Tradiční bezpečnostní nástroje přitom tuto fázi často vůbec nevidí. Jsou velmi dobré v ochraně zařízení, sítí a aplikací, které organizace vlastní nebo provozuje. Jenže příprava útoku se může odehrávat úplně jinde. Na fóru, kam firemní SOC nemá přístup, v prodeji přístupových údajů, v registraci nové domény nebo v komunikaci skupiny, jež už podobné organizace napadala. Právě v tomto prostoru vzniká rozdíl mezi reaktivní a prediktivní obranou.
Právě tady začíná role threat intelligence. Jejím úkolem není přidat bezpečnostnímu týmu další vlnu alertů, ale dát událostem kontext. Zjistit, které hrozby se skutečně týkají konkrétní organizace, kdo za nimi může stát, jaké techniky daný aktér používá, na které sektory se zaměřuje a zda existují indicie, že se jeho pozornost obrací právě na nás.
Moderní threat intelligence proto nesleduje jen IP adresy, hashe nebo známý malware. Pracuje s chováním útočníků, jejich infrastrukturou, historií kampaní i vazbami mezi jednotlivými incidenty. Group-IB staví svůj přístup na takzvané adversary-centric intelligence: sleduje konkrétní aktéry, jejich nástroje, infrastrukturu a používané postupy a umožňuje organizacím nastavit monitoring témat, značek, domén nebo subjektů, které jsou pro ně důležité.
To mění pohled na bezpečnost. První linií obrany už dnes bývá sledování nástrojů threat intelligence. Pokud se například na underground fóru objeví firemní přístupy, někdo začne připravovat doménu napodobující značku nebo se v infrastruktuře známé útočné skupiny objeví vazba na konkrétní organizaci, může bezpečnostní tým získat čas, který by jinak neměl. Group-IB například umožňuje nastavit pravidla pro sledování relevantních témat diskutovaných na dark webu a propojit je s informacemi o aktérech a jejich infrastruktuře.
Stejný princip platí i pro digitální stopu značky a jejích lidí. Útočníci dnes necílí pouze na servery. Zneužívají jména manažerů, zakládají falešné profily, kopírují weby, vytvářejí phishingové stránky a využívají veřejně dostupné informace k sociálnímu inženýrství. Pro firmu je proto důležité vědět nejen to, co se děje v její síti, ale také to, co se děje kolem jejího jména.
Group-IB v rámci Digital Risk Protection monitoruje otevřený web, sociální sítě, mobilní aplikace, tržiště i deep a dark web. Kromě úniků dat umí vyhledávat phishing, falešné domény, napodobování značky nebo falešné účty spojené s klíčovými osobami. U VIP Protection je cílem chránit digitální identitu top managementu a dalších exponovaných osob před impersonací a zneužitím jejich jména.
Trend je patrný i v aktuálním vývoji kyberkriminality. Group-IB ve svém přehledu hrozeb pro rok 2026 upozorňuje na rostoucí význam útoků přes dodavatelské řetězce, SaaS služby a identity. Jeden kompromitovaný účet, token nebo dodavatel tak může útočníkovi otevřít cestu k celé síti navazujících organizací. O to důležitější je sledovat nejen vlastní prostředí, ale i vztahy a signály vznikající mimo něj.
Právě propojení firemní infrastruktury, značky a lidí je důležité. Útočník totiž jednotlivé světy neodděluje. Kompromitovaný účet zaměstnance může být vstupem do sítě, falešný profil ředitele nástrojem pro podvod a uniklá data z dodavatelského řetězce prvním krokem k cílenému útoku. Threat intelligence umožňuje tyto signály spojovat a rozhodnout, které z nich skutečně představují riziko.
„Bezpečnostní týmy mají dnes dat dost. Problém je vědět, které informace jsou pro jejich firmu opravdu důležité. Threat intelligence má smysl ve chvíli, kdy dokáže odpovědět na jednoduché otázky: kdo se o nás zajímá? Proč? Jakým způsobem může zaútočit? A co s tím máme udělat ještě předtím, než útok dorazí k našemu perimetru,“ říká Jaroslav Cihelka, bezpečnostní expert ve společnosti ComSource.
Význam této disciplíny potvrzuje i Gartner. V roce 2026 poprvé vydal magic quadrant pro cyberthreat intelligence technologies. Group-IB v něm byla zařazena mezi pět lídrů z osmnácti hodnocených dodavatelů. Pro firmy je to zároveň signál, že threat intelligence se posouvá z úzce specializovaného nástroje analytiků do standardní výbavy bezpečnostního řízení.
ComSource je klíčovým partnerem Group-IB v České republice a technologie threat intelligence zapojuje také do své platformy FlowGuard. Cílem není zákazníkovi dodat další databázi hrozeb, ale nastavit monitoring podle jeho reálného rizikového profilu – firmy, značky, klíčových lidí, dodavatelského řetězce nebo konkrétních skupin útočníků – a převést získané informace do praktických bezpečnostních kroků.
Nejcennější informace o útoku nemusí být ta, která přijde ve chvíli, kdy útok začal. Ale ta, jež ukáže, že se na něj někdo teprve chystá.
PŘEDPLATNÉ
ČLÁNKY DO MAILU