Kybernetická bezpečnosť Archives

Využíváte ChatGPT? Potom pozor na to, co s roboty probíráte.

Zatímco odborníci na kyberbezpečnost poukazovali na případný blížící se bezpečnostní problém chatovacích robotů (jako je např. ChatGPT), útočníci je převezli. Namísto toho, aby se „nabourali“ přímo do těchto platforem, začali uživatelům ve velkém krást přímo pod rukama jejich přístupové údaje. Ty potom prodávají na darknetu. Uživatelé se tak prostřednictvím automaticky přednastavené uložené historie komunikace s chatbotem vystavují značnému riziku.

Podle singapurské společnosti Group-IB, zabývající se kybernetickou bezpečností, se během 12 měsíců v rámci logů (mezi útočníky oblíbených malwarů specializujících se na krádeže informací) objevilo 101 134 přihlašovacích údajů k ChatGPT. Více než čtvrtina z nich pochází z května 2023. „Tento významný únik vyvolává vážné obavy ohledně bezpečnosti informací v rámci generativních nástrojů umělé inteligence, jako je právě chatovací služba ChatGPT či a jí podobné, a poukazuje na potenciální rizika spojená s jejich využíváním,“ sděluje Petr Kocmich, Global Cyber Security Delivery Manager společnosti Soitron.

Zbraní se stal naslouchající malware

Ke krádežím byly nejvíce zneužity malwary Racoon, Vidar a Redline. Fungují přitom stejně jako jakýkoli jiný běžný malware – z cílového počítače kradou informace poté, co si uživatel často nevědomky stáhne a nainstaluje software, který je maskovaný jako požadovaná aplikace nebo soubor. Tento důmyslný typ malwaru se snadno používá a je k dispozici formou služby, která je provozována na základě předplatného modelu, což z něj mezi útočníky – mnohdy dokonce amatéry – činí oblíbenou volbu.

Po aktivaci shromažďuje přístupové údaje uložené v prohlížečích, údaje o bankovních kartách, peněženkách s kryptoměnami, cookies a historii prohlížení a posílá je útočníkovi. Vzhledem k tomu, že výchozí konfigurace ChatGPT všechny uživatelem vedené konverzace uchovává, může pak případné získání přihlašovacích údajů vést k tomu, že si konverzace prohlédne kdokoliv, kdo má k účtu přístup.

Proto by uživatelé neměli zadávat osobní údaje, které je mohou identifikovat. Těmi je například celé jméno, adresa, datum narození a rodné číslo. V žádném případě by neměli vkládat ani přístupové údaje (uživatelská jména a hesla), finanční informace (čísla účtů či platební karty) nebo informace o zdravotním stavu. Rovněž by měli držet v tajnosti pracovní informace, tedy nekomunikovat žádné informace o firmě. „Uživatelé si často neuvědomují, že jejich ChatGPT účty ve skutečnosti obsahují velké množství citlivých informací, které jsou pro kybernetické zločince žádoucí,” varuje Petr Kocmich. Z tohoto důvodu je podle něj rozumné funkci ukládání chatu vypnout, pokud není naprosto nezbytná. Čím více dat účty obsahují, tím atraktivnější jsou pro kybernetické zločince, a proto Kocmich doporučuje pečlivě zvažovat, jaké informace do cloudových chatbotů a dalších služeb zadávat.

Řešením je preventivní obrana

Podobné riziko může nastat, pokud by se útočníkům podařilo prolomit ochranu samotného systému ChatGPT a kompromitovat jej. Pokud útočníci získají přístup k historii chatu, mohou tak nalézt přístupové údaje do firemních sítí, osobní informace atd. Zkrátka vše, co kdy bylo dříve do ChatGPT zadáno.

„V reakci na tuto bezpečnostní hrozbu se mimo zvážení deaktivace vedení historie chatů doporučuje, aby uživatelé pravidelně měnili svá hesla a využívali bezpečnostních opatření, jako je dvoufaktorová autentizace,“ radí Petr Kocmich. Obecně by se tato doporučení měla používat ve všech internetových službách a především tam, kde může neoprávněný přístup způsobit škody.

Ostražitost musí být na prvním místě

Tento incident podtrhuje naléhavou potřebu vylepšit ve světě internetu, který je stále více závislý na umělé inteligenci a digitálních interakcích, bezpečnostní postupy. Jak kyberzločinci vyvíjí nové a nové taktiky, povědomí veřejnosti o kybernetických rizicích a o tom, jak je zmírnit, se stává stále důležitější. „Bez ohledu na nástroje a postupy, které používáte, buďte neustále ostražití a aplikujte známé bezpečnostní principy a osvědčené postupy, abyste se nestali snadným cílem,“ zakončuje Kocmich.

Scammeři už nemusí umět s grafickými programy. Falešné akty z fotografií na sociálních sítích díky AI vytvoří za pár minut

Umělá inteligence (AI) se ve velkém používá k tvorbě falešných explicitních fotografií a videí. Během chvilky automaticky vzniknou falešné akty, které bylo dříve nutné vytvářet za pomoci grafických editorů a potřebného dílčího talentu. Ty následně slouží jak k šikanování, tak vydírání (tzv. sextortionu). Před tímto nebezpečím v kyberprostoru varoval Americký Federální úřad pro vyšetřování (FBI). Potkat může každého. Nejen celebrity, ale i úspěšné podnikatele či běžné občany.

V případě sextortionu (sex – sexuální a extortion – vydírání) se obvykle vyděrači (tzv. scammeři) snaží získat peníze nebo jiné výhody od oběti tím, že hrozí zveřejněním kompromitujícího, avšak zfalšovaného materiálu. FBI upozorňuje na zvlášť znepokojující aspekt této hrozby – scammeři často využívají nevinné fotografie a videa, které lidé sdílejí na svých profilech na sociálních sítích. S pomocí deepfake technologie pak prostřednictvím umělé inteligence využijí obličej oběti k vygenerování pornografického materiálu.

Oběti hlásí, že jejich neškodné příspěvky na sociálních sítích (fotky, videa atd.) zločinci přebírají a upravují pomocí AI generátorů obsahu. Nejde o nový typ útoků, jen dříve se k tomu využívaly programy pro (profesionální) úpravu fotografií, jako je Photoshop. Nyní však zločinci nepotřebují k transformaci žádné grafické dovednosti ani zkušenosti, případně hodiny práce nutné k ruční úpravě. Nově jim stačí pár fotek a AI.

Všeobecná a snadná dostupnost AI byla spuštěna v listopadu 2022, kdy se objevil ChatGPT, který v tomto ohledu pro útoky představoval revoluci.

Stoupající počet obětí podléhá novému trendu deepfake podvodů

FBI dostává stále více podnětů od obětí, jejichž fotografie nebo videa byly explicitně upraveny. Tyto materiály jsou poté veřejně šířeny sociálními sítěmi nebo pornografickými webovými stránkami za účelem obtěžování a vydírání obětí. „Pokrok v technologiích s generativní tvorbou obsahu a snadná dostupnost osobních fotografií on-line poskytují pro zločince, kteří hledají a zaměřují své oběti, novou příležitost,“ uvádí Petr Kocmich, Global Cyber Security Delivery Manager společnosti Soitron.

Vyděrači nejčastěji od obětí požadují peníze a hrozí, že budou fotografie a videa sdílet s členy rodiny a přáteli na sociálních sítích, pokud oběť nezaplatí. Alternativně je vydírají tím, že od obětí požadují skutečné sexuální snímky či videa. Tento nový trend deepfake podvodů se stále více rozšiřuje, a to nejen v oblasti sextortionu, ale také například při podvodech spojených s virtuálními hovory.

Jak se chránit před vydíráním a sexuálním zneužíváním on-line

Před těmito vyděračskými technikami není zcela v bezpečí nikdo, pokud všechny své obrázky z internetu neodstraní. Ani poté však nemusí být v úplném bezpečí, protože jej někdo může tajně fotografovat nebo natáčet ve skutečném životě a poté za účelem sextortionu nebo jiného podvodu zneužít pořízené materiály. Vzhledem k tomu, že se deepfake technologie stává stále pokročilejší a dostupnější, je nezbytné, aby vlády a legislativní orgány přijaly k ochraně občanů odpovídající opatření. V některých jurisdikcích již existují zákony, které vytváření falešných obrazů bez souhlasu zobrazené osoby trestají. Například Velká Británie plánuje v rámci připravovaného zákona o on-line bezpečnosti přijmout proti šíření takovéhoto materiálu opatření.

„Stanete-li se obětí sextortionu, doporučujeme zachovat chladnou hlavu. Rozhodně nikomu nic neplaťte, protože to odstranění explicitního materiálu z internetu nezaručí. Naopak kontaktujte Policii ČR. Jako prevenci doporučujeme dodržovat na sociálních sítích standardní bezpečnostní kroky, jako je odmítání žádostí o přátelství od cizích lidí a využívání všech dostupných nastavení ochrany osobních údajů,“ radí Petr Kocmich.

První nahé deepfake fotografie a videa vytvořené prostřednictvím AI se na internetu začaly šířit v roce 2017, kdy uživatelé na fórech, jako je například Reddit, testovali možnosti umělé inteligence k tvorbě sexuálně explicitního obsahu ženských celebrit. Ačkoliv existují pokusy o zastavení šíření takového obsahu, on-line nástroje a webové stránky pro vytváření deepfake nahých fotek jsou zatím snadno dostupné každému.

Bezpečnostní úroveň organizací v ČR může zvýšit směrnice NIS2

Evropská směrnice NIS2 (Network and Information Security Directive 2) může českým organizacím přidělat starosti, ale rovněž jim paradoxně pomoci vyřešit problémy v případě kybernetického zabezpečení. Konkrétně těm, které do teď tuto vážnou hrozbu neřešily nebo nemohly obhájit potřebný rozpočet na dostatečně kvalifikované zaměstnance.

Směrnice NIS2 má za cíl zvýšit odolnost digitální infrastruktury EU vůči kybernetickým útokům a zlepšit koordinaci a reakční schopnosti při incidentech. „Právě toto jsou aspekty, ve kterých celá řada subjektů nejen v Česku chybuje. Je to dáno tím, že na trhu je nedostatek IT odborníků, a ještě méně expertů na kyberbezpečnost. Protože subjekty, kterých se směrnice nově týká, budou muset zajistit, aby jejich IT sítě a informační systémy byly dostatečně chráněny proti kybernetickým hrozbám, může se tento problém ještě prohloubit,“ uvádí Petr Kocmich, Global Cyber Security Delivery Manager společnosti Soitron.

Co směrnice mění

Dotčené instituce musí implementovat opatření pro prevenci kybernetických útoků a rizik, jako jsou například pravidelné aktualizace softwaru, zabezpečení síťových zařízení a ochrana před phishingovými útoky. Navíc si musí připravit plány pro případ kybernetických incidentů a zřídit mechanismy pro jejich rychlé a účinné řešení.

Důležité incidenty bude nutné hlásit do 24 hodin od jejich zjištění a spolupracovat s národními bezpečnostními orgány. Pokud by společnosti nebyly schopny splnit tyto požadavky, hrozí jim pokuty a další sankce.

Dvě mouchy jednou ranou

Bylo by skvělé, kdyby NIS2 směrnice pomohla skoncovat s nedostatkem odborníků na kybernetickou bezpečnost. Nicméně to se nejspíš nepodaří, a na první pohled by se dokonce mohlo zdát, že se problém ještě prohloubí. Regulace je však výbornou příležitostí, jak organizace zabezpečit. S tím hravě pomohou externí dodavatelé kybernetické bezpečnosti, kteří disponují dostatečnými kapacitami tam, kde organizacím chybí. „Specializované firmy se totiž zaměřují právě na poskytování těchto služeb a mohou pomoci subjektům implementovat bezpečnostní opatření a řízení rizik, a to kompletní formou, tedy službou na klíč nebo formou dodávky řešení včetně podpory, stejně tak zajistí splnění požadavků směrnice NIS2,“ uvádí Petr Kocmich.

