nějaké se u nás používají. Bylo by divné, kdyby ne.

Pegasus je poměrně známý, v poslední době se o něm hodně mluvilo i psalo. Jak fungují další – například spyware Predator?

Většina těchto nástrojů funguje velice podobně. Každý z nich ale prochází různým vývojem a aktualizacemi, a to i v okamžiku, kdy se již vyskytuje ve vašem zařízení. Stejně jako se skrze něj odesílají zajímavá data na centrální servery, můžou opačnou cestou zpětně proudit různé updaty a aktualizace, aniž na něco klikáte. Může vás takto sledovat i několik let a vy o tom nevíte. Aktualizuje se ale i operační systém v zařízení, který by měl činnost spywarům komplikovat. Jenže jako reakce na tento fakt se velmi pravděpodobně brzy objeví další verze spywaru, která jejich potenciál zase obnoví. Je to jako hra na honěnou.

Přečtěte si

Špehovaní novináři a podezřelí politici. Maďarsko dva roky po kauze Pegasus

Který ze spywarů je nejdostupnější?

Pro běžné uživatele je nejdostupnější stalkware. Ke spywarům typu Pegasus se obyčejný člověk nedostane, protože je drahý. Stalkware používají například i rodiče na svoje děti, když chtějí zjistit, zda se třeba nestýkají s někým, s kým by neměly. Děje se i to, že ho používají zaměstnavatelé na své zaměstnance. Je to, jako kdybyste si najala nějaké soukromé očko.

Kdybych byla například podnikatelkou provádějící nelegální byznys a chtěla bych vědět, zda se o mě nezajímají třeba novináři, koupila bych si stalkware?

Asi byste si našla spíš něco mezi stalkwarem a jiným typem spywaru, který používají státy. Musel by to být nástroj, který umožní napadnout zařízení bez vědomí uživatele a bez přístupu do jeho zařízení. Při použití stalkwaru se předpokládá, že do zařízení přístup máte. Našla byste si nějakého prostředníka – nějakou firmu. Nefunguje to tak, že byste dostala CD a s ním si mohla dělat, co chcete. Navíc běžní lidé nemají technické schopnosti nutné k tomu, aby nástroj správně nasadili a řídili.

Na kolik by takový program vyšel?

Záleží na tom, jaké má mít nástroj schopnosti, kolik zařízení chcete napadnout a tak podobně.

Když vezmu do ruky telefon, v jaké zprávě na mě může číhat spyware?

V principu všude. Pegasus byl spouštěn skrze zprávu, která vám přišla s obrázkem. Ten jste si zobrazila spolu se skrytým kódem v obrázku, jež využíval zranitelnosti operačního systému hlavně na iPhonech. Což není unikátní, ale je to ta nejvyšší meta, které mohou útočníci dosáhnout, byť je technicky složitá. Útočník totiž nemusí spoléhat na součinnost oběti – jde o takzvaný zero-click exploit, při němž dojde k nakažení bez jakéhokoli klikání. Stačí se jen podívat. Dřív byly poměrně časté útoky přes flash disk. Stačilo, aby ho člověk zasunul, a jen tím, že se operační systém načetl, byl spuštěn škodlivý software.

Přečtěte si

Nový spyware Sherlock, proti němuž není obrany

Proč jsou telefony pro útočníky zajímavější než počítače? Co všechno se přes ně dá vlastně zjistit?

V poslední době se velká část života přesouvá od počítačů k telefonům a lze tak získat více soukromých i intimních informací. Přes telefon můžete sledovat polohu a tím pádem zjistit, s kým se napadený stýká. Vidíte jeho zprávy a bankovnictví. Nejnovější tendencí je pak zneužití různých moderních aplikací zaměřených na zdraví, takže útočník ví, jaký máte třeba puls, kdy chodíte spát, jak dlouho spíte nebo jestli máte lehký spánek – tedy zda je lehké vás probudit, nebo ne.

Existují nějaké nové trendy v obraně proti spywaru?

Je mnohem víc věcí, na které by si měl člověk dávat pozor, ale principy ochrany a technické hygieny jsou stále stejné – neklikat na podezřelé odkazy, mít vše aktualizované a neinstalovat zbytečnosti.

