4 min

Masivní únik dat, 150 milionů hesel je volně na internetu. Kdo používá to samé všude, riskuje nejvíce

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Bezpečnostní výzkumník objevil na internetu otevřenou databázi se 149,4 milionu přihlašovacích údajů, bez hesla, bez šifrování, přístupnou komukoliv přes prohlížeč.

Gmail

Zdroj: Lukáš Altman (Mobify.cz) a Google

Obsah článku

Jeremiah Fowler, nezávislý bezpečnostní analytik, narazil na 96gigabajtový server, na kterém ležely e-maily, hesla, uživatelská jména a URL přihlašovacích stránek desítek služeb, od Gmailu přes Facebook a Netflix až po bankovní a kryptoměnové účty. Databáze nebyla chráněná vůbec ničím. Kdo na ni narazil, mohl v ní vyhledávat stejně snadno jako v e-shopu. Fowler svůj nález popsal 23. ledna 2026 na blogu ExpressVPN a okamžitě ho nahlásil hostingové firmě. Jenže náprava trvala téměř měsíc, a mezitím počet záznamů dál rostl.

Co přesně v databázi bylo

Nejde o nový hack Gmailu, Facebooku ani žádné jiné konkrétní služby. To je zásadní rozlišení, které se v mediálním šumu snadno ztrácí. Google sám už v září 2025 veřejně odmítl zavádějící interpretace o „velkém průlomu do Gmailu“. Tady šlo o něco jiného: agregát přihlašovacích údajů, které z počítačů a telefonů uživatelů po celém světě postupně vytáhly takzvané infostealery, škodlivé programy, jež zachytávají psaná hesla, obsah schránky, uložené přihlašovací údaje v prohlížeči, session cookies i autentizační tokeny.

Fowlerův vzorek odhalil přibližně toto rozložení:

Gmail — 48 milionů záznamů
Facebook — 17 milionů
Instagram — 6,5 milionu
Yahoo — 4 miliony
Netflix — 3,4 milionu
Outlook — 1,5 milionu
iCloud — 900 tisíc
Binance — 420 tisíc
.edu adresy — 1,4 milionu
OnlyFans — 100 tisíc

Vedle toho se v databázi objevily přístupy k TikToku, síti X, HBO Max, Disney+ i vládním doménám (.gov) z více zemí. Příběh tedy není jen o pohodlí běžných uživatelů; otevřená databáze mohla posloužit i jako zásobárna pro cílené útoky na státní infrastrukturu.

Proč je jedno recyklované heslo časovaná bomba

Samotný počet 149 milionů záznamů je alarmující, ale skutečné nebezpečí leží jinde. Organizace OWASP popisuje útok zvaný credential stuffing: útočník vezme ukradený pár e-mail + heslo a automatizovaně ho zkouší na desítkách dalších služeb. Nepotřebuje nic hackovat. Stačí mu, že člověk používá totéž heslo na Gmailu, Facebooku a v internetovém bankovnictví.

Jakmile útočník získá přístup k e-mailu, má klíč ke všemu ostatnímu, protože právě tam chodí odkazy na obnovení zapomenutého hesla. NÚKIB to ve svých materiálech shrnuje bez obalu: jedno heslo pro více účtů je ideální způsob, jak přijít o všechno najednou.

A pozor, tato databáze není ani zdaleka největší. V listopadu 2025 Troy Hunt popsal korpus obsahující 1,3 miliardy unikátních hesel. Jenže Fowlerův nález je jiný povahou. Nešlo o zpracovaný archiv, ale o živou, otevřenou infrastrukturu, která v reálném čase narůstala. To je jako rozdíl mezi starým policejním spisem a otevřenými dveřmi do skladu zbraní.

Jak se malware dostal k lidem

Infostealery se do zařízení dostávají překvapivě snadno. Microsoft ve své zprávě Digital Defense Report 2025 popisuje typické cesty: podvodné reklamy, manipulované výsledky vyhledávání, cracknutý software, falešné aktualizace, škodlivé přílohy e-mailů a kompromitovaná rozšíření prohlížeče. Fowler doplňuje techniku ClickFix, podvodné stránky, které uživatele přesvědčí, aby sami spustili škodlivý kód.

Celý ekosystém funguje jako řetězec: jeden aktér malware nasadí, druhý ukradená data prodá a třetí je použije k přístupům a dalším útokům. Databáze, kterou Fowler objevil, byla pravděpodobně jedním článkem tohoto řetězce. Kdo ji provozoval, zůstává neznámé; hosting neposkytl žádné detaily o vlastníkovi.

Co udělat teď, a v jakém pořadí

Fowler výslovně varuje: pouhá změna hesla nepomůže, pokud je vaše zařízení stále infikované. Nové heslo malware zachytí znovu. Proto je nutné postupovat systematicky:

Prověřte zařízení. Aktualizujte operační systém, spusťte antivirovou kontrolu, projděte nainstalovaná rozšíření prohlížeče a odstraňte vše podezřelé.
Změňte hesla v tomto pořadí: hlavní e-mail, účet Google/Apple/Microsoft, internetové bankovnictví, správce hesel, sociální sítě.
Zapněte dvoufaktorové ověření všude, kde to jde. Ideálně passkeys nebo bezpečnostní klíč, minimálně ověřovací aplikaci. SMS kódy jsou lepší než nic, ale nejslabší varianta.
Zkontrolujte přihlášená zařízení a historii přihlášení u klíčových účtů. Neznámé relace odhlaste.
Ověřte svůj e-mail na Have I Been Pwned a zapněte si upozornění na budoucí úniky.

NIST nedoporučuje měnit hesla pravidelně „jen tak“; změna má přijít při podezření nebo důkazu kompromitace. Tohle je přesně ten moment. A pokud si nedokážete zapamatovat desítky unikátních hesel, použijte správce hesel. Funguje jako šifrovaný trezor, který za vás generuje a ukládá silná hesla pro každou službu zvlášť. Podmínka: silná hlavní fráze a zapnuté dvoufaktorové ověření u samotného správce.

Jsou ohroženi i čeští uživatelé?

Fowler mluví o obětech z celého světa. Databáze obsahuje globální služby, které denně používají miliony Čechů: Gmail, Facebook, Instagram, Netflix, iCloud. Konkrétní rozpad podle zemí ani seznam .cz domén sice veřejně neexistuje, takže nelze říct „v databázi je X tisíc českých účtů“. Ale tvářit se, že se nás to netýká, by bylo naivní. Pokud používáte stejné heslo na Gmailu a v české bance, credential stuffing nezná hranice.

Kdo dnes večer stráví deset minut kontrolou svých hesel a zapnutím dvoufaktorového ověření, udělá pro svou digitální bezpečnost víc než většina lidí za celý rok.

Zdroj: Mobify.cz - Váš párťák ve světě elektroniky

Autor: Jiří Pacovský

Reklama

Další články z Mobify.cz

6 000 km kabelu, které daly světu internet, právě vytahují z oceánu. Opravovat se je už nevyplatilo

Nemusíte kupovat seniorský telefon. Android má skrytý režim, který z běžného mobilu udělá jednoduché zařízení pro každého

Google v prosinci 2024 tiše přidal do Pixelů funkci Simple View. Zapnutí trvá minutu a nestojí korunu.

Zvuk přes banán, bláto i měděný kabel zněl stejně. Audiofilové ve slepém testu nepoznali rozdíl ani v jednom případě

Šest správných odpovědí ze 43. To je bilance jednoho z nejcitovanějších slepých poslechových testů poslední...

Farmář musel na pole nainstalovat Wi-Fi zesilovač. Za jediný den napočítal návštěvníky z 56 zemí, všichni chtěli fotku na Instagram

Rodinná farma v anglickém Kentu rozmístila po levandulových polích Wi-Fi zesilovače. Ne kvůli traktorům,...

Když ve Windows kliknete na „Vypnout“, počítač se ve skutečnosti nevypne. Jedna klávesa navíc to změní

Tlačítko „Vypnout“ ve Windows od verze 8 nespouští plné vypnutí. Jádro systému se tiše uloží na disk a...

Tento článek byl publikován ze zdrojů Mobify.cz

Web se zaměřuje na mobilní telefony, chytré technologie a moderní aplikace. Čtenáři zde najdou recenze nových modelů, srovnání zařízení, tipy na užitečné aplikace i praktické rady, jak z telefonu dostat maximum. Obsah sleduje také trendy v oblasti elektroniky, softwaru a digitálních služeb – od...

Masivní únik dat, 150 milionů hesel je volně na internetu. Kdo používá to samé všude, riskuje nejvíce

Kreml poprvé promluvil o tajné návštěvě šéfa CIA. Rusové jeho návrhy smetli ze stolu

On snad pláče? Srdcervoucí scéna Djokoviče dojala New York, Srb neměl odpověď

Ornella Koktová otevřela třináctou komnatu rodiny. Se sestrou popsaly děsivé zážitky z dětství

Málem ho zabili a po probuzení si nepamatoval ani narození dcery: Michal Hrůza slaví 55 let

Místa na Zemi, kde selhává orientace: proč se tu lidé ztrácejí i s kompasem