Specializované firmy mimo jiné mohou pomoci vyřešit nejen nový požadavek, ale i předchozí „nedotažení“ zabezpečení IT infrastruktury a informačních systémů subjektů. Nicméně, i když instituce využijí služeb těchto dodavatelských firem, odpovědnost je stále na jejich straně, proto by si měly dodavatele pečlivě vybírat a zjistit, zda mají dostatečnou kvalifikaci, zkušenosti a osvědčení.

Důležité je rovněž se postarat o správné zadání úkolů a kontrolu výkonu služeb dodavatelem. V zájmu zajištění efektivity a účinnosti tohoto modelu by měly být úkoly a odpovědnosti jasně definovány ve smlouvě mezi organizací a dodavatelem služeb kybernetické bezpečnosti. Je potřeba si totiž uvědomit, že kvalita dodávané služby mnohdy reflektuje kvalitu a schopnosti řízení dodavatele.

Koho se NIS2 týká a od kdy bude platit

Směrnice pro firmy v Česku bude znamenat větší povinnosti v oblasti kybernetické bezpečnosti a ochrany sítí a informačních systémů. Nicméně přinese i zvýšenou ochranu a odolnost proti kybernetickým hrozbám a větší spolupráci mezi evropskými státy v této oblasti. V neposlední řadě, splnění požadavků NIS2 může pomoci organizacím získat důvěru svých zákazníků a partnerů, kteří budou spokojenější s ochranou svých dat a informací. Celkově by směrnice mohla pomoci subjektům zlepšit bezpečnostní postupy a minimalizovat rizika.

NIS2 se vztahuje na výrobce elektřiny, poskytování zdravotní péče, poskytování služeb elektronických komunikací, ale také na další z více než 60 služeb roztříděných do 18 odvětví. V Česku novinka začne platit 16. října 2024 a týkat se bude až patnácti tisíc subjektů – středních a velkých firem nad 50 zaměstnanců nebo firem s ročním obratem nad 250 mil. Kč. Přestože je směrnice NIS2 platná pouze pro organizace, které splňují definovaná kritéria, a ostatní tak požadavky nejsou přímo povinné splňovat, je vhodné zauvažovat o tom, zda ji nevyužít jako doporučení pro zlepšení obecné kybernetické bezpečnosti i v dalších podnicích.

Šance i pro další subjekty

„Odhadem až 70 % tuzemských organizací má problém s kybernetickou bezpečností.Zejména menší a střední podniky nemají dostatečně zabezpečené IT systémy a nedodržují základní bezpečnostní opatření,“ říká Petr Kocmich.Častým problémem jsou například benevolentní oprávnění běžných uživatelů, chybějící dvou/více faktorové ověření v kombinaci se slabými hesly (i administrátorů), chybným řízením a decentralizací uživatelských identit, zastaralý a nezáplatovaný hardware a software obsahující zranitelnosti, chybějící síťová segmentace, slabá nebo chybějící ochrana e-mailových služeb a přístupu k internetu, nedostatečná ochrana perimetru, nízká viditelnost v rámci síťového provozu, nízké nebo chybějící zabezpečení koncových stanic, chybějící centrální logmanagement nebo nedostatečná školení zaměstnanců. „Kybernetická bezpečnost je pro mnoho společností v Česku velkým problémem a pro útočníky mohou být snadnými cíli. Směrnice NIS2 by měla přispět ke zvýšení povědomí a ochraně proti kybernetickým hrozbám,“ dodává Petr Kocmich.

Více informací o povinnosti NIS2 se nachází na speciálním webu (http://nis2.nukib.cz) Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB).

Miskonfigurace cloudových prostředí představují velkou bezpečnostní hrozbu

Podle Českého statistického úřadu 44 % tuzemských podniků v současné době využívá cloud computing a další se na něj chystají. Při migrování IT systémů však zapomínají na adekvátní zabezpečení, čímž vznikají chybné konfigurace (tzv. miskonfigurace) a ty potom podniky vystavují velkým rizikům. Kterými nejčastějšími miskonfiguracemi trpí?

Podle odborníků má průměrný podnik každý rok stovky chybných konfigurací, ale o převážné většině z nich IT oddělení vůbec netuší. Všechny chybné konfigurace jsou přitom výsledkem lidské chyby a chybějících nástrojů na kontrolu konfiguračního stavu cloudu (např. tzv. CSPM – Cloud Security Posture Management).

Jak cloudové, tak on-premise řešení nabízí jasné výhody a řeší konkrétní výzvy a potřeby organizací. Vzít a přesunout kompletně lokální IT infrastrukturu bez potřebných změn do cloudu (tzv. Lift & Shift přístup) je však častou chybou, které se organizace dopouštějí. Je potřeba si totiž uvědomit, že využívání cloud computingu může zvýšit riziko napadení organizace. Proto se tato výzva musí pojmout jako šance na přechod k modernímu a bezpečnému řešení firemní infrastruktury. Zároveň se nesmí zapomenout vše konzultovat s oddělením bezpečnosti, které by mělo být fundamentální a integrální součástí každého podobného projektu.

Metoda jedna ku jedné selhává

Je zapotřebí si uvědomit, že cloud jako takový je sdílená zodpovědnost mezi poskytovatelem cloudových služeb a zákazníkem – cloud tedy není nikdy samospasný. Lze uvažovat o výběru správného modelu (IaaS/PaaS/SaaS), ale pokud má dojít k úlevě internímu IT/SEC týmu, správnou cestou by měl být model PaaS a SaaS, kde většina zodpovědnosti spadá právě na poskytovatele cloudových služeb.

„Bohužel většina cloudových migrací mnohdy znamená jen ohýbání a přesun stávajícího stavu. Z čehož vyplývá, že je zapotřebí začít využívat ideálně nativních cloudových prostředků, což v mnoha ohledech znamená přeměnu stávajících monolitických aplikací,“ vysvětluje Petr Kocmich, Global Cyber Security Delivery Manager společnosti Soitrona dodává, že v opačném případě nic nezískají, a s největší pravděpodobností je to bude stát více finančních prostředků než původní řešení v on-premise.