The post Bylo by divné, kdyby Česko nemělo špionážní software, říká odborník appeared first on investigace.cz.

Nezávislá média v Maďarsku odhalila, že režim Viktora Orbána tajně zakoupil špionážní software Pegasus, který vlády používají ke špehování novinářů, aktivistů a politických oponentů. Stejný špionážní software byl hojně využíván i v Polsku ke sledování právníků a politiků. Software vyrábí izraelská společnost NSO Group, jež v Praze každoročně pořádá prodejní akci svých výrobků. České státní instituce ale využívání této technologie popírají. V Rumunsku a na Slovensku zase vlády odmítají sdělit, zda je tento špionážní software, jejž v minulosti používaly, využíván i nadále. Bulharsko naopak povoluje provoz zahraniční špionážní společnosti, zatímco generální prokurátor země tvrdí, že byl špehován.

Maďarští novináři špehovaní Orbánovým režimem

V roce 2021 získali novináři pod záštitou organizace Forbidden Stories seznam telefonních čísel uniklý z NSO Group, společnosti vyvíjející spyware Pegasus. Takto bylo nalezeno 300 maďarských telefonních čísel. Únik odhalil, že v Maďarsku byl použit Pegasus, špionážní software vyrobený izraelskou firmou zabývající se kybernetickou bezpečností, což znamenalo první potvrzené použití Pegasu v zemi EU.

Pegasus se oficiálně používá proti cílům podezřelým z účasti na organizovaném zločinu nebo terorismu. Vyšetřování však odhalilo, že maďarská vláda využila software rovněž ke sledování svých kritiků.

Na seznamu špehovaných osob byli čtyři maďarští novináři, pracující pro nezávislá média. V červenci 2021 byl tajně napaden telefon fotografa Dániela Németha, a to formou nainstalování softwaru Pegasus. Németh byl spoluautorem oceňovaného článku Átlátszó, jenž odhalil, že maďarská vládní elita včetně Orbána používá luxusní jachty a soukromá letadla registrovaná v zahraničí. Kromě toho se zjistilo, že v roce 2019 byl pomocí Pegasu také několikrát napaden telefon Brigitty Csikász, tehdejší novinářky časopisu Átlátszó.

Mezi další cíle této špionáže patřili maďarští veřejní činitelé, právníci, politici a podnikatelé, například majitel mediální společnosti Central Media Group. Terčem se stal i jeden zahraniční student Středoevropské univerzity. Nevládní organizace s názvem Maďarský svaz občanských svobod (HCLU) zahájila jménem několika postižených špionážním softwarem Pegasus různá soudní řízení. 

Podle maďarského média Direkt36 hlasoval Výbor pro národní bezpečnost maďarského parlamentu o pořízení špionážního softwaru na uzavřeném zasedání, vyžádaném zvláštní službou pro národní bezpečnost. Politik maďarské vládní strany Lajos Kósa pořízení softwaru sice přiznal, avšak uvedl, že sledování bylo prováděno na základě zákona. Podrobnosti nejsou známy, protože zápis z tohoto jednání Výboru pro národní bezpečnost je až do roku 2050 tajný. Zpráva vydaná maďarským Národním úřadem pro ochranu údajů a svobodu informací (NAIH) konstatovala, že všechny případy sledování splňovaly zákonná kritéria a bylo nutné je provést z důvodů národní bezpečnosti.  

Přečtěte si

Špehovaní novináři a podezřelí politici. Maďarsko dva roky po kauze Pegasus

Maďarsko současně odmítlo spolupracovat se zvláštním výborem Evropského parlamentu pro špionážní software Pegasus. Zástupci výboru požádali o schůzku s ministryní spravedlnosti Judit Vargou, zatím však nedostali žádnou odpověď. 

Kromě aféry s Pegasem vyšlo loni najevo, že maďarští diplomaté vyslaní do evropských zemí pravidelně shromažďovali informace o cestách nezávislých maďarských novinářů, mezi nimiž byli i dva novináři z Átlátszó, a zároveň aktivně umožňovali pobyty v zahraničí lidem spojených s provládními médii.

