Krátký průvodce kybernetickými útoky

Kybernetická a hybridní válka, propaganda a dezinformace jsou s kybernetickými útoky bytostně spjaty. Proto jsem se rozhodl připravit trochu osvěty týkající se kybernetických útoků a ochrany před nimi. Výklad je založen na řadě textů, které jsem připravoval pro různé organizace nebo média.

Kybernetický prostor

Nový Zákon o kybernetické bezpečnosti č. 264/2025 Sb., dále jen NZoKB, v § 2, odst. 2, písmeno (a) definuje kybernetický prostor jako soubor sítí elektronických komunikací a dalších technologií, ve kterém dochází ke zpracování informací a dat v elektronické podobě [1]. Pojem kybernetický prostor je velmi důležitý, neboť který vymezuje hranici mezi kybernetickými útoky a ostatními nekybernetickými kriminálními činy. Na rozdíl od mnoha jiných například zahraničních definic, které taxativně vyjmenovávají jednotlivá zařízení a jejich komponenty, jako jsou počítače či pevné disky, a stejně taxativně vypočítávají i typy jednání, která se považují za kybernetický útok, definice českého Zákona o kybernetické bezpečnosti vychází z pojmu informace, a je tudíž obecná a lze ji aplikovat i na budoucí případy, nové typy zařízení a způsoby zpracování informací.

Kybernetický útok

Na rozdíl od kybernetického prostoru NZoKB pojem kybernetický útok nedefinuje, nýbrž pracuje s pojmem kybernetický bezpečnostní incident. Kybernetickým incidentem se rozumí narušení bezpečnosti informací v kybernetickém prostoru [2]. Tento pojem je obecnější než původní definice kybernetického útoku, neboť obecně zahrnuje jakoukoliv činnost, jejímž důsledkem je narušení bezpečnosti.

Lidově řečeno, za kybernetický útok lze tak považovat útok na jakákoliv elektronická zařízení, počítače, sítě, síťové prvky, data, aplikace a další součásti informačních systémů, který směřuje proti zájmům jejich majitelů, provozovatelů nebo uživatelů. Pro naše další vysvětlování však zůstaneme u pojmu kybernetický útok, bude to jednodušší.

Klasifikace kybernetických útoků

Kybernetické útoky obecně zahrnují obrovské spektrum aktivit uskutečňovaných prostředky informačních a komunikačních technologií se záměrem neoprávněně manipulovat s majetkem nebo vlastnictvím napadeného.

Pro naše účely je můžeme rozdělit zhruba do čtyř kategorií: kybernetická kriminalita, hacktivismus, kybernetická špionáž a kybernetická válka. Byť motivace a cíle útoků jsou v každé skupině trochu jiné, jednotlivé kategorie se mohou, někdy i do značné míry, prolínat.

Kybernetická kriminalita

Kybernetická kriminalita, často také ne zcela přesně nazývaná počítačová kriminalita, zahrnuje široké spektrum nelegálních činností, které cílí na počítač nebo zařízení připojené k počítačové síti, nejčastěji k internetu.

Vnímání počítačové kriminality se v různých zemích liší. Interpretace kybernetické kriminality na starém kontinentu, v Evropě, je velmi široká. Označuje rozsáhlou množinu škodlivých aktivit včetně neoprávněné manipulace s daty, průniky do systémů, které narušují jejich integritu, či porušování autorských práv. Patří sem ale i ilegální gambling, prodej zakázaného zboží, jako jsou zbraně nebo drogy, ale také výroba, poskytování, distribuce a vynucování dětské pornografie.

Hacktivismus

Hacktivismus je novotvar, který vznikl spojením slov hacking a aktivismus. Označuje se jím útok nebo neoprávněný průnik do systému motivovaný politickými nebo společenskými cíli. Útočníci jsou nazýváni hacktivisty. Nejčastěji se narušením činnosti napadeného systému snaží upozornit na určitou politickou nebo sociální kauzu. Na webové stránky napadených organizací nebo institucí většinou vyvěšují různá prohlášení, popřípadě se stránky snaží zablokovat nebo alespoň omezit jejich dostupnost. Demonstrují tím svoji zdánlivou sílu a schopnosti a současně se pokoušejí na případ i na sebe upoutat pozornost, zejména mediální.

Kybernetická špionáž

Cílem kybernetické špionáže je nezákonně získat přístup k utajovaným informacím. Nejčastěji jde o informace v držení státních, veřejných nebo vládních institucí, nezřídka je ale cílem kybernetické špionáže i obchodní či technologické vlastnictví podniků nebo firem, především dokumentace k novým výrobkům, technologiím anebo k údajům strategického charakteru.