V hlavní roli miskonfigurace

Chybné konfigurace cloudu představují zranitelná místa, která čekají na napadení útočníky. Jde o vstupní brány, prostřednictvím kterých je možné infiltrovat nejen cloudovou infrastrukturu, ale díky propojení a hybridnímu režimu se laterálně přesunout i do stávající on-premise části infrastruktury, kde je pak možné exfiltrovat data, přístupové údaje, telemetrická data strojů v provozním prostředí, zdravotní záznamy či osobní údaje, a to vše třeba zakončit nasazením ransomware.

Dopad chybné konfigurace cloudu na zabezpečení systému

Při migraci systémů dost často dochází i k tomu, že vybrané služby, které byly dostupné v rámci on-premise řešení jen interně, jsou po migraci vystaveny veřejně na internetu, bez filtrování a blokování externího síťového provozu. „Tímto nešvarem trpí mnoho společností, a dokonce mnoho z nich spadajících pod kritickou infrastrukturu. Nedávno jsme takto detekovali veřejně dostupnou konzoli ICS systému pro ovládání výrobní a montážní linky – bez nutnosti ověření,“ uvádí Petr Kocmich.

Proto následně dochází k desítkám až stovkám incidentů měsíčně, což statistiky dohledového centra Soitronu potvrzují. Chybné bezpečnostní konfigurace se stávají snadným cílem útočníků, kteří dobře vědí, že je má téměř každý podnik. Navíc může otevřít dveře postranním ransomware nebo cryptojacking útokům, při nichž jsou zneužívány cloudové výpočetní zdroje k podpoře kryptotěžebních aktivit.

Kroky pro minimalizaci rizik miskonfigurací

Správa, a především sledování konfigurace, vyžaduje mnohostranný přístup. Proto by organizace měly zavést osvědčené bezpečnostní postupy, jako je pravidelné hodnocení stavu zabezpečení cloudu (Cloud Security Posture Management), které pomůže odhalit řadu bezpečnostních prohřešků a miskonfigurací. Stejně tak by měly dodržovat zásady Least-Privilege a provádět průběžné monitorování a auditování cloudových systémů.

„Udržování dostatečné viditelnosti cloudových aktiv by mělo být prioritou, stejně jako v rámci on-premise řešení. Dále pomůže silný Identity & Access Management, který umožní škálovat oprávnění, aby byla zajištěna správná úroveň přístupu ke cloudovým službám,“ vysvětluje Kocmich. Identifikací různých chybných konfigurací při migraci do cloudu a jejich vyvarování se podnikům pomůže odstranit hlavní bezpečnostní problémy. S tím dokáží pomoci specializované firmy, které organizaci provedou celým procesem a vše správně nastaví.

Odkaz na článek v časopise

IT Systems

Když jde o bezpečnost firemního areálu, jaký plot si vybíráte?

Představte si návštěvu nového výrobního areálu u (imaginárního) českého výrobce mobilních telefonů. Ve firmě panuje čilý pracovní ruch, ale už při příjezdu Vás zarazí, že vstup do celého areálu je zcela volný. Autem bez problémů vjedete až ke skladu, žádná rampa, žádná kontrola, žádní strážníci. Uvědomíte si, že celý pozemek je oplocen pouze zahradnickým pletivem, které je navíc místy roztrhané nebo zcela chybí.

Výrobní haly i expediční sklady mají brány pootevírané a vypadá to, jako by fungovaly „samoobslužně“ – kdokoliv přijde, naloží si zboží a odejde. Administrativní budova je také bez recepce, alarmu či kamer, má v otevřených vchodových dveřích jen řetízek ve výšce kolen s tabulkou „Cizím vstup zakázán.“ Absurdní představa, že? Ano, ale pokud si fyzickou ochranu zaměníme s kybernetickou, jedná se o běžný stav firem či institucí v České republice.

Jak je to možné?

„Myslím si, že klíčový problém je, že mnohé organizace ještě nezačaly kybernetickou bezpečnost brát vážně. Nevěnují jí dostatečnou pozornost a tím pádem ani lidské a finanční zdroje,“ tvrdí specialista Martin Lohnert.

V průzkumu společnosti pwc mezi slovenskými generálními řediteli se obavy z kybernetických hrozeb objevují na spodních příčkách žebříčku 10 problémů, které je znepokojují. Přitom ve stejném průzkumu uvádějí manažeři v USA a západní Evropě kybernetické hrozby na prvním místě. Otázka je, jak moc se obávají kybernetických hrozeb čeští manažeři firem. Jestli bychom na tom byli stejně.

Je to paradox, protože kybernetický prostor právě geografické hranice nemá, a hrozby mezi zeměmi moc nerozlišují (s výjimkou těch politicky motivovaných.) I když během pandemie přibylo více zranitelných míst či aplikací díky práci z domova, viděli jsme sofistikovanější vyděračské útoky, častější a lepší jazykově lokalizovaný phishing, šlo o globální „trendy“, se kterými se setkávají státní instituce i firmy kdekoliv.

Je zde ještě možnost, že slovenské společnosti nevnímají kybernetické hrozby jako podstatné proto, že mají bezpečnost na mimořádně vysoké úrovni. Zkuste se na to zeptat někoho z odborné komunity a zřejmě ho takovou hypotézou dobře pobavíte. Realita má často podobu děravého pletiva, a je jen otázkou štěstí, že na Slovensku ještě nezažili kybernetickou “katastrofu” s mnohamilionovými škodami, o jakých stále čteme ze zahraničí.

Tento článek byl zveřejněn v pravidelné příloze slovenských Hospodářských novin o kybernetické bezpečnosti. Součástí přílohy je i anketa, ve které odpovídá specialista na kybernetickou bezpečnost Stanislav Smolár.

Odpovědi specialistů v anketě

Organizace získaly cenné detaily z kybernetického útoku na zdravotnický systém

Před více jak osmi měsíci zažil irský zdravotnický systém největší kyberútok ve své historii. Vzpamatovával se z něj několik měsíců, a to i přesto, že sami útočníci poskytli klíč k zašifrovaným datům. Přitom se nechce ani věřit, že před ransomwarovým útokem měli hackeři do zdravotního systému vybudovaný přístup již osm týdnů před samotným útokem. Něco podobného může kdykoliv potkat i tuzemské zdravotnické organizace, ale i jiné podniky mimo tuto oblast.

