cs 
Ještě před několika lety se phishing spojoval především s podezřelým e-mailem, odkazem vedoucím na falešnou stránku a pokusem o získání hesla. Tento model je stále aktuální, ale stále méně vystihuje způsob, jakým moderní útoky začínají a vyvíjejí se.
Kyberzločinci využívají umělou inteligenci ke zvyšování rozsahu a personalizace útoků a zároveň přesouvají sociální inženýrství do kanálů, které zaměstnanci používají každý den – jako jsou Microsoft Teams, WhatsApp nebo jiné platformy pro spolupráci. Útok může začít zdánlivě běžnou konverzací a následně se přesunout do systémů pro správu identit, cloudu, endpointu nebo lokální infrastruktury.
Z toho vyplývá, že pokud se mění způsob, jakým jsou útoky prováděny, musí se změnit i způsob jejich detekce.
AI mění rozsah kybernetických útoků
Jednou z nejvýznamnějších změn je využívání generativní AI kyberzločinci.
Ještě nedávno vyžadovala příprava přesvědčivé, personalizované kampaně značné množství času a práce. Dnes může AI podporovat tvorbu obsahu přizpůsobeného konkrétnímu příjemci, jazyku a kontextu. Europol upozorňuje, že generativní AI může rozšiřovat možnosti kyberzločinců v oblasti sociálního inženýrství a tvorby přesvědčivějších podvodů. [1]
Nejde přitom pouze o zlepšení gramatiky phishingové zprávy. Mnohem důležitější je možnost automatizace, personalizace a škálování útoku. To mění ekonomiku kyberkriminality. Útočník může připravit větší počet variant zpráv, rychleji je přizpůsobovat jednotlivým příjemcům a vést útoky v mnohem větším měřítku. Tradiční varovné signály – jako jsou jazykové chyby nebo nepřirozený styl zprávy – proto přestávají být dostačující.
Jinou technikou, která ztěžuje rozpoznání phishingových útoků, jsou homograph attacks. Útočníci mohou využívat vizuálně podobné znaky z různých abeced, například znaky cyrilice připomínající latinská písmena, a vytvářet tak falešné domény, uživatelská jména nebo odkazy, které na první pohled působí důvěryhodně. V kombinaci s phishingem může tato technika způsobit, že škodlivý odkaz nebo odesílatel bude vypadat téměř identicky jako důvěryhodný, čímž se zvyšuje pravděpodobnost, že na něj uživatel zareaguje. Jde o další příklad toho, jak moderní phishing překračuje hranice zjevných varovných signálů a stále více využívá nenápadné formy vydávání se za někoho jiného a podvodu.
Phishing se přesouvá mimo e-mail
Druhá významná změna se týká komunikačního kanálu.
E-mail zůstává jedním z nejdůležitějších vektorů útoku, ale už není jediným místem, kde se kyberzločinci snaží získat důvěru uživatele. Stále větší význam mají platformy pro spolupráci a komunikační aplikace.
Microsoft ve svých analýzách z roku 2026 poukazuje na rostoucí využívání Microsoft Teams k provádění útoků založených na sociálním inženýrství. V jednom z popsaných případů se útočníci vydávali za pracovníky IT oddělení a kontaktovali uživatele prostřednictvím Teams. Nakonec přesvědčili jednoho z uživatelů, aby spustil nástroj Quick Assist a poskytl vzdálený přístup ke svému zařízení. [2]
V jiném scénáři analyzovaném Microsoftem útočníci využívali externí komunikaci v Teams, vydávali se za pracovníky helpdesku a po získání přístupu se pokoušeli pohybovat v prostředí organizace a získat přístup k cenným datům. [3]
Další příklad ukazuje, že komunikační aplikace mohou být využívány k budování vztahu s potenciální obětí ještě před samotnou fází útoku. Microsoft popsal kampaň, ve které kyberzločinci využívali prostředí připomínající WhatsApp, Signal a Teams, aby si získali důvěru obětí, a následně je směřovali k dalším fázím phishingového útoku. [4]
To ukazuje důležitou změnu: phishing už nemusí vypadat jako phishing. Může mít podobu konverzace, telefonátu, žádosti o pomoc, pozvánky na schůzku nebo zprávy od osoby vydávající se za kolegu.
Od jediné zprávy k celému řetězci útoku
Problémem však není jen to, že se objevují nové komunikační kanály. Největší výzvou je to, co se děje následně. Moderní útok může vypadat například tkto:
komunikační aplikace → uživatel → identita → cloud → endpoint → síť → data
První fáze může působit zcela neškodně. Skutečný obraz situace odhalí až následující události. Například neobvyklá konverzace v Teams sama o sobě nemusí znamenat incident. Stejně tak jednotlivé neobvyklé přihlášení nebo spuštění administrativního nástroje nemusí být vždy škodlivé. Totéž platí pro návštěvu neznámé domény uživatelem – bez dalšího kontextu je obtížné určit, zda jde o legitimní aktivitu, nebo součást útoku.
Útok využívající homograph attack je dobrým příkladem tohoto problému. Podezřelou doménu může být pro uživatele obtížné odlišit od legitimní domény a jednotlivý síťový požadavek nemusí poskytovat dostatečný kontext k potvrzení, že probíhá útok. Teprve jeho propojení s dalšími událostmi – například s informací o uživateli, který k doméně přistoupil, s aktivitou související s autentizací nebo s následnými událostmi na endpointu a v síti – může odhalit úplný obraz situace.
Pokud se však všechny tyto události týkají stejného uživatele a dochází k nim v určitém pořadí, mohou společně vytvářet ucelený obraz útoku. Právě proto je stále důležitější nejen detekce jednotlivých událostí, ale také jejich korelace. Otázka už nezní pouze: „Došlo k něčemu podezřelému?“ Stále častěji bychom se měli ptát: „Jsou tyto zdánlivě nezávislé události součástí stejného útoku?“
Distribuované prostředí vyžaduje širší perspektivu
Odpověď na tuto otázku dále komplikuje složitost moderních IT prostředí. Organizace současně využívají lokální infrastrukturu, cloudové služby, SaaS aplikace, koncová zařízení, systémy pro správu identit a řadu bezpečnostních nástrojů. Informace o aktivitě uživatelů a systémů jsou proto rozptýleny. Stejný incident může zanechat stopy na několika různých místech:
- v systému pro správu identit,
- v Microsoft 365,
- na endpointu,
- v cloudu,
- na firewallu,
- v podnikové aplikaci.
Pokud je každý z těchto zdrojů analyzován samostatně, lze snadno přehlédnout souvislosti mezi jednotlivými událostmi. To je jeden z důvodů, proč se bezpečnostní architektury stále více posouvají směrem k větší integraci a centralizovanému řízení.
Hybrid Mesh Firewall – bezpečnost ve stále více distribuovaném světě
Gartner uvádí, že rozvoj hybridních IT prostředí mění požadavky na firewally a zvyšuje potřebu sjednocení správy firewallové infrastruktury napříč lokálními a cloudovými prostředími. V této souvislosti se rozvíjí koncept Hybrid Mesh Firewall (HMF). [5]
Neznamená to však, že Hybrid Mesh Firewall řeší problém phishingových útoků vedených prostřednictvím Teams nebo WhatsApp. Jeho význam v kontextu tohoto tématu je širší: ukazuje, že bezpečnostní infrastruktura se musí přizpůsobit prostředí, které již nemá jediné centrum ani jednu jasně definovanou síťovou hranici. Firewall je pouze jedním z prvků tohoto prostředí.
Ve větších a více distribuovaných infrastrukturách mohou řešení, jako je ManageEngine Firewall Analyzer, poskytovat centralizovaný přehled o fungování a konfiguraci firewallů. Nenahrazují však širší analýzu událostí pocházejících z různých vrstev prostředí. A právě zde začíná další úroveň problému.
Samotná viditelnost nestačí – je potřeba korelace
Pokud se útok může přesouvat mezi komunikační aplikací, systémem pro správu identit, cloudem, endpointem a sítí, bezpečnostní týmy potřebují možnost sledovat tyto prvky společně. Právě na tomto principu fungují řešení kategorie SIEM.
V tomto kontextu se také techniky, jako jsou homograph attacks, stávají součástí širší výzvy v oblasti detekce. Otázkou již není pouze to, zda konkrétní doména, přihlášení nebo síťové připojení vypadá podezřele samo o sobě. Bezpečnostní týmy musí být schopny propojit jednotlivé signály a určit, zda společně tvoří součást širšího vzorce útoku.
