Článek
Čerstvě zveřejněná výroční zpráva Bezpečnostní informační služby za rok 2022 potvrzuje to, co řada českých úředníků zažila naposledy tento týden - proruští hackeři čím dál častěji útočí na ministerstva a další úřady.
Civilní kontrarozvědka pod vedením Michala Koudelky v části, která se věnuje kybernetické bezpečnosti, doslova píše o „nebývalém nárůstu aktivit ruských hackaktivistických skupin“.
Podle ministra pro digitalizaci Ivana Bartoše (Piráti) je oblast kyberbezpečnosti v Česku dlouhodobě podfinancovaná. Hrozbě útoků na státní systémy by podle něj měl pomoci chystaný převod webů státní správy pod jednotnou doménu.
„Do roku 2025 by to mělo být hotovo,“ říká v rozhovoru pro Seznam Zprávy. „Slibujeme si od toho, že by to mohlo pomoct i s phisingovými útoky, při kterých se podvodníci tváří jako weby státních úřadů.“
Cílem ruských útoků jsou podle tajné služby weby státních institucí, telefonních operátorů, provozovatelů dopravní infrastruktury i médií. Naposledy útoku čelily tento týden webové stránky vlády, Parlamentu, Ministerstva vnitra, pražského letiště a policie i hasičů.
Dnes vyšla výroční zpráva BIS, v níž se píše, že zaznamenali nebývalý nárůst aktivit ruských hackerů i směrem ke státním institucím. Poslední velký útok se odehrál před dvěma dny. Co na to říkáte? Jak vážné to je?
Je to nemilé. Dokonce jsem zaregistroval, že někde na darknetu se vypsala soutěž o sestřelování českých serverů pro ruské hackery, i s nějakou odměnou.
Kybersvět se rychle mění, takže bohužel někdy ty reakce jsou až ex post. A žádný stát proti tomu není imunní. Dokonce ani Izrael, kde jsem to měl možnost vidět před dvěma lety - vynakládají na kyberbezpečnost obrovské množství peněz, mají to velmi sofistikované a přesto nejsou zcela imunní.
Výroční zpráva BIS:
Co se s tím dá dělat?
Jedna z věcí, která výrazně může pomoci tomu se do budoucna bránit, je projekt, jehož jméno teď nikomu nic neřekne - migrace na doménu gov.cz. Jednoduše řečeno: dneska má každé ministerstvo svoje řešení, svoji doménu, svoje zabezpečení. Ale když to bude společné, tak to jednak zjednodušíte, jednak vlastně bráníte jenom jeden směr útoku. Tedy tu doménu, za kterou jsou virtuální i fyzicky poskládané systémy ministerstev.
O tom se mluví již dlouho. Proč to jde tak pomalu?
Do roku 2025 by to mělo být hotovo. Problém je, že každý by chtěl na party, ale nikdo nechce uklízet. Takže tahle oblast byla dlouhodobě podfinancovaná, ale zlepšuje se to.
Máme NÚKIB. Máme poměrně sofistikovaný tým, který pracuje s kybernetickými útoky, byť i relativně banální DDOS útok, přílišné zatížení těch serverů, může způsobit výpadek toho systému pro uživatele zvenčí.
S tím, jak čím dál víc lidí komunikuje se státem digitálně, narůstají i phishingové útoky, které se často tváří jako oficiální zprávy právě z nějakého úřadu.
Hlavně na nic neklikat. Třeba v momentě, kdy ministr práce Marian Jurečka spouštěl elektronickou žádost o pomoc v energetické krizi, objevil se falešný formulář, který měl nějakou adresu typu „xyhbž“.
I v tomhle by převod pod jednu doménu pomohl, protože by občan díky jednotnému názvu snadněji viděl, že komunikuje se státem. Zároveň má stát už roky schválenou jednotnou grafickou podobu, aby bylo na první pohled poznat, že je to státní instituce. Ale nikdy to není stoprocentní. Nám se docela daří tyhle phishingy řešit díky nic.cz, když jsou v rámci Česka i EU. Ale problém je, když je to nějaký server v zahraničí.
Řekl jste, že kyberbezpečnost je historicky podfinancovaná. Tato vláda na to dá víc peněz?
Jak jsem se o tom měl bavit například s generálem Šnajdárkem, tak významná část investic v rámci posílení obranyschopnosti půjde právě do kyberbezpečnosti. A nejen do ministerstev, ale i do dalších věcí, které lidé využívají - nemocnice, dopravní infrastruktura.
Jak funguje phishing? A jak se bránit?
Anglický novotvar phishing označuje oblíbenou techniku internetových útočníků a zločinců. Má mnoho podob a forem: Může jít o e-mail tvářící se jako upozornění na nedoplatek, zprávu varující, že byl zablokován váš účet, nebo třeba SMS od zájemce o bazarové zboží.
Cíl je ale vždy stejný: Dostat oběť na falešnou internetovou stránku, která se tváří jako oficiální web důvěryhodné instituce. Pokud sem oběť zadá své přihlašovací údaje nebo číslo karty, útočník je má okamžitě k dispozici a může je zneužít. V ohrožení jsou tak nejen soukromá data, ale často i finanční prostředky.
Jak se bránit? Nejdůležitější je být ostražitý a neklikat na odkazy z neznámých zdrojů. Pokud po vás nějaká stránka chce přihlašovací údaje, heslo nebo číslo kreditní karty, vždy raději dvakrát zkontrolujte, že jste skutečně na stránce dané instituce.
Pozor si dejte zejména na „podobné“ domény, které například zaměňují malé písmeno M za písmena RN (m – rn), nebo písmeno L za číslici jedna (l – 1). Často také nesedí národní doména (.cn místo .cz apod.). Jasným varovným signálem je i přeškrtnutý nebo červený zámek vlevo vedle adresy v adresním řádku, který signalizuje, že komunikace neprobíhá po zabezpečeném kanále.
Kdykoli po vás někdo – třeba i váš dlouhodobý známý – žádá o nějaké přeposlání kódu, zpozorněte. Chtějte s ním mluvit (textová komunikace může být podvržená). Pokud se někdo vydává za zástupce banky, zavěste a místo toho zavolejte do své banky. Pokud se někdo vydává za zástupce policie, požádejte o identifikační údaje a zavolejte na policii, abyste ověřili pravost.
Další varovné signály, které mohou (ale nemusejí) phishing provázet:
- Podivná gramatika, lámaná čeština,
- zprávy jsou velmi neurčité a vágní,
- zpráva se snaží vyvolat dojem urgence,
- zpráva obsahuje oslovení vaším jménem získaným z vaší e-mailové adresy.
Nikdy neklikejte na přílohy ani na odkazy v takovýchto e-mailech. Pokud jste již klikli, požádejte o pomoc odborníka nebo firemní IT podporu. V případě napadení je také vhodné zavolat do banky a změnit svá hesla.