Black Cube na diskreditaci novinářů

Pegasus ovšem není jediná negativní maďarská zkušenost se špionážními softwary či jinou formou špehování. Na základě zprávy výzkumníků z torontské Citizen Lab a dokumentů WikiLeaks informoval Átlátszó v roce 2013 o tom, že maďarská tajná služba patří mezi uživatele systému FinFisher, tedy softwarového balíku běžně používaného ke sledování politických oponentů a nevládních organizací. V roce 2015 soubory uniklé z italské komerční špionážní společnosti Hacking Team zase odhalily, že Maďarsko je jejím klientem od roku 2008. Za služby zaplatilo téměř dva miliony eur (přes 48 milionů korun).

V letech 2017 až 2018 kontaktovali maďarské nevládní organizace a jednotlivce agenti pod falešnou identitou s cílem zdiskreditovat je během volební kampaně v roce 2018. Na kampani se jménem maďarské vlády podílela izraelská soukromá zpravodajská společnost Black Cube. Během zasedání Výboru pro národní bezpečnost pak poslanci Fideszu zabránili zařazení případu Black Cube na program jednání. V loňském roce Átlátszó zjistil, že tajné zpravodajské metody, které nesly prvky Blac Cube, byly použity v rámci difamační kampaně Viktora Orbána proti nevládním organizacím, neboť se cíleně zaměřily na novináře, odborníky a politické analytiky. Videorozhovory pořízené za podezřelých okolností byly posléze prezentovány v provládních novinách jako závažná odhalení.

Přečtěte si

Sledovaný novinář Panyi: Postavili mě na stejnou úroveň jako nebezpečného zločince

Od Pegase k Predátorovi

V roce 2017 polské tajné služby za špionážní software Pegasus zaplatily osm milionů eur (přes 192 milionů korun). Většina peněz pocházela z Fondu spravedlnosti (oficiálně určeného na podporu obětí trestných činů), na nějž dohlíží ministr spravedlnosti Zbigniew Ziobro. Fakturu pro izraelského výrobce NSO Group vystavil Ústřední protikorupční úřad, který je přímo podřízen vládě.

Podle výzkumníků CitizenLab z Torontské univerzity sledujících globální byznys se špionážními nástroji a novinářů agentury Associated Press (AP) byli mezi lidmi, jež Pegasus v Polsku sledoval, i Roman Giertych, právník a jeden z největších kritiků vládnoucí strany, a prokurátorka Ewa Wrzosek, rovněž kritická vůči vládní politice.

Telefon Krzysztofa Brejzy, senátora za opoziční Občanskou koalici a v době útoku šéfa štábu opozičního prezidentského kandidáta, který nakonec volby těsně prohrál, byl hacknut třiatřicetkrát. Jak odhalili novináři televize TVN Superwizjer, díky programu Pegasus získaly tajné služby přístup k politikovým zprávám, telefonním hovorům a soukromým fotografiím. Analýzy CitizenLab ukázaly, že na dlouhém seznamu sledovaných se objevily i osoby, o jejichž aktivitách chtěla polská vláda vědět co nejvíce, například úředníci Nejvyššího kontrolního úřadu, lídr zemědělské organizace AgroUnia, jež se postavila proti vládě, nebo podnikatelé poskytující PR služby lidem a společnostem spojeným s úřady.

Přečtěte si

Vlády špehovaly spywarem novináře, aktivisty i disidenty

V květnu 2023 vydal evropský výbor PEGA doporučení o dohledu nad používáním špionážních softwarů v Polsku. Doporučení se částečně shodují se závěry zprávy  Osiodłać Pegaza (Osedlat Pegase), kterou v září 2019 vypracovala polská nadace na ochranu soukromí Panoptykon. Výbor PEGA mimo jiné doporučuje, aby Polsko obnovilo nezávislou kontrolu nad tajnými službami i systém jejich parlamentního dohledu, implementovalo evropskou směrnici na ochranu oznamovatelů, zahájilo vyšetřování používání Pegasu a obnovilo plnou nezávislost soudnictví.

