Kybernetické obležení

Podle nejnovější zprávy společnosti Gen Digital je Česko třetí nejohroženější zemí na světě z hlediska rizika setkání se s podvodem. Jen za poslední čtvrtletí loňského roku zablokovala tato společnost 321 hrozeb za sekundu mířících na české uživatele. A jak ukazují data společnosti Avast, podvody na seznamkách připraví oběti v průměru o 47 tisíc korun. Kyberzločinci se stále více zaměřují na city a emoce svých obětí. Využívají deepfake videa známých osobností k propagaci investičních podvodů, generují sofistikované phishingové e-maily pomocí umělé inteligence a vytvářejí falešné profily na seznamkách, aby získali důvěru a vylákali peníze.

„Podvody jsou stále nebezpečnější, protože se skrývají, někdy i přímo na očích, ve všech aspektech našeho digitálního života,“ varuje Siggi Stefnisson, technický ředitel pro kybernetickou bezpečnost ve společnosti Gen Digital.

Nebezpečné mobily i Windows

Mobilní telefony se staly nedílnou součástí našich životů a bohužel i oblíbeným cílem útočníků. Průzkum společnosti Eset ukázal, že třetina Čechů nemá přehled o aplikacích nainstalovaných ve svém smartphonu a pětina nijak neomezuje jejich oprávnění. A to otevírá dveře různým hrozbám. Útočníci šíří škodlivý kód pomocí falešných aplikací, které se vydávají za populární služby, jako jsou Spotify nebo Amazon Prime Video. Využívají techniky PWA (Progressive Web Apps) a WebAPK, aby obešli bezpečnostní opatření oficiálních obchodů s aplikacemi. A pokud si uživatel takovou aplikaci stáhne, riskuje, že přijde o svá data, hesla, nebo dokonce o peníze. Poslední dobou se také hodně rozjelo zneužívání známých značek, jako jsou Škoda Auto, Kia nebo Globus, na Facebooku. Podvodník založí stránky pod touto značkou a napíše, že rozdává několik aut nebo nákupů zdarma. Naivní uživatelé pak podstoupí „losování o cenu“, jehož součástí je i registrace mobilního čísla. Jenže místo výhry automobilu se upíšou k pravidelnému týdennímu předplatnému na nějaká nesmyslná videa. Je to sice jen stokoruna týdně, ale ve výpisu ji přehlídne snadno většina. Ani uživatelé počítačů si nemohou být jisti. V Česku se šíří infostealer Formbook, který krade hesla a data ze schránky. A jak upozorňují experti z Esetu, útočníci neváhají zneužít ani jména populárních aplikací a trendů k šíření škodlivého kódu.

NIS2 mění pravidla hry

Zatímco se české firmy potýkají s nárůstem kybernetických útoků, nová evropská směrnice NIS2 už klepe na dveře. Regulace, která začne platit v polovině roku, dramaticky rozšiřuje okruh subjektů, na něž se vztahují přísná pravidla kybernetické bezpečnosti. Dotkne se zhruba šesti tisíc firem v Česku. A to nejen kritické infrastruktury, ale i středních a velkých podniků s více než 50 zaměstnanci a ročním obratem nad deset milionů eur. Směrnice zasáhla široké spektrum odvětví – od energetiky a dopravy přes zdravotnictví a finance až po výrobce elektroniky a potravinářské firmy. Nově se vztahuje i na poskytovatele cloudových služeb, datová centra a sociální sítě. Co to pro firmy znamená v praxi? Především nutnost zavést robustní systém řízení rizik. To zahrnuje technická opatření, jako jsou firewally a šifrování, ale i efektivní správu aktualizací a zajištění fyzické bezpečnosti IT systémů.

Klíčovým prvkem je také povinnost hlásit bezpečnostní incidenty. Firmy musejí nahlásit závažné incidenty do 24 hodin od jejich zjištění. A do 72 hodin poskytnout komplexní zprávu o povaze incidentu a přijatých opatřeních. NIS2 klade důraz i na vzdělávání zaměstnanců a zvyšování povědomí o kybernetických rizicích. Firmy musejí zajistit pravidelná školení a informovat své pracovníky o aktuálních hrozbách. Novinkou je také explicitní odpovědnost managementu za dodržování kybernetické bezpečnosti. Členové vedení mohou být osobně odpovědní za porušení povinností vyplývajících z NIS2.

Sankce za nedodržení požadavků mohou být citelné – až deset milionů eur nebo dvě procenta celosvětového ročního obratu, podle toho, co je vyšší. „Hlavní motivací pro firmy by ovšem neměly být pokuty, ale reálné riziko, že se stanou obětí kybernetického útoku s přímým negativním dopadem na jejich podnikání,“ tvrdí Lukáš Kintr, ředitel odboru regulace Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Přestože zavedení požadavků NIS2 může být náročné, experti se shodují, že jde o příležitost ke zlepšení kybernetické bezpečnosti a snížení rizik spojených s digitálním světem. Pro firmy, které ještě nezačaly s přípravami, je už skoro pozdě.

Autor je šéfredaktorem magazínu Computertrends