Hack reklamního účtu a „uzavřeno bez vysvětlení“. Case study postupu Meta po útoku na Dračí nájezdy
Když malému vydavateli někdo převezme reklamní účet na sociální síti, nejde jen o několik omylem utracených tisíc.
V praxi to znamená ztrátu kontroly nad firemní identitou, riziko blokace účtu, možný dopad na distribuci obsahu – a často i situaci, kdy jediný subjekt, který má k dispozici klíčové logy a auditní stopu, je sama platforma.
Přesně tohle popisuje případ projektu Dračí nájezdy: vydavatel Independent Media Publishing zaznamenal, že jeho reklamní účet u Meta byl cílem neautorizované aktivity. Ve zprávách zaslaných podpoře (neexistuje telefon ani chat ani pro firemní klienty) po několika dnech snah o kontakt firma nahlásila Meta Platforms, že ji bylo účtováno zhruba 20 tisíc korun za firmou nezadané reklamy na Facebooku a Instagramu.
Incident se přitom neodehrával ve vakuu. Reklamní účty bývají propojené s firemními stránkami na Facebook a Instagram a s platebními metodami. Z pohledu postižené firmy je klíčové jediné: rychlá reakce platformy, zastavení škody a jasné vysvětlení, co se stalo, aby šlo podniknout právní a bezpečnostní kroky. Právě tady však komunikace naráží na systémové slabiny.
Kde Meta selhala podle uložené komunikace
Nejviditelnější problém je rozporuplnost a roztříštěnost komunikace ze strany Mety. Podpora žádala opakovaně stejné ověřovací údaje k platební metodě, případ eskaloval a zároveň Meta připouštěla, že účet byl „disabled for payments.
V jiné části komunikace však přišla standardizovaná odpověď ve smyslu: „protože naše záznamy neukazují podezřelou aktivitu, refundaci nemůžeme provést“ s odkazem na platební podmínky.
To je zásadní: pokud má firma doložené neautorizované kampaně a platforma současně tvrdí, že „nic podezřelého nevidí“, vzniká stav, ve kterém se škoda špatně reklamuje a incident špatně oznamuje orgánům.
Záznamy komunikace následně opakovaně ukazují, že Meta potvrzuje dokončení refundu, přidává odkazy na návody a následně píše „I will be closing this case now“.
Jenže poškozený současně řeší další věc: po vypořádání refundu měl reklamní účet stále předplacený kredit, který se měl 25. června zobrazovat jako „prepaid balance“, ale 26. června po odblokování účtu spadl bez aktivity na nulu a zároveň se objevil stav „past due“. Na to Meta podle komunikace opět reaguje potvrzením staršího refundu a uzavřením případu, i když žádost míří na návrat smazaného předplaceného zůstatku.
Třetí problém byla absence srozumitelného „incident reportu“. Z komunikace lze vyčíst operativní kroky (blokace plateb, restrikce účtu, ověřování), ale nevyplynulo z ní, že by Meta poskytla vysvětlení typu: kdy došlo k napadení účtu, jakým způsobem (např. kompromitace role v Business/Ads účtu, session hijack, phishing), jaký byl rozsah přístupu a zda mohlo dojít k ohrožení dokumentů a citlivých údajů, které reklamní účet typicky obsahuje. Bez těchto informací zůstává postižený v důkazní nevýhodě: platforma drží logy i billing, ale komunikuje minimum.
Meta tedy nejdříve popírala útok, vymáhala neoprávněně účtované peníze, následně útok přiznala, nerefundovala ztráty v plné výši a odmítla poskytnout informace o tom, jak se útok odehrál a zda byly citlivé údaje firmy včetně osobních údajů jednatele a bankovních detailů v bezpečí.
Porušila Meta zákony nebo vlastní pravidla?
Z pouhé e-mailové komunikace nelze automaticky konstatovat porušení práva. Dá se ale přesně pojmenovat, kde vzniká regulatorní riziko a co by měly posoudit dozorové orgány.
V rovině ochrany osobních údajů je relevantní GDPR. Ten ukládá povinnost přijmout přiměřená technická a organizační opatření k zabezpečení zpracování (čl. 32) a při „porušení zabezpečení osobních údajů“ může aktivovat oznamovací povinnosti vůči dozorovému orgánu (čl. 33) a v určitých případech i vůči dotčeným osobám (čl. 34). Pokud reklamní účet pracuje s ověřovacími dokumenty, identitami správců a fakturačními údaji, je otázka „rozsahu incidentu“ (co mohlo být zpřístupněno) klíčová – a právě tu Meta nevysvětluje.
