Kryptoměnová burza Binance 3. listopadu 2026 popsala, jak útočníci odcizili aktiva v hodnotě přibližně 6,4 miliardy dolarů. Technicky je to známý příběh. Na pracovním počítači vývojáře se spustil program, který tam neměl co dělat. Stejně může takový útok začít v jakékoli firmě, jen místo kryptopeněženek skončí u sdílených disků, serverů a účtů v cloudu.

Co se stalo

Popis vychází z vyjádření burzy z 3. listopadu 2026, jak ho shrnuly odborné weby uvedené ve zdrojích. Útok měl dvě fáze a trval několik měsíců. Odhady odcizené částky se liší, burza mluví o přibližně 6,3 miliardy dolarů, analytická firma Elliptic o 6,43 miliardy.

Červen 2026. Inženýr z týmu, který spravuje infrastrukturu peněženek, hledal ve vyhledávači populární nástroj pro vývoj s umělou inteligencí. Stáhl si upravený instalátor správce balíčků Homebrew, tedy nástroje, kterým se na macOS instaluje software. Malware se spustil už při instalaci a zaměnil jednu komponentu vývojářského nástroje za svou verzi. Burza uvádí, že její nástroje na ochranu endpointů ho tehdy nerozpoznaly. Podezřelou aktivitu nakonec zachytila, vyměnila zařízení a obměnila přihlašovací údaje. Útočník už ale věděl, jakou roli inženýr má a s kým v týmu pracuje.

Září 2026. Útočník kontaktoval dalšího inženýra přes běžný pracovní portál, vydával se za projektového ředitele a nabídl mu práci. První kolo pohovoru proběhlo jako videohovor s personalistkou, která pro věrohodnost ukázala i svůj profil na sociální síti. Druhé kolo vedl v chatovací aplikaci člověk, který se představil jako ředitel firmy. Na konci dostal inženýr zadání k vyřešení, běžnou součást technických pohovorů. Repozitář s kódem si stáhl na pracovní počítač a kód se spustil při jeho přípravě. Antivirus malware nezachytil, útočník po sobě navíc mazal forenzní stopy.

Rozšíření a krádež. 20. října útočník z napadeného počítače zneužil interní nástroj s umělou inteligencí a získal kontrolu nad počítači dvou dalších inženýrů. Na jednom z nich našel token s oprávněním nasazovat kontejnery. 29. října mezi 17:15 a 19:56 se přihlásil na počítač třetího inženýra, s ukradenými údaji nasadil kontejner, spustil škodlivý skript a dostal se k interní službě, která podepisuje transakce peněženek. Transakce pak odešly mimo běžný proces výběrů. Podle zpravodajských webů připsala FBI krádež severokorejské skupině TraderTraitor.

Burza sama zdůrazňuje, že nešlo o jediné narušení ani o jednoduchý phishing. Za rok 2026 podle ní její tým odhalil 57 podezřelých případů spojených se Severní Koreou, od falešných pohovorů přes malware vydávaný za vývojářské nástroje a kompromitované balíčky a rozšíření prohlížeče až po falešné videokonferenční aplikace.

Proč to není jen problém kryptoburzy

Obě fáze mají společného jmenovatele. Uživatel na pracovním počítači stáhl a spustil program, který nikdo předem neschválil. Jednou instalátor z výsledků vyhledávání, podruhé kód ze zadání od falešného zaměstnavatele. Detekce v obou případech selhala, protože malware byl nový.

Ve firmě, která s kryptoměnami nepracuje, vypadá totéž obyčejněji. Falešná aktualizace prohlížeče, instalátor nástroje na úpravu PDF z prvního odkazu ve vyhledávači, makro v příloze, která se vydává za fakturu. Konec je stejný: na stanici běží kód útočníka a dál se jede po přihlašovacích údajích, tokenech a sdílených discích.

Uživatel nemá instalovat software

První opatření je nejnudnější a nejúčinnější. Běžný uživatel nemá na svém počítači práva lokálního správce a software si neinstaluje. Potřebný program dostane z interního katalogu aplikací nebo mu ho nasadí IT.

Má to dva důsledky. Útok, který potřebuje instalaci, narazí hned. A firma ví, co na stanicích běží, což je podmínka pro další krok. Výjimky se vždycky najdou, zejména u vývojářů, a právě proto je potřeba druhá vrstva.

Spustí se jen to, co je povolené

Antivirus a EDR blokují to, co rozpoznají jako škodlivé. Kontrola spouštění aplikací, anglicky application control nebo allowlisting, funguje obráceně. Spustit se smí jen to, co je na seznamu povoleného, všechno ostatní systém zablokuje bez ohledu na to, jestli to někdo zná. Tím se pokrývá i malware, který ještě nikdo neviděl. Microsoft na to má ve Windows tři nástroje a žádný z nich se nekupuje zvlášť.

Software Restriction Policies

Nejstarší z nich, dostupný přes Group Policy už od Windows Serveru 2003. Umí určit, které spustitelné soubory a skripty smí běžet, a zvládne i přísnou konfiguraci, kde se spustí pouze vyjmenované aplikace. Dokumentaci k němu Microsoft vede u starých verzí systému, naposledy u Windows 8.1 a Windows Serveru 2012 R2. Pro nové nasazení ho tedy nevolte. Pokud ho v domeně máte zapnutý z minulosti, berte ho jako historickou vrstvu, ne jako aktuální ochranu.