Nic však nenasvědčuje tomu, že by se Polsko doporučeními PEGA zabývalo. Vláda sjednocené pravice se s poslanci Evropského parlamentu zasedajícími ve výboru důsledně odmítá setkat.

Podobně jako v Maďarsku nebyl ani v Polsku Pegasus jediným používaným spywarem. Podle CitizenLab byl v zemi aplikován i software Predator, vyvinutý společností Cytrox ze Severní Makedonie.

V souvislosti s tímto programem vypukl v červenci 2022 skandál v Řecku, kde byl špionážní software Predator využíván vůči novinářům a opozičním politikům. Tamní parlamentní vyšetřovací komise zjistila, že za dodávkami softwaru řecké vládě stojí dva podnikatelé a polský právník-podnikatel s obchodními vazbami na oba muže. Jak odhalilo médium Frontstory.pl., zmiňovaný právník Stanisław Pelczar, je tím, kdo pravděpodobně zprostředkoval nákup Predatoru pro řeckou policii, což ale v rozhovoru s novináři popřel. 

Přečtěte si

Pegasus mohl ovlivnit parlamentní volby v Polsku

Mafiánský kodex mlčení zemí EU se rozšířil i do Rumunska

V roce 2016 otřáslo Rumunskem odhalení, že vrchní státní zástupce Národního protikorupčního úřadu byl špehován společností Black Cube. Případem se zabýval i evropský výbor PEGA.

Rumunské médium Contex.ro se pokusilo vypátrat, zda a jaký typ spywaru rumunská vláda v uplynulém desetiletí zakoupila a používala. Ministerstvo zahraničních věcí (MAE) ale odmítlo poskytnout informace, které Context.ro požadoval ohledně používání špionážního softwaru institucemi v Rumunsku. Stejné ministerstvo mělo poskytnout údaje také výboru PEGA, jenž rovněž podal podobnou oficiální žádost.

Rumunsko a další státy EU se rozhodly s výborem nespolupracovat, což zpravodaj PEGA kritizoval jako nedostatečnou transparentnost členských vlád EU. „Skutečnost, že se vlády jako skupina rozhodly neodpovědět a nespolupracovat, je velmi relevantní. Já tomu říkám omerta. Je to termín, který používá italská mafie, když se rozhodne mlčet,“ uvedla poslankyně Evropského parlamentu Sophie in ‚t Veld pro Context.ro.

Předběžná zpráva výboru PEGA zjistila, že ve všech členských státech EU byly používány komerční spywarové produkty: „S vysokou mírou jistoty můžeme říci, že všechny členské státy EU zakoupily jeden nebo více komerčních spywarových produktů.“ 

V roce 2015 zveřejnilo rumunské médium Rise Project podrobnosti o tom, že italský výrobce špionážního softwaru Hacking Team má vazby na několik rumunských zpravodajských služeb a komerčních společností. Podle Rise Project interní korespondence společnosti Hacking Team zveřejněná po útoku jiných hackerů ukázala, že o špionážní software této společnosti měli zájem zástupci rumunských tajných služeb SRI, armádní zpravodajské služby (DGIA) a oddělení Generálního inspektorátu rumunské policie.

Prodejní akce NSO v Praze

Server E15 nedávno informoval o tom, že špionážní software Pegasus zakoupila i česká vláda. Že by Česká republika měla tento sledovací software vlastnit, tvrdí také oficiální zpráva vyšetřovací komise Evropského parlamentu. Podle webu E15 měla o prodeji Pegasu České republice projevit zájem izraelská společnost NSO Group.

„Není mi známo, že by český stát tento software někdy koupil. Nikdy jsem nepracoval pro NSO Group ani pro příslušné složky českého státu, které mohou podobné nástroje nakupovat a používat,“ uvedl pro investigaci.cz poradce pro národní bezpečnost Tomáš Pojar. Na otázku, která instituce v České republice zaručuje, že špionážní software typu Pegasus nebude použit proti novinářům nebo aktivistům, odpověděl jednoduše – Česká republika je právní stát. „Z mého pohledu není absolutně žádný důvod vytvářet nějaké další instituce,“ uzavřel Pojar.

