Google spolu s partnery vyřadil z provozu zadní vrátka XCPE, která zapojila přes 1,3 milionu set-top boxů s Androidem do botnetu. Škodlivý kód podle zjištění úmyslně předinstaloval výrobce zařízení Videostrong Technology a přístup prodával kyberzločincům k reklamním podvodům a provozu proxy sítí. Google s výrobcem ukončil spolupráci, zakázal mu certifikaci zařízení a právní cestou převzal kontrolní domény.
Bezpečnostní výzkumníci z Cisco Talos odhalili infostealer VOLTA (též VOLTA-AUTODOXER), který po krádeži citlivých dat odesílá informace velkým jazykovým modelům přes rozhraní OpenRouter. Modely fungují jako analytici operátora, vyhodnocují potenciální zpeněžení ukradených aktiv a posuzují zabezpečení oběti. V případě odmítnutí dotazu má malware připravený řetězec záložních modelů a funguje bez vlastní infrastruktury útočníka.
Podle výzkumníků ze společnosti Socket zneužívalo 319 rozšíření pro Chrome výchozí nastavení vyhledávání a dotazy zhruba 13,4 milionu uživatelů přesměrovalo přes servery útočníků. Rozšíření se šířila prostřednictvím reklam a provozovatelům umožňovala sledovat vyhledávací dotazy a získávat provizní platby.
Kritická zranitelnost typu out-of-bounds write v dekodéru kompresní knihovny Google Brotli (CVE-2026-111497, CVSS až 9,8) umožňuje neautentizovanému vzdálenému útočníkovi spustit kód pomocí upravených dat. Chyba zasahuje širokou škálu technologií včetně Node.js, .NET či Pythonu, jsou dostupné veřejné exploity a CISA ji zařadila na seznam aktivně zneužívaných.
Bezpečnostní experti odhalili phishingovou kampaň zacílenou na tvůrce na platformě YouTube, která zneužívá partnerství mezi společnostmi Amazon a YouTube. Útočníci lákají oběti na exkluzivní reklamní spolupráci a využívají veřejné statistiky jejich kanálů k posílení důvěryhodnosti. Pod záminkou ověření kanálu podvrženým přihlašovacím oknem kradou přihlašovací údaje k účtům Google včetně kódů vícefázového ověření.
Společnost Wiz odhalila kampaň, ve které útočníci pomocí phishingu ve vyhledávačích unášejí fakturační účty na platformě Google Cloud Platform za účelem financování neoprávněného používání Gemini API. Po krádeži firemních přihlašovacích údajů a MFA tokenů získávají přístup, odstraňují omezení IAM domén a propojují externí GCP projekty.
Volexity představila využití své platformy Volcano a nového serveru MCP pro vyšetřování dříve popsaných kampaní čínských útočníků, kteří zneužívali zero-day zranitelnosti v prohlížeči Chrome a systému Windows. Integrace protokolu MCP podle společnosti umožňuje zapojit AI modely do forenzní analýzy paměti, automatické tvorby anotací a generování nových indikátorů kompromitace.
Výzkumníci ze společnosti Anthropic varují, že menší AI modely by do konce roku 2026 mohly být schopné samostatného šíření napříč zranitelnými IoT zařízeními. Experimenty ukázaly možnost běhu modelu Google Gemma na propojených Android TV boxech a testovaly replikační sekvenci agentů, autonomní šíření v reálném provozu však zatím předvedeno nebylo.
Podle Microsoftu prodávalo nelegální tržiště YAM Store infrastrukturu a phishingové sady, které usnadnily odeslání více než miliardy podvodných zpráv po celém světě. Skupina zneužívala kompromitovaná cloudová prostředí Microsoft a Google k cílení na organizace ve zdravotnictví či financích, přičemž jednotka Microsoft DCU ve spolupráci s úřady pomohla klíčovou infrastrukturu narušit.
Bezpečnostní experti odhalili phishingovou kampaň využívající podvodné stránky napodobující rezervační systém Calendly a nabídky práce ve společnosti Meta. Cílem útočníků je vylákat z obětí přihlašovací údaje a dvoufaktorové ověřovací kódy k účtům na Facebooku a Google. Stránky fungují jako zprostředkovatel v reálném čase, což útočníkům umožňuje zneužít zachycené kódy ještě před vypršením jejich platnosti.
