Jak ochránit podnikání před kybernetickými hrozbami

Jaké hrozby na vás na internetu číhají

Sociální inženýrství

Dlouhodobě platí, že nejslabším článkem každého kybernetického systému je jeho uživatel – a právě na toho sociální inženýrství cílí. Obecně řečeno jde o soubor praktik, nástrojů a psychologických triků, které mají oběť zmanipulovat a ovlivnit její chování. V kontextu kybernetické bezpečnosti se hackeři a podvodníci nejčastěji snaží z uživatelů vymámit osobní údaje, čísla platebních karet, přihlašovací údaje apod.

Metody jsou různé, nicméně jedno mají společné: zneužívají lidskou důvěřivost, emoce a zvyky. Níže uvádíme výběr těch nejčastějších:

Phishing

Jedná se o vůbec nejčastější druh sociálního inženýrství i kybernetického útoku vůbec. Cílem útočníka je zde z oběti vymámit buď peníze, nebo citlivá data – nejčastěji jde o přihlašovací údaje, čísla platebních karet nebo osobní informace.

Nejznámější metodou phishingu jsou podvodné e-maily, kdy podvodníci rozesílají zprávy zdařile napodobující komunikaci oficiálních institucí (banky, pošty, úřady, výjimkou nejsou ani zfalšované e-maily od nadřízených ve firmě oběti). Zpráva se následně snaží oběť pod různými záminkami přimět k zadání citlivých údajů, případně k zaslání peněz.

Phishing má také své variace lišící se konkrétním vektorem útoku:

Scareware Tento druh útoku je založen na falešném bezpečnostním upozornění, které oběť varuje před napadením virem či ohrožení dat. Jedná se například o vyskakovací okna v prohlížeči nabízející “okamžité řešení”, která se snaží přimět uživatele ke stažení antivirového softwaru. Ten ve skutečnosti obsahuje škodlivý kód (viz níže).

Baiting Velmi častá metoda využívající prosté lidské zvědavosti. Oběť je nalákána na atraktivní odměnu, například v podobě chytrého telefonu, vítězství v náhodném slosování loterie či finanční odměna za návštěvu dané webové stránky. I zde se útočník snaží svůj cíl navést ke kliknutí na škodlivý odkaz obsahující škodlivý kód.

Malware

Slovo malware je spojením anglických pojmů malicious (škodlivý) a _software, _a označuje počítačové programy specificky navržené pro nekalou činnost. Tou může být jak snaha o podvodné získání peněz či citlivých dat, tak i destruktivní útoky s cílem cenná data zničit, poškodit či odcizit. Zároveň se ale lze setkat i s relativně neškodným či “jen” obtěžujícím malware, který má za cíl pouze zobrazit reklamu nebo přivést uživatele na jinak neškodnou webovou stránku.

Pro doručení malwaru k oběti útočníci využívají různých metod, z nichž řada spoléhá na již zmíněné sociální inženýrství. Známým příkladem jsou přílohy v e-mailech z falešných adres, které mohou vypadat jako neškodné textové či PDF soubory. Malware se ale může do počítače oběti dostat i řadou jiných způsobů, z nichž některé jsou velmi vynalézavé a zákeřné. V současnosti jsou útočníci schopni vytvářet celé falešné webové stránky, na nichž jsou ukryty odkazy vedoucí ke stažení malwaru do počítače oběti. Lidské zvědavosti a neopatrnosti pak využívají například i USB disky náhodně zanechané na vhodném místě.

Malware dále dělíme na několik základních kategorií:

Počítačové viry Jedná se o škodlivý počítačová program, který po průniku do cílového systému zahájí sebereplikaci a postupně napadá další soubory. Konečný důsledek závisí na cíli útočníka – známé jsou jak neškodné viry zobrazující vtipné zprávy na monitoru, tak i vysoce destruktivní programy schopné nenávratně vymazat všechna data v počítači.

Trojští koně Zvláštní druh počítačového viru, jenž se na první pohled tváří jako neškodný či dokonce užitečný program. V něm ukrytý škodlivý kód pak obvykle nemá za cíl zničení či krádež dat, ale “pouze” útočníkovi poskytne k napadenému systému přístup. Útočník může následně z počítače odcizit data, využít jej k průniku do dalších systémů, případně zařízení zapojit do tzv. Botnetu - sítě navzájem propojených počítačů nakažených malwarem, jejichž výpočetní výkon je následně využit k jiným nekalým aktivitám (např. hromadná distribuce phishingu nebo spamu, případně DDoS útoky).

Ransomware Jak již naznačuje název (_ransom = _výkupné), je cílem ransomwaru data nikoliv zničit či odcizit, nýbrž znepřístupnit je uživateli. Tomu následně útočníci zašlou zprávu, v níž výměnou za odblokování dat požaduje výkupné, nejčastěji ve formě peněz nebo kryptoměn. Ani po zaplacení výkupného ale oběť nemá jistotu, že data získá zpět. Terčem ransomware se nestávají pouze jednotliví uživatelé, ale stále častěji také velké společnosti či státní instituce.

DoS/DDoS útoky

Pod těmito zkratkami se skrývají slova Denial of Service (odepření služby), případně _Distributed Denial of Service _(rozptýlené odepření služby). Obě metody mají za cíl znepřístupnit napadený počítačový systém běžným uživatelům, ať už jde o webovou stránku či jinou platformu. Útočníci této blokace dosahuje zahlcením cílového systému požadavky, kdy nakonec dojde k jeho přetížení a havárii. U DoS útoku tyto požadavky odesílá jeden zdroj, častěji používaná DDoS metoda může mít zdrojů i několik tisíc.

Útoky DDoS jsou dnes již rutinní součástí každodenního života na sítích. Ukazuje to například volně přístupná **mapa Threat Map **zobrazující největší útoky pro daný den. Z mapy jde vidět, že cílem jsou velmi často státní instituce, na něž se útočí z politických, ideologických či jiných nepeněžních důvodů. Mnoho uživatelů osobních počítačů se pak na DDoS podílejí zcela nevědomky, neboť jejich zařízení mohlo být v minulosti infikováno trojským koněm (viz výše) a nyní je součástí botnetu.

Man-in-the-middle (MITM)

U MITM útoku útočník nespoléhá na sociální inženýrství ani jiné “pokoutné” způsoby získání dat. Místo toho se napojí přímo na komunikační kanál mezi uživateli či počítačovými systémy, a zde následně zachycuje datové pakety. Pomocí specializovaných nástrojů pak lze tyto pakety analyzovat, rekonstruovat a následně z nich vytěžit citlivé údaje. Zákeřnost tohoto útoku spočívá v jeho obtížné zjistitelnosti, kdy si uživatelé často vůbec neuvědomují, že jsou tímto způsobem “odposloucháváni”.

Jak výše uvedeným útokům předcházet?

V kontextu kyberbezpečnosti se často uvádí zásada, že **útok se vždy stane, ať už dříve nebo později. **Od této filozofie se následně odvíjí i bezpečností best practices, které se točí především okolo účinné prevence indicentů. Níže proto uvádíme základní rady, jak vaše data ochránit.

Vzdělání a bezpečné praktiky

Jak už jsme uvedli výše, nejslabším článkem systému je jeho uživatel. Právě na lidský faktor by se proto měla vaše pozornost zaměřit především. Zásadním krokem je zde hrozby vůbec znát a umět je identifikovat, k čemuž vám dopomůže **pravidelné a kvalitní vzdělávání koncových uživatelů. **To by se nemělo omezit pouze na teoretické poučení, nýbrž by mělo zahrnovat i praktické příklady a ideálně i zkušební scénáře.

Důležitou součástí zde jsou i základní bezpečnostní návyky, jejichž dodržováním riziko útoku výrazně snížíte. Jedná se například o následující:

Pokud možno, používejte vícefaktorové ověřování, kdy přístupové heslo doplníte sekundární přihlašovací metodou. Tou může být jak kód v SMS zprávě či otisk prstu, tak i kód v ověřovací aplikaci (například Google Authenticator). Svá data také pravidelně zálohujte a dohlédněte na to, abyste vždy používali aktuální verzi softwaru.

Bezpečnostní postupy

Důležitým prvkem zabezpečení je i vědět, jak si počínat v případě zachycení kybernetické hrozby. Živnostníkům nebo freelancerům zde doporučujeme sepsat si dokument s konkrétními instrukcemi pro případ vážného problému (zavirovaný počítač, ztráta zařízení, ztráta uživatelského účtu apod.). Konkrétně může tato “nouzová příručka” obsahovat například telefonní kontakty, návody k obnovení hesel a jiné údaje, které nechcete v nouzové situaci složitě dohledávat. Tento dokument následně vytiskněte a uložte na dobře zapamatovatelné místo.

Tip: Přečtěte si také článek Základy digitální bezpečnosti v podnikání.

Jaké digitální technologie vám můžou pomoci?