První otázka je jasná, proč počet útoků roste?
FZ: Ve zkratce proto, že se to ekonomicky vyplatí. A nahrává tomu mix politických, společenských i environmentálních problémů a změn v technologiích.
MB: Je třeba si uvědomit, co jsou útočníci zač. Oni jsou to totiž především podnikatelé. Nepředstavujte si žádné mladé kluky s kapucí přes hlavu, kteří sedí někde ve sklepě. Jde zkrátka většinou o lidi, kteří se rychle snaží přijít k penězům, často v podmínkách, kde to jinak není jednoduché – proto se tolik rizik vztahuje k zemím, jako je například současná Ukrajina. Dnešní mladí, kteří tam zůstali, to budou mít v zemi zničené válkou, bez infrastruktury a dostatku pracovních příležitostí hodně těžké, což vytváří podhoubí k problémům.
Obecně, vezměte si mladého člověka, který se snaží vydělat větší peníze, má malé možnosti uplatnění a velké očekávání. Právě ten může tíhnout k rychlejší, i když ilegální výdělečné činnosti. A tady dochází k tomu, co si spousta lidí neuvědomuje. Pokud takový útočník zjistí, že je masa lidí náchylná k nějakému tématu, které rozděluje společnost, ať už je to covid, válka na Ukrajině nebo prezidentská volba, tak tenhle strach a negativní emoce živí jen proto, aby lidi nachytal a vydělal na nich. Aby na něco klikli, něco otevřeli, někam poslali svoje údaje nebo zkrátka spolupracovali.
FZ: Velkou roli v tom hrává časový nátlak, po uživatelích se chce, aby něco stáhli nebo na něco klikli rychle, protože jinak domněle důležitá informace zmizí. Je to ale umělý tlak, aby se zkrátil čas, kdy lidé přemýšlí nad tím, jestli je to vůbec validní informace.
Chcete tím říct, že když někdo v kyberboji vytáhne kartu společenských témat, není to proto, že by za některé z nich bojoval?
MB: Nechci dehonestovat skupiny, které se opravdu bijí za nějaké téma proto, že jim to z hloubi jejich duše dává smysl, ale myslím, že jsou ve velké menšině.
FZ: Existují skupiny jako Anonymous, kteří se například hodně angažovali v prvních týdnech konfliktu na Ukrajině, bojují proti porušování lidských práv, cenzuře, korupci a různým ideologiím.
MB: Anonymous jsou v podstatě filozofickým hnutím, které spustilo svůj první útok proti webu, který byl silně orientovaný proti gayům. Narostlo do masivních rozměrů, ale dnes už se jméno Anonymous také hodně zneužívá.
Odpovědět na vaši otázku ovšem obecně není jednoduché, záleží totiž také na tématu. V kontextu rusko-ukrajinského konfliktu víme, že než Rusové zaútočili fyzicky, zvedl se počet kyberútoků na ukrajinskou infrastrukturu a rozjela se dezinformační kampaň. Jde o asymetrické vedení války, jako útočník potřebujete do obyvatelstva vehnat obavy, destabilizovat strukturu a politickou situaci. V rámci tohoto konfliktu je určitě většina incidentů motivovaná politicky, ale jinak podle mě útoky za nějaký názor tvoří velkou menšinu. V minulosti se povedlo rozložit několik skupin spamerů, kteří se živili rozesíláním nevyžádané pošty většinou za účelem propagace padělaného zboží. Po úspěšném rozložení jedné z takových skupin klesl e-mailový provoz na internetu o desítky procent! A to se bavíme o nedávné minulosti. Jaká část celkového provozu má dnes tento charakter, nedokáže nikdo změřit. Mluví se o internetovém šumu, který je generován z větší míry právě masovými kampaněmi a skenováním veřejně dostupných systémů právě pro identifikaci a zneužití zranitelností.
Vraťme se na začátek, co si pod slovem „útok“ mám vlastně představit?
FZ: Můžou to být DDoS útoky, které se používají k přehlcení nebo vypnutí webových stránek nebo služeb, přičemž ano, někdy to mohou být i ty spjaté s nějakou vládou nebo politickou stranou a tím pádem názorem. Phishing a další útoky využívající praktik sociálního inženýrství, jejichž cílem je získat přístupové údaje k jakýmkoli účtům, vytáhnout informace, které by útočníkovi pomohly, a v neposlední řadě donutit oběť stáhnout a nainstalovat malware, nejčastěji ransomware. Dále to může být přímý síťový útok, jehož cílem je dostat se do sítě a bez interakce uživatele tam způsobit narušení, spustit ransomware a získat citlivá data. Tyto útoky pak vedou k únikům dat, což není útok samotný, ale hmatatelný výsledek předchozího proniknutí do systému. To všechno se navíc může dít prostřednictvím e-mailů, sociálních sítí, SMS a telefonických hovorů.
