Severskokórejskí hackeri zneužili dieru vo Windows na útok na obranný priemysel

Severná Kórea útočí na európske firmy cez dieru priamo vo Windows. Nie cez slabé heslá, nie cez zastarané antivírusy. Cez zraniteľnosť, ktorú ešte nikto neopravil. A tentokrát sa útočníci nezameriavajú len na armádu či vládne inštitúcie.

Čo sa stalo: Lazarus a zero-day vo Windows

Podľa správy portálu BleepingComputer z augusta 2026 severskokórejská hackerská skupina Lazarus aktívne zneužívala zraniteľnosť vo Windows označenú ako CVE-2026-68820. Microsoft ju záplatoval v rámci augustového Patch Tuesday, no do opravy mali útočníci voľné pole pôsobnosti od začiatku júla 2026.

O čo ide technicky? Ide o chybu typu "use-after-free" v ovládači Windows Ancillary Function Driver for WinSock (AFD.sys). Útočník, ktorý už má prístup na počítač (napríklad cez phishingový email), môže túto chybu zneužiť na získanie najvyšších systémových práv (tzv. SYSTEM privileges). Dokáže to bez akejkoľvek interakcie zo strany používateľa.

Zraniteľnosť objavili a analyzovali výskumníci z bezpečnostnej spoločnosti Check Point, ktorí sledujú dlhodobú kampaň skupiny Lazarus nazvanú Operation Dream Job.

Ako útočníci prenikali do firiem

Operation Dream Job nie je nová kampaň. Funguje roky a jej metóda je rafinovaná: útočníci sa vydávajú za náborových pracovníkov a oslovujú zamestnancov cieľových firiem falošnými pracovnými ponukami. Zamestnanec otvorí dokument, stiahne prílohu alebo klikne na odkaz s "popisom pozície" a útočník získa prístup do firemnej siete.

V poslednej vlne sa Lazarus zameral na firmy z oblasti obrany, leteckého priemyslu a aviatiky v Európe a Indii. Výskumníci Check Pointu potvrdili, že v aspoň jednom prípade útočníci najskôr kompromitovali francúzsku organizáciu a následne ju využili ako odrazový mostík na spear-phishingové útoky voči ďalším cieľom.

Tento model je dôležitý aj pre slovenské firmy. Nie preto, že by sme boli priamym cieľom vo vojenskej oblasti. Ale preto, že ak ste subdodávateľom, partnerom alebo klientom firmy, ktorá v tejto sféry pôsobí, môžete sa stať nechcenou vstupnou bránou.

Prečo sa to týka slovenských firiem

Možno si hovoríte: "My predsa nie sme zbrojárska firma." To je správna myšlienka, ale neúplná. Zraniteľnosť CVE-2026-68820 sa nachádza v bežnom Windows a oprava sa netýka len firiem z obranného sektora. Týka sa každého počítača so systémom Windows, ktorý nebol aktualizovaný po augustovom Patch Tuesday 2026.

Okrem toho slovenské firmy dlhodobo podceňujú riziko plynúce z dodávateľských reťazcov. Ak vaša firma dodáva tovar, služby alebo IT riešenia väčšej korporácii, ste pre útočníkov potenciálne zaujímavý cieľ práve pre váš prístup k systémom zákazníka.

Európske a slovenské pravidlá kybernetickej bezpečnosti sa v posledných rokoch sprísňujú. Ak vás zaujíma, aké konkrétne povinnosti to pre vás prináša, odporúčame prečítať si, čo priniesli nové vyhlášky NBÚ SR od septembra 2025. Kontekst je priamo relevantný aj dnes.

Pre hlbší prehľad o aktuálnych trendoch v kybernetických hrozbách odporúčame sledovať stránku ENISA Threats and Trends, kde Agentúra EÚ pre kybernetickú bezpečnosť pravidelne aktualizuje informácie o aktuálnych hrozbách.

Čo konkrétne treba urobiť

Prvá a najdôležitejšia vec je záplatovanie systémov. Augustový Patch Tuesday 2026 obsahuje opravu pre CVE-2026-68820 a Microsoft ju označil ako aktívne zneužívanú. Každý deň bez aktualizácie je zbytočne otvorené okno.