V Praze se každoročně koná konference ISS World Europe zaměřená na kybernetickou kriminalitu a špionáž, kde se setkávají lidé z orgánů činných v trestním řízení a zpravodajských služeb s prodejci těchto sofistikovaných nástrojů a softwarů. V roce 2021 konferenci sponzorovala právě společnost NSO Group.

Přečtěte si

Projekt Pegasus: Následky odhaleného špehování

Slovenské úřady o používání Pegasu mlčí

V minulosti se ve slovenských médiích objevily informace o tom, že tamní tajné služby získaly špionážní software. Nikdy to ale nebylo oficiálně potvrzeno.

Na základě informací z WikiLeaks z roku 2014 Slovenská republika údajně zakoupila sledovací systém FinFisher od společnosti Gamma Group. O rok později unikla prostřednictvím WikiLeaks e-mailová komunikace italské společnosti Hacking Team. Vyplynulo z ní, že Slovensko mělo zájem o její softwarové řešení Galileo. Žádný z nákupů nebyl oficiálně potvrzen.

Využití FinFisheru na Slovensku potvrdila letošní zpráva Evropského parlamentu. „Můžeme potvrdit, že uvedený systém v resortu obrany nepoužíváme a ani jsme ho nepoužívali,“ zní však vyjádření slovenské vojenské rozvědky z roku 2021, které zveřejnil server Zive.SK.

Slovenská informační služba (SIS) se k možnému použití systému Pegasus odmítla vyjádřit. Odvolala se na právní překážku, jež SIS údajně zakazuje potvrdit nebo vyvrátit jeho případné nasazení.

Přečtěte si

Rok po projektu Pegasus. Špionážní systém se ve světě používá dál

Bulharsko jako hostitel špionážní společnosti

Bulharské tajné služby dlouhodobě používají špionážní systémy FinFisher a FinSpy. Další podobný software se pokoušely získat od společnosti HackingTeam, dohoda však ztroskotala. V roce 2013 po odhalení, že mobilní chytače IMSI (IMSI Catcher), které ministerstvo vnitra nakoupilo za peníze EU, byly používány k nezákonnému špehování politiků, vypukl skandál. Chytače IMSI jsou stanice mobilních operátorů předstírající, že jsou legálními stanicemi. Telefon se tak připojí k podvodné mobilní stanici a je vystaven hackerským útokům a sledování. Prokuratura obvinila tři osoby, avšak později případ z úředních záznamů zmizel. 

Nedávné zprávy ukazují, že Bulharsko poskytlo prostor k obchodním operacím izraelské společnosti Circles, která nabízí nástroje pro hackování mobilních sítí. Circles nyní spadá pod společnost NSO Group. Podnikání společnosti Circles v současné době prosperuje, což vyplývá z rostoucího počtu zaměstnanců a mnohamilionových příjmů deklarovaných ve výročních zprávách společnosti. Používání softwaru Pegasus ale bulharskou vládou nebylo oficiálně potvrzeno. Probíhá však vyšetřování prokuratury, jejíž zdroje potvrzují, že ministerstvo vnitra tento software používalo. Současný generální prokurátor Borislav Sarafov nedávno prohlásil, že byl sledován soukromou skupinou na příkaz bývalého generálního prokurátora a svého konkurenta Ivana Geševa. Nebylo však jasné, zda se tak stalo za pomoci nějakého typu špionážního softwaru.

Tento článek vznikl jako součást projektu The Organised Crime and Corruption Watch. Na textu se podílelo sedm redakcí, které jsou součástí The Organised Crime and Corruption Reporting Project (OCCRP). Spolupracovali na něm novináři z: Investigace.cz (Česká republika), Bird.bg (Bulharsko), Frontstory.pl (Polsko), Rise Project (Rumunsko), Investigatívne centrum Jána Kuciaka – icjk.sk (Slovensko), Átlátszó (Maďarsko) a Context Investigative Reporting Project (Rumunsko). V každém dalším vydání této série se novináři budou zabývat tématy organizovaného zločinu nebo korupce.

Autorka české verze: Zuzana Šotová
Autorka úvodní grafiky: Lenka Matoušková

The post Zprávy o boji s evropskou korupcí: Jak země EU špehují své občany appeared first on investigace.cz.