Kybernetických útoků rapidně přibývá

Právo: Kybernetických útoků zacílených na firmy, veřejné instituce i jednotlivce přibývá. Jen Policie ČR podle svých strohých statistik loni šetřila 5344 kybernetických zločinů, což je o 321 více než v předchozím roce, a dokonce o 3842 více než před šesti lety.

Z propočtů České asociace pojišťoven vychází, že u nás může dojít až k 1,7 miliónu kybernetických útoků ročně s potenciálními celkovými ztrátami ve výši až 5,4 miliardy korun.
Postižené subjekty o těchto situacích samozřejmě většinou urputně mlčí, aby nepřišly o reputaci, jenže to je jen voda na hackerský mlýn. Navíc útokem postižené subjekty na díru ve svém „datovém kýlu“ přijdou většinou až po mnoha měsících, přičemž na to doplácejí nic netušící klienti podniků, jejichž data jsou následně zneužívána.

Zvědavost otvírá brány
„Nejsnadnější cesta, jak se dostat k datům konkrétní firmy, je pro hackery přes veřejně dostupné systémy. Každodenní praxe událostí u našich zákazníků, především státních organizací, dokazují, že pokusy o skenování a nalezení těchto děr jsou neustálé. V průměru každé dvě minuty zaznamenáme jeden útok,“ potvrdili Právu bezpečnostní konzultanti společnosti ANECT Aleš Mahdal a Zbyněk Malý.
Hackeři využívají i triků sociálního inženýrství, kde hlavní roli hraje bezhlavá zvědavost. Typickým příkladem sociálního inženýrství byl případ, kdy se v rámci posuzování zabezpečení jednoho ministerstva k jedné toaletě položilo CD s nápisem „odměny 200 %“, na kterém byl jeden poškozený soubor excel.
„Po vložení CD do počítače však soubor nešel otevřít. Během zběsilého klikání se na pozadí spouštěl script, který poslal „fiktivním útočníkům“ IP adresu počítače, do kterého bylo CD vloženo. Výsledek? Za 20 minut se pokusili pracovníci CD otevřít celkem na patnácti počítačích. Obecně jsou útoky většinou směřovány na nejslabší článek systému – člověka – kterého útočník nachytá obvykle jen tím, že mu pošle např. fakturu či profesní životopis ve formátech MS Office nebo PDF s přidanou hodnotou,“ dodává Malý z firmy ANECT. Pak stačí, aby přílohu s útočícím kódem pracovník otevřel, a bránu do systému nevědomky otevře dobře skrytým vetřelcům.
Nejzáludnější na útocích na databáze firem a úřadů je, že se na „děravé necky“ většinou přijde až po několika měsících.
„Průměrná doba detekce útoku se pohybuje v rozmezí 90 až 200 dnů. Například americká zdravotní pojišťovna Anthem, které v minulosti uniklo 80 miliónů záznamů, zjistila únik svých dat až po jedenácti měsících,“ upřesnil Ivan Svoboda, poradce pro informační a kybernetickou bezpečnost ANECT.

Podniky musí lépe střežit data
Potřebu lépe chránit data na úrovni států potvrdil nedávný hackerský útok na jeden z hlavních amerických úvěrových registrů Equifax, kdy hackeři získali data o 143 miliónech klientů této společnosti. Ke zveřejnění úniku na Equifax došlo také až po několika měsících.
Podle Ivana Svobody tyto četné události odůvodňují oprávněnost zavedení nové evropské legislativy označované zkratkou GDPR, byť mnoho firem to vnímá jen jako další evropskou byrokracii. O co jde? Od května příštího roku začne v celé EU platit nové evropské nařízení General Data Protection Regulation (GDPR). Má zvýšit ochranu osobních údajů Evropanů.
Dopadne zejména na podniky a organizace, které shromažďují a zpracovávají osobní údaje ve větším množství. V soukromém sektoru jde například o banky nebo mobilní operátory, ale zpozornět musí i menší firmy.
Kvůli pravidlům, která budou platná od května příštího roku, budou muset své postupy během příštích měsíců upravit statisíce subjektů v ČR. Za neochránění dat svých klientů se počítá se sankcí až do výše čtyř procent ročního obratu.
Nová legislativa EU na druhou stranu přináší výhody pro koncové uživatele. „Zjednoduší to přechod klientů mezi různými poskytovateli služeb, kterými mohou být banky, sociální sítě atp. Milovník hudby svůj playlist přenese snadno z jednoho internetového přehrávače na jiný,“ říká advokát Filip Michalec z advokátní kanceláře Dentons.
Kybernetická bezpečnost koncových uživatelů je oblast, kterou už i pojišťovny zahrnují do svých produktů. Například Uniqa nabízí od letošního jara v rámci pojištění bydlení speciální kybernetickou asistenci pro případy zneužití platební karty, osobních dat, napadení počítače hackery či škodlivými viry, ale i při poškození pověsti na sociálních sítích nebo kyberšikaně a stalkingu. Pojištění internetových rizik má svém portfoliu i ČSOB.

Autoři: Jakub Svoboda, Jindřich Ginter