Cílem kyberzločinců ze skupiny Conti bylo odcizení dat z centrálních serverů irského zdravotního systému (Health System Executive). Prostřednictvím ransomwarového útoku došlo na dlouhé týdny k ochromení počítačového systému ve většině irských zdravotnických služeb, což způsobilo rozsáhlé rušení nezbytných operací a zdravotních vyšetření. O sedm měsíců později HSE zveřejnila obsáhlou 157stránkovou zprávu pojednávající o celém incidentu. „Forenzní zkoumání ukázala na celou řadu důležitých faktů, které stály za tímto případem, a měly na HSE mnohem větší dopad, než se doposud myslelo,“ uvádí Martin Lohnert, specialista pro oblast kyberbezpečnosti v technologické společnosti Soitron.

Na narušení chyběla adekvátní reakce IT oddělení

Zatímco ransomwarový útok byl zahájen 14. května 2021, hackeři poprvé získali přístup do sítě HSE už o osm týdnů dříve – 18. března infikováním pracovní stanice HSE malwarem – tím, že zaměstnanec na počítači se systémem Windows otevřel z phishingového e-mailu nastražený dokument Microsoft Excel. Podle zprávy systémy zahlásily několik varování o vážném narušení sítě, ale tyto varovné signály byly špatně identifikovány, a navíc nebyly dostatečně řešeny.

Jakmile hackeři získali přístup do systému, kompromitovali značný počet serverů, exfiltrovali data a pohybovali se laterálně. Zločinci následně požadovali výkupné, HSE však odmítla zaplatit. Přesto se stalo něco, co není obvyklé. „Skupina Conti nakonec sama a bezplatně dešifrovací klíč uvolnila, pravděpodobně poté, co si uvědomila, že zasáhla vládní agenturu a v reakci na veřejné pobouření. I tak obnova zašifrovaných dat trvala více než čtyři měsíce,“ upozorňuje Martin Lohnert. Počáteční odhady nákladů na obnovu činily neuvěřitelných 600 milionů dolarů, včetně 120 milionů dolarů potřebných na upgrade a lepší zajištění systémů zasažených ransomwarem.

Zásadní chyby, které vedly k povedenému útoku

HSE pověřila obnovou dat (údajně šlo o 700 GB) členy irské armády. Snaha byla ukončena až 21. září, kdy HSE považovala všechny servery za dešifrované. I tak některá data zůstala stále neobnovená – obnovena byla data z 1 075 aplikací z celkového počtu 1 087 aplikací. Zpráva zdůrazňuje i to, že není jasné, kolik dat by se podařilo zachránit, kdyby nebyl k dispozici dešifrovací klíč. Mimochodem, zálohovací infrastruktura HSE byla nastavena pouze na periodické zálohování prostřednictvím pásek.

Problémem bylo i personální zajištění: HSE zaměstnávala pouze 350 lidí na IT pozicích a pouze 15 v rolích bezpečnosti. Těm přitom chyběly odborné znalosti v oblasti kybernetické bezpečnosti. Alarmující také bylo to, že HSE mimo jiné neměla:

žádné plány nebo příručky pro kybernetickou bezpečnost;
bezpečnostní nástroje schopné prozkoumat a aktivovat bezpečnostní výstrahy;
centralizovaný seznam kontaktních údajů pro všechny zaměstnance HSE nebo registr majetku;
off-line kopie klíčového zabezpečení IT a dokumentace;
předem stanovený prioritní seznam aplikací a systému pro obnovu.

Povinná četba pro firmy

Podle údajů společnosti Check Point na české firmy směřovalo v roce 2021 přes 1000 kyberútoků týdně. Oproti předchozímu roku je to nárůst o padesát procent. Celosvětový průměr činil 900 útoků. Je jen otázkou, kdy obdobný průšvih potká i Česko a bude mít fatální důsledek. Jakousi analogii v případě zdravotnictví můžeme v nedávné době najít v podobě několikatýdenního vyřazení nemocnice v Benešově, nebo útok na Fakultní nemocnici v Brně nebo Ostravě.

„Jak ukazuje tento příklad, v dobách, kdy na celém světě exponenciálně roste počet kyberútoků, mnoho institucí stále toto riziko nebere vážně. O to horší je potom situace, kdy v době pandemie útok zasáhne zdravotnický systém nebo kritickou infrastrukturu,“ varuje Martin Lohnert.

Nízká úroveň vyspělosti kybernetické bezpečnosti v kombinaci absence nepřetržitého monitorování sítě na výskyt bezpečnostních incidentů je přitom vražednou kombinací. „Organizace po celém světě mohou být HSE vděčné za to, že je tak otevřená a transparentní, a že zveřejnila, k čemu přesně došlo. Všichni se z tohoto incidentu mohou poučit. Dokument přibližující, co se stalo v HSE bych vedení firem doporučil jako povinnou četbu,“ zakončuje Martin Lohnert.

Hackerské skupiny do fiktivních kyberbezpečnostních firem verbují odborníky

Drzost hackerských skupin nezná meze. V honbě za financemi již neváhají rekrutovat softwarové inženýry, kteří by jim pod rouškou penetračního testování pomohli provést ransomwarové útoky. Za tímto účelem zakládají „legitimní“ společnosti jejichž předmětem podnikání má být kybernetická bezpečnost. Ale pozor, opak je pravdou! Schopnosti IT odborníků jsou zde nevědomky zneužívány k tomu, aby objevili bezpečnostní slabiny, které by se daly kyberzločinci následně využít.

Toto počínání dokazuje případ zavedené ruské hackerské skupiny FIN7, která funguje od roku 2015 a jejíž celková „tržní kapitalizace“ se odhaduje už na miliardu dolarů. Podle výzkumníků z poradenské jednotky Gemini Advisory společnosti Recorded Future skupina založila a provozovala firmu Bastion Secure – se sídlem na skutečné adrese, několika pobočkami po celém světě, telefonními čísly, vlastními firemní webovými stránkami, a vše bylo podpořeno výsledky v Google vyhledávači a pozitivními referencemi zastřešenými renomovanými světovými firmami. „Firma Bastion Secure pro soukromé společnosti a organizace z veřejného sektoru měla poskytovat služby v oblasti penetračních testů, což je metoda ověření zabezpečení počítačových zařízení, systémů nebo aplikací,“ vysvětluje Martin Lohnert, specialista pro oblast kyberbezpečnosti v technologické společnosti Soitron.

Třetím krokem ve výběrovém řízení je útok

Fiktivní společnost přitom byla pouze zástěrku pro zveřejňování inzerátů na pracovních portálech s cílem najmout na různé pozice experty na kybernetickou bezpečnost. Pracovní nabídky lákaly softvérové inženýry, systémové administrátory, či C++, Python a PHP programátory. Na ty, kteří se přihlásili, čekal třífázový pohovor:

První kolo: žadatelé o zaměstnání absolvovali videopohovor s HR zástupcem Bastion Secure. Po úspěšném absolvování došlo k podepsání dohody
o mlčenlivosti.
Druhé kolo: již zaměstnanci obdrželi od společnosti legitimní nástroje potřebné k penetračnímu testování, aby mohli plnit úkoly.
Třetí kolo: zaměstnanci obdrželi zadání, ve kterém byli vyzváni, aby provedli penetrační test pro jedno ze zákazníků Bastion Secure.

Odpovědnost v tomto případě nese tester

Je potřeba zdůraznit, že v tomto procesu se nikde neobjevily žádné právní dokumenty opravňující testera penetrační test provést, jak je v takovýchto případech zvykem. „Tím existuje riziko, že pokud by byl tester odhalen, mohl by být podle platné legislativy státu, ve které společnost, kterou testuje, stíhán. On jako jednotlivec, nikoliv hackerský gang, pro který pracoval. Byl by to totiž on, kdo pokusy o útok provádí,“ zdůrazňuje Martin Lohnert.

Zástupci Bastion Secure po těchto svých zaměstnancích dále požadovali, aby v případě úspěšného proniknutí do podnikového systému hledali především firemní data, včetně záloh. Vše vlastně odpovídalo krokům, které se provádí při pokusu
o ransomwarový útok.

Zaměstnat testery je levnější a snazší

Pokud jde o důvody, proč zločinecká skupina jako FIN7 zašla tak daleko, aby provozovala falešnou bezpečnostní společnost, odpověď je nasnadě. „Najmout člověka pro nelegální aktivity není vůbec snadné. Šikovných pen-testerů je nedostatek a na trhu jsou atraktivní nabídky od renomovaných firem, kde jim rozhodně nehrozí trestní stíhaní. Pro FIN7 bude proto snazší i levnější získat takto nic netušící zaměstnance než spolupracovat s jinými hackerskými skupinami nebo hackery rekrutovanými z darknetu, kteří by třeba požadovali určité procento ze zisku,“ prozrazuje Martin Lohnert. Výkupné požadované po napadených firmách může v některých případech dosáhnout milionů amerických dolarů.

Taktika provozování falešné bezpečnostní firmy není nijak zvlášť nová. Sama skupina FIN7 ji už využila v roce 2010, kdy používala další falešnou bezpečnostní firmu s názvem Combi Security. „Alarmující na tomto příkladu je však to, že v dnešní době práce z domova, lidi hledající práci, či přivýdělek mnohdy nenapadne verifikovat zakázky zaměstnavatele. A už vůbec je nemusí napadnout, k čemu všemu mohou být zneužití. Automaticky předpokládají, že společnost, která o ně má zájem je legitimní, a tudíž ji důvěřují ve všem. Včetně toho, že od svého zákazníka má povolení provádět penetrační testy,“ uzavírá Martin Lohnert.

Jak okrást vaši firmu? (BEST OF 2020)

Před nedávnem jsem se blíže věnoval 3 způsobům, kterými se během pandemie pokoušejí kybernetičtí zločinci obrat lidi o peníze. Odborníci z odvětví vědí, že se jim to (příliš) často i podaří, což potvrzuje Europol i občasné zprávy v médiích.

Samozřejmě, zmíněný Smishing, Vishing a klonování SIM karet nejsou útoky jen na váš internet banking a osobní finance, ale cílem může být i získání přístupu k penězům či jiným cennostem firmy, ve které pracujete. V korporátní sféře fungují i další metody kybernetického zločinu. V roce 2020 se objevovaly čím dál tím častěji, byly sofistikovanější a lépe cílené. Podívejme se opět na tři nejčastěji použité metody ataku hackerů na firmy.

FALEŠNÝ ŘEDITEL

Falešný ředitel je název podvodu, kde se útočník vydává za generálního ředitele s cílem přesvědčit odpovědné osoby, aby pod časovým tlakem zrealizovali bankovní převod na jím poskytnutý účet. Pro zvýšení důvěryhodnosti využívají zločinci různé techniky – detailně znají, kde a kdy se skutečný ředitel vyskytuje. Útok tak zrealizují v době, kdy se s ním nelze spojit a informace ověřit (např. když je na konferenci). Ačkoliv podvod probíhá většinou prostřednictvím e-mailů, je znám i případ, kdy útočníci přes telefon použili pomocí umělé inteligence vytvořený hlas, který zaměstnanci nedokázali rozeznat od hlasu skutečného ředitele. Firma ve Velké Británii prostřednictvím tří telefonátů tak přišla o € 220.000.

FALEŠNÉ FAKTURY

Falešné faktury jsou známým a stále častěji se objevujícím podvodem. I v tomto případě je třeba přesvědčit firmu či organizaci, aby zrealizovala převod na podvržený účet pomocí falešných, ale na venek důvěryhodně působících faktur. V sofistikovanějších případech si útočníci prostředí před útokem dobře zmapují, poznají, jak funguje schvalování plateb, s kým společnost obchoduje, případně se nabourávají přímo do firemní elektronické pošty. Následně pošlou ke schválení faktury od skutečných dodavatelů za opravdu dodané služby či zboží, ale se změněným číslem bankovního účtu. Případně dodají i oficiální vypadající oznámení o změně platebních údajů.

Zkušenost s takovým případem má i slovenské Metodicko-pedagogické centrum, kde útočníci tímto typem útoku v roce 2015 ukradli téměř € 460.000.

KRÁDEŽE PLATEBNÍCH ÚDAJŮ

Krádeže platebních údajů se nejčastěji týkají čísel kreditních karet. Tradičně jsou realizovány přes různá zařízení, které zločinci instalují k bankomatu či POS terminálem a přečtou jimi potřebné údaje z karet použitých v blízkosti. Novější a rostoucí metodou jsou „digitální“ krádeže platebních údajů, tj. platební karta musí být fyzicky přítomna. Cílem jsou hlavně organizace provozující e-shop nebo jinak přijímající platby online. Útočníci v nich infiltrují webstránky pokladny a platební brány, kde (většinou prostřednictvím JavaScript kódu) monitorují data o probíhajících platbách. Ty odchytávají, zaznamenávají a prodávají na černém trhu, případně používají na další zločinecké aktivity.

Koncem minulého roku upozornila VISA na nový typ softwaru kradoucí platební data pod názvem Pipka, který po sobě věděl dokonce zahladit stopy.

Top 3 kybernetické podvody, jak vás mohou okrást

MARTIN LOHNERT

V roce 2020 se lidstvo musí vyrovnávat s řadou onemocnění či úmrtí a jejich společenskými, ekonomickými i politickými dopady. Nedávno zveřejněná rozsáhlá zpráva Europolu o internetové kriminalitě zároveň oficiálně potvrzuje, že mimořádnou situaci způsobenou globální pandemií COVID-19 se intenzivně pokoušejí zneužít i kybernetičtí zločinci.

Hackeři pokračují v osvědčených tricích, šíří vyděračské a jinak škodící viry, a zároveň své taktiky přizpůsobují aktuální realitě, kde lidé mnohem častěji pracují, nakupují a komunikují přes Internet. Je užitečné tyto nyní „populární“ způsoby znát, abyste věděli před čím se chránit.

SMISHING

SMishing jsou útoky prostřednictvím podvodných SMS zpráv. Samotný název je kombinací SMS a phishing. I když se stále více lidí chová opatrně k podezřelým emailům a zlepšují se i technická řešení, které je filtrují, přesouvá se zájem útočníků do mobilních telefonů.

Lidé jsou dnes již běžně zvyklí používat SMS jako druhý faktor pro přihlašování do citlivých systémů (internet bankingu, firemní pošty či aplikací) díky čemuž jim připisují vyšší důvěryhodnost a bývají při malých obrazovkách méně obezřetní. V kombinaci s tím, že mobilní zařízení bývají mimo správy firemního IT a bez jakýchkoli ochranných či dohledových nástrojů, představují pro podvodníky velmi atraktivní cíl. Prostřednictvím SMS, iMessage či jiných zpráv vám pošlou například informaci o doručování zásilky s odkazem, který od vás bude chtít vyplnění údajů. Známé jsou i případy, kdy SMS vyzývala k verifikaci, aktualizaci či „reaktivaci“ účtů přesměrováním na podvodnou stránku či dokonce zavoláním do falešného kontaktního centra.

VISHING

Vishing představuje telefonické podvody (voice + phisingu) s prvky sociálního inženýrství, před kterými v létě 2020 varovala i americká FBI. Útočníci zneužívají fakt, že při práci z domu chybí osobní kontakt a tak je možné, že vaši důvěru si snadněji získá i neznámý volající. Šance je ještě vyšší, když útočník zmíní jména odpovědných osob či názvy oddělení, které získal studiem veřejně dostupných zdrojů nebo z jiných telefonátů, nebo přidá vymyšlený příběh, že právě nastoupil a potřebuje právě vaši pomoc. Vzbuzením soucitu byli útočníci úspěšní v získávání například jednorázových hesel pro přihlašování do VPN. A ty jim otevřely cestu k dalším útokům a následně škodám.

KLONOVÁNÍ SIM KARET

Klonování SIM karet je útok, kde podvodníci přesvědčí mobilního operátora, aby pro vaše číslo aktivoval novou SIM kartu, kterou budou mít k dispozici oni. Použijí přitom vaše identifikační údaje a často i padělané doklady. V momentě, kdy se nová karta aktivuje, vaše původní přestane fungovat. Než však na problém vůbec přijdete a doberete se k příčině, uběhne několik hodin. Za těch pár hodin stihnou útočníci přistoupit k vašemu internet bankingu, přihlásí se s použitím ověřovacích SMS (protože vaše mobilní číslo nyní funguje i na jejich SIM kartě), zrealizují převody či výběry, které jim denní limit dovolí. Jsou známy i případy, kdy ukradené číslo zneužili na loupež dalších služeb a přístupů (email, sociální sítě, e-shopy atd.)

Všechny tři způsoby mohou připravit o peníze vás osobně, ale známé jsou i případy, kde škody způsobily podobné útoky na města, nemocnice a soukromé firmy. Příště se podíváme podrobněji na tři další kybernetické podvody zaměřené právě na organizace.

Martin Lohnert

Ředitel centra kybernetické bezpečnosti Void SOC

Průmyslová výroba jako snadný cíl hackerů: Některé firmy ani netuší, jak moc jsou ohrožené

Můžou sledovat celý průběh výroby, zastavit ji nebo firmu od jejího řízení úplně odstřihnout. I tak to může dopadnout, když se do průmyslového podniku nabourají hackeři. Kybernetická bezpečnost je ve slovenských a českých průmyslových podnicích jednou z posledních priorit, protože prvořadá je produkce. Výrobní společnosti přitom útočníky lákají pořád víc.

V roce 2015 zůstalo na Ukrajině bez elektřiny 225 000 domácností. Několikahodinový výpadek byl výsledkem koordinované akce skupiny hackerů, kterým se podařilo proniknout do systémů tří distribučních společností. Zatímco v tomto případě šlo o poměrně sofistikovaný útok, u nás by na ochromení výroby v některých podnicích stačilo podstatně menší úsilí. Řada průmyslových podniků včetně elektráren, mrazíren nebo drůbežáren totiž kybernetickou bezpečnost zanedbává.

ZAPLAŤTE, JINAK ZASTAVÍME VÝROBU

Loňský průzkum společnosti Soitron provedený týmem analytiků Void SOC (Security Operations Center) ukázal, že až 509 průmyslových podniků na Slovensku a 1580 v České republice má svoje průmyslové řídicí systémy (tzv. ICS) dostupné na internetu. Bez hackování tak bylo možné sledovat průběh jejich výroby, teploty v jednotlivých skladech mrazíren nebo kvalitu vypouštěných odpadních vod. U jedné fotovoltaické elektrárny měli návštěvníci dokonce přístup ke změně hesla – a to bez jakékoli námahy.

NÁS SE TO NETÝKÁ

Ačkoli si některé průmyslové firmy v Čechách a na Slovensku myslí, že kyberútočníky nezajímají, není to pravda. Když se hacker dostane například k informacím o výrobě, které by mohly zajímat konkurenci, nebo má možnost celou produkci zastavit, získává ideální pozici k vydírání. Spousta firem je v takových případech bezmocná a útočníkovi raději zaplatí. Kromě zastavení výroby nebo úniku důležitých informací může mít hackerský útok i další důsledky – finanční ztráty, poškození strojů a produktů, škody na životním prostředí, ohrožení životů, reputační riziko a jiné.

VYSOKÝ DLUH V OBLASTI BEZPEČNOSTNÍCH TECHNOLOGIÍ

Jedním z důvodů, proč jsou průmyslové podniky tak špatně chráněné, je i dlouhý životní cyklus jejich technologií. Výrobní stroje často slouží deset a více let, takže celkem logicky nejsou připravené na digitalizaci. Problémy pak nastávají, když se podniky snaží tyto starší stroje postupně „automatizovat“. Přidávají k nim různá zařízení na ovládání nebo sledování výroby (např. teploty, počtu určitých úkonů a dalších), která jsou připojená k internetu. Právě taková zařízení ale obvykle nedokážou odolávat dnešním kybernetickým hrozbám.

Vedení podniku v tom vidí obrovskou výhodu – výroba je plně automatizovaná. Pokud ale nejsou tyto nové digitální technologie dostatečně chráněné, stávají se z nich otevřené dveře pro hackery. Obecně se dá říct, že značná část výrobních podniků neinvestuje do bezpečnosti průběžně a jejich „technologický dluh“ tak pořád narůstá.

ZAUJALO VÁS TÉMA KYBERNETICKÉ BEZPEČNOSTI?

Přečtěte si naše další články na toto téma:

MÁTE DALŠÍ DOTAZY?

Potřebujete pomoci s kybernetickou bezpečností ve vaší společnosti? Nechte nám váš kontakt a naši specialisté vám rádi pomohou v rámci nezávazné konzultace.

KONTAKTUJTE NÁS

Jaké hrozby přináši koronakrize pro IT bezpečnost ve firmách? A jak se jim dá vyhnout?

O tom, že kyberútoků neustále přibývá, že jsou komplexnější a hackeři jsou vynalézavější, není pochyb. Během pandemie musely i menší firmy narychlo přejít na práci z domova, často bez jakéhokoli zabezpečení. To otevřelo obrovské příležitosti útočníkům, kteří najednou mohli proniknout hluboko do útrob společností, zneužít citlivá data nebo požadovat výkupné…

Několik rad k tomu, co by měly větší i menší firmy dělat v přetrvávajících koronačasech prozradil náš IT specialista David Dvořák, manažer IT poradenství, v rozhovoru pro známý český portál Roklen24.

ZAUJALO VÁS TÉMA KYBERNETICKÉ BEZPEČNOSTI?

Přečtěte si naše další články na toto téma:

CHCETE VĚDĚT VÍC?

Zaujalo vás téma kyberbezpečnosti? Pokud máte otázky týkající se vaší společnosti, nechte nám kontakt a naši specialisté vám rádi poskytnou nezávaznou konzultaci.

KONTAKTUJTE NÁS

David Dvořák, CISA, CISM, CRISC, CDPSE

IT Advisory Manager

david.dvorak@soitron.com

Reakce na kybernetické incidenty v době pandémie Covid-19

BEZPLATNÁ POMOC PRO ZDRAVOTNICKÁ ZAŘÍZENÍ

V situaci, které dnes čelíme bez výjimky všichni, považujeme za nejdůležitější zajistit nepřetržité fungování zdravotní péče. Ta je zkoušena nejen náporem pacientů v důsledku pandemie, ale také kybernetickými hrozbami.

13. března 2020 ohrozil kybernetický útok ve Fakultní nemocnici v Brně nejen její IT systémy, ale jejich znefunkčněním i veřejné zdraví všech občanů. A to právě v době, kdy jsme na zdravotní péči odkázáni více, než kdykoliv předtím. Vypořádat se ve vlastní režii s rozsáhlým útokem na IT není vůbec jednoduché ani za běžného provozu, a výrazně složitější během mimořádné situace, které jsme všichni svědky.

Proč chceme pomoci?

Disponujeme odbornými znalostmi, zkušenostmi a odhodláním pomoci v krizových situacích způsobených kybernetickými hrozbami a útoky. Během mimořádné situace, v jaké se poskytovatelé zdravotní péče dnes nacházejí, vnímáme jako naši občanskou povinnost jim poskytnout takovou pomoc bezplatně.

Jak chceme pomoci?

Poskytovatelům zdravotní péče, nemocnicím, testovacím laboratořím a dalším zdravotnickým zařízením jsme připraveni poskytnout bezplatně odborné poradenství a realizaci opatření vedoucích k odstranění situace způsobené kybernetickým incidentem, 24 hodin denně, po celou dobu trvání mimořádné situace způsobené pandemií COVID-19.