Názory k článku
Český „webový Photoshop“ nefunguje. Autora služby Photopea vydírají výkupným

Etický hacker, který zařídí DDoS a pak vydírá autora? Nějaký tupý Rusák se zaměřil na populární aplikaci zdarma a očekává zaplacení výkupného? Nebylo by lepší zaměřit se na komerční aplikaci, kde se točí peníze a je větší pravděpodobnost, že někdo zaplatí? Nevím no, přemýšlím nahlas. ;)

I etický hacking něco stojí. :-)

Asi vás zklamu, ale Photopea hodila v roce 2024 , po zásluze, cca 64 000 000Kč před zdaněním. Tedy pokud po něm někdo chce 200 000kč tak mu mí nabídnout 600 000kč za to, že mu pomůže vylepšit službu, aby byl proto podobným utokům ochráněn. Předpokládám, že těch 600 000Kč je výdělek za 3 dny provozu.
Je to sice blbý způsob hiringu, ale co už. Požadovaná částka je pakatel oproti škodě.
A mimochodem nechápu proč si to za těch 10 000USD po dobu utoku nenaškáluje, aby ten útok ustál. A pokud se utočí na IP tak musí udělat vše pro to aby IP adresu změnil a nevyklecal ji do netu. CloudFlare už má, tak stačí posílit backend.

25. 9. 2026, 13:51 editováno autorem komentáře

Chtěl jsem si to ze zvědavosti ověřit a kouknout co je to za firmu, ale na tom webu nejsou žádné údaje o provozovateli. Snad bych to podle jména našel... ale jak může někdo na webu vydělat 64M a nemít tam IČ? :D

Netvrdím, že je to tento případ - na to nemám dostatek informací - ale vydělat můžete i jako soukromá osoba, bez IČO.

k čemu IČ? Jeho zdroj příjmů jsou reklamy a ne prodeje na webu. Je mu platí třetí strana za to, že zobrazuje její obsah. Návštěvník nevstupuje do žádného smluvního vztahu, aby bylo potřeba IČ.

Haha. Jakože vám "poskytovatel reklamy" posílá pravidelně peníze jako plnění, tak nemusíte mít IČ? Stačí aby to bylo soustavné, tedy více než 2x a je to. Například prohráli soudní spor prodejci kaprů, kteří to dělají jednou ročně. Dokázali jim dva roky po sobě a končí s § 251 v případě kaprů šest měsíců až pět let a v případě každoměsíčních plateb řádech desítek a stovek tisíc dlouhodobě je to 2 roky až 8 let. Takže pokud mu posílají 150 000 Kč/měsíc 4 roky a "nemá IČ", tak jde do báně na 6 let. Útěcha je, že je to jenom s ostrahou a za tři doky bude doma pro dobré chování.

No ono vůbec nemusí jít a nejspíš nejde o volumetrický DDoS, vůči takovému útoku se lze do určité úrovně bránit přes škálování výkonu zvláště pokud je člověk v cloudu, ale s využitím různých cloud technologií (CDN) se tomu lze bránit i lépe a odřezat různé regiony, ze kterých k útoku dochází. Nicméně toto vůbec nejspíš není volumetrický útok a už z podstaty že útočník (jestli jde vůbec o útočníka) nabízí opravu. Toto bude spíše útok na nějakou zranitelnost aplikace, která může vést k DoS. Tam může stačit poslat krátkou sadu několik paketů a shodí to server... tam škálování nepomůže.

Ta požadovaná cena je velmi/velmi nízká chlapíkovi bych to zaplatil a dále se netrápil, už jen effort s nalezením té zranitelnosti to vyrovná ;)

A zítra to spustí znova a bude chtít 10x tolik. :-)

"tak mu mí nabídnout 600 000kč za to, že mu pomůže vylepšit službu"
Boze tohle je tak hloupy nazor. Kdyz uz dam ty penize nekomu lepsimu at to opravi a ne utocnikovi?

Tak on to není útočník, ale "lovec bugů", který předpokládám, že zároveň poskytne popis exploitu jaký využil, aby zranitelnost mohli vývojáři napravit, a bude s nim spolupracovat na nápravě, když se vydává za někoho takového ne? Těžko říct, jaká je situace, ale předpokládál bych, že taková. Nejde o klasický ransom. Ale toto je moje představa když slyším o "etickém hackerovi" a "lovci bugů" možná to je jinak, zjistit se to dá komunikaci s ním na Telegramu... kam se to bohužel nejspíš ani nedostalo :D hlavně, že je to tady na Lupě...

29. 9. 2026, 16:50 editováno autorem komentáře

Moje představa o etickém hackerovi je tedy taková, že nedělá DDoS na cizí servery a nevyžaduje výkupné, aby s tím přestal. Nějak mi uniká, v čem se podle vás etický hacker liší od neetického.

Od kdy chce etický hacker výkupné?

To je etické výkupné!

Aby byl etický, tak možná stačí, aby o to výkupné jen slušně požádal. 🤷‍

Přitom ochrana před boty u Cloudflare funguje, ale nefunguje samotný server, který má chránit. Že by byl dostupný i mimo Cloudflare a útok mířil přímo na hosting?

přímo na tohle jsem nekoukal, ale je proti tomu těžká obrana. Jakmile útočník se dopátrá kde máš backend, tak ti žádný FW pomoc nemusí, zahltí celý hosting/uzel, tak že se tam žádný provoz z CF nedostane.

Popravdě nevím, jestli CF podobným projektům umožňuje kompletně schovat linky mimo internet. Na Azure/AWS to docela běžně používám, celá potřebná infra je u nich, takže DDoS si odbavují sami a pak na backend je už jen čistý provoz.

Obávám se, že to měl útočník celkem snadné, pokud mám pravdu - web je sice schován za Cloudflare ochranou, ale když se mrknu na MX záznamy domény photopea.com, odkazuje na mail.photopea.com, což není nic jiného než host vm.photopea.com u Master Internet - https://www.shodan.io/host/176.227.168.129 - server teď není dostupný.

Změnil bych IP adresu serveru a změnil si MX třeba na já nevím, Seznam Profi...

Autor psal, že má JS soubory na CDN, ale index.html na svém počítači a tak útočník zjistil IP. Ale možná na to šel i přes ten MX záznam.

Ze by skryty utok konkurence?

nepravděpodobné, tohle je jen dočasné a verze s výkupný zní věrohodně. Konkurence podává žaloby, to je účinnější.

Jestli ano, tak hodně hloupý. Tohle je výborná reklama pro Photopea.

Nestačí len vo firewalle na HTTP portoch (80, 443, 8443) zablokovať všetky IP adresy (zahadzovať pakety) okrem Cloudflare proxy rozsahu?