Spolu s telefonním číslem, jehož zadávání se většinou nevyhneme při vyplňování doručovacích údajů nebo při registraci nového online účtu, se jedná o jedny z nejzranitelnějších údajů na internetu – vzpomenete si, do kolika online účtů se hlásíte svou e-mailovou adresou, která slouží i pro komunikaci s úřady nebo bankou?

Jelikož jen málo z nás čte podmínky ochrany osobních údajů na internetu, často nám unikne, s kolika dalšími firmami nebo poskytovateli jsou po zadání naše data sdílena a k jakým dalším účelům budou dále zpracovávána. Když k tomu připočteme možné úniky dat poskytovatelů online služeb, asi již nepřekvapí množství phishingových či vishingových útoků, se kterými se dnes setkáváme.

Dnes se blíže podíváme na to, jak se můžeme v online světě zase trochu skrýt a více tak chránit svá data.

Dočasná e-mailová adresa

Pravděpodobně většina z nás zadává při registraci nového online účtu svou hlavní e-mailovou adresu. Není to ale vždy dobrý nápad.

Mnoho jednorázových e-mailových služeb umožňuje používat dočasný e-mail, který po určité době sám vyprší. Tato služba je užitečná zejména v případě, když potřebujete zadat e-mailovou adresu pro přístup k nějakému omezenému obsahu, ale nechcete být bombardováni marketingovými sděleními a spamem. Na druhou stranu ale není tato možnost vhodná k tomu, abyste ji používali pro jakoukoli komunikaci, která se týká vašich citlivých údajů – například s bankou, lékařem nebo dalšími institucemi.

Šikovným kompromisním řešením může být vytvoření druhé e-mailové adresy. Svou hlavní e-mailovou adresu pak nepoužívejte k ničemu jinému než k udržování kontaktu s přáteli a rodinou nebo k oficiální komunikaci s bankou či veřejnými institucemi. Udržíte si tak pořádek ve schránce a nebudete dostávat spam. Pokud si navíc vyberete pro svou hlavní e-mailovou adresu poskytovatele, který zaručuje koncové šifrování, budete chráněni před únikem dat v případě, že se služba stane obětí hackerského útoku.

Jednorázové bankovní karty

Nakupování online nám nabízí velké pohodlí. Stačí vstoupit na webové stránky, vybrat si, co chceme, a zaplatit. Je to ještě jednodušší, pokud máme uložené údaje o své platební kartě z předchozího nákupu. Pokud ovšem nedojde k úniku dat.

Některé banky nabízejí tzv. virtuální karty nebo jednorázové karty jako doplňkovou možnost k fyzické kartě. Jak to funguje? Jakmile s takovou kartou nakoupíte, platební systém transakci zaznamená, poté údaje o kartě zničí a automaticky vygeneruje novou, připravenou pro další nákup. Jelikož se jedná o náhodnou kartu, hackeři nemohou sledovat vaše skutečné údaje o kartě ani zneužít platební údaje, protože po použití již nebudou platné.

Dvoufaktorové ověřování a jednorázové kódy

Většina online služeb v současnosti doporučuje používat dvoufaktorové ověřování (2FA). To znamená, že kromě zadání hesla můžete být vyzváni k provedení dalšího ověřovacího kroku. Pokud vám tak někdo ukradne heslo, bez tohoto ověřovacího kódu se přesto nebude moci přihlásit k vašemu účtu.

Dvoufaktorové ověřování nejčastěji zahrnuje zaslání textové zprávy na vaše telefonní číslo s jednorázovým přístupovým kódem. Stačí jej pak zadat tam, kde je vyžadováno prokázání vaší totožnosti.

Lepším a bezpečnějším způsobem je dnes používání ověřovacích aplikací, jako je například Microsoft Authenticator nebo Google Authenticator. Aplikace pak pro každé ověření vygeneruje dočasný kód, který funguje stejně jako jednorázové heslo.

VPN vás skryje před zraky sítě

Jednou z dalších možností, která pomůže zůstat pokud možno inkognito ve světě jedniček a nul, může být také virtuální privátní síť neboli VPN. Tento nástroj možná znáte, pokud pracujete z domova pro nějakou firmu. Dnes si ji však můžeme pořídit i sami do svých domácích počítačů, notebooků a také do svých chytrých telefonů.

VPN je technologie, která vytvoří zabezpečené šifrované spojení mezi našim zařízením a vzdáleným serverem. Ten zobrazuje webový obsah – například e-shop nebo blog – ke kterému se chceme prostřednictvím internetové sítě dostat. Úkolem VPN je poskytnout nám soukromí, bezpečnost a určitou míru anonymity. Díky VPN je naše online činnost hůře sledovatelná.

I VPN má samozřejmě svá omezení a pokud si ji chcete pořídit k posílení svého bezpečí v digitálním světě, určitě je dobré si je promyslet.

Závěr

Všechny rady a tipy v dnešním článku jsou užitečné nejen pro minimalizaci vaší přítomnosti na internetu, ale chrání vás také před potenciálními kybernetickými útoky, zejména před krádeží vašich dat. Je velmi pravděpodobné, že naše osobní data budou mít na trhu stále větší cenu, a to i na tom černém. Data je již dnes třeba chránit stejně jako naše peníze. Kromě obezřetnosti na internetu vám s tím pomůže i kvalitní bezpečnostní software.

Článek byl připraven týmem autorů

I přestože mnoho z nás dnes využívá různé chatovací aplikace, e-mail nadále zůstává jedním z nejrozšířenějších způsobů komunikace v online světě. A jak ukazují různé podvody, kterých se v posledním půl roce i v Česku objevilo mnohonásobně více než v předchozím období, je stále oblíbený i u kybernetických útočníků.

#2 Hacker v e-mailové schránce

A elektronická pošta není jen prostředkem k šířený podvodných phishingových zpráv. Je také cílem hackerů, kteří se chtějí dostat k našim citlivým nebo přihlašovacím údajům do dalších online účtů. Proč to tak je a jak se před nimi bránit jsme psali v dalším nejčtenějším článku loňského roku.

#3 Telefon, který vás špehuje

Ačkoli v současné době stalkerware nepatří mezi největší hrozby pro uživatele platformy Android – nahradila ho agresivní a podvodná reklama neboli adware – také tento článek patřil mezi ty, které jste si v loňském roce přečetli nejčastěji.

#4 Sexting – online zábava nejen dospělých

Každý třetí dospělý dobrovolně sdílí nebo sdílel svou intimní fotografii nebo video – ukázal to loňský průzkum společnosti ESET a Policie ČR. Na jaká bezpečnostní rizika ale můžeme narazit? A co dělat, když se naše fotka nebo video objeví veřejně na internetu?

#5 Když počítač naznačuje, že tu něco nehraje…

Jak nám může počítač napovědět, že něco není v pořádku a může za to pravděpodobně škodlivý kód? Právě toto téma zajímalo čtenáře Dvojkliku v posledním nejčtenějším článkům roku 2022. Znovu si tak můžete přečíst, na jaké varovné signály se zaměřit a jak se malwaru zbavit.

Co si představit pod pojmem doxing ?

Doxing (psáno také doxxing) je praktika, kdy lidé zveřejnění online osobní údaje svých obětí s cílem je ztrapnit a zesměšnit nebo zastrašit.

Termín pochází ze zkratky „docs“ pro „dokumenty“ a označuje soubory, které unikly na internetu a které obsahují osobní údaje vytipovaných obětí. Útočníci se tím snaží své oběti zastrašit, zostudit nebo jim ublížit. Někdy po obětech požadují peníze, jindy jde o čistou pomstu nebo o pocit osobní spravedlnosti. Ačkoli se doxingu mohou dopouštět cizí lidé – jednotlivci i skupiny – provádět ho mohou také známí nebo dokonce lidé, kteří s obětí žijí v jedné domácnosti. Doxing je obzvláště nebezpečný, protože může mít reálné důsledky ve fyzickém světě – od pronásledování, obtěžování až po fyzické napadení.

Celý svůj život na webu mít nechcete

Mnozí z nás jsou již opatrní, pokud jde o ochranu základních osobních údajů na sociálních sítích. Údaje, jako jsou telefonní čísla nebo adresy bydliště, si zpravidla necháváme pro sebe. Ale co všechny ostatní informace? Město, ve kterém žijeme? Kde pracujeme? To všechno jsou údaje, které ochotně sdílíme ať už s přáteli a známými, nebo dokonce veřejně.

Možná si říkáte, že nemáte co skrývat a že váš život přeci nebude nikoho zajímat. Pro toho, kdo nás chce zesměšnit nebo zastrašit, to ale nehraje roli. Lidé byli „doxováni“ a vystaveni rozlícenému internetovému davu i poté, co dali třeba jen špatnou recenzi nějakému podniku. Výjimkou pak nejsou ani případy zveřejněných telefonních čísel obětí ve falešných inzerátech na erotické služby jako msta za to, že řekli svůj odborný, a třeba nelichotivý názor v médiích, či jsou jejich osobní data vystavena na internetu poté, co někdo zachytí na videu jejich vzteklý výstup na veřejnosti.

Obětí může být každý

Doxing je tak nebezpečný proto, že potenciálními oběťmi můžeme být my všichni. A přestože je na nás, abychom si určili publikum svých příspěvků a upravili nastavení soukromí na sociálních sítích, nezabráníme tím špatným činům nebo rozmarům druhých lidí.

V posledních letech získal doxing dokonce nový účel. Stal se nástrojem společenského nátlaku na jednotlivce, kteří odhalují to, co pachatel považuje za špatné jednání a společenskou újmu. Celá problematika doxingu se tak stává ještě méně přehlednou a někteří aktéři ji tak dokonce považují v určité míře za správnou.

Jeden ze symbolů NFT – sběratelská kolekce Bored Ape Yacht Club neboli BAYC.

Jak se nestát obětí doxingu?

Odpovědět na tuto otázku není jednoduché, jedno je ale jisté. Pokud nemáte žádné informace na internetu, bude pro někoho velmi těžké o vás něco najít. Ale i v případě, že jste typickým uživatelem internetu – a v případě, že by někdo skutečně chtěl z jakéhokoli důvodu vyzradit vaše osobní údaje – s největší pravděpodobností jste již toho o sobě sdíleli víc než dost. Naštěstí existují způsoby, jak někomu shromažďování informací o vás ztížit:

• Vyčistěte svou online digitální stopu.
• Nesdílejte žádné (další) osobní informace online.
• Používejte dvoufaktorové (nebo vícefaktorové) ověřování (2FA, MFA) na všech svých účtech.
• Používejte silná a jedinečná hesla.
• Zajistěte, aby vaše videokonference a hovory byly soukromé a šifrované.
• Neotevírejte odkazy v e-mailech nebo chatu, dokud se nepřesvědčíte, že byly odeslány záměrně a někým, koho znáte. V případě pochybností se zeptejte. Pokud je poslal někdo, koho neznáte, nikdy je neotvírejte. Takové odkazy totiž mohou obsahovat malware.

Internet budoucnosti nemusí být nebezpečný

Doxing je závažný a může být nástrojem, který ničí život, zejména ve světě, kde jsme sice všichni propojeni, ale stále více nás rozdělují názory. Odhalování osobních údajů druhých lidí se může časem změnit v ping-pongovou hru, ve které budeme postiženi všichni.

Ale právě takové uvědomění nás může ochránit i do budoucna. Již nyní probíhají důležité diskuse o kriminalizaci doxingu, která by zabránila jeho dalšímu rozvoji a vytvořila právní rámec především na ochranu obětí. Pochopení, že tyto útoky se mohou stát komukoli, a obezřetná přítomnost na internetu jsou to nejlepší, co můžeme prozatím udělat.

Nejčastěji intimní snímek nebo video posíláme jako dárek svému partnerovi či partnerce a jako odpověď na obdržené fotky a videa. Někteří z nás intimní obsah zaslali i neznámé osobě na internetu jako způsob flirtování a pokus o navázání kontaktu.

A zde se právě dostáváme k důležité skutečnosti. Za dobrovolný, tedy konsensuální sexting, můžeme považovat pouze případy, kdy odesílatel a příjemce souhlasí, že si takové fotky či videa budou vyměňovat. Nevyžádaná intimní fotka či nevyžádané intimní video někdy přišlo dvěma z pěti dospělých (40 %).

Největší zkušenosti se sextingem mají mileniálové ve věku 25-34 let, intimní fotky z nich sdílí nebo někdy sdílela polovina. O něco méně jsou v sextingu aktivní lidé ve středním věku (44 %) a dvacátníci neboli generace Z ve věku 18-24 let (41 %).

Většina považuje sexting za nebezpečný

Jestli někde určitě platí, že co vypustíme jednou na internet, už jen stěží ovlivníme a dokážeme kontrolovat, je to určitě v případě sdílení intimních fotek a videí.

I přestože polovina dospělých nevnímá podle průzkumu sexting jako něco špatného a každý třetí dospělý již nějakou takovou fotku nebo video někdy poslal, většina z nich (82 %) si myslí, že je rozhodně nebezpečný. Za bezpečný ho pak označila desetina dotázaných. O něco častěji pak jako nebezpečný vnímají sexting ženy.

Důvody, proč někdo bez dovolení zveřejní naši intimní fotografii nebo video, mohou být různé. Může se tak stát ze strany bývalého partnera nebo partnerky jako způsob pomsty nebo těch současných, kteří fotku či video ukáží mezi svými přáteli a ta se tak dostane k dalším lidem, které neznáme.

Dotázaní v průzkumu také uváděli, že by se o cizí fotku podělili jen se zcela důvěryhodnou osobou (14 %) nebo pouze v případě, že by na fotce nebylo vidět osobě do obličeje (10 %). Ať už ze zlého úmyslu nebo bez něj, existuje prostě možnost, že se z dárku pro našeho partnera nebo partnerku stane věc veřejná.

Kde jsou intimní snímky nejčastěji zveřejňovány?

Podle průzkumu jsou nejčastějšími místy neoprávněného šíření intimních fotek a videí Instagram a Snapchat, následovaný Messengerem a příspěvky na Facebooku.

Ať už používáme k posílání fotek jakoukoli sociální síť nebo chatovací aplikaci, je třeba počítat s tím, že sami rozhodujeme o úrovni soukromí, kterou si na ní nastavíme, ať už v případě sdílení fotek a videí na profilu a v příbězích, nebo zasílání do zpráv.

V tomto případě se vyplatí používat aplikace s koncovým šifrováním či aplikace umožňující tzv. mizející režim (fotka do několika sekund po odeslání zmizí z konverzace) nebo smazání obsahu jak na straně odesílatele, tak příjemce.

Moji fotku někdo bez dovolení zveřejnil – co s tím?

Zveřejněná intimní fotka nám může nadělat mnoho nepříjemností. V případě, kdy nám někdo zveřejněním naší intimní fotky nebo videa vyhrožuje nebo nás vydírá, je namístě obrátit se na Policii České republiky.

Je ale řešení s policií běžnou praxí? Nadpoloviční většina dospělých (60 %) by podle průzkumu situaci skutečně s policií řešila. Průzkum také ukázal, že čím byli dotazovaní starší, tím více převládala odpověď řešit situaci s orgány činnými v trestním řízení.

Nejčastěji nad takovou situací mávnou rukou muži (25 %). Na polici by se obrátilo 56 % z nich a 40 % z nich by neoprávněné zveřejnění řešila s administrátorem webu. Ženy pak na rozdíl od mužů také uváděly, že by se obrátily na svého partnera či partnerku (17 %) nebo přátele (14 %).

Jak snížit rizika?

Jak už bylo řečeno, k bezpečnosti je třeba i v tomto případě přistupovat z více úhlů pohledu, počínaje komunikací na sociálních sítích až po zabezpečení chytrého telefonu. Pokud si se svými protějšky po vzájemné domluvě budeme intimní fotografie a videa vyměňovat, je dobré vzít v úvahu několik doporučení a bezpečnostních pravidel:

#1

Na fotografii ani ve videu bychom nikdy neměli mít zobrazený obličej nebo tetování, aby nás nebylo možné identifikovat. To platí i pro prostředí, ve kterém snímek pořizujeme – na snímku by nemělo být poznat, kde bydlíme. Před pořízením snímku vypněte funkci sdílení polohy.

#2

Vhodné je využívat k zasílání intimních snímků aplikace s koncovým šifrováním a aplikace, které umožňují odstranit obsah pro obě strany, nebo ho zobrazí jen pár sekund v rámci funkce mizející zprávy. Nezapomínejte ale, že protistrana si i tak může pořídit snímek obrazovky i konverzace.

#3

Hlavním úložištěm bývá v takových případech chytrý telefon – mějte intimní fotky a videa v chráněné složce. V iPhonu k tomu slouží funkce „Skrýt fotografii“ a uzamknutí pomocí aplikace Poznámky, u ostatních telefonů vestavěná anebo jiná oficiální aplikace jako je AppLock, S Secure nebo Gallery Vault. Řešením je také fotku hned po odeslání smazat.

#4

Na celém zařízení používejte zámek obrazovky a potvrzování heslem, které nebudete sdílet ani se svými nejbližšími. Mezi ty nejbezpečnější možnosti patří potvrzování otiskem prstu nebo rozpoznáním obličeje.

#5

Vypněte si synchronizaci své fotogalerie do cloudu, aby se fotky neobjevily v nevhodný okamžik tam, kde nechcete. Taky se tím vyhnete riziku odcizení fotek při útoku hackerů na cloud.

#6

Kromě zabezpečení chytrého telefonu nepodceňujte ani zabezpečení sociálních sítí, které využíváte k zasílání intimních snímků. Služby jako Facebook nebo Instagram již nabízí také možnost vícefázového přihlášení kódem do SMS nebo aplikace, které známe například z internetového bankovnictví.

#7

Operační systém chytrého telefonu a všechny aplikace v něm pravidelně aktualizujte na nejvyšší možné verze. Aktualizace totiž obsahují i opravy zranitelností, kterých využívají kybernetičtí útočníci.

#8

Používejte na svém chytrém telefonu antivirový software. Včas vás bude varovat před mobilním malwarem a podvodnými odkazy nebo weby.

Pokud zjistíte, že někdo neoprávněně zveřejnil vaši intimní fotku nebo video, nenechte si situaci líbit a obraťte se na administrátora webu nebo sociální sítě s požadavkem na odstranění. Na základě obecně platných pravidel by vám měli vyhovět.

Pokud vám někdo vyhrožuje, že fotku nebo video s vámi zveřejnění a vydírá vás, obraťte se na Policii České republiky (158).

Silné heslo je základ

V internetové době je zadávání hesel doslova na každém kroku. Často však při jejich vytváření pomíjíme zásadní pravidla.

Pojďme si proto zrekapitulovat, jak by mělo ideální heslo vypadat:

• Ideální heslo by mělo mít 10 a více znaků;
• Mělo by obsahovat velká a malá písmena;
• Vždy by mělo obsahovat alespoň jednu číslici;
• Pokud to daná služba umožňuje, je ideální také použít speciální znak jako například %;
• Heslo můžete vytvořit i spojenou slovní frází, např. velmiSilneHeslo574.

V heslu bychom neměli požívat jména našich příbuzných, domácích mazlíčků a kamarádů. Nepatří do nich ani data narození našich nejbližších. Zkrátka nic, co se dá jednoduše odvodit.

Za silné heslo bychom mohli například považovat Do9Va8Po7Si6He5. Zdá se to jako kombinace, kterou si nejde jednoduše zapamatovat? Na první pohled to tak skutečně může vypadat. Ale je to heslo vytvořené z věty DOPORUČUJEME VÁM POUŽÍVAT SILNÉ HESLO. Jedná se vždy o dvě počáteční písmena daného slova, přičemž první písmeno je pokaždé velké. K tomu je do hesla přimíchána sestupná řada čísel od 9 do 5. Takové heslo nelze jednoduše prolomit a je odolné také vůči slovníkovému útoku.

Zároveň u hesel platí pravidlo, že bychom ho měli mít unikátní pro každou internetovou službu. Opět se to zdá jako krok, který není jednoduché dodržet. Kdo z nás si chce pamatovat stovky unikátních hesel. Na tuto věc ale pamatují správci hesel, které si hesla pamatují za nás.

Dvoufázové ověření všude, kde je to možné

Většina online služeb dnes již nabízí možnost aktivace vícefázového přihlášení. Za předpokladu, že se přihlásíte z jiného zařízení, než je obvyklé, přihlášení se zablokuje a budete vyzváni k ověření identity druhým faktorem. Může to být například kód, který dorazí v SMS zprávě nebo potvrzení neobvyklého přihlášení v mobilní aplikaci.

Dvoufázové přihlášení je pojistkou proti zneužití hesla. Chrání nás v případě, že se naše heslo z nějakého důvodu dostane k útočníkovi. A to se může stát snadno. Stačí mít zařízení infikované malwarem a malér je na světě.

Pro toto bezpečnostní opatření zároveň nemusíme obětovat moc pohodlí. Případná dodatečná autorizace našeho přihlášení bude vyžadována pouze při prvním novém přihlášení. Daná online služba si následně naše zařízení zapamatuje a uvedené opatření nás již pak nebude „obtěžovat“.

Doma HTTPS, na veřejnosti VPN

Pokud se přihlašujeme k našemu online účtu, vždy bychom se měli ujistit, zda je v adresním řádku aktivován protokol HTTPS. Řada prohlížečů tento protokol označuje ikonou zámečku. Opatření zajistí, že spojení mezi našim zařízením a koncovým serverem dané služby je šifrované a naše heslo „po cestě“ na internetu nikdo nemůže odchytnout.

Velký pozor bychom si však měli dávat na veřejné wifi sítě. Pokud z nějakého důvodu nemůžeme používat k připojení mobilní data a musíme použít veřejnou wifi sít, tak obecně nelze doporučit, abychom se na ní přihlašovali k našim online účtům. A pokud už musíme, nabízí se jako vhodná rada použití zabezpečené sítě VPN. V případě, že se do svých účtů hlásíme přes chytrý telefon, je pak nejbezpečnějším řešením využívat data od našeho operátora.

Co konec podpory znamená pro uživatele z pohledu bezpečnosti?

Dobrá zpráva to určitě není, protože systém nebude dostávat žádné bezpečnostní ani jiné záplaty a aktualizace. A i když i nadále zůstávají Windows 7 z pohledu uživatele plně funkční, postupem času budou zranitelnější proti útokům moderního malwaru.

Kvalitní bezpečnostní řešení („antivirák“) sice dokáže zázraky, ale útokům, které využívají přímo zranitelnost operačního systému, nemusí zabránit. Jeden příklad za všechny. Ransomware WannaCry potrápil mnoho uživatelů v roce 2017 a donutil Microsoft vydat celou řadu aktualizací i pro již v té době nepodporované Windows XP.

Tvůrci malware hrozeb uvažují jednoduše. Chtějí co nejvíce vydělat.

A z tohoto pohledu 30 procent na trhu pro Windows 7 znamená pořádný balík. Představte si váš počítač jako pytel peněz, který leží v bezpečně uzavřené místnosti. To je stávající stav těsně po ukončení podpory. Postupem času ale ve zdi vypadne jedna cihlička (nová zranitelnost operačního systému), kterou nikdo nepřijde opravit. A za chvíli další a opět bez záplaty. Po nějaké době bude zeď tak děravá, že nebude problém si pytel s penězi jednoduše vyzvednout. Příležitost, kterou si kyber kriminálníci pravděpodobně nenechají ujít.

Jak z toho ven?

Nejjednodušší a doporučenou cestou je přejít na Windows 10, u kterého Microsoft garantuje podporu až do roku 2025. Systém si můžete zakoupit samostatně nebo pokud přemýšlíte na pořízením nového počítače, rovnou se zařízením.

Odvážní jedinci a techničtí nadšenci mohou vyzkoušet alternativu v podobě Linuxu, který je dostupný zdarma a v aktuálních verzích dokáže při běžném používání Windows plnohodnotně nahradit. Pokud ale musíte používat Windows 7 i nadále, a upřímně, z bezpečnostního hlediska nejde o dlouhodobě udržitelnou variantu, doporučujeme podniknout následující kroky:

1. Aktualizujte bezpečnostní produktu ESET na nejnovější verzi, která disponuje pokročilými technologiemi pro detekci škodlivého kódu.
2. Pokud nutně nepotřebujete rozšíření Java a Flash, doporučujeme tyto doplňky odinstalovat.
3. Vyměňte Internet Explorer za moderní a bezpečný webový prohlížeč (např. Google Chrome, nebo Mozilla Firefox). Internet Explorer je vázán na licenci produktu, tudíž jeho platnost bude rovněž v dané verzi operačního systému ukončena.
4. Nepoužívejte programy pro internetovou komunikaci jako např. Skype, ICQ apod.
5. Nahraďte Adobe Acrobat Reader jinou alternativní aplikací, např. Foxit PDF Reader.
6. Udržujte aktualizované ostatní aplikace nainstalované v počítači.
7. Používejte zdravý rozum a omezte návštěvy potenciálně nebezpečných stránek (warez, streamovací služby, on-line filmy, stránky se sexuálním obsahem, …).
8. Pro internetové bankovnictví používejte raději počítač s aktuálním operačním systémem.
9. Pravidelně zálohujte důležitá osobní či firemní data.
10. Zakažte používání vzdálené plochy (RDP).
11. Při otevírání souborů stažených z internetu zabraňte spouštění maker.

Jaká největší bezpečnostní rizika z hlediska IT hrozí pobočkám velkých nadnárodních firem a státním organizacím v České republice? Vedle cílených útoků hackerů jde zejména o pokusy samotných zaměstnanců o poškození firmy nebo získání financí.

Velké riziko představují zaměstnanci

Naštvaný zaměstnanec je stejnou hrozbou jako cílený útok. Fluktuace, i když procentuálně nízká, je s ohledem na počet zaměstnanců v takových firmách prakticky neustálá. Negativní motivace je poměrně běžná – ať už z vlastního či finančního motivu.

„Attack surface“ – čím více lidí, tím více rizik.

Noční můrou bezpečnostních manažerů v IT odděleních firem je trend BYOD, tedy Bring your own destruction, který umožňuje zaměstnancům nosit do práce vlastní zařízení a používat je jak k osobním, tak pracovním účelům.

Velké firmy spadající do segmentu Enterprise (s tisícem a více zaměstnanci) sice mají dedikované pracovníky pro ochranu IT systémů a dat, zároveň jsou však vděčným cílem útočníků, protože jde především o státní správu, banky a podobné firmy, jež schraňují velké množství cenných a citlivých údajů.

IT administrátoři potřebují kvalitní systémy

Samotný počet zaměstnanců tvoří velké riziko, protože člověk bývá v zabezpečení tím nejslabším článkem. Platí úsloví „Attack surface“ – čím více lidí, tím více rizik. Oddělení zabývající se IT bezpečností proto často požadují obsluhu všech bezpečnostních nástrojů pod jednou konzolí či centrální správou. Chtějí systém, který skutečně usnadňuje práci, a ne ji přidělává. IT specialisté jsou drazí, proto je třeba, aby měli dostatek času na řešení bezpečnostních incidentů, ne na správu produktů, které bezpečnost zajišťují.

Bezpečnost je kontinuální aktivita.

Ideálním stavem pro velké firmy je tedy kompletní automatizace IT zabezpečení, přičemž administrátor bývá upozorněn pouze na specifické incidenty či anomálie v síti. Zabezpečení spočívá v kvalitních IT lidech, v kvalitním softwaru i hardwaru, v prostředcích na pravidelná školení zaměstnanců, ale i specifické činnosti jako jsou penetrační testy a podobně.

Bezpečnost je kontinuální aktivita. Velké domácí firmy se v tomto ohledu příliš neliší od poboček zahraničních společností. Jde spíše o kompetence lokálního týmu, který často plní nařízení ze zahraničí.

Bezpečnostní riziko pro firmy: Na co dávat pozor?

Phishingový útok

Nejmasovějšími typy útoků na firmy s tisícem a více zaměstnanci je e-mailový phishing a cílený útok. Ten, pokud je udělaný dobře, je velice těžce odhalitelný. Může jít například o negativní motivaci zaměstnance, kterému je ukončen pracovní poměr nebo ho finančně motivuje třetí strana, případně se chce někomu mstít. Nejvyšším rizikem je situace, kdy se touto útočící osobou stane IT specialista. Proto je nutné nastavit kontrolní mechanismy.

Sociální inženýrství

Velmi nebezpečným typem útoku je sociální inženýrství, ať už jde o spear-phishing nebo baiting. Jedná se o účinnou cestu, jak obejít ochranu. Rizikový je také nedostatečný patch management ve firmě, tedy pozapomenuté technologie, které se mohou v průběhu času, kdy nejsou aktualizovány a nekontrolují se, stát zranitelnými.

Slabé zabezpečení

Určité technologie, jako například veškerá zařízení fungující na principu Internetu věcí, jsou zranitelné samy o sobě a nelze je dostatečně ochránit. Slabým článkem bývá i přístup externích organizací do firmy, ať už jde o outsorcing účetních služeb či různé dodavatelské řetězce. Nebezpečné mohou být i specifické situace, kdy na nátlak managementu dochází k ohýbání bezpečnostních pravidel a nastavování výjimek.

Výjimky

Do ranku posledně zmiňované hrozby patří například prosazování specifických zařízení do firemního prostředí, kde se běžně pracuje s něčím jiným, konkrétně třeba Macu tam, kde zaměstnanci pracují na PC. Riziko představují i lokální administrátorská práva u zařízení, na nichž si potom doma chtějí hrát děti.

Jaké konkrétní škody mohou útoky způsobit enterprise firmám?

Loňská škodlivá kampaň ransomware WannaCry například odstavila linky tchajwanské společnosti TSCM, největšího výrobce polovodičů na světě. Stejný škodlivý kód odstavil počítače přepravní společnosti Maersk. Jiný ransomware NotPetya se šířil prostřednictvím účetního programu ukrajinské společnosti MeDoc.

Chytrý telefon vlastní nebo používá 96 % tuzemských středoškoláků a vysokoškoláků, přitom ani ne polovina z nich používá některou z bezpečnostních aplikací určených k ochraně smartphonu. Vyplývá to z výzkumu společností Seznam.cz a ESET, který se zaměřil na chování českých studentů na internetu.

Vlastní smartphone má podle průzkumu 95 % studentů, další jedno procento má chytrý telefon k dispozici, ale přímo ho nevlastní. Pouhá čtyři procenta respondentů uvedla, že smartphone nemají.

S velkým zastoupením chytrých telefonů mezi studenty ostře kontrastuje jejich postoj k ochraně těchto zařízení.

Bezpečnostní aplikaci v mobilním telefonu používá pouze 39 % respondentů. Pro srovnání: loni ve stejném výzkumu deklarovalo zabezpečení mobilu 38 % studentů, v roce 2016 pak 40 %.

Tento trend ESET zaznamenal i v rámci jiných průzkumů

Celkově z nich vyplývají dvě skutečnosti. Lidé si myslí, že bezpečnostní software není potřeba, a proto aplikaci po čase buď odinstalují, nebo ji nenainstalují na nový telefon či zařízení. Druhým důvodem je stoupající neochota platit za bezpečnostní aplikaci, jakkoliv jsou v nabídce spolehlivé aplikace i zdarma.

Nízký podíl zabezpečených mobilních telefonů mezi českými uživateli je dlouhodobý problém. Na mobilní zařízení se přitom postupně přesouvá stále více aktivit spojených s využíváním internetu, takže také více přitahují zájem kybernetických zločinců.

ESET loni upozornil na rostoucí počty vyděračských ransomwarů zaměřených na mobilní zařízení s operačním systémem Android. Nechráněný smartphone je proti těmto škodlivým kampaním, které zašifrují telefon a žádají výkupné, prakticky bezmocný. Příkladem je i nedávno objevená aplikace QRecorder, která cílila i na české uživatele.

Upozorňujeme na na rizikovou aplikaci v @GooglePlay. Nástroj pro nahrávání hovorů #QRecorder se po některé z posledních aktualizací stal pro uživatele hrozbou, která umožňuje útočníkům vzdálený přístup do bankovního účtu napadeného uživatele.https://t.co/URehX2JxEu

— ESET Česká republika (@esetcz) September 25, 2018

U studentů vedou veřejné nezabezpečené wi-fi

Studenti se nejčastěji připojují k internetu na chytrých telefonech přes otevřené wi-fi sítě. A to prostřednictvím všech, které jsou v okolí dostupné. To však nemusí nutně znamenat riziko, pokud uživatel tomu přizpůsobí své chování na internetu. Ideální variantou je například využití VPN nebo jiného typu šifrované komunikace.

Dvě třetiny respondentů průzkumu (66 %) připouští, že využívají vlastní datové tarify a pouhá tři procenta se k internetu přes mobil vůbec nepřipojují. Jestliže u mobilních telefonů studenti bezpečnostní aplikace příliš nepoužívají, jiná situace je u notebooků, které chrání bezpečnostním softwarem 89 % studentů, a stolních počítačů (84 %). Naopak u tabletů je situace se zabezpečením ještě horší než u smartphonů, chrání je pouze 39 % respondentů.

Průzkum prokázal, že stoupá význam mobilních telefonů při využívání ke studiu. Zatímco v roce 2016 smartphone ke studiu využívalo nejčastěji ze všech chytrých zařízení 10 % studentů, loni to bylo 14 % a letos 16 %. Přímo ve škole pak mobil ke studiu používá 80 % respondentů (od roku 2017 smartphony vedou před notebooky a PC), doma 55 % (zde zatím vede notebook, který k domácímu studiu používá 84 % středo a vysokoškoláků). Studijní materiály sdílejí studenti nejčastěji prostřednictvím Facebooku, činí tak 83 % dotazovaných.

Sešitům ještě zdaleka neodzvonilo

Tištěné materiály při studiu nadále hrají důležitou roli. Třetina studentů je má ve fyzické podobě, čtvrtina v elektronické a ostatní napůl v elektronické a papírové. Tento trend se za poslední tři roky nezměnil.

Elektronické studijní materiály si středoškoláci a vysokoškoláci zálohují většinou nepravidelně. Činí tak 51 % respondentů, zatímco pouze 26 % zálohuje pravidelně. Jejich podíl se od roku 2016 snížil o sedm procentních bodů. Nejčastějším způsobem zálohování je offline úložiště na externím harddisku, CD nebo USB disku.

Průzkumu, který probíhal v nástroji Seznam.cz Výzkumník formou online ankety od 4. do 12. září 2018, se zúčastnilo 166 studentů středních a vysokých škol, kteří jsou zároveň uživateli služeb společnosti Seznam.cz.

Jak spolu studenti komunikují mimo školu? Na prvním místě nacházíme chatovací aplikace jako Facebook Messenger a WhatsApp (využívá je 78 % dotázaných) a sociální sítě (72 %). Ze sociálních sítí mezi studenty jednoznačně vede Facebook, který využívá 92 % dotazovaných.

Následuje Instagram (61 %) a Twitter (30 %). Právě sociální sítě jsou pro studenty nejčastějším zdrojem informací (pro 90 %), hned vedle zpravodajských serverů (87 %).

Naopak výrazně pokulhává sledování televizních zpráv (49 %) a poslech rádií (49 %). Tištěné noviny čte pouze pětina studentů a časopisy 16 %.

Podle vyjádření, které společnost vydala, se chyba objevila v jejím AAAPI (Account Activity API), které umožňuje vývojářům vytvářet nástroje pro komunikaci se zákazníky.

„Pokud jste na Twitteru byli v interakci s účtem, který se spoléhal na vývojáře využívající AAAPI k poskytování svých služeb, mohla tato chyba způsobit neúmyslné odeslání některé z těchto interakcí jinému registrovanému vývojáři,“ uvedla společnost Twitter na stránkách podpory.

Podle Twitteru mohlo jít o soukromé zprávy nebo soukromé tweety, které mohly obsahovat citlivé zákaznické údaje.

Chyba se v AAAPI objevila v květnu 2017, objevena byla 10. září 2018 a opravena byla do několika hodin od objevení.

Twitter dále uvedl, že tato chyba zasáhla jen jedno procento ze všech 335 milionů uživatelů. Společnost je informovala poznámkou přímo v aplikaci a na webové stránce.

Developers use our APIs to create tools, like customer service support, or apps to better understand public conversations. We found and fixed a bug that affected less than 1% of people on Twitter in an API that may have shared certain account interactions.

— Twitter Support (@TwitterSupport) September 21, 2018

V květnu Twitter vyzval své uživatele, aby si změnili heslo poté, co byla objevena závažná chyba v systémech. Ta způsobila, že v interním logu se objevila hesla k uživatelským účtům uložená prostým textem.

Stahování nejnovější verze klienta BitTorrent, softwaru nezbytného pro každého uživatele, který si chce stáhnout nebo uložit soubory v tomto ekosystému, by mohlo vést k infikování vašeho počítače a nevratnému poškození souborů.

Tyto obavy se potvrdily hned v několika případech během loňského roku. Útočníci cílili na uživatele operačního systému MacOS prostřednictvím infikované aplikace Transmission, legitimního a často používaného klienta BitTorrentu. Zneužili ho k šíření několika rodin škodlivého malwaru.

První útok byl zaznamenán v březnu 2016, kdy se do napadených zařízení začal stahovat ransomware známý jako KeRanger. I když vývojáři společnosti Transmission zareagovali velmi rychle a aplikaci napadenou trojanem stáhli jen několik hodin poté, co se objevila v oficiálních obchodech, ransomware napadl tisíce obětí po celém světě. Tvůrci KeRangeru navíc použili kryptografický algoritmus, který byl skutečně nerozšifrovatelný, takže napadená data obětí byla navždy ztracena.

K dalšímu podobnému případu došlo v srpnu 2016

Malware zaměřený na operační systém MacOS známý pod názvem OSX/Keydnap opět zneužil aplikaci Transmission a šířil jejím prostřednictvím do infikovaných zařízení zadní vrátka, jež umožňovala útočníkům krást hesla uložená v aplikaci Keychain. Vývojáři společnosti Transmission opět zareagovali velmi rychle a škodlivou verzi aplikace odstranili z webu během několika minut poté, co byli informováni analytiky společnosti ESET.

Nicméně hrozby, které představují torrenty, nejsou spojeny pouze s těmito klienty. Riziko představují i stažené soubory s populárním softwarem, hrami nebo filmy, které nakonec mohou obsahovat něco úplně jiného – a často zlomyslného. Podobně jako v případu trojanu Sathurbot, na který upozornil ESET v dubnu letošního roku. Napadená zařízení byla infikována škodlivými torrenty a zařazena do botnet sítě, která se poté zaměřila na administrátory účtů ve WordPressu. Hackeři je poté zneužili k masivnímu útoku.

Aby zajistili jeho další šíření, maskovali útočníci Sathurbot jako populární film nebo software a zneužíval napadené účty ve WordPressu, aby dále propagoval původní škodlivý torrent. Výsledkem byla velice účinná škodlivá kampaň, díky níž se trojanové verze souborů šířily velice rychle a na první pohled se jevily jako legitimní.

Torrentový soubor s filmem obsahoval rozšíření videa doplněné o balík kodeků pro instalaci a textový soubor s návodem. Torrent měl zároveň instalační soubor a malý textový soubor. Cílem útočníků bylo přimět oběť ke spuštění spustitelného souboru, který načetl DLL Sathurbotu.

Rok 2017 také nebyl pro torrenty bez incidentu

V únoru 2017 hackeři opět zneužili stránky BitTorrentu. Tentokrát k distribuci nového ransomwaru Patcher, který se tvářil jako aplikace pro pirátské používání populárního softwaru. Torrent obsahoval jeden ZIP soubor s balíčkem aplikací. Analytici společnosti ESET měli možnost zkoumat dvě verze tohoto malwaru. Jednou byl Patcher pro Adobe Premiere Pro a druhou verze pro Microsoft Office pro Mac. To však nebyly všechny varianty, mezi uživateli se šířily i další verze.

I když byl tento malware špatně kódován, jeho šifrