Postřehy z bezpečnosti: Discord šifruje, Instagram couvá a CISA pouští klíče ven

Discord oznámil, že všechny hlasové a videohovory uskutečněné prostřednictvím této komunikační platformy jsou nyní ve výchozím nastavení chráněny koncovým šifrováním (E2EE – End to End Encryption). Implementační fáze byla dokončena již v březnu a od té doby probíhalo rozsáhlé testování. Na základě jeho výsledků společnost Discord nyní nasazení E2EE oficiálně oznámila a začala odstraňovat část kódu klientských aplikací, která dosud zjišťovala alternativní podporu nešifrovaného spojení.

Discord je populární online platforma nabízející textovou komunikaci, hlasové hovory, videohovory, živé vysílání (livestreaming) a komunitní servery. Uživateli této sociální platformy jsou tradičně hráči online her, ale také jakékoli  komunity, například tvůrci mediálního obsahu a jejich fanoušci, novináři a jejich čtenáři, a obecně kdokoli, kdo hledá více či méně uzavřený prostor pro debatu. Odhaduje se, že Discord má 690 milionů registrovaných uživatelů a více než 200 milionů aktivních uživatelů měsíčně po celém světě.

Ke koncovému šifrování byl použit Discordem vyvinutý open-source protokol DAVE (Discord Audio Video Encryption), finálně upravený tak, aby podporoval všechny platformy, na kterých běží klienti Discordu, včetně desktopů, mobilních zařízení, webových prohlížečů, PlayStationu, Xboxu a Discord SDK. Šifrovací vrstva nyní pokrývá soukromé zprávy (DM – Direct Messages), skupinové zprávy, hlasové kanály a streamy Go Live.

Jedinou výjimkou zůstávají tzv. Stage kanály, protože jsou určeny pro velké veřejné přenosy, nikoliv pro soukromé konverzace. Pokud jde o možnost rozšíření DAVE i na textovou komunikaci (chat), Discord uvádí, že v současnosti takový krok neplánuje. Důvodem jsou významné technické překážky, protože textové funkce Discordu byly od základu navrženy s předpokladem nešifrovaného zasílání zpráv.

DAVE byl poprvé představen v září 2024 a kombinuje v sobě prvky již existujících bezpečnostních principů (WebRTC encoded transforms, Messaging Layer Security…). Použitý design a implementace byly auditovány nezávislou bezpečnostní společností Trail of Bits. Discord uvádí, že během vývoje bylo nutné překonat značné technické výzvy spojené s rozšířením DAVE na všechny podporované platformy a dosažením nízké latence, díky níž by měl být přechod na šifrovanou komunikaci pro uživatele prakticky nepostřehnutelný.

Jedním z uvedených příkladů byl problém s kompatibilitou ve webovém prohlížeči Firefox. Namísto prostého omezení podpory na ostatní prohlížeče se inženýři Discordu vydali cestou spolupráce s organizací Mozilla na odstranění problému – kterou si velmi pochvalují. Během jediného dne byli dle vlastních slov i díky kvalitě dokumentace a procesů správy kódu Firefoxu schopni připravit opravný kód (patch) a zaslat jej ke schválení. Po několika drobných úpravách byl v Mozille přijat a od verze 142.0 je v prohlížeči aplikován.

Tento přístup, tedy snaha o zajištění soukromí uživatelů, ovšem není v oblasti sociálních sítí přijímaný jednohlasně. Instagram začátkem května ukončil koncové šifrování přímých zpráv (DM) mezi uživateli, které ovšem i tak bylo dosud možno aktivovat jen na principu opt-in, tedy uživatel si jej musel explicitně zapnout. Vlastník Instagramu, společnost Meta, jako jeden z důvodů uvádí, že tuto vlastnost využívalo jen minimum uživatelů. Dále uvádí, že zprávy jsou nadále chráněny „standardním šifrováním“, tedy pomocí TLS (Transaction Layer Security) během přenosu od uživatele na servery Mety a zpět. Na nich už je ovšem technicky vzato jejich obsah dostupný v čitelné podobě. Další známé produkty Mety, WhatsApp a Messenger, koncové šifrování naopak aktuálně stále používají. 

Další velký hráč, čínský ByteDance, ve své sociální síti Tik-Tok E2EE nikdy nenabízel a nabízet nehodlá. Je to tak prý proto, aby bezpečnostní týmy a státní orgány měly v případě potřeby ke konverzacím přístup, mimo jiné (ne)překvapivě z důvodu “ochrany mladistvých před nebezpečím“. A také zde se odkazuje na “standardní“", tedy TLS šifrování během přenosu – přičemž uvádí, že používá “stejnou ochranu zpráv, jako např. Gmail“.

Ovšem ani komunikace za použití renomovaných aplikací, které podporují koncové šifrování, nemusí být bezpečná. Polská vláda oznámila že registruje významný nárůst počtu útoků na účty v síti Signal, které patří významným politikům, zástupcům obranných složek, státním úředníkům. V reakci na to je vyzývá k přechodu na národní komunikační platformy mSzyfr a SKR-Z, přičemž druhá z nich je veřejně nepřístupná, uzavřená na okruh zaměstnanců příslušných institucí, a pouze přes ně lze získat pozvánku nutnou k zřízení účtu.

Důležité v tomto kontextu je ovšem zmínit, že útoky (které jsou přičítány ruským hackerským skupinám) se nesnaží prolomit samotné koncové šifrování Signalu, ale cílí na jeho uživatele metodami sociálního inženýrství ve snaze přimět je k provedení akcí, které vyústí v převzetí účtu. Ukazuje se tak znovu, že bez ohledu na kvalitu a odolnost šifrovacích metod nadále zůstává nejslabším článkem uživatel.

CISA a půl roku veřejné klíče

Americká agentura CISA, odpovědná za kybernetickou bezpečnost federálních institucí, čelí kritice po odhalení veřejně dostupného GitHub repozitáře obsahujícího citlivé přístupové údaje a interní infrastrukturní data. Na incident upozornil výzkumník Guillaume Valadon ze společnosti GitGuardian. Repozitář s názvem „Private-CISA“ byl podle zjištění veřejně přístupný přibližně šest měsíců. Obsahoval AWS klíče, GitHub tokeny, Kubernetes konfigurace, Terraform skripty i hesla uložená v čitelné podobě. Výzkumníka zaujaly také názvy souborů jako „Important AWS Tokens.txt“ nebo „AWS-Workspace-Firefox-Passwords.csv“.

Valadon uvedl, že nejprve předpokládal, že jde o podvrh nebo záměrně nastražený honeypot, množství citlivých dat však nakonec označil za pravé. GitGuardian incident nahlásil 14. května a CISA repozitář následující den odstranila. Agentura uvedla, že incident vyšetřuje a zatím neexistují důkazy o zneužití uniklých údajů. Bezpečnostní experti nicméně upozorňují, že zveřejněná data mohla poskytnout detailní vhled do interní infrastruktury a deployment procesů CISA. Další otázky vyvolává skutečnost, že repozitář byl vytvořen pomocí osobního GitHub účtu a při commitech se střídaly pracovní i soukromé e-mailové adresy. Právě podobné prolínání osobních a firemních identit bývá podle bezpečnostních expertů častým zdrojem závažných úniků dat.

Policie zastavila službu First VPN

Mezinárodní policejní operace ukončila provoz VPN služby s názvem First VPN, která byla cíleně využívána k zakrývání ransomwarových útoků, rozsáhlých podvodů a krádeží dat. Akci nazvanou Operation Saffron koordinovaly Francie a Nizozemsko za podpory Europolu a Eurojustu, přičemž se do ní zapojilo celkem 27 zemí.

Na rozdíl od běžných komerčních VPN, které se zaměřují na ochranu soukromí legitimních uživatelů, byla First VPN inzerována přímo na hackerských fórech, včetně nejméně dvou rusky mluvících marketplaců. Služba svým zákazníkům slibovala, že nebude spolupracovat s žádným justičním orgánem, nebude uchovávat žádná uživatelská data a nebude spadat pod žádnou jurisdikci — sliby, které se ukázaly jako nepravdivé. 

Klíčovým momentem celé operace bylo, že se orgánům podařilo do služby proniknout ještě předtím, než byla odstavena. Díky tomu získaly přístup k provozním a komunikačním datům uživatelů, kteří byli přesvědčeni, že své aktivity provádějí v bezpečném prostředí. Vyšetřování přitom běží už od konce roku 2021.