MB: To, co teď řešíme u klientů nejčastěji, je ransomware, kdy vám útočník zašifruje data, abyste se k nim jako vlastník nedostal. Jde o formu vydírání, útočník chce buď zaplatit s tím, že vám data potom vydá, což se ale většinou nestane, anebo vyhrožuje, že vaše data zveřejní. Případně útočníci zacházejí tak daleko, že vyhrožují kontaktováním úřadů pod hrozbou obří pokuty. Jedná se ale o primitivní techniky, žádný hacker vám nebude kontrolovat účetnictví, jestli náhodou nekrátíte daně. Jiná varianta je spustit už zmíněný DDoS a odstavit vám byznys, třeba e-shop. To už jsme také zažili u řady zákazníků. Když si vezmete, že takový útok vyjde jeho původce průměrně na 100 euro na den, náklady jsou proti možnému zisku extrémně nízké a útočníci hledají způsob nátlaku, který by jim mohl zvýšit pravděpodobnost získání výkupného.
To je zajímavé téma vzhledem k tomu, jak se nejen Češi naučili v covidu masivně nakupovat online. Je teď zabezpečení takových služeb velké téma?
MB: Je. A vůbec, do budoucna bude velmi růst skloňování a význam termínu cyber resilience. Už totiž nejde přemýšlet nad tím, jestli se dostanete pod útok. Dostanete, to je jasné. Každá společnost se musí připravit na to, že na ni někdo zaútočí. Musí umět do pár hodin svoji činnost obnovit, jinak jí v případě těch největších utíkají miliony korun. Hezky se to přirovnává k příběhu se studnou. Představte si, že máte ve vesnici studnu jako jediný zdroj pitné vody, jenže nějaký blbec vezme hnojivo a tím ji otráví. Vy musíte mít v první řadě nastavený mechanismus, kterým zjistíte, že se to vůbec stalo, jinak vám zemře spousta lidí. V našem případě to znamená mít implementované funkční detekční technologie. Když to víte, pak také musíte občany efektivně informovat, aby vodu nepili. A taky musíte mít zajištěné, že do pár hodin přijede cisterna s pitnou vodou nebo mít záložní zdroj vody, na který vodovod napojíte. Nebo si představte, že vás někdo bude vydírat, protože už má ve studni připravenou bombu a odpálí ji, když nezaplatíte. Případně když se budete vymlouvat a čekat, dá vaši nečinnost do novin jako ohrožení zdraví obyvatel. Odolní vůči útoku jste jedině tehdy, když víte, co máte dělat, a jste na tuto situaci připraveni. Ne, že věříte, že nejste pro útočníka zajímaví.
Jako odborníci víte o rizicích, o kterých běžný člověk nemá ani ponětí. Nechytá vás z toho někdy úzkost?
FZ: Z vlastní zkušenosti můžu říct, že než jsem se stal security specialistou, vesele jsem na internetu klikal na odkazy, aniž bych kladl důraz na bezpečnost. Ona byla také jiná doba a komplexita malwaru byla tehdy mnohem nižší. Když jsem se začal zabývat IT bezpečností, byl jsem obezřetnější, až paranoidní k jakýmkoli odkazům a přílohám. Teď už ale vím, že existují různá řešení a já můžu klikat na všechno, pokud používám správná technologická bezpečnostní opatření. To je jeden pohled. Druhý je, že pro sofistikovaný útok musíte být pro útočníka něčím zajímaví, musí mít nějaký důvod, proč to zkusí zrovna na vás. O pokusech typu „vyhráli jste iPhone, klikněte“ už snad lidé z velké části vědí.
MB: Já mám obavy z něčeho jiného. Vezměte si, že my jsme první generace lidí, která funguje většinu svého času na internetu, ale přitom nás v tom nikdo nevychoval. Neměli jsme rodiče, kteří by nám řekli, jak na to, doba nás hodila do vody, ať se naučíme plavat. Celá masa lidí tak dnes žije v naivním světě a pocitu, že na internetu se jim nemůže nic stát. Přitom ve skutečnosti je to Divoký západ a kulku můžete dostat kdykoliv. Teď je naše role vychovat novou generaci, ale bojím se, že toho děláme stále málo. Sociální odpovědnost je velmi nízká a komunita lidí, která informacemi disponuje, je malá a spíš je využívá k byznysu. Rodiče dbají na to, kam chodí jejich děti do školy, s kým se stýkají, kdo se podílí na jejich výchově mimo bezpečný kruh rodiny. Přitom můžou sedět vedle vás a v tom samém momentu zápasit s kyberšikanou, vydíráním, názorovým ovlivňováním, být aktivní v extremistických online skupinách, ale vy si toho nevšimnete. A k tomu všemu máme jen velmi málo odborníků. Jako společnost produkujeme čím dál zranitelnější jednotlivce, což je o to větší problém v politicky nestabilních a ekonomicky méně vyspělých zemích, kde životní situace nabádají podnikavé jedince k pochybné kariérní dráze.