Analýza Cisco Talos mapuje druhé čtvrtletí roku 2026

Nejvýraznějším trendem byl prudký nárůst phishingu jako hlavní vstupní brány do firemních sítí - objevil se ve více než polovině všech zásahů oproti třetině případů v prvním kvartálu 2026. Útočníci také čím dál obratněji obcházejí vícefaktorové ověřování (MFA), které selhalo v 65 % útoků. Na hackerské scéně navíc sílí trend pronájmu phishingových nástrojů as-a-service.

Cisco Talos Intelligence Group

Nejnovější zpráva agentury Cisco Talos se ve svých reportech opírá o data ze systémů Cisco nasazených po celém světě a má tak k dispozici jednu z největších databází s údaji o internetovém provozu a incidentech.

"Nárůst zneužití autentizace z 35 na 65 % je jedním z nejvýraznějších čísel, jaké jsme v posledních čtvrtletích zaznamenali. Útočníci si osvojili techniky obcházení vícefaktorového ověřování a kombinují je s důmyslnějším phishingem - od PDF dokumentů s QR kódy až po sofistikované platformy typu Phishing-as-a-Service," říká Milan Habrcetl, Cyber Security Specialist společnosti Cisco Česká republika.

Phishing roste díky QR kódům i nové platformě k pronájmu phishingových nástrojů

Od dubna 2026 tým expertů Cisco Talos monitoruje rozsáhlou phishingovou kampaň zaměřenou především na australské organizace. Útočníci rozesílají na míru vytvořené PDF dokumenty s QR kódy odkazujícími na podvodné přihlašovací stránky Microsoft 365. Ještě na konci června 2026 kampaň pokračovala a šířila se prostřednictvím napadených firemních e-mailových schránek.

Talos zároveň odhalil platformu ARToken pro PaaS (Phishing-as-a-Service). Ta útočníkům nabízí API více než 80 koncových zařízení. Umožňuje krádež přihlašovacích tokenů, přístup k e-mailům, podvody typu "business email compromise" i exfiltraci dat ze SharePointu.

ARToken přesahuje rámec typické phishingové sady tím, že poskytuje svým partnerům komplexní paletu nástrojů pro fázi po kompromitaci, včetně správy OneDrive a SharePointu, geodynamických šablon nebo manipulace s pravidly doručené pošty.

Ransomware stagnuje, útočníci sázejí na nové nástroje

Ransomware tvořil v Q2 přes 20 % všech zásahů, podobně jako minulý kvartál. Tým Talos poprvé zasahoval proti ransomwaru Sinobi, který zneužil trojanizovaný MeshAgent (MeshCentral) k vytvoření zadních vrátek a třídennímu nepozorovanému přístupu před nasazením ransomwaru.

Skupina Warlock zase využila nástroj Zoho Assist Unattended Agent pro vzdálené ovládání bez přihlášeného uživatele.

Zdravotnictví pod tlakem už druhé čtvrtletí v řadě

S podílem 17 % bylo zdravotnictví hackersky nejatraktivnějším odvětvím, a to podruhé v řadě. Za ním následovala veřejná správa a výrobní průmysl, každý s 14 %. Lékařská zařízení, úřady a továrny spojuje jejich nízká tolerance k výpadkům provozu.

Naprostou většinu napadených zdravotnických organizací tvořily subjekty přímo podporující klinický provoz nebo diagnostiku, kde výpadek IT systémů ohrožuje péči o pacienty.

Mezi zasaženými úřady veřejné správy převažovaly místní samosprávy poskytující základní veřejné služby, zatímco napadené výrobní podniky představovaly klíčové články průmyslových dodavatelských řetězců.

Doporučení pro vyšší kybernetickou bezpečnost

Na základě dat za druhé čtvrtletí 2026 formulovali experti Cisco Talos čtyři klíčová doporučení, která mohou organizacím pomoci výrazně posílit jejich kybernetickou odolnost.

Zaveďte MFA odolné proti phishingu a zpřísněte ověřování

Zneužití autentizace bylo ve druhém čtvrtletí nejčastějším bezpečnostním nedostatkem. Útočníci obcházeli MFA např. pomocí proxy serverů Adversary-in-The-Middle, krádeží tokenů nebo útoků založených na únavě z notifikací.

Doporučujeme přechod od MFA založeného na SMS a push notifikacích k metodám odolným proti phishingu, jako je FIDO2/WebAuthn a hardwarové bezpečnostní klíče. Stejně důležité je omezit samoobslužnou registraci nových zařízení a vyžadovat ověření přes helpdesk.

Centralizujte logování s dostatečnou dobou uchovávání

Nedostatečné logování komplikovalo vyšetřování ve 42 % případů oproti 18 % v minulém čtvrtletí. Doporučujeme nasadit centralizované řešení typu SIEM s dobou uchovávání záznamů alespoň 90 dní a logy přesouvat mimo koncová zařízení, aby přežily i jejich případné smazání útočníkem.

Důsledně záplatujte a vyřazujte zranitelnou infrastrukturu

Zranitelná nebo neopravená infrastruktura připojená k internetu stála za 31 % zásahů (dříve 25 %). Útočníci zneužívali mimo jiné zranitelnosti ToolShell, starší chyby v Telerik UI a slabiny v zařízeních SD-WAN a VPN.

Čas mezi zveřejněním zranitelnosti a jejím zneužitím se dále zkracuje. Zásadní je proto rychle opravovat, vyřazovat nebo alespoň izolovat ohrožené systémy a omezit správu a vzdálený přístup jen na důvěryhodné zdroje.

Snižte limity pro odchozí e-maily

Neomezené odesílání e-mailů umožnilo šíření útoků téměř v 15 % případů. Experti Cisco Talos zdokumentovali i případ, kdy krátce po získání přístupu odeslali útočníci z kompromitovaného účtu přes 6600 phishingových a spamových zpráv.

Omezení počtu odchozích e-mailů je levné opatření s velkým dopadem. Dokáže narušit dynamiku útoku a tím zmírnit jeho škody.