Zpráva Kordia 2026: 17 % kybernetických incidentů na Novém Zélandu končí krádeží dat
Nově zveřejněná oborová zpráva přiřazuje přesné číslo problému, o jehož existenci většina organizací ví, ale jen těžko ho měří: kybernetické incidenty spojené s krádeží osobních údajů nyní tvoří významný podíl všech bezpečnostních událostí. Podle zprávy 2026 Kordia New Zealand Business Cyber Security Report 17 % kybernetických incidentů – přibližně každý šestý – vyústí v neoprávněný přístup k osobním informacím nebo jejich odcizení. Vedle tohoto čísla zpráva označuje nevhodné využívání AI zaměstnanci za jedno z nejnaléhavějších nových hrozeb, kterým dnes organizace čelí.
Tato zjištění společně vykreslují prostředí hrozeb, které se mění rychleji, než jsou konvenční obranné mechanismy schopny zvládnout.
Co zpráva Kordia 2026 skutečně zjistila
Zpráva Kordia dotazuje novozélandské firmy napříč odvětvími i velikostmi, což z ní činí jeden z věrohodnějších regionálních přehledů toho, jak kybernetické incidenty v praxi skutečně probíhají. Hlavní číslo – 17 % incidentů končících odhalením osobních dat – je pozoruhodné, protože zachycuje konkrétní výsledek, nikoli pouze objem nebo typ útoků.
Mnohé zprávy o kybernetické bezpečnosti se zaměřují na způsob, jakým útoky začínají: phishingové e-maily, kompromitované přihlašovací údaje, neopravený software. Tato zpráva obrací pozornost k tomu, kde útoky končí – a u značné části z nich je tímto konečným bodem osobní informace, která opouští kontrolu organizace. Toto rozlišení je důležité pro pochopení rizika z pohledu, který regulátory, zákazníky a správní rady skutečně zajímá.
Zpráva rovněž zdůrazňuje nevhodné využívání AI zaměstnanci jako novou výzvu. Týká se to situací, kdy zaměstnanci vkládají citlivá data do externích nástrojů AI, používají neschválené platformy AI nebo sdílejí důvěrné informace při snaze automatizovat svou práci. Ve většině případů nejde o zlý úmysl. Jde o pohodlnost přebíjející opatrnost.
Proč každý šestý incident končí únikem dat
Číslo 17 % odráží několik strukturálních skutečností o tom, jak moderní organizace nakládají s daty. Osobní informace bývají uloženy v mnoha systémech, v rámci organizací hojně sdíleny a pravidelně zpřístupňovány zaměstnancům na různých úrovních. Toto rozptýlení znamená, že jakýkoli úspěšný průnik má reálnou šanci zasáhnout osobní data dříve, než je odhalen a zastaven.
Odráží to také vysokou hodnotu osobních informací jako cíle útoku. Útočníci, kteří získají přístup do sítě, hledají specificky jména, kontaktní údaje, finanční záznamy a identifikační informace. Ty mají přímou hodnotu pro přeprodej a lze je využít při následných podvodech a útocích sociálního inženýrství.
Dalším faktorem je prodleva mezi vznikem incidentu a potvrzením kompromitace osobních dat. Zpoždění detekce dává útočníkům více času k nalezení a exfiltraci nejcennějších záznamů. Organizace, jimž chybí robustní protokolování, segmentace nebo monitorování, s větší pravděpodobností odhalí únik až poté, co data již organizaci opustila.
Tento vzorec není specifický pro Nový Zéland. Je v souladu s tím, co výzkumníci dokumentují celosvětově: regulované subjekty a dobře zajištěné organizace stále běžně s osobními daty zacházejí nesprávně, jak je popsáno v případě aplikace EU pro ověřování věku, která byla prolomena v minutách po spuštění, kde se předpoklady o bezpečnosti ukázaly jako fatálně optimistické téměř okamžitě.
Hrozba insiderů využívajících AI, kterou VPN samy o sobě nevyřeší
Zjištění ohledně používání AI si zasluhuje zvláštní pozornost, protože představuje kategorii rizika, pro níž většina stávajících bezpečnostních nástrojů není navržena. Když zaměstnanec vloží záznamy klientů do veřejného AI asistenta nebo použije neschválený produktivní nástroj ke zpracování HR dat, neaktivuje se žádný firewall, neupozorní žádná VPN a systém detekce průniků nezaznamená žádný poplach. Data odcházejí zcela legitimním kanálem.
To je hlavní problém expozice způsobené insidery: často vypadá stejně jako běžná práce. VPN zabezpečuje spojení mezi zařízením a podnikovou sítí. Neřídí, co zaměstnanec s daty dělá poté, co k nim získá oprávněný přístup. Šifrování chrání data přenášená mezi důvěryhodnými koncovými body; nechrání data, která se oprávněný uživatel rozhodne odeslat na neoprávněné místo.
Organizace, které investovaly výrazné prostředky do nástrojů perimetrické bezpečnosti – včetně VPN, ochrany koncových bodů a firewallů – mohou být stále zranitelné, pokud se nezabývaly vrstvou lidského faktoru a politik. Zjištění Kordia naznačují, že tato mezera se rozšiřuje s tím, jak jsou nástroje AI levnější, výkonnější a více zabudované do každodenních pracovních postupů.
Výzvu umocňuje rychlost, s níž se prostředí nástrojů AI mění. Politika sepsaná před šesti měsíci nemusí pokrývat platformy, které zaměstnanci používají dnes.
Budování ochrany soukromí přesahující rámec VPN
Řešení jak vysoké míry krádeží dat, tak hrozby insiderů využívajících AI vyžaduje vrstvený přístup kombinující technické kontroly s organizační politikou a vzděláváním uživatelů.
Na technické straně lze nástroje pro prevenci ztráty dat (DLP) nakonfigurovat tak, aby detekovaly, kdy jsou citlivé kategorie informací odesílány na externí platformy, včetně služeb AI. Síťové monitorování zaznamenávající odchozí přenosy dat může pomoci identifikovat neobvyklé vzorce. Přístupová oprávnění omezující, kteří zaměstnanci mají přístup k jakým datům, zmenšují dosah jakéhokoli jednotlivého incidentu.
Na úrovni politik potřebují organizace jasné a aktuální pokyny ohledně schválených nástrojů AI, jaké kategorie dat mohou být zpracovávány externě a jaké jsou důsledky porušení politik. Nejasnosti jsou závazkem. Zaměstnanci, kteří si nejsou jisti, zda je nástroj schválen, ho zpravidla použijí tak jako tak – zejména pokud jim usnadňuje práci.
Vzdělávání uživatelů zůstává klíčové. Většina zaměstnanců, kteří způsobí incidenty úniku dat spojené s AI, nejedná ze zlého úmyslu. Snaží se pracovat efektivně. Školení, která konkrétně vysvětlují, proč určitá data nemohou být vkládána do externích nástrojů AI – nikoli jen že nemohou – zpravidla přinášejí lepší dodržování předpisů než obecné bezpečnostní připomínky.
Pro jednotlivce je zpráva užitečnou připomínkou ke kontrole, jaké osobní údaje o nich organizace uchovávají a jak jsou chráněny. Zákony jako kalifornský zákon o ochraně soukromí spotřebitelů (CCPA) poskytují některým spotřebitelům formální práva nad jejich daty, i když vymáhání CCPA má v praxi výrazné mezery a uplatnění těchto práv vyžaduje aktivní úsilí.
Co to znamená pro vás
Zpráva Kordia 2026 je studií zaměřenou na Nový Zéland, ale její zjištění odrážejí vzorce rozpoznatelné napříč odvětvími i geografickými oblastmi. Každý šestý incident vyústivší v krádež osobních dat představuje vysokou míru a vzestup nevhodného používání AI jako hrozby insiderů přidává nový rozměr, na který mnoho bezpečnostních programů stále dohání.
Pro jednotlivce je to podnět k zamyšlení nad tím, jaká osobní data sdílíte s firmami, jak velká část z nich by mohla být odhalena při úniku a zda využíváte dostupná práva ke snížení této expozice. Pro organizace zpráva argumentuje ve prospěch posunutí bezpečnostních diskuzí za rámec perimetrálních nástrojů směrem k uceleným správám dat.
Technické obranné mechanismy jsou nutné, avšak nedostačující. Číslo 17 % naznačuje, že i po vzniku incidentů vyžaduje omezení dopadu na osobní data rychlost, přehlednost a jasné politiky, které většina organizací stále rozvíjí. Přezkum vlastní datové stopy, pochopení vašich práv podle příslušných zákonů o ochraně soukromí a sledování aktuálního dění ohledně skutečného průběhu úniků dat jsou praktické první kroky, které může kdokoli podniknout ještě dnes.
