Kyberzápisník #25: Nextcloud únik dat: 367 000 záznamů venku a co to znamená pro vaše dodavatele

Nextcloud únik dat z května 2026 je dobrá připomínka, že bezpečnost produktu a bezpečnost firmy za ním jsou dvě různé věci. Nextcloud je jméno, které zná skoro každý, kdo se aspoň trochu pohybuje kolem firemního IT. Je to německá open-source platforma pro sdílení souborů a spolupráci něco jako Google Drive nebo Microsoft 365, ale s tím rozdílem, že si firma může celé řešení provozovat na vlastní infrastruktuře a mít data plně pod kontrolou. Právě tenhle slib „vaše data, vaše pravidla“ je hlavní důvod, proč Nextcloud používají i instituce, které si na soukromí obzvlášť potrpí. O to ironičtější je, co se stalo.

Jak k úniku dat u Nextcloud došlo

Tým Cybernews narazil na veřejně přístupný Elasticsearch cluster, který nepatřil žádnému klientovi Nextcloud, ale přímo samotné firmě Nextcloud GmbH. Cluster nebyl chráněný žádným heslem – kdokoli, kdo věděl, kam se podívat (nebo kdo měl spuštěného bota prohledávajícího internet), se k datům mohl dostat. A dat tam bylo dost: skoro 8 gigabajtů, přes tři sta šedesát tisíc záznamů, všechno spadající pod interní data firmy.

Co konkrétně uniklo

Co v tom clusteru leželo, je docela pestré. Byly tam nešifrované faktury, ze kterých šlo vyčíst e-mailové adresy zaměstnanců Nextcloud, ale i jména a adresy firem, které s Nextcloud obchodovaly, včetně e-mailů lidí, kteří firmě fakturovali. Byly tam skripty – shellové i pythonové, které Nextcloud připravoval na míru pro jednotlivé klienty, aby jim pomohl nastavit a spravovat jejich instance. A u některých z těch skriptů výzkumníci našli přímo v kódu natvrdo zapsané přihlašovací údaje k databázím. K tomu se přidávaly smlouvy popisující rozsah spolupráce, e-mailová korespondence s časovými razítky a metadata o sdílení souborů. Mezi zasaženými subjekty se objevily i větší jména jako IONOS nebo STRATO, a dokonce i státní instituce německé ministerstvo školství Severního Porýní Vestfálska.

Nextcloud únik dat: jak firma zareagovala na exponovanou databázi

Nextcloud zareagoval rychle. Jakmile je Cybernews kontaktoval, databázi do dvou dnů zabezpečili a incident nahlásili příslušnému úřadu pro ochranu osobních údajů. Firma zároveň dost důrazně odděluje tenhle incident od svého produktu. Podle jejich vyjádření šlo o chybu v konfiguraci vlastní hostingové infrastruktury, nikoli o problém v samotném Nextcloud řešení a servery žádného zákazníka prý zasaženy nebyly. K žádnému konkrétnímu zneužití dat se firma nezná, ať už německému serveru heise nebo Cybernews řekli, že o žádném takovém případu nevědí.

Jenže tady je právě ten háček, na který se sluší upozornit. Absence důkazu o zneužití neznamená, že se nic nestalo jen to, že se to (zatím) nepodařilo dokázat. Cybernews to komentují docela výstižně: pokud dokázal jejich tým otevřenou databázi najít, mohli ji najít i útočníci. Po internetu totiž neustále běží automatizovaní boti, jejichž jediným úkolem je skenovat veřejně dostupné IP adresy a hledat přesně tenhle typ chyby špatně nakonfigurovanou databázi, která by neměla být venku, ale je. Podrobnosti k rozsahu dat popisuje i TechRadar.

Co si z toho vzít, i když nejste zákazník Nextcloud

Co si z toho vzít, když nejste ani Nextcloud, ani jejich klient? Především to, že bezpečnost produktu a bezpečnost firmy, která ho vyrábí, jsou dvě různé věci. Nextcloud jako software může mít naprosto v pořádku bezpečnostní model, šifrování, řízení přístupu – a přesto se stane, že někde úplně jinde, v běžné provozní infrastruktuře té samé firmy, zůstane otevřená databáze, protože někdo zapomněl na jedno nastavení. Tohle se netýká jen Nextcloud je to vzorec, který se opakuje napříč celým oborem (viz i náš zápisník o 24miliardovém úniku přihlašovacích údajů o měsíc dřív), a je dobré si ho pamatovat i při výběru vlastních dodavatelů.

Druhá věc, která stojí za zapamatování, jsou ty natvrdo zapsané přihlašovací údaje ve skriptech. Je to jedna z nejběžnějších a nejsnáze odstranitelných chyb, se kterou se dá setkat u firem všech velikostí a přesně proto se objevuje pořád dokola, i u firem, které by to měly mít pod kontrolou. Pokud máte doma nebo ve firmě nějaké nastavovací skripty, které obsahují hesla nebo klíče přímo v textu, tenhle případ je dobrý impuls to napravit. Jestli si nejste jistí, jak na to, mrkněte na náš přehled základních bezpečnostních opatření pro malé firmy.

A do třetice únik faktur a e-mailové komunikace typicky neznamená okamžitou katastrofu, ale znamená municí pro budoucí útoky. Kdokoli, kdo s Nextcloud v minulosti obchodoval, teď musí počítat s tím, že případný útočník zná reálné detaily o té spolupráci – jména kontaktních osob, kontext, možná i konkrétní projekty. Takový phishing pak vypadá mnohem věrohodněji než obvyklá spam zpráva, a je potřeba na to být připravený. Jak takový podvodný e-mail nebo odkaz poznat, popisujeme v samostatném článku.