V rovině systémové odpovědnosti velkých platforem může být relevantní i Digital Services Act. Ten dává Evropské komisi možnost vymáhat nápravná opatření a u velkých platforem v případě neplnění uložit pokuty až do 6 % globálního ročního obratu. To neznamená, že každý hack automaticky spouští sankce, ale pokud by se prokázaly opakované slabiny v ochraně reklamní infrastruktury nebo v procesech nápravy, DSA je rámec, ve kterém může regulátor chtít vysvětlení a změny.
Čtěte také:
10 akcií, u nichž Wall Street očekává silný návrat poté, co v roce 2026 klesly nejméně o 20 %
Proč bitcoin potřebuje klesnout ještě o dalších 20 %, aby vůbec stál za pozornost
Důležitá je i „zákaznická“ dimenze: když platforma účtuje výdaje z neautorizovaných kampaní a současně neumí konzistentně vysvětlit, proč jednou „nevidí podezřelou aktivitu“ a jindy řeší restrikce a refundy, dostává se do konfliktu s očekáváním řádné péče a transparentního vyúčtování.
Proč Meta „neřekla odkud, kdo a jak“ – a proč je problém i to, že neřekla „aspoň jak“
Identitu útočníka platforma obvykle neposkytuje bez právního procesu. Podstatné ale je, že komunikace nenaznačuje ani poskytnutí technického minima: časová osa kompromitace, typ zneužití oprávnění, rozsah dotčených aktiv a vyhodnocení rizika úniku dat. Jinými slovy: i když „kdo“ může zůstat bez odpovědi, „jak“ a „co bylo dotčeno“ by v profesionálním incidentním řízení mělo být popsáno tak, aby to bylo použitelné pro policii, regulátora i interní audit.
Které české orgány mohou případ řešit
Trestněprávní rovina typicky spadá pod „hacking“ a související skutky. Policie České republiky sama uvádí, že pro většinu jednání označovaného jako hacking je použitelný trestný čin neoprávněného přístupu k počítačovému systému (§ 230). U závažnějších či přeshraničních věcí může být relevantní i celostátní působnost útvarů v rámci NCOZ SKPV.
Pro kybernetickou stránku (hlášení incidentu, metodiku, koordinaci) je v Česku relevantní NÚKIB – jeho portál popisuje možnosti hlášení kybernetických incidentů. Praktickou odbornou podporu v rovině doporučení a koordinace může poskytovat i CSIRT.CZ.
Pokud existuje podezření na dopady do osobních údajů, kompetentní je Úřad pro ochranu osobních údajů, který má i veřejný návod k ohlašování porušení zabezpečení osobních údajů.
Co by Meta mohlo hrozit
Reálně existují tři „verze“ následků. První je regulatorní: pokud by dozorový orgán dospěl k závěru, že zabezpečení nebo procesy po incidentu nebyly přiměřené, může to znamenat nápravná opatření a potenciálně sankce v režimu GDPR. Druhá je systémová: při širším zjištění strukturálních problémů může nastoupit rámec DSA, kde se u velkých platforem pracuje i se sankcemi do 6 % globálního obratu. Třetí je civilněprávní: vrácení neoprávněně účtovaných částek a případná náhrada škody – a právě tady je klíčová auditní stopa, kterou má ve velké míře k dispozici platforma, ne poškozený.
V případě napadení Independent Media Publishing je vidět typický problém „platformní ekonomiky“: když dojde k incidentu, nejde jen o bezpečnostní selhání, ale i o selhání procesní. V tomto případě se mísí neautorizované kampaně s vyúčtováním, dlouhé blokace, opakované požadavky na stejné údaje, a nakonec uzavírání případů bez odpovědi na podstatnou otázku: proč zmizely prostředky a jak platforma vyhodnotila samotný útok.
Lem edit
Pokud považujete texty Biztweetu za přínosné, věnujte jakýkoliv dar na Číslo účtu 1027300577/5500 IBAN: CZ1455000000001027300577 BIC/SWIFT: RZBCCZPP
Platforma Independence sleduje hrozby nezávislosti a demokracie v zemích V4 a Pobaltí
Pokud považujete texty projektu Independence za přínosné, staňte se patronem projektu, nebo nás podpořte na herohero.co