Okrem aktualizácie Windows sa oplatí pozrieť na viacero oblastí naraz:

• Vzdelávanie zamestnancov: Phishing cez falošné náborové ponuky funguje, pretože ľudia klikajú. Školenia o IT bezpečnosti dokážu výrazne znížiť pravdepodobnosť, že zamestnanec otvorí škodlivý súbor.
• Zálohovanie dát: Ak útočník predsa len prenikne, zálohy sú poistkou. Správne nastavené zálohovanie dát môže zachrániť firmu pred totálnou stratou.
• Segmentácia siete a firewall: Ak má útočník prístup na jeden počítač, správne nastavený firewall a segmentácia siete mu zabránia dostať sa ďalej.
• IT audit: Ak neviete, v akom stave je vaša IT infraštruktúra, IT audit vám dá jasnú odpoveď a zoznam priorít.

Súvisí s tým aj téma silného overovania identity. Aj keď útočník získa prihlasovacie údaje zamestnanca, správne nastavená viacfaktorová autentifikácia mu komplikuje ďalší postup. Ak premýšľate, aký systém prihlasovania zvoliť, pozrite si náš článok o tom, ktoré prihlasovanie je lepšie pre vašu firmu.

Veľká firma vs. malá firma: riziko nie je rovnaké, ale je reálne pre oboch

Skupiny ako Lazarus sa sústredia na strategicky hodnotné ciele, no útočné nástroje, ktoré vyvíjajú, sa veľmi rýchlo rozširujú aj do bežného kybernetického zločinu. Zero-day zraniteľnosť zneužitá dnes špionážnou skupinou je zajtra dostupná na dark webe pre každého.

Malé a stredné firmy majú menšie IT tímy, menej zdrojov a menší dôraz na bezpečnostnú hygienu. To z nich robí ľahšie terče, nie bezpečnejšie. Útočníci dobre vedia, kde je najslabší článok reťazca.

Ak vaša firma používa Microsoft 365 a zaujíma vás, aké zmeny sa mohli udiať vo vašom prostredí bez vášho vedomia, prečítajte si aj náš článok o tom, čo sa vo vašom Microsoft 365 zmenilo samo.

Čo by vás ešte mohlo zaujímať

Koho sa týka záplatovanie CVE-2026-68820 a musím to riešiť urgentne?

Záplata sa týka všetkých zariadení so systémom Windows, ktoré ešte neaplikovali augustové aktualizácie z Patch Tuesday 2026. Microsoft zraniteľnosť označil ako aktívne zneužívanú, čo znamená, že útočníci ju používali v reálnych útokoch ešte pred vydaním opravy. Záplatovanie je preto potrebné riešiť čo najskôr, nie v rámci plánovaného okna o niekoľko týždňov.

Je naša firma reálny cieľ, keď nepôsobíme v obrannom priemysle?

Priamym cieľom kampane Operation Dream Job sú firmy z obrany a leteckého priemyslu. No zraniteľnosť samotnú môžu zneužiť aj iné skupiny kybernetických zločincov, ktoré nemajú nič spoločné so špionážou. Navyše, ak ste subdodávateľom alebo partnerom väčšej firmy, môžete byť zaujímavý ako vstupný bod do jej systémov.

Ako spoznám, že útočník zneužil túto zraniteľnosť na našich zariadeniach?

Bez aktívneho monitoringu siete a zariadení je veľmi ťažké takýto útok odhaliť vlastnými silami. Zraniteľnosť nevyžaduje interakciu používateľa a útočník po nej nemôže zanechať zjavné stopy. Preto je dôležité mať nastavený monitoring a vedieť, kde hľadať anomálie. Ak si nie ste istí stavom vašich systémov, IT audit je dobrý štartovací bod.

Čo je Operation Dream Job a prečo je stále aktívna po rokoch?

Operation Dream Job je dlhodobá špionážna kampaň pripisovaná severskokórejskej skupine Lazarus. Útočníci sa vydávajú za náborárov a lákajú zamestnancov cieľových firiem falošnými pracovnými ponukami. Kampaň je aktívna od roku 2019, pretože funguje: ľudia prirodzene reagujú na atraktívne kariérne príležitosti a nespájajú ich s bezpečnostným rizikom. Práve preto je vzdelávanie zamestnancov v oblasti kybernetickej bezpečnosti takou účinnou obranou.