Když je cílem technologie, ne organizace

Poslední týdny znovu ukázaly, jak rozmanité mohou být současné kybernetické hrozby a jak obtížné je dnes předvídat, odkud útok přijde. Společným jmenovatelem už často není konkrétní organizace nebo odvětví, ale technologie, zranitelnost nebo dobře zvolený vektor útoku. Ostražitost je proto na místě bez ohledu na velikost organizace či sektor, ve kterém působí.

Výraznou pozornost bezpečnostní komunity v posledních dnech přitáhly kritické zranitelnosti v technologii PHP, která stojí za významnou částí internetových aplikací a služeb. Zveřejněné chyby umožňovaly vzdálené spuštění kódu bez autentizace a vedly k řadě preventivních opatření napříč Evropou. Organizace odstavovaly veřejně dostupné služby, ověřovaly stav svých systémů a urychleně aplikovaly bezpečnostní aktualizace. K rychlé reakci vyzvaly mimo jiné CERT-EU, ENISA i národní bezpečnostní autority včetně NÚKIB, jimi vydaná upozornění sdílela řada organizací včetně nás na sociálních sítích.

Dopady byly patrné také v České republice. V souvislosti s aktuálními pokusy o zneužití těchto zranitelností řešilo incident například České vysoké učení technické v Praze (ČVUT), které preventivně odstavilo část své infrastruktury. K obdobným opatřením přistoupily také další instituce včetně Úřadu vlády České republiky nebo Českého hydrometeorologického ústavu, o kterých informovala například ČT24.

Když se mrazák změní v pec

Neméně zajímavý byl nedávný incident ve Francii, který ukázal rostoucí význam ochrany provozních technologií (OT). Možná jste i vy zachytili články o tom, jak útočníci dokázali ovládnout chladící zařízení v síti francouzských prodejen. Útočníci zde kompromitovali systémy používané pro řízení chladicích technologií v supermarketech a způsobili tak rozsáhlé provozní škody. Nešlo o útok na databáze ani podnikové aplikace, ale na technologie zajišťující samotný provoz zařízení. Případ tak připomněl, že kybernetická bezpečnost dnes zdaleka nekončí u IT systémů a stále více zasahuje i do světa fyzické infrastruktury.

Vedle technických zranitelností zároveň pokračuje další dlouhodobý trend: rostoucí množství sociálně-inženýrských útoků. Bezpečnostní týmy napříč organizacemi zaznamenávají zvýšenou aktivitu phishingových kampaní využívajících e-mail, komunikační platformy i mobilní aplikace. V posledních týdnech se opakovaně objevovaly například podvodné zprávy vydávající se za rezervace hotelů, požadavky na potvrzení ubytování nebo komunikace vedená přes aplikaci WhatsApp. Cílem útočníků přitom často není prolomit technické zabezpečení, ale získat přístupové údaje nebo přimět uživatele k otevření škodlivého obsahu. I naši kolegové čelili nedávno podvodným zprávám tohoto charakteru, vydávajících se za oficiální komunikaci hotelu. Buďte ostražití.

Zcela samostatnou kapitolou je pak kyber kriminalita orientovaná na nejcitlivější cílovou skupinu – děti a mladistvé. Potíráním takových případů se zabývá samozřejmě celá řada organizací včetně těch českých, ale velkou část práce je potřeba odvést primárně na druhé straně – ať už jde o nastavení nejzákladnějších bezpečnostních opatření, rodičovských zámků, tak edukace. Jak na straně dětí, tak právě i rodičů.

Pestrost nejen těchto incidentů ukazuje, jak se kybernetické prostředí proměňuje. Na jedné straně stojí kritická zranitelnost v široce rozšířené webové technologii, na druhé kompromitace OT systémů a mezi nimi každodenní phishingové kampaně zaměřené na koncové uživatele. Přesto mají všechny tyto scénáře společný základ: útočníci využívají nejslabší dostupný článek, bez ohledu na to, zda jím je server, průmyslový řídicí systém nebo člověk.

Poslední týdny tak nejsou zajímavé pouze jednotlivými incidenty. Připomínají především skutečnost, že účinná ochrana dnes vyžaduje kombinaci technických opatření, rychlé reakce na nově zveřejněné zranitelnosti, průběžné správy IT i OT prostředí a v neposlední řadě také schopnost rozpoznat stále sofistikovanější pokusy o sociální manipulaci.

Protože v dnešním kyberprostoru není rozhodující, kdo jste. Rozhodující je, jakou příležitost útočník najde.