Kína lop, Irán rombol, Észak-Korea beépül – 2026 első félévének kiberháborúi

Van egy CrowdStrike-jelentés, amely a mostani alaphírünk apropója, és a lényege egyetlen mondatban összefoglalható: Kína azt lopja el, amit nem tud elég gyorsan megépíteni.

A világ egyik vezető kiberbiztonsági cége szerint a Kínához köthető hackercsoportok jelentik a legnagyobb kémkedési fenyegetést a technológiai cégekre, és a fő célpont az MI, a félvezetők és az IT-szolgáltatások szektora. A tét nem jelszavak lopkodása – a tét a stratégiai technológia, amelynek egyaránt van gazdasági és katonai értéke, egy olyan globális versenyben, amelyben a mesterséges intelligencia fölényéért megy a küzdelem. Peking persze visszautasítja a vádakat, és azt állítja, ő éppen az MI-együttműködés híve. (Naná. Aki lop, az mindig az együttműködés híve – az áldozat kárára.) De ez csak a nyitány, mert a 2026-os év első hat hónapja a kiberbiztonságban egyszerűen szólva rémálom volt, méghozzá strukturált rémálom. Ahogy a TechCrunch féléves összegzése fogalmaz: a kiberbiztonság idén már nem háttérzaj, hanem szinte minden nagy történet szövetébe beleszőtt digitális áramlat – háborúk zajlanak fizikai és digitális fronton egyszerre, kormányok védik a saját polgáraik adatait, és nemzetállami hackerek veszik célba a civil infrastruktúrát az erőművektől a víztisztítókig. Menjünk hát végig a szereplőkön, mert a felállás önmagában is tanulságos.

Kína: a kémkedés mint iparpolitika

A CrowdStrike számai szinte irreálisak: az állami hátterű célzott behatolások több mint 58 százaléka Kínához köthető, a technológiai szektor pedig hivatalosan is a világ legtámadottabb iparágává lépett elő. A cég öt kínai csoportot nevesít – a fenyegető nevű MURKY PANDA, MUSTANG PANDA, OVERCAST PANDA, SUNRISE PANDA és WARP PANDA alakulatokat –, amelyek MI-vagyont, tanítóadatokat, gépi tanulási infrastruktúrát és szellemi tulajdont vadásznak világszerte. Adam Meyers, a CrowdStrike szakértője nem finomkodik:

„MI-fegyverkezési verseny zajlik az USA és Kína között, és Kína 2030-ra globális dominanciát akar."

A jelentés keretezése pedig kimondja azt, amit régóta sejtünk: Peking a kiberkémkedést iparpolitikaként űzi, hogy behozza az MI-lemaradását. Ez pedig szépen összeér azzal, amiről az Ugaron korábban is írtunk: Kína kettős játékot játszik az MI-vel, egyszerre pózol a nyílt együttműködés bajnokaként és zárja el a saját legjobb modelljeit a külföldi hozzáféréstől – erről szólt a pekingi exportkorlátozásos anyagunk is. Kifelé nyitottság, befelé vasfüggöny, közben meg lopjuk, ami kell. Koherens stratégia, csak épp nem az, amit hirdetnek.

Irán: a kémből rombológép

Ha Kína a türelmes tolvaj, Irán 2026-ban a dühös gyújtogató lett. A februári amerikai–izraeli légicsapások (az Operation Epic Fury) után Teherán többvektoros megtorló kiberkampányba kezdett, és – ez a lényegi fordulat – elmozdult a klasszikus kémkedéstől és „feltör-és-kiszivárogtat" akcióktól a nyílt, pusztító rombolás felé.

Tankönyvi példa a Stryker orvostechnikai cég elleni márciusi támadás: az Iránhoz köthető Handala csoport 79 országban, több mint 200 ezer céges eszközön indított egyszerre gyári visszaállítást, valósággal a szemük láttára törölték le a dolgozók gépeit, napokra megbénítva a céget – a támadás még a negyedéves eredményekbe is beleharapott. Az amerikai kormány a merényletet az iráni hírszerzés egyik szervéhez kötötte, a csoport pedig egy dél-iráni iskola elleni csapás megtorlásaként írta le. És jött a vészjóslóbb figyelmeztetés is: iráni hackerek amerikai kritikus infrastruktúrát vettek célba, elsősorban a magántulajdonú vízszolgáltatókat, amelyek gyakran a legalapvetőbb kibervédelmet is nélkülözik – vagyis puha célpontok, ahol a digitális támadásnak fizikai, emberéletet veszélyeztető következménye lehet.