Citrix vydal opravy zranitelnosti přetečení paměti CVE-2026-88779 v produktech NetScaler ADC a NetScaler Gateway se skóre CVSS 8,7, která umožňuje vzdálené vyvolání odepření služby při konfiguraci se SAML autentizací. Chyba byla zneužívána v útocích nultého dne a výzkumníci prověřují možnost vzdáleného spuštění kódu.
Cisco Talos odhalil spear-phishingovou kampaň aktéra UAT-11985 mířící na výzkumné instituce na Tchaj-wanu. Útočník využíval AI k tvorbě personalizovaných pozvánek na akce i upravené plakáty s QR kódy (quishing). Kampaň nasadila pokročilý AitM phishing napodobující přihlášení ke službám Google přes HTTP a WebSocket pro zachytávání přihlašovacích údajů a MFA výzev. Podle jazykových stop a analýzy rozhraní vzešel phishingový kit pravděpodobně z prostředí zjednodušené čínštiny.
ESET upozorňuje na podvodné sponzorské nabídky cílící na tvůrce obsahu na YouTube. Důvěryhodně vyhlížející nabídky mohou podle zjištění zakrývat pokus o kompromitaci účtu Google.
Podle společnosti Varonis může uživatel Kubernetes s omezenými oprávněními převzít kontrolu nad celou organizací Google Cloud. K eskalaci oprávnění v rámci celé organizace dochází zneužitím oprávnění udělených nástroji Google Kubernetes Config Connector prostřednictvím problému typu 'confused deputy'.
Výzkumníci z Malwarebytes odhalili phishingovou kampaň nabízející bezplatné předplatné Claude Max s cílem odcizit přihlašovací údaje k účtům Google. Útočníci k oklamání uživatelů využívají techniku browser-in-the-browser, která přímo na podvodné stránce vykresluje falešné vyskakovací okno přihlášení s logem i zdánlivě pravou adresou.
CERT Polska odhalil vícestupňovou podvodnou operaci zaměřenou na uživatele v Polsku, která využívala klamavé reklamy na platformách Meta a škodlivé aplikace šířené přes Google Play. Analytici zdokumentovali 1235 reklam, propojili je se 17 aplikacemi a zaznamenali zneužívání prémiových SMS a plateb přes mobilní operátory.
Podle společnosti Volexity nejméně tři čínské kyberšpionážní skupiny zneužívaly řetězec zranitelností v prohlížeči Google Chrome (CVE-2026-85046, CVE-2026-87491) a jádře systému Windows (CVE-2026-85880). Útoky probíhaly prostřednictvím phishingu a podvržených webů k nasazení různého malwaru na cílové stanice.
Podle společnosti Google pronikl jeden z jejích modelů Gemini během květnového kyberbezpečnostního testování do systémů tří skutečných firem. Model v jednom případě uhodl přihlašovací údaje a ve dvou dalších je našel ve veřejných repozitářích; po rozpoznání skutečné infrastruktury se zastavil.
Bezpečnostní experti ze zLabs analyzovali trojský kůň RatHat pro systém Android, který využívá asistenta s umělou inteligencí pro navigaci a interakci se zařízením přes Accessibility Service. Škodlivý kód zneužívá také bezdrátové ladění ADB k eskalaci oprávnění a dokáže rekonstruovat PIN kódy a gesta z přímých souřadnic dotyků na displeji.
Elastic Security Labs analyzoval kampaň brazilského bankovního malwaru KREMLIN, který zneužívá škodlivá rozšíření pro prohlížeče Chrome a Edge. Malware obchází bezpečnostní mechanismy Chromium a manipuluje s předvolbami, aby kradl přihlašovací údaje a bankovní relace. Útočníci navíc využívají smart kontrakty na síti Ethereum k dynamickému získávání adres řídicích serverů.
Bezpečnostní analytici společnosti Huntress popsali útočný řetězec, který začínal zprávou na síti X a vedl přes postranní panel Dokumentů Google. V závislosti na operačním systému oběti kampaň doručovala malware AMOS stealer na macOS nebo NetSupport Manager na Windows.
Bezpečnostní experti zaznamenali exploit kit BlueMoon, který využívá chyby v prohlížeči Chrome a systému Windows k útokům zahájeným phishingem. Podle výzkumníků tuto sadu zranitelností využily v krátkém sledu čtyři špionážní skupiny, přičemž zranitelnosti byly zneužívány ještě před nasazením záplat uživateli.
Cisco Talos analyzoval útočné řetězce zneužívající techniku ClickFix a WebDAV k doručení zlodějského malwaru Amatera do systémů včetně ukrajinské vládní organizace. Podle výzkumníků kód vložený přes Cloudflare Worker a BNB Smart Chain zobrazil falešnou ověřovací výzvu, která vedla ke spuštění knihovny z WebDAV a instalaci dalších nástrojů jako ZigCryptoStealer či NetSupport Manager.
Cisco Talos analyzoval kampaň zneužívající rozhraní Google Visualization API a Google Sheets jako řídicí C2 server pro krádeže kryptoměn. Útočníci manipulují oběti technikou ClickFix, aby vložili škodlivý JavaScript do adresního řádku prohlížeče Chrome nebo do rozšíření Tampermonkey pod záminkou neexistující chyby v kryptoměnových burzách.
Podle analýzy společnosti Malwarebytes přizpůsobují podvodníci své taktiky konkrétním platformám, na kterých mají největší šanci na úspěch. Zpráva uvádí, že nejčastěji zneužívanou osobností je MrBeast a mezi nejvíce napodobované značky patří Google, Microsoft a Apple. Roste také počet podvodů zaměřených na herní komunity kolem platforem Roblox a Steam.
Podle BleepingComputer bylo na Chrome Web Store a Edge Store zjištěno více rozšíření, která distribuovala malwarový framework s moduly na krádež kryptoměn, citlivých údajů a historie prohlížeče; rozšíření také injikovala ClickFix návnady.
Výzkumníci odhalili verzi 2.0 bankovního trojanu ToxicPanda pro Android, který slouží k ovládnutí zařízení a provádění podvodů přímo z infikovaného telefonu. Škodlivý kód zneužívá usnadnění přístupu, překryvné vrstvy a vzdálený přístup k obcházení bezpečnostních kontrol bank i krádežím přihlašovacích údajů a PINů.
Bezpečnostní experti ze společnosti Group-IB objevili novou rodinu malwaru WindRelay určenou k přeposílání NFC komunikace útočníkům v reálném čase. Útočníci během telefonátu podvodně přimějí oběť k instalaci trojského koně SpyNote a následně aplikace WindRelay, díky čemuž mohou vzdáleně ovládat telefon a nechat si přeposlat data z přiložené platební karty pro okamžité nákupy či výběry z bankomatu.
Bezpečnostní prověrky Mandiantu často odhalují veřejně dostupné serverless aplikace bez autentizace, které mohou čelit útokům jako LFI či vkládání příkazů. Útočníci mohou po kompromitaci kontejneru získat přístup k citlivým souborům nebo servisním tokenům z metadatového serveru, což může vést až k ovládnutí celého cloudového prostředí. Zdroj na příkladech služby Google Cloud Run přibližuje typické scénáře průniku a poskytuje návod na posílení bezpečnosti.
Elastic Security Labs odhalil dosud nepopsaný zavaděč OXLOADER pro systém Windows, který šíří infostealer CASTLESTEALER prostřednictvím škodlivých reklam Google Ads. Škodlivý kód zneužívá sekci .reloc k umisťování shellcodu, využívá pokročilou obfuskaci a vyhýbá se analýze v sandboxech i systémům v ruskojazyčných oblastech.
Bezpečnostní tým analyzoval phishingovou platformu Tycoon 2FA, která funguje na bázi adversary-in-the-middle a obchází vícefaktorové ověření u služeb Microsoft 365 a Google Workspace. Podle zjištění platforma i po mezinárodním zásahu z března 2026 pokračuje v činnosti, přičemž nově využívá zneužití mechanismu Device Code a dvoustupňovou provozní infrastrukturu k přebírání uživatelských relací.
Výzkumníci společnosti ESET odhalili v obchodě Google Play podvodné aplikace, které slibovaly poskytnutí historie hovorů pro libovolné číslo. Před svým odstraněním zaznamenaly tyto aplikace více než sedm milionů stažení.