Samotný zásah proběhl ve dnech 19. a 20. května 2026. Vyšetřovatelé zabavili a vyřadili z provozu 33 serverů, odstavili primární domény (1vpns.com, 1vpns.net, 1vpns.org) i přidružené onion adresy a vyslechli podezřelého správce služby na Ukrajině, kde proběhla i domovní prohlídka. Uživatelům, kteří se následně pokusili ke službě připojit, se zobrazuje oznámení o zabavení.

Na Europolu vznikla operativní pracovní skupina sdružující vyšetřovatele z 16 zemí. Ta zpracovala 83 zpravodajských balíčků sdílených s probíhajícími mezinárodními vyšetřováními a identifikovala 506 konkrétních uživatelů, jejichž data byla předána partnerským agenturám po celém světě. Podle Europolu se First VPN stala hluboce zakořeněnou součástí kyberkriminálního ekosystému a objevovala se prakticky v každém větším vyšetřování, které agentura v posledních letech podporovala.

Případ dobře ilustruje obecnější posun v přístupu vymáhání práva — důraz se přesouvá od stíhání samotných pachatelů k cílené likvidaci infrastruktury, na které je kyberkriminalita závislá. Pro provozovatele a obránce sítí z toho plyne praktická připomínka: deklarovaná „no-logs" politika a příslib ignorování soudních příkazů nejsou žádnou technickou zárukou anonymity, pouze marketingovým tvrzením.

Interpol spustil razii v regionu Blízkého východu a severní Afriky

Interpol uzavřel vůbec první rozsáhlou mezinárodní operaci zaměřenou na kyberkriminalitu v regionu Blízkého východu a severní Afriky. Akce s názvem Ramz probíhala od října 2025 do konce února letošního roku a zapojilo se do ní třináct států. Výsledkem je zadržení 201 osob, identifikace dalších 382 podezřelých a zajištění asistence pro tisíce obětí internetových podvodů.

Vyšetřovatelé se soustředili primárně na phishingové kampaně, distribuci malwaru a provoz podvodných investičních platforem. Během operace bylo lokalizováno a odstaveno nebo zabaveno 53 serverů využívaných k trestné činnosti, přičemž bezpečnostní složky v rámci mezinárodní spolupráce sdílely téměř osm tisíc zpravodajských záznamů a operačních dat. Podle vyjádření Interpolu se jednalo o historicky první takto koordinovaný zásah proti kybernetické kriminalitě v regionu.

Jedním z nejzajímavějších případů byl zásah v Jordánsku, kde policie odhalila podvodnou investiční platformu fungující na principu náhlého ukončení činnosti a zpronevěry vkladů. Při razii kriminalisté zadrželi patnáct operátorů, kteří podvody prováděli, později se ale ukázalo, že sami byli oběťmi obchodování s lidmi. Do Jordánska je podle vyšetřovatelů nalákali falešnými pracovními nabídkami z Asie a po příjezdu jim zabavili pasy. Dva organizátoři celé operace skončili ve vazbě.

Další zásahy proběhly v Alžírsku, kde policie zlikvidovala platformu nabízející phishingové útoky „na klíč“ a zatkla jednoho podezřelého. V Maroku úřady zajistily počítače a disky obsahující bankovní data i software k phishingovým podvodům. V Ománu vyšetřovatelé odstavili napadený soukromý server a v Kataru zabezpečili infikované počítače zneužívané k šíření škodlivého obsahu bez vědomí jejich majitelů.

Na realizaci operace Ramz se vedle Interpolu podílely také soukromé společnosti Kaspersky, Team Cymru a Group-IB. Do akce se zapojily Alžírsko, Bahrajn, Egypt, Irák, Jordánsko, Libanon, Libye, Maroko, Omán, Palestina, Katar, Tunisko a Spojené arabské emiráty.

Ve zkratce

• Cisco Systems opravilo chybu v rozhraní REST API platformy Cisco Secure Workload s hodnocením CVSS 10.0
• Microsoft vydal nápravná opatření pro zranitelnost YellowKey v BitLockeru
• Steam odstranil hru Beyond The Dark, která obsahovala malware na krádež dat
• Grafana uvedla, že útočníci získali zdrojové kódy po zneužití přístupového GitHub tokenu
• GitHub vyšetřuje únik více než 3 800 interních repozitářů po kompromitaci zařízení zaměstnance

Pro pobavení

O seriálu

Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…