Zde může pomoci ManageEngine Log360, který umožňuje shromažďovat a analyzovat data mimo jiné z Microsoft 365, cloudových prostředí, Active Directory, endpointů a firewallů. V tomto modelu lze data ze síťové vrstvy analyzovat společně s informacemi o uživatelích a systémech. Od roku 2026 lze logy z Firewall Analyzer využívat také jako zdroj dat v Log360.
Nejde však pouze o počet integrovaných zdrojů. Nejdůležitější je možnost propojit informace do jednoho kontextu. Například:
- neobvyklá komunikace v Teams
- podezřelé přihlášení
- neobvyklá aktivita uživatele
- událost na endpointu
- podezřelý síťový provoz
mohou poskytnout výrazně více informací než pět alertů analyzovaných samostatně.
Tento přístup může bezpečnostním týmům pomoci také při analýze podezřelých domén a URL souvisejících s phishingovými kampaněmi, včetně aktivit, které nelze jednoznačně identifikovat pouze na základě samotného názvu domény. Namísto spoléhání se pouze na to, co vidí uživatel, mohou bezpečnostní týmy analyzovat technickou aktivitu související s připojením a její vztah k dalším událostem v prostředí.
AI na straně obrany
Pokud kyberzločinci využívají AI ke zvýšení rychlosti a rozsahu útoků, bezpečnostní týmy rovněž potřebují nástroje, které zkrátí čas potřebný k analýze incidentů.
V Log360 Cloud využívá funkce AI-powered Alert Investigation agenta Zia k analýze alertů a souvisejících logů. Systém může pomoci rekonstruovat časovou osu událostí, identifikovat související prvky a mapovat aktivitu na MITRE ATT&CK. To je důležité zejména v případě vícefázových útoků. Analytik nepotřebuje pouze další alert. Potřebuje odpověď na otázku: „Co se vlastně stalo?“ AI může pomoci rychleji přejít od velkého množství jednotlivých událostí k ucelenému obrazu incidentu. Kolejnym krokiem jest automatyzacja reakcji. Rozszerzenie Log360 o możliwości SOAR pozwala automatyzować wybrane działania za pomocą playbooków, skracając drogę od wykrycia zagrożenia do reakcji.
Nový model ochrany
Změna způsobu, jakým jsou kybernetické útoky prováděny, vede k několika důležitým závěrům.
- Za prvé – nelze se soustředit pouze na jeden komunikační kanál.
E-mail zůstává důležitý, ale také Teams, další komunikační aplikace a platformy pro spolupráci se mohou stát součástí řetězce útoku.
- Za druhé – jediný alert nemusí vždy ukázat úplný obraz hrozby.
Mnoho moderních útoků nelze správně vyhodnotit bez korelace dat z různých systémů.
- Za třetí – bezpečnost musí pokrývat celé prostředí.
Uživatel, identita, endpoint, cloud a síťová infrastruktura již nejsou oddělené světy. Mohou se stát jednotlivými fázemi stejného útoku.
- Za čtvrté – rychlost je důležitá.
Pokud útočníci využívají automatizaci a AI, musí bezpečnostní týmy také zkracovat čas potřebný k detekci, analýze a reakci.
Útok se změnil. Obrana se musí změnit také.
Klasický obraz kybernetického útoku: e-mail → odkaz → kliknutí stále častěji nahrazuje mnohem komplexnější scénář:
AI → komunikace → sociální inženýrství → identita → cloud → endpoint → síť → data
V takovém prostředí již nestačí zabezpečit jediný komunikační kanál nebo jednotlivý bod infrastruktury. Je potřeba širší viditelnost, korelace dat a schopnost rychle pochopit celý řetězec událostí. Právě proto bude budoucnost kybernetické bezpečnosti záviset nejen na tom, jak efektivně dokážeme blokovat jednotlivé hrozby, ale také na tom, jak rychle dokážeme odhalit souvislosti mezi zdánlivě nesouvisejícími událostmi. Protože moderní útok může začít obyčejnou konverzací, a jeho důsledky se mohou projevit o mnoho fází a mnoho systémů později.
Zdroje:
- Europol, Internet Organised Crime Threat Assessment (IOCTA) 2026
- Microsoft – Help on the line: How a Microsoft Teams support call led to compromise
- Microsoft – Cross-tenant helpdesk impersonation to data exfiltration
- Microsoft – Storm-2372 conducts device code phishing campaign
- Gartner – Strengthen Network Security With Hybrid Mesh Firewalls