AppLocker

Přišel s Windows 7 a je ve Windows 10, 11 i v serverových verzích. Pravidla se dají postavit na podpisu vydavatele, na jménu produktu, jménu a verzi souboru, na cestě na disku nebo na hashi. Vztahují se na spustitelné soubory, skripty, instalátory, knihovny DLL i balíčkované aplikace. Oproti novějšímu nástroji má dvě výhody: pravidla lze přiřadit jednotlivým uživatelům a skupinám a stejnou politiku lze vynutit i na starších systémech. Nasazuje se přes Group Policy nebo přes správu mobilních zařízení (MDM).

Má i omezení, které stojí za to znát. Microsoft sám uvádí, že AppLocker je opatření do hloubky, ne plnohodnotná bezpečnostní funkce, u které by garantoval opravy obcházení. Nové funkce už nedostává, jen bezpečnostní opravy.

App Control for Business

Dříve se jmenoval Windows Defender Application Control (WDAC) a ještě předtím byl součástí Device Guardu. Přišel s Windows 10 a Microsoft ho vede jako bezpečnostní funkci podle servisních kritérií svého bezpečnostního týmu MSRC. Pravidla jde postavit na certifikátu, kterým je aplikace podepsaná, na metadatech souboru nebo jeho hashi, na reputaci aplikace podle služby Intelligent Security Graph, na identitě procesu, který instalaci provedl (managed installer), i na cestě na disku. Politika platí pro celé zařízení a pro všechny jeho uživatele. Nasazuje se přes Intune, Configuration Manager nebo PowerShell, přes Group Policy jen v omezené podobě.

Doporučení Microsoftu je jednoznačné. Kdo může kontrolu spouštění postavit na App Control, má to udělat. AppLocker se hodí tam, kde je v prostředí mix starších a nových Windows nebo kde je potřeba rozlišovat pravidla podle uživatelů na sdílených počítačích, a jako doplněk k App Control pro doladění.

Jak to zavést, aby to nezastavilo práci

  1. Zapněte politiku v režimu pouze audit a několik týdnů sbírejte, co se ve firmě skutečně spouští. Bez tohoto seznamu se pravidla napsat nedají.
  2. Z nasbíraných dat postavte pravidla. Základ tvoří podepsané aplikace od výrobců a interní aplikace, k nim patří krátký seznam výjimek.
  3. Vynucení zapněte nejdřív na jedné skupině, typicky na kancelářských počítačích bez vývoje, a pak postupujte dál.
  4. Pravidla podle cesty na disku držte na minimu. Adresář, do kterého smí uživatel zapisovat, povolit nejde, jinak si tam útočník soubor prostě položí.
  5. Vývojářské stroje řešte zvlášť. Výčet povoleného je tam nejtěžší a lepší cesta je oddělené prostředí nebo virtuální stroj na cizí kód, bez produkčních přístupů a tokenů.

Co k tomu umí EDR

Obdobné možnosti nabízejí i moderní nástroje EDR (detekce a reakce na endpointech), jen jinou cestou. V Microsoft Defenderu for Endpoint se dají zakládat indikátory souborů, tedy pravidla, která soubor podle hashe zablokují nebo naopak povolí. Blokovaný soubor nelze čtít, zapsat ani spustit. Platí to pro spustitelné soubory PE, tedy .exe a .dll, a vyžaduje to Microsoft Defender Antivirus v aktivním režimu a zapnutý výpočet hashe souborů. Blokaci podle hashe nebo podpisu a pravidla pro omezení plochy útoku má v nějaké podobě většina produktů EDR, liší se pojmenování a rozsah.

Platí tu ale omezení z úvodu článku. V tomto incidentu byl malware nový a nástroje na ochranu endpointů ho nerozpoznaly. Indikátory i detekce pomáhají teprve ve chvíli, kdy víte, co hledat. Kontrola spouštění aplikací je proto vrstva, kterou EDR nenahradí, a naopak.

Školení uživatelů a základní hygiena

Dvoukolový pohovor s videohovorem, profilem na sociální síti a člověkem, který se vydává za ředitele firmy, pozná málokdo. Cílem školení není, aby vaši lidé odhalili takovou operaci. Má jim dát základ, který funguje u útoků, jaké chodí každý týden.

Školení má smysl opakovat a doplnit phishingovou simulací, která ukáže, jak na tom firma reálně je. Zvlášť užitečné je školení pro IT a pro vedení, protože na ně míří ty pracnější útoky.

Co udělat teď

  1. Zjistěte, kolik uživatelů má na svém počítači práva lokálního správce, a odeberte je všem, kdo je k práci nepotřebují.
  2. Zapněte kontrolu spouštění aplikací v režimu pouze audit a zjistěte, co se ve firmě spouští.
  3. Projděte, co umí váš EDR, a zapněte blokaci podle hashe a pravidla pro omezení plochy útoku.
  4. Oddělte vývojářské a testovací stroje od prostředí, kde jsou produkční přístupové údaje a tokeny.
  5. Do školení zařaďte dvě věci: rozpoznání phishingu a pravidlo, že software na pracovní počítač instaluje jen IT.

Kde vám pomůžeme

Školení pro zaměstnance, IT i vedení a phishingovou simulaci děláme v rámci služby Security Awareness. S výběrem a nasazením nástrojů, včetně kontroly spouštění aplikací a EDR, pomůžeme v rámci výběru a nasazení technologií, nezávisle na jednom dodavateli. Pokud si chcete jen ověřit, kde začít, ozvěte se nám, úvodní konzultace je bezplatná.

Zdroje: The Hacker News, popis incidentu podle vyjádření burzy z 3. listopadu 2026 · BleepingComputer, falešný pohovor jako vstupní bod · Elliptic, odhad odcizené částky a atribuce · Microsoft Learn, App Control for Business a AppLocker · Microsoft Learn, Software Restriction Policies · Microsoft Learn, indikátory souborů v Defenderu for Endpoint