Kybernetická válka

Jako kybernetická válka, Cyber War nebo také Cyberwarfare, se označují virtuální konflikty vyvolané politicky motivovanými útoky na počítače nebo informační systémy protivníka. Útoky se obvykle uskutečňují prostřednictvím internetu. Záměrem je narušit nebo znemožnit činnost finančních, správních, vojenských anebo strategických systémů. V kybernetické válce se podle hesla účel světí prostředky využívá široké spektrum nejrůznějších typů útoků. Patří k nim i sabotáž zneužitím řídícího systému, jehož důsledkem je poškození nebo vyřazení z činnosti vojenské, ale i důležité civilní výrobní, komunikační nebo servisní infrastruktury.

Hybridní válka

Hybridní válka není nic nového pod sluncem, je známa od nepaměti, jen moderní technologie ji „pozvedly“ na kvalitativně úplně jinou úroveň[3].

Hybridní válka je válečný konflikt [4] vedený vojenskými a nevojenskými prostředky s cílem znásobit jejich kombinací účinek působení na protivníka. Alespoň jednou stranou konfliktu je obvykle stát. Důležitou roli při dosažení cílů hrají právě nevojenské prostředky v podobě psychologických operací, šíření propagandy a dezinformací, ekonomických sankcí, embarg, kriminálních aktivit, teroristických aktivit a jiných podvratných činností obdobného charakteru [5].

Typy kybernetických útoků

Drtivou většinu kybernetických útoků lze rozdělit do dvou základních skupin: globální (plošné) a cílené:

• Globální útoky využívají otevřenosti internetu a snaží se zasáhnout co největší počet cílů bez ohledu na to, zda představují nebo nepředstavují pro útočníky potenciální přínos. Připomínají střelbu brokovnicí do hejna kachen. V zasaženém systému pak teprve zjišťují, jak by jej bylo možné využít k následným nekalým aktivitám.
• Cílené útoky jsou naopak zaměřeny na určitý objekt, např. na firmu, nebo skupinu objektů. Nezřídka se připravují velice dlouho a jejich tvůrci tak mají možnost nalézt optimální způsob, jak docílit požadovaného výsledku. Napadený nemusí dokonce ani tušit, že se stal obětí útoku.

Z hlediska způsobu provedení můžeme kybernetické útoky rozdělit na aktivní a pasívní:

• Pasívní útok, byť označení útok se zde může zdát poněkud zavádějícím, spočívá především ve sledování chování cílového systému, např. firemní sítě, a v analýze dat, jimiž informační systém oběti komunikuje se světem. Pasívní útoky nejsou destruktivní, cílem bývá získat od oběti informace např. informace o zabezpečení systému, použitých zařízeních, důvěrná data, IP adresy a další užitečné údaje, které později může využít k aktivnímu útoku.
• Cílem aktivních útoků je proniknout do systémů oběti, narušit nebo zastavit jejich činnost či manipulovat s nimi nebo s jejich daty.

Slabiny a zranitelnosti

Chyby a nedostatky, které obsahuje především software, ale i hardware počítačů, mobilních telefonů, prvků počítačových sítí a dalších zařízení, mohou být příčinou jejich bezpečnostních slabin a zranitelností. Ty hackeři hledají a zneužívají. Programátorská latina praví, že každý program obsahuje alespoň jednu chybu. Dotaženo ad absurdum to znamená, že i program o jedné řádce je špatně. Moderní software přitom tvoří programy, které mnohdy obsahují statisíce i miliony řádků, a stoprocentně je otestovat je už čistě statisticky nemožné. Chyby, které obsahují, mohou být i bezpečnostními slabinami a zranitelnostmi. Ty hackeři samozřejmě hledají a zneužívají.

I proto je třeba veškerý software udržovat neustále aktuální, neboť důležitou úlohou aktualizací je i odstraňování zranitelností. Bezpečnostní díry v zastaralých operačních systémech a aplikacích jsou jedním z nejčastějších a nejsnazších cílů kybernetických útoků. Slabiny a zranitelnosti může samozřejmě obsahovat i hardware. Aktualizovat, modernizovat a obnovovat zde platí úplně stejně.

Viry, červy a další malware

Malware

Malware, škodlivý program nebo škodlivý kód, je souhrnný název pro nesmírně širokou a enormně rozmanitou skupinu škodlivých programů. Zahrnuje počítačové viry, * červy*, trojany (tzv. trojské koně), vyzvědačský spyware, ale třeba i ransomware. Nejčastěji je cílem útoku propašovat malware do počítačů oběti, kde následně může začít škodit. Obranu proti malwaru tvoří nejenom technologie, ale i poučení a disciplinovaní uživatelé, kteří neklikají na podezřelé přílohy nebo odkazy v mailech a nenavštěvují nebezpečné weby.

Počítačové viry

Škodlivé programy, které se dokáží ukrýt nejen v souborech s aplikacemi, ale i v souborech s daty. Po spuštění či aktivaci infikovaného souboru napadají a infikují další soubory. Z definice viru k tomu dochází bez vědomí uživatele. Přenesením infikovaného souboru na jiné počítače či zařízení se virus šíří. Odtud také pochází označení virus, neboť způsob jeho šíření připomíná způsob šíření virů v biologických systémech, např. mezi lidmi. Dnešní viry jsou velmi sofistikované programy, které se dokážou zamaskovat nejenom v souborech, k nimž jsou připojeny, ale také v počítačích a v dalších zařízeních, do nichž proniknou. Někdy je velmi problematické je odhalit a ze zařízení odstranit. Např. tzv. polymorfní viry se maskují tím, že každá jejich kopie je jiná. To znamená, že žádná kopie virového těla, která se šíří do dalších zařízení, není totožná a v napadených souborech nelze najít žádné sekvence stejného kódu.

Počítačové červy

Červy* se svými vlastnostmi velmi podobají virům. Jsou to samostatné programy, ke své reprodukci a šíření se ale nepotřebují připojovat k aplikačním nebo datovým souborům, šíří a množí se samy. K tomu využívají zranitelností operačních systémů nebo aplikací. Je proto velice důležité mít aktualizovaný antivirový software a pravidelně aktualizovat operační systém a aplikace. Hlavní rysy počítačových červů:

• Automatické šíření: Počítačové červy se šíří samy bez nutnosti lidské interakce. K tomu využívají zranitelnosti nebo bezpečnostní chyby v operačních systémech nebo aplikacích.
• Nezávislost na hostitelském souboru: Na rozdíl od virů nemusí červy připojovat svůj kód k existujícím souborům nebo programům. Místo toho se množí samostatně a přenášejí se jako samostatné programy.
• Vysoká rychlost šíření: Automatické šíření umožňuje červům rychle v krátkém čase infikovat velké množství počítačů a sítí, což znamená, že mohou velmi rychle způsobit rozsáhlé škody.
• Zneužívání bezpečnostních slabin: Červy často využívají bezpečnostních chyb a zranitelností v operačních systémech nebo aplikacích k infikování počítačů.

Škodlivé účinky: Počítačové červy mohou škodit různými způsoby, jako je šíření spamu, vytváření tzv. botnetů (sítí infikovaných počítačů ovládaných útočníkem), krádež citlivých údajů nebo narušení činnosti počítačových sítí.

Trojany

Trojany, trojské koně, tvoří skupinu virů, které předstírají, že uživateli, který si je instaluje, přinesou nějakou přidanou hodnotu. Nejčastěji jde o jakoby zajímavou funkcionalitu, bezplatnou aplikaci nebo zábavu. Ve skutečnosti, usídleni v počítači, navíc často instalovány se svolením uživatele, a tudíž i s jeho právy, škodí. Nejčastěji kradou data či citlivé údaje.

Ransomware

Ransomware je široká skupina tzv. vyděračského malware, jehož cílem je uvést počítač nebo informační systém do nepoužitelného stavu a žádat za obnovení výkupné. Nejčastěji jde o zašifrování obsahu disku nebo dat aplikací s následným požadavkem zaplacení výkupného výměnou za poskytnutí klíče k dešifrování.

Spyware

Spyware je škodlivý vyzvědačský program, který bez vědomí uživatele sbírá nejrůznější informace a předává je kybernetickému zločinci k dalšímu využití, např. k prodeji. Instaluje se obvykle bez vědomí uživatele a chová se v počítači v podstatě jako špión. Odtud pochází i jeho název, spy je anglicky špión.

Addware

Addware slouží především k zobrazování reklam a nejrůznějších nabídek. Nezřídka bývá součástí různých bezplatných aplikací a do počítače se mnohdy instaluje se svolením uživatele. Některý addware ale může i odesílat určité údaje, např. o četnosti využití aplikace, s níž je svázán.

Rootkit

Rootkit je malware jehož cílem je získat v infikovaném počítači přístupová práva administrátora. Rootkity se samy o sobě obvykle nešíří, instalují se nejčastěji prostřednictvím zdánlivě bezpečných aplikací včetně takových, které se vydávají za bezpečnostní software, nebo je zavlékají viry a červy. Úlohou rootkitů je umožnit hackerům vzdáleně ovládat napadené zařízení, popř. pokusit se získat přístup i k dalším zařízením v síti.

Backdoor

Backdoory (zadní vrátka) jsou ve své podstatě trojany, tedy malware potajmu usazený v počítači. Úkolem backdoorů je nepozorovaně otevřít a udržovat spojení s útočníkem, a tím mu umožnit zasahovat do činnosti počítače bez vědomí uživatele.

Keylogger

Keyloggery původně monitorovaly a odesílaly útočníkům údaje o stisknutých klávesách a sloužily především ke krádežím hesel a přístupových údajů. Dnešní keyloggery dokážou monitorovat prakticky všechny činnosti, které v počítačích probíhají, včetně mailového provozu, spouštění programů či otevírání webových stránek.

Exploit

Exploit je malware, který způsobí autory nezamýšlené nebo neočekávané chování napadeného systému. Využívají k tomu právě známých slabin a zranitelností. K vyhledávání těchto slabin slouží tzv. exploit kity, nástroje, které dokážou na dálku prostřednictvím internetu vyhledat v cílovém systému zranitelnosti, aplikovat příslušný exploit, a posléze zanést škodlivý kód.

