Článek
Technologická společnost Safetica provedla průzkum o bezpečnosti home office, nad jehož výsledky by se měla většina dotázaných firem zamyslet. Například 75 procent oslovených firem nechává své zaměstnance pracovat na osobních počítačích a tím otevírají dveře pro případný útok.
„Některé společnosti nejsou na tento krok zdaleka vybaveny a připraveny. Ohrožují tím zejména interní data,“ upozornil Petr Žikeš, ředitel firmy Safetica, která se na bezpečnost firemních dat specializuje.
Podle bezpečnostního experta společnosti ESET Václava Zubra je největší výzvou z pohledu IT právě zajištění práce z domova. Zaměstnanci si totiž musí vzít svůj pracovní počítač s sebou nebo zajistit přístup ze svého domácího počítače do firemní sítě.
„Práci z domova na vlastních soukromých počítačích vidím jako velké riziko. Lidé tam totiž nemají dobře nastavenou bezpečnost, jako je tomu na těch korporátních,“ vysvětluje expert na kybernetickou bezpečnost Karol Suchánek.
A protože přechod z práce domů proběhl prakticky během několika dní, mnoho firem řešilo vzdálené přístupy nahonem. „V narychlo vytvořeném vzdáleném připojení do firmy vidím za aktuálního stavu v České republice největší ohrožení,“ varuje Zubr. V časovém presu totiž mohou vzniknout chyby, které mohou útočníci zneužít k proniknutí do vnitřní sítě a napadení celé společnosti.
Podle experta se schopnosti útočníků stále vyvíjejí a používané postupy v menších firmách mohou být nedostatečné. „V poslední době vidíme velmi často zneužívání vzdálených přístupů přes Remote Desktop Protocol nebo VPN připojení,“ vysvětluje. Ty pak zločinci využívají k napadení serverů a exfiltraci dat, která prodávají na černém trhu nebo vydírají pod hrozbou zveřejnění.
„Takový útok vyřadí společnost z provozu v nejlepším případě na několik hodin. Nejsou výjimkou situace, kdy analýza útoku, zavádění nových systémů a protiopatření, obnova dat a celkové naběhnutí všech systémů trvá i měsíce,“ varuje Václav Zubr.
Vláda sází na ověřenou platformu
Do formátu videokonferencí nepřešly jen firmy, ale také státní správa včetně vlády. Na jejích zasedáních se přitom probírají utajované informace, které mohou mít cenu nejen v rovině politiky, ale také byznysu.
Úřad vlády používá ke komunikaci platformu Cisco Webex, informovala Seznam Zprávy tisková mluvčí vlády Jana Adamcová. „Dle vyjádření firmy Cisco je celý videokonferenční provoz šifrovaný. Společnost garantuje, že se k přenosu nedostane žádná nepovolaná osoba,“ dodala mluvčí.
Stejnou aplikaci používá také pražský magistrát. „Pro online konference používáme dva dlouhodobě ověřené systémy od nadnárodních technologických společností. Jde o Microsoft Teams a Cisco Webex Meetings Security. V obou případech se pro komunikaci používají zabezpečené, šifrované klientské aplikace, nikoliv webové prohlížeče. Tímto je zajištěna bezpečná komunikace mezi klienty. Všichni uživatelé dále obdrželi metodické postupy pro správné používání aplikací,“ říká za Magistrát hlavního města Prahy jeho mluvčí Vít Hofman.
Podle Michala Černého ze společnosti Audiopro, která stojí za dalším nástrojem pro videokonference jménem Lifesize, jsou obě platformy naprosto bezpečné. „Jádro systému aplikace Webex je zhruba pět let staré, tedy neaktualizované, ale bezpečnost je v podstatě na té nejvyšší úrovni,“ říká. Zdůrazňuje, že cena této služby je docela vysoká, což je však daň za vysokou bezpečnost.
Podobně je na tom podle něj i aplikace od Microsoftu. „Teams na tom není vůbec špatně, protože Microsoft na bezpečnost hodně dbá. Tady bych se zabezpečení také nebál, je na vysoké úrovni,“ dodává.
Audiopro a jeho Lifesize odehrává videohovory v cloudové platformě, podobně jako Webex, Teams nebo Hangouts od Google. „Máme zašifrovanou komunikaci mezi všemi účastníky, tedy mezi nimi a cloudem. Útočník by musel dešifrovat 256bitové šifrování v reálném čase,“ vysvětluje odborník.
Jako hlavní výhodu svého řešení proti obrům z Googlu nebo Microsoftu zmiňuje Černý kromě bezpečnosti i videa v kvalitě až 4K a rovněž otevřenost systému, protože se může do něj přihlásit i kdokoliv zvenčí, pokud dostane přístup. „Pro komunikaci mezi přáteli nebo uvnitř jedné firmy je řešení například v rámci Hangouts dostačující, v případě externí komunikace již nikoliv,“ tvrdí.
Jak se bránit proti útoku
- Udržujte systém pomocí aktualizací.
- Hodně pomůže dvoufaktorové ověření.
- Při práci s e-maily pozor na práci s přílohami, neotvírejte nic z neznámých zdrojů.
- Neklikejte na odkazy v e-mailech z neznámého zdroje.
- Dávejte pozor na pravopisné chyby v e-mailech nebo na webech, mohou být podvržené.
Zoom jako příklad hrozby
S přechodem do virtuálního světa se však nepotýkají jen firmy nebo úřady. Týká se třeba škol všech úrovní nebo jednotlivých rodinných příslušníků, například, když děti volají svým rodičům či prarodičům.
Často k tomu využívají otevřené platformy, jako je například Zoom. Spousta uživatelů jej objevila právě až v okamžiku, kdy je vládní opatření uvěznila doma. Důvod je jasný, platforma boduje líbivou reklamou, snadno se používá a dokáže propojit videochatem až stovku lidí najednou. A hlavně je zdarma. Tedy alespoň zdánlivě. Uživatelé totiž skládají účet tím, že se vystavují celé řadě potenciálních útoků.
A nejde o okrajovou záležitost, Zoom používají k videokomunikaci univerzity nebo více než 60 procent společností z žebříčku Fortune 500. Šéf Zoomu Eric Yuan uvedl, že v prosinci jeho službu využívalo 10 milionů klientů, v březnu 200 milionů klientů.
Podle údajů výzkumného týmu Check Point Research zaznamenala americká služba řadu pokusů o přiživení se na svém jménu. Existují již téměř dva tisíce podobných domén, z toho čtvrtina vznikla v uplynulých několika dnech. A objevily se také infikované, podvržené spustitelné soubory, které slibují instalaci Zoomu a místo toho otevřou útočníkům dveře k uživatelově zařízení.
„Zoom není jedinou aplikací, na kterou se kyberzločinci zaměřují. Nové phishingové weby se snaží zneužít všechny oblíbené komunikační aplikace,“ upozorňuje Petr Kadrmas, bezpečnostní inženýr ze společnosti Check Point. „Podobné útoky jsou velmi nebezpečné, protože 90 procent kybernetických útoků na organizace začíná phishingovou kampaní,“ dodává.
Za „zneužití“ jména komunikátor Zoom zodpovědnost nenese, za softwarové zabezpečení své služby však ano. A podle listu Wired se na něj kvůli bezpečnostním dírám řítí vlna žalob. Aktuálně se hodně řeší jev zvaný „zoombombing“, kdy se do zdánlivě uzavřené skupiny vlomí při videohovoru nezvaný host – může na sebe jen upozornit, ale také poslat třeba pornoobrázky nebo vést rasistické řeči. To vše třeba ve skupině školáků.
Podle kritiků si však firma nelámala hlavu ani s bezpečností dat svých uživatelů a prodávala je třetím stranám, aniž by o tom měli tušení, a bez toho, že by si na Zoomu zřídili účet.
„Zoom, i když je skvělý z hlediska použitelnosti, zjevně nebyl navržen s ohledem na bezpečnost,“ shrnul pro Wired expert na kybernetickou bezpečnost Patrick Wardle. Šéf Zoomu Eric Yuan na kritiku zareagoval tím, že společnost nebude tři měsíce pracovat na vylepšování aplikace a zaměří se výhradně na látání bezpečnostních děr.
