Analytický tým SentinelLABS zveřejnil zprávu o rozsáhlé kybernetické špionáži proti několika pákistánským bezpečnostním složkám. Podle výzkumníků probíhaly útoky mezi únorem 2024 a dubnem 2026 a hlavním terčem byla Balúčistánská policie, provinciální bezpečnostní sbor v regionu poznamenaném separatistickým povstáním. Na tomto případu kybernetické špionáže je zajímavé, že do stejné instituce nezávisle na sobě pronikli aktéři napojení na Čínu i na Indii.
Kybernetická špionáž: co bylo napadeno
Kompromitované systémy zahrnovaly síťová zařízení, webové servery a několik online aplikací spravujících citlivá data. Šlo o trestní a biometrické záznamy, evidenci ubytovaných osob spojenou s národními identifikačními čísly, personální spisy a záznamy o podaných stížnostech. Kromě Balúčistánské policie útočníci cílili také na policii provincie Chajbar Paštúnchwá, islámábádskou policii a Punjab Safe Cities Authority, agenturu provozující systémy pro městskou policii v Paňdžábu.
Nejzávažnější zásah se týkal Complaint Management System, portálu pro podávání a sledování stížností, který používají jak policisté, tak občané. Útočníci napojení na Čínu na portál umístili škodlivé soubory maskované jako běžná aktualizace softwaru. Po spuštění se stahoval další malware, v jednom případě šlo o AsyncRAT vydávající se za komponentu bezpečnostního softwaru čínské firmy Qihoo 360, v druhém o payload doručovaný přes loader napsaný v Rustu. Falešná aktualizace zobrazovala hlášku o dokončení instalace, aby vzbudila dojem legitimní operace. Právě takto vypadá kybernetická špionáž v praxi, jako zneužití důvěryhodného kanálu, kterým jsou pravidelné softwarové aktualizace.
Dva nezávislí aktéři kybernetické špionáže, jeden cíl
Podle SentinelLABS jde o čtyři oddělené kampaně kybernetické špionáže. Tři z nich analytici s různou mírou jistoty přiřadili k aktérům napojeným na Čínu, čtvrtou pak k indické skupině sledované firmou Recorded Future pod označením TAG-179.
Čínská aktivita využívala nástroje PlugX, ShadowPad a Cobalt Strike. Provoz na řídicí server 142.171.183[.]8 sahal daleko za pákistánské bezpečnostní složky, komunikovaly s ním i vládní, akademické, telekomunikační a nevládní subjekty v jižní, východní a jihovýchodní Asii, na Blízkém východě i v Jižní Americe, včetně tibetských buddhistických organizací na Tchaj-wanu. Tento vzorec obětí odpovídá dlouhodobému zaměření čínských skupin.
Indická stopa vedla k nástroji Remcos a vykazovala infrastrukturní i taktické shody se skupinou známou jako Mysterious Elephant, respektive APT-C-08, APT-K-47 nebo TAG-179, která má společné rysy s aktéry SideWinder, Confucius a Bitter. Útočný řetězec využíval jako návnadu dokument tematicky spojený s repatriací nelegálních cizinců včetně držitelů afghánských občanských karet.
Proč se kybernetická špionáž zaměřila právě na tuto instituci
Analytici formulují jednoduchý princip: pokud na jednu instituci nezávisle zaútočí víc špionážních skupin, samotná ta shoda je signálem, jak cennou instituce je. Policejní systémy soustřeďují ucelený obraz o vnitřní bezpečnosti státu, o hrozbách uvnitř hranic a o tom, jak proti nim stát postupuje.
Čínský zájem výzkumníci spojují především s bezpečností čínských občanů pracujících v Pákistánu, zejména v souvislosti s projekty China-Pakistan Economic Corridor. Čínští státní příslušníci byli opakovaně terčem smrtících útoků, k některým se přihlásila Balúčistánská osvobozenecká armáda, separatistická skupina odmítající čínskou přítomnost v regionu. Indický zájem pak pravděpodobně pramení z dlouhodobé rivality obou zemí a z vzájemných obvinění z podpory militantních skupin v Balúčistánu.
Co o této kybernetické špionáži zůstává nejasné
Zpráva má i limity. Výzkumníkům se nepodařilo získat druhý stupeň payloadu, nepotvrdili úspěšnou infekci zařízení ani skutečnou exfiltraci dat. Indická kampaň byla podle dostupných informací aktivní ještě v dubnu 2026, takže hrozba zůstává živá. Policie Chajbar Paštúnchwá k incidentu uvedla, že došlo ke kompromitaci přihlašovacích údajů jednoho koncového uživatele, ale žádný klíčový systém prolomen nebyl.
Poučení z případu kybernetické špionáže
Případ ukazuje, jak digitalizace veřejné správy rozšiřuje útočnou plochu daleko za samotnou instituci. Portál určený k tomu, aby přiblížil policejní práci veřejnosti, se stal distribučním kanálem malwaru pro občany i zaměstnance. Pro organizace spravující jakýkoli veřejně přístupný portál s přihlašováním je to připomínka, že mechanismus aktualizací a distribuce softwaru uvnitř takové aplikace potřebuje stejnou úroveň integritní kontroly jako samotná autentizace uživatelů.
Zdroje
- SentinelLABS, One Target, Two Flags: Rival Espionage Actors Converge On Pakistani Law Enforcement (9. července 2026) – https://www.sentinelone.com/labs/one-target-china-india-espionage-converge-on-pakistani-law-enforcement/
- The Hacker News, Hackers Weaponize Balochistan Police Portal in Multi-Group Espionage Campaigns – https://thehackernews.com/2026/07/hackers-weaponize-balochistan-police.html
- The Record, China, India ran separate spying campaigns against same Pakistani police force – https://therecord.media/china-india-ran-separate-spy-campaigns-against-same-police-force
- TechNadu, SentinelLABS Pakistan Police Cyberespionage Report Findings – https://www.technadu.com/sentinellabs-pakistan-police-cyberespionage-report-findings/630728/
- SentinelOne, The Good, the Bad and the Ugly in Cybersecurity – Week 28 – https://www.sentinelone.com/blog/the-good-the-bad-and-the-ugly-in-cybersecurity-week-28-8/