Vektory útoku aneb jak hackeři útočí

Vektorem útoku se rozumí způsob nebo cesta, jimiž se útočník pokouší proniknout do systému. Při výběru vektorů útoku hackeři často využívají dříve získané znalosti o systémech oběti, např. o typech operačních systémů, síťové infrastruktuře, provozovaných aplikacích nebo o způsobu zabezpečení, a o jejich možných slabinách nebo zranitelnostech. Vektorů útoku je nepřeberné množství a s vývojem technologií jejich počet a rozmanitost variant neustále roste. Zkusme si velmi stručně popsat aspoň ty nejčastější.

Zneužití přístupových údajů

Zneužití uživatelského jména a hesla je jedním z nejčastějších způsobů, který hackeři využívají k průniku do systému. Bohužel stále platí, že lidé se o bezpečnost svých uživatelských jmen a hesel starají jen málo. Často jedno a totéž heslo používají ve firmě i v soukromí, např. k přihlašování do e-shopů, na sociální sítě nebo do nejrůznějších, často i značně obskurních služeb, a to včetně erotických nebo evidentně podvodných. Přitom případy krádeží obrovských kvant přístupových údajů ze sociálních sítí jsou dobře známé a nejsou zřídkavé. Existují obrovské databáze obsahující miliony odtajněných přístupových údajů, stejně jako databáze profláknutých a provařených hesel typu „samé nuly“, „heslo123“ apod.

K dalším způsobům, jak získat přístupové údaje, patří např. využití malware nebo phishingu. Jedinou obranou je používání silných hesel, tvořených nejlépe náhodnou posloupností malých i velkých písmen, číslic a dalších znaků, použití tzv. dvoufaktorové autentizace** a disciplína uživatelů. Je třeba si uvědomit, že datum narození dcery není silné heslo. Útočník ho snadno zjistí třeba z blahopřání na sociální síti. Neklikat na podezřelé přílohy mailů a nepoužívat stejné heslo pro různé aplikace by mělo být samozřejmostí.

Využití malware

Nejčastěji je cílem útoku propašovat malware do počítačů oběti, kde následně může začít škodit. Obranu proti malwaru tvoří nejenom technologie jako antiviry, firewally, tzv. sandboxing*** apod., ale především poučení a disciplinovaní uživatelé, kteří neklikají na podezřelé přílohy nebo odkazy v mailech a nenavštěvují nebezpečné weby.

Phishing

Phishing, někdy se v češtině používá termín rybaření, využívá principů a metod sociálního inženýrství. Útočníci se prostřednictvím rádoby autentických emailů, SMS nebo i telefonních hovorů, které se snaží vyvolat dojem důvěryhodnosti, pokoušejí přesvědčit uživatele, aby něco vykonal. Například klikl na přílohu, navštívil určité webové stránky, obvykle zřízené s cílem vylákat z obětí citlivé údaje nebo i peníze, popř. na stránky obsahující třeba malware. Phishing cílený na určitou skupinu lidí, například na klienty jedné banky, bývá označován jako cílený phishing (Spear Phishing). Speciální formou phishingu zaměřeného na určité skupiny manažerů je tzv. Whaling. Poslední dobou se objevuje nový typ phishingu, tzv. sociální phishing (Social Phishing), kdy odkazy na škodlivé weby jsou prezentovány přímo na sociálních sítích. Phishing šířený prostřednictvím SMS je označován jako smishing.

Falšování (Spoofing)

Falšování obecně označuje techniky, kdy se osoba, program, síťová adresa nebo jiná komponenta síťové komunikace vydává za něco jiného s cílem uskutečnit kybernetický útok. Bohužel imitovat je možné prakticky každou součást počítačové komunikace, zmiňme tedy velmi stručně jen ty nejčastější:

• Podvržení IP adresy (IP Address Spoofing) spočívá v generování síťové komunikace, jež pochází z IP adresy, kterou napadený systém považuje za důvěryhodnou, zprávy přijímá a zpracovává.
• Podvržení ARP zpráv (ARP Spoofing, ARP Poisoning). ARP zprávy informují v počítačové síti o tom, kterému serveru v síti odpovídá určitá IP adresa. Podvržením adresy reálného serveru za podvodný v ARP zprávě se tak provoz přesměruje k podvodnému serveru.
• DNS Spoofing (DNS Cache Poisoning) známý také jako otrava mezipaměti spočívá ve vkládání falešných informací do vyrovnávací paměti DNS serveru. DNS servery, které zajišťují správu jmen a adres v síti, potom místo správných poskytují IP adresy podvodných serverů. Zneužití DNS serverů stojí za mnoha rozsáhlými a medializovanými útoky. Největší registrátor domén GoDaddy např. zažil nepříjemný útok na své uživatele, kterým byly změněny DNS záznamy a byly přidány domény 3. řádu odkazující na malware stránky.
• Falšování odesílatele emailu (Email Spoofing) se obvykle využívá při rozesílce nevyžádaných emailů, zejména při phishingu. V poli odesílatele může být uvedena zcela neexistující adresa nebo, co je ještě horší, skutečná adresa nic netušící osoby. Přitom zfalšovat adresu odesílatele není vůbec žádný problém.

Poslední dobou se objevují další způsoby, jak obalamutit lidi a přesvědčit je, aby třeba klikali na podvodné stránky. Jednou z nich je i zneužívání vyhledávacích strojů (Search Engine Poisoning). Cílem je dostat podvodné stránky na přední místa vyhledávačů tak, aby na ně lidé klikali nejdříve.

Vkládání SQL příkazů (SQL Injections)

SQL je programovací jazyk, který se používá při programování komunikace mezi webovými formuláři a databázemi, které formuláře obsluhují. Injektování spočívá ve vkládání do polí formulářů specifických SQL příkazů, které špatně navržený, zastaralý, nesprávně zabezpečený nebo jinak zranitelný formulář předá databázi. Ta pak může vydat i data, která by vydávat neměla, např. citlivé údaje.

Křížové skriptování (Cross-Site Scripting, XSS)

Křížové skriptování se podobá SQL injektování s tím rozdílem, že škodlivý kód se vkládá přímo do webové stránky. Cílem není poškodit napadenou stránku, ale vnutit škodlivý odkaz jejím návštěvníkům. Nejčastěji se podvodné odkazy vkládají do komentářů k článkům, kde je také vysoká pravděpodobnost, že na odkaz někdo klikne.

Ukradené cookies (Session Hijacking)

Při přihlašování si většina webových aplikací ukládá do počítači nevelký soubor, obvykle nazývaný cookie, v němž si uchovává informace o aktivitách uživatele. Umožňuje to např. vrátit se po opětovném přihlášení na poslední prohlíženou stránku nebo dokonce vstupovat do aplikace bez přihlašování. Pronikne-li do špatně zabezpečeného počítače útočník, může informace v cookies zneužít a získat např. přístup k citlivými informacím. Cookies lze v prohlížeči zakázat nebo omezit jejich využívání, někteří poskytovatelé ale v takovém případě omezí nebo zcela zablokují poskytované služby.

DDoS útoky

Povědomí o DDoS útocích je díky růstu jejich počtu a masívní medializaci relativně vysoké. Základní princip útoku spočívá v soustředěném zasílání serveru oběti velkého množství vhodně zvolených požadavků, na něž server z principu své činnosti musí nějakým způsobem reagovat, a které jej tudíž zatěžují. S růstem zátěže roste také doba odezvy na vlastní služby serveru a ty se postupně stávají nepoužitelnými. Nezřídka pod náporem požadavků server zcela zkolabuje. Záplava dotazů navíc neúměrně zatěžuje i přenosovou trasu k serveru a zpomaluje komunikaci s ním.

Na většině DDoS útoků se současně podílí velké množství útočících zařízení. Bývají součástí tzv. botnetů, sítí tisíců infikovaných a hackery ovládaných počítačů a dalších zařízení připojených k internetu, od pouličních kamer až po domácí spotřebiče. Fungují podle principu „střílí na nás odevšad“, jemuž se jen těžko lze bránit i v počítačovém světě. Účinná obrana spočívá v odfiltrování nežádoucího provozu, což je technicky i technologicky poměrně složitá záležitost. Službu, která spočívá v přesměrování provozu do tzv. pračky, která dokáže nežádoucí data odfiltrovat, mívají ve své nabídce solidní poskytovatelé internetu nebo specializované firmy.

Člověk uprostřed (MITM)

Název MITM pochází z anglické zkratky „Man-in-the-middle“, tedy zhruba člověk mezi. MITM je ve své podstatě jistou formou falšování. Představme si, že komunikujeme s kolegou a na trase je člověk, který naše zprávy čte, upravuje nebo zcela mění, a teprve poté posílá dál. Ve světě digitálních komunikací může MITM například monitorovat zahajování SSL relací a získat nebo pozměnit šifrovací klíče, přesměrovat provoz k jinému než cílovému serveru a podobně. K MITM útokům dochází často ve veřejných Wi-Fi sítích, nicméně nejenom tam. Obrana proti MITM spočívá především v použití solidních virtuálních privátních sítí (VPN), kvalitních firewallů s detekcí průniků (IDS Firewall, MITM agent může totiž sedět přímo v síti oběti nebo dokonce i v uživatelském počítači), spolehlivých antivirových systémů, šifrování citlivého provozu a ve správné konfiguraci mobilních zařízení při využívání veřejných Wi-Fi sítí.

Hrubá síla

Známé pořekadlo řemeslníků praví, když to už jinak nejde, prašť do toho kladivem. Totéž platí i pro kybernetické zločince. Útoky označované jako hrubá síla (Brute Force) jsou založeny na metodě pokusu a omylu. Útočníci se obvykle pokoušejí nejrůznějšími způsoby proniknout do systémů oběti, dokud se jim to nepodaří nebo dokud nezískají alespoň nějaké informace, které by jim pomohly naplánovat cílenější útok. Nejčastěji jde o postupné zkoušení nejrůznějších kombinací uživatelských jmen a hesel. V databázích hackerů jsou jich miliony, práci za ně odvedou stroje. Obecně ale může jít prakticky o kterýkoliv z výše popsaných útoků.

Výčet vektorů útoku zdaleka není vyčerpávající a jejich popis už vůbec není podrobný. Většinu útoků tvoří ve finále kombinace několika vektorů správně přizpůsobených zranitelnostem a slabinám potenciální oběti nebo obětí. Brát v současné době na lehkou váhu zabezpečení a ochranu firemního IT je tak nezodpovědné a silně na pováženou. V řadě případů navíc hackeři nepoužívají jediný vektor útoku, ale kombinují jich více!

Cílený kybernetický útok aneb sedmero krkavců

Drtivá většina cílených kybernetických útoků je pečlivě připravena a přípravy nezřídka trvají i několik měsíců. Kybernetický útok lze s jistou dávkou imaginace připodobnit k vojenskému útoku, kdy na lépe či hůře opevněný hrad nebo město útočí ozbrojený nepřítel. Stejně jako vojenský, tvoří i kybernetický útok několik na sebe navazujících kroků. Podle typu a cílů útoku mohou samozřejmě některé chybět:

1. Průzkum
2. Vyzbrojování
3. Útok
4. Využití kořisti
5. Usazení
6. Ovládání a správa
7. Akce
8. Zahlazování stop (ne vždy se tím útočník zabývá)

Krok první: průzkum

Stejně jako armáda potřebuje znát svého nepřítele, potřebuje i kybernetický útočník znát oběť. Cílem průzkumu, který vůbec nemusí mít vlastnosti kybernetického útoku, je najít potenciální cesty, jak k oběti proniknout. Kdo jsou důležité osoby a komu poslat podvodné maily, jaké technologie a kybernetickou obranu oběť používá a kde jsou jejich slabá místa, s kým oběť komunikuje a obchoduje. Využívá k tomu např. metod sociálního inženýrství, třeba zdánlivě nevinných telefonických dotazů. Pomáhá i monitoring chování zaměstnanců na internetu anebo jejich soukromé elektronické korespondence. Často hackeři využívají i tzv. prohrabávání popelnic, tedy zjišťování nejrůznějších i méně věrohodných informací. Užitečná může být každá maličkost.

Krok druhý: vyzbrojování

Na základě informací, které získali v průběhu průzkumu, hackeři nyní připravují zbraně, které použijí k průniku: důvěryhodně vyhlížející podvodné maily, které pošlou vytipovaným osobám, podvodné webové stránky imitující stránky dodavatelů nebo dokonce i weby bank. Jak se dá zfalšovat bankovní portál jsme už viděli. Hlavním cílem je získat co největší množství uživatelských přihlašovacích údajů a dalších informací, které jim v budoucnu umožní nebo usnadní průnik do firemní sítě.

Krok třetí: útok

Jakmile útočníci získají dostatečné množství výzbroje, zahájí útok. Rozešlou podvodné maily s přílohami obsahujícími nejvhodnější nástroje pro překonání obrany oběti, případně zaútočí na dříve objevené zranitelnosti infrastruktury a vyčkávají, až některý ze škodlivých kódů pronikne dovnitř a zavolá domů, že dveře do systémů oběti jsou otevřené.

Krok čtvrtý: využití kořistí

Teď teprve začíná pro útočníky ta pravá zábava. Jsou uvnitř a snaží se z toho co nejnápadněji vytěžit maximum. Testují, jak fungují a jaké poskytují možnosti získané přihlašovací údaje, jaké systémové funkce mohou ovládat, zda lze získat vzdálený přístup přes firemní VPN, zkoušejí infikovat a ovládnout další počítače. Začínají monitorovat provoz v síti oběti a zjišťovat, co je do sítě připojeno a jak by se to dalo případně využít. Postupně mohou zmapovat i celou firemní síť, získat přístup nejenom k počítačům, ale i k dalším zařízením v podnikové síti, případně k ovládání strojů a technologií.

Krok pátý: usazení

V této fázi již útočník ovládá síť oběti na dálku. Má instalována spolehlivá zadní vrátka, vytvořeny administrátorské a další potřebné účty, dokáže vyřadit antiviry a dokonce i firewall a někdy i ovládat servery a další zařízení na dálku. A správce sítě pořád ještě nemusí nic tušit, protože vše se děje v souladu s pravidly.

Krok šestý: ovládání a správa

Nyní má útočník informační technologie oběti plně pod kontrolou a disponuje všemi nezbytnými nástroji, které potřebuje k provedení plánované akce. Může se chovat jako správce, dívat se na co chce, a měnit, co potřebuje. Může zřizovat nové uživatelské účty, blokovat existující, ba dokonce poslat třeba jménem ředitele e-mail všem zaměstnancům. A když bude chtít, zastaví celý systém.

Krok sedmý: akce

Účelem prakticky každého kybernetického útoku je nějaká akce. Nyní, když má útoční všechno potřebné po ruce, může ji konečně uskutečnit. Může krást data, informace o zaměstnancích nebo klientech, může špiónit nebo sabotovat. Může se mstít nebo prostě jen škodit. V rámci jakýchsi pochybných haktivistických ideálů se může pokoušet páchat dobro. Může vyhrožovat a žádat výkupné. Může se v síti usalašit a používat ji jako základnu pro další trestnou činnost, třeba jako součást botnetu. Může třeba zastavit dodávku elektřiny nebo vody v celém městě, ne-li v celé zemi. Zkuste se sami zamyslet na tím, co všechno by mohl provádět útočník, který by měl plnou kontrolu nad sítí a informačními technologiemi vaší školy, organizace nebo firmy. A bude vás mrazit v zádech.

Krok osmý: zahlazování stop

Nezřídka hackeři nebo jejich klienti chtějí, aby útok zůstal nezpozorován. Důvodů je více, jedním z hlavních je skutečnost, že odhalení vede k důkladné analýze postupů průniku, které jsou součástí interního know-how hackerů, a globálnímu vylepšování obrany oběti. Nicméně i po důkladném odstranění všech známek svých aktivit mnozí hackeři v systému zanechají dobře utajená, nenápadná zadní vrátka pro případ, že by se sem někdy potřebovali vrátit.

Jak se chránit před kybernetickými útoky

Základním pravidlem ochrany před kybernetickými útoky je disciplína uživatelů. Statistiky různě uvádějí, že až 80 % všech úspěšných kybernetických útoků je způsobeno tzv. lidským faktorem. Uveďme si jednoduchý příklad, kdy hacker potřebuje proniknout do informačního systému nějakého úřadu.

Zjistit, kdo v úřadu pracuje, pro něho nepředstavuje problém a není ani příliš velký problém začít potřebné úředníky, třeba z finančního oddělení, sledovat na sociálních sítích. Velkým problémem pro hackera není ani zjistit, s jakými partnery nebo klienty úřad spolupracuje. Pak stačí některému z úředníků poslat e-mail s podvodnou přílohou imitující dokument od klienta, na níž úředník klikne, a virus nebo trojan může být v počítači. Je-li úředník obezřetný a na přílohu neklikne, poněvadž se mu zdá podezřelá, hacker může zvolit bezpečnější metodu. Třeba zavolá na recepci a vydávaje se za zaměstnance nebo zástupce některého z klientů, a zkusí asi tento dialog:

„Prosím vás, já pracuji pro toho a toho. Dostal jsem za úkol vyřešit jednu naléhavou záležitost, my jsme to řešili s paní od vás, ale ona před časem odešla…“
„Aha, to bude paní Nováková…“
„Právě, a já nevím komu teď poslat dokumentaci.“
„Tu zastupuje paní Novotná.“
„Děkuji mnohokrát, já to tedy pošlu jí.“

Nebo může počkat, až se na sociální síti některý z vytipovaných úředníků pochlubí, že odjíždí nebo je na dovolené. Teď už náš hacker ví, který úředník není buď už vůbec nebo aspoň dočasně v úřadě. A tomu pošle e-mail s falešnou přílohou. Proč? V drtivé většině organizací a firem bývá zvykem, že, je-li některý ze zaměstnanců delší dobu nepřítomen, třeba zrovna na dovolené, nebo odpustil-li organizaci úplně, pošta určená pro něho se přesměruje na některého z kolegů. Pravděpodobnost, že klikne na přílohu kolega, je významně vyšší.

Pravidelné vzdělávání zaměstnanců v oblasti kybernetické bezpečnosti je v každém podniku naprostou nezbytností, nikoliv ztrátou času.

K základním pravidlům ochrany před kybernetickými útoky patří disciplína znalých uživatelů. Disciplína musí být důsledně dodržována a vyžadována na všech úrovních, počítač, tablet nebo mobilní telefon generálního ředitele je stejně zranitelný jako zařízení kteréhokoliv jiného zaměstnance. Zaměstnanec musí být obeznámen nejenom s pravidly, principy a metodami ochrany před kybernetickými hrozbami, ale také s riziky, která mohou hrozit organizaci a zaměstnavateli v případě napadení, a postupy, jak se chovat v případě, že k napadení třeba jeho počítače došlo, nebo i když má jen podezření, že napaden být mohl. Současně by každý zaměstnanec měl být rovněž seznámen s možnými postihy za nedodržování pravidel a zásad kybernetické a IT bezpečnosti.

Co je důležité si zapamatovat

Hlavní zásady ochrany před činností hackerů a kybernetické kriminality nejsou nijak složité. Stačí je jen dodržovat! Patří k nim zejména:

• legální, podporovaný a aktualizovaný operační systém na všech zařízeních, včetně mobilních telefonů (mimochodem právě mobilní telefony bývají před kybernetickými útoky chráněny nejhůře, ne-li vůbec),
• kvalitní a aktualizovaný „antivirový“ software v počítači a v zařízeních, včetně mobilu,
• instalovat pouze důvěryhodné aplikace z důvěryhodných zdrojů, a pokud jde o firemní počítače, či mobilní zařízení, dodržovat bez výjimek organizací stanovené zásady a pravidla,
• používat bezpečná hesla a přihlašovací údaje:
  • nejméně 12 znaků (kombinovat malá a velká písmena, číslice a speciální znaky),
  • různá hesla pro různé aplikace,
  • periodicky měnit heslo zejména u citlivých aplikací,
• pokud to jde, používat dvoufaktorové ověřování**,
• kde to jde, používat identitu občana nebo bankovní identitu,
• důležitá hesla neukládat do úložiště hesel v zařízení,
• nezapisovat hesla do snadno přístupných míst (spodek klávesnice, papírek v peněžence apod.),
• nenavštěvovat nedůvěryhodné stránky, např. porno, lákavé nabídky atd.,
• na odkazy nebo přílohy v emailu:
  • neklikat, nemáte-li jistotu, že jsou důvěryhodné,
  • neklikat, i když pocházejí ze známého zdroje (i jeho počítač může být napaden), zdá-li se příloha podezřelá, ověřit si, zda skutečně byla odeslána s vědomím odesílatele,
  • neklikat, i když obsahují lákavé nabídky nebo žádají o pomoc,
  • neklikat, vyžadují-li nějaké přihlašovací údaje (do internetového bankovnictví vstupovat vždy a pouze ze stránek příslušné banky, totéž platí pro ostatní citlivé aplikace),
• před zadáním přihlašovacích údajů ověřit, zda jste opravdu na webu banky či příslušného subjektu,
• podezřelé nebo podvodné maily od banky či jiné instituce oznámit příslušné bance nebo instituci, popř. Policii České republiky,
• na sociálních sítích:
• nepoužívat snadno zjistitelná hesla, kde to jde, používat dvoufaktorovou autentizaci,
• zásadně nepoužívat k přihlašování do aplikací přihlašování „přes sociální síť“ (např. přihlášení „přes Facebook“),
• měnit hesla nejpozději jednou za tři měsíce,
• nesdílet zbytečně informace o dovolených, delších pobytech mimo domov apod., lze se stát terčem nejenom kybernetického útoku, ale i návštěvy domovních zlodějů,
• nesdílet informace pracovního charakteru, o jednáních s klienty, služebních cestách, změně zaměstnání a další údaje, týkající se zaměstnání,
• zásadně neuvádět žádné, byť i zdánlivě neškodné údaje, např. tel. čísla, emailové adresy, bydliště apod. (a to ani do messengerů, na WhatsApp apod.),
• nepřijímat neznámé osoby do přátel (mohou to být hackeři nebo i roboty),
• nereagovat na nejrůznější sebelákavější nabídky,
• neprovádět na sociálních sítích žádné finanční transakce, natož sdělovat třeba údaje o platebních kartách,
• nereagovat na nejrůznější provokatéry, škodiče, trolly (oni na to čekají).

Budete-li dodržovat alespoň výše uvedená pravidla, máte dost velkou šanci, že vás kybernetičtí zločinci nepřekonají a hackeři nenapadnou. Držím vám palce.

* Vzhledem k tomu, že počítačový červ je program a nikoliv živý organismus, používám v tomto kontextu pro slovo „červ“ neživotný rod skloňovaný podle vzoru „hrad“. Nikoliv tedy „ti počítačoví červi“, nýbrž „ty počítačové červy“.

** Dvoufaktorová (také dvoufázová) autentizace označuje proces přihlášení ve dvou krocích. Nejdříve uživatel zadává své přihlašovací údaje, aplikace k níž se přihlašuje pak následně ověří důvěryhodným způsobem jeho totožnost. Může jít o zaslání ověřovacího kódu prostřednictvím SMS na telefon uživatele nebo na jeho e-mail, o ověření přihlášením do mobilní aplikace nebo využití tzv. přihlašovacího klíče.

*** Sandboxing je bezpečnostní mechanismus, který izoluje běžící aplikace nebo procesy od zbytku systému tak, aby zabránil škodlivým činnostem nebo neautorizovanému přístupu k důležitým systémovým prostředkům. Sandboxy jsou používány k testování neznámých nebo potenciálně nebezpečných aplikací, k analýze chování malware, k vývoji softwaru a v bezpečnostních aplikacích pro izolaci potenciálně nebezpečných kódů.