INTERPOL zveřejnil výsledky operace nazvané Operation Ramz historicky první koordinované kybernetické operace tohoto rozsahu v oblasti Blízkého východu a severní Afriky (MENA). Výsledky jsou na papíře impozantní, ale stojí za to se zamyslet, co za čísly skutečně stojí a co operace tohoto typu dokáže (a nedokáže) přinést.
Co to bylo a kdy to proběhlo
Operace probíhala od října 2025 do 28. února 2026, tedy celých pět měsíců. Koordinaci zajišťoval INTERPOL, zapojilo se 13 zemí regionu MENA: Alžírsko, Bahrajn, Egypt, Irák, Jordánsko, Libanon, Libye, Maroko, Omán, Palestina, Katar, Tunisko a SAE.
Primárními cíli byly:
- phishingová infrastruktura a phishing-as-a-service (PhaaS) platformy
- malwarové kampaně a C&C servery
- kybernetické podvody s finančním dopadem (cyber-enabled fraud)
Výsledky operace
| Metrika | Hodnota |
|---|---|
| Zatčených | 201 |
| Identifikovaných podezřelých | 382 |
| Identifikovaných obětí | 3 867 |
| Zajištěných serverů | 53 |
| Zajištěná hotovost | ~900 000 € |
| Zajištěná zařízení | 443 počítačů, 238 mobilů |
| Sdílených intelligence itemů | ~8 000 |
Konkrétní výsledky po zemích: v Alžírsku byla demontována PhaaS platforma, v Ománu deaktivován server umístěný v soukromém domě, který obsahoval malware a kritické zranitelnosti (server měl legitimní majitel, přesto byl kompromitovaný), zatčení proběhla v Kataru, Jordánsku, Maroku a dalších zemích.
Kdo operaci podpořil a proč je to zajímavé
Na operaci se podílel soukromý sektor ve formě threat intel dodavatelů:
- Group-IB dodal actionable intelligence k více než 5 000 kompromitovaným účtům, včetně vládní infrastruktury, a zmapoval dva odlišné threat actor clustery
- Kaspersky poskytl data o C&C serverech z Threat Research Center
- Shadowserver Foundation monitorování malicious infrastructure
- Team Cymru visibility nad síťovými aktivitami
- TrendAI tracking malicious cyber activity
Financování operace zajišťovalo Ministerstvo vnitra Kataru, spolufinancovaly EU a Rada Evropy v rámci projektu CyberSouth+.
Kaspersky v kontextu
Zapojení Kaspersky stojí za komentář. Po de facto vyloučení ze západních trhů (americký zákaz z roku 2024) firma nadále operuje jako legitimní threat intel partner pro INTERPOL v regionech mimo západ. Jejich C&C data jsou technicky validní a hodnotná — geopolitika a kvalita threat intelligence jsou dvě oddělené věci, byť jejich prolínání v praxi sledovat musíme.
Operation Ramz v kontextu roku 2026
Ramz není izolovanou akcí — INTERPOL v roce 2026 systematicky eskaluje enforcement:
- Únor 2026 — Operation Red Card 2.0: 651 zatčených v 16 afrických zemích, zaměřeno na mobile money fraud
- Březen 2026 — Operation Synergia III: 45 000 sinkholed IP adres, 94 zatčených ve 72 zemích
- Říjen 2025–únor 2026 — Operation Ramz: první MENA operace tohoto rozsahu
Vidíme posun od reaktivního přístupu k proaktivní koordinaci sdílení intelligence před zatčením, ne až po něm.
Co to znamená z pohledu CTI
Několik postřehů pro praktické použití:
1. PhaaS je reálný problém i v MENA regionu
Demontáž alžírské PhaaS platformy potvrzuje, že phishing-as-a-service není výhradně eastern European/Russian fenomén distribuce se globalizuje. PhaaS kity migrují a adaptují se na lokální jazyky a cíle.
2. Kompromitovaná vládní infrastruktura
Group-IB mapoval přes 5 000 kompromitovaných účtů, včetně vládních. To koresponduje s obecným trendem — státní instituce v rozvíjejících se regionech mají typicky slabší identity management a Conditional Access politiky. Credential stuffing a phishing jsou v těchto prostředích extrémně efektivní.
3. 53 serverů je málo, ale sdílení dat je klíčové
Číslo zajištěných serverů vypadá skromně vzhledem k rozsahu operace. Realita je, že fyzický takedown infrastruktury má krátkodobý dopad útočníci rekonstruují C2 rychle. Důležitější je těch ~8 000 sdílených intelligence itemů, které umožní navazující vyšetřování.
4. Public-private partnership jako standard
Bez Group-IB, Kaspersky a dalších by operace neměla potřebnou technickou hloubku. Trend, kdy law enforcement operuje jako orchestrátor a soukromý sektor dodává threat intel, se stává normou (viz Europol EC3, FBI LegalAttaché struktura).
Zdroje
https://www.infosecurity-magazine.com/news/interpol-cybercrime-crackdown-mena
https://www.group-ib.com/media-center/press-releases/operation-ramz