Észak-Korea: a beépülő álmunkavállaló

A phenjani módszer a legrafináltabb, mert nem betör, hanem besétál a bejáraton, felvételi interjúval. A CrowdStrike szerint a FAMOUS CHOLLIMA nevű észak-koreai művelet MI-vel felturbózott hamis személyazonosságokkal és amerikai fedőcégekkel szerzett távoli IT-állásokat technológiai cégeknél – és ez adta a szektor elleni állami hátterű interaktív behatolások 47 százalékát.

A trükk kettős: a fizetést hazautalják, és a rezsim fegyverprogramjait finanszírozzák belőle, közben viszont az álmunkavállaló bent ül a cégben, hozzáféréssel, hírszerzési lehetőséggel. A STARDUST CHOLLIMA ráadásul beépült a fejlesztői ellátási láncba is: kompromittálta a heti százmilliószor letöltött Axios NPM-csomagot, potenciálisan felhasználók millióit mérgezve meg egyetlen ponton keresztül.

Oroszország: a digitális háború

És persze ott a régi ismerős, amely a fizikai szabotázst rég kiegészítette a digitálissal. A féléves leltár szerint tavaly év végén Lengyelország energiahálózatát támadták géproncsoló malware-rel, majd idén a lengyel víztisztítókat, egy svéd hőerőművet és egy norvég gátat, amely úszómedencényi vizet engedett ki ellenőrizetlenül. Ez pontosan az a hibrid mintázat, amiről az Ugar kibertámadásos anyagai is szóltak – nem véletlen, hogy az Európai Központi Bank kiberbiztonsági terveket kér a bankoktól, mert a pénzügyi rendszer a következő nyilvánvaló célpont. És a közös nevező: az MI mint fegyver.

Talán ez a félév legnyugtalanítóbb tanulsága. A kiberbűnözők – akik a technológiai szektor elleni akciók 65 százalékát adták, tisztán pénzért – elkezdték az MI-t nemcsak csalira, hanem magára a támadásra is használni: MI-generált szkriptek gépi sebességgel dömpingelik a jelszavakat és törlik a nyomokat, összezsugorítva azt az időt, amennyi a védőknek egyáltalán marad a reagálásra. A CrowdStrike globális jelentése 89 százalékos növekedést mért az MI-képes támadók aktivitásában. Ez pedig egyenes folytatása annak, amiről az Ugaron már beszámoltunk: megjelent az első, embert egyáltalán nem igénylő, teljesen MI-vezérelt zsarolóvírus-támadás.

És nem véletlen az sem, hogy a legújabb modellek biztonsági tesztjei riasztó eredményeket hoztak – ahogy a 16 éves Linux-rés esete is megmutatta, a régi sebek is nyitva állnak, miközben az MI új támadási felületeket nyit.

A bűnözői nagyüzem

Az állami szereplők mellett a sima haszonszerzés is virágzott. A ShinyHunters nevű márka – mert mostanra inkább márka, mint bűnbanda – zsarolókampányt futtatott az egészségügytől a biztosításon át a szórakoztatóiparig; májusban az Instructure/Canvas oktatási platformról állítólag 3,65 terabájtnyi adatot loptak, közel 275 millió felhasználót érintve 9000 oktatási intézményből. Áprilisban két nagy amerikai bankot törtek fel egyetlen közös beszállítón keresztül, és megjelent a visszatérő minta: a támadók nem a bejáratot törik be, hanem a megbízható harmadik feleken – beszállítókon, alvállalkozókon, OAuth-integrációkon – sétálnak be - egyszerűen érvényes hozzáféréssel bejelentkeznek, aztán viszik az adatot.

Összegezve a félévet: a kiberháború végérvényesen kilépett a szerverszobából. Kína lopja a jövő technológiáját, Irán robbant, Észak-Korea beépül, Oroszország a vízműveinket és gátjainkat teszteli, a bűnözők pedig MI-vel automatizálják a zsarolást – és mindeközben a legtöbb áldozat nem valami kifinomult szupertámadás miatt bukik el, hanem a régi, unalmas okokból: gyenge jelszó, frissítetlen rendszer, elhanyagolt beszállító. A szakértők szerint az év második fele még bonyolultabb lesz. Nincs okunk kételkedni bennük.

Felhasznált források:

CrowdStrike 2026 Technology Threat Landscape Report, 

Tech Crunch, 

Significant Cyber Incidents

Palo Alto Unit 42 – az iráni kiberkockázat eszkalációja 2026-ban

CM-Alliance – a havi adatszivárgás- és zsarolóvírus-krónika

2026 első félévének legsúlyosabb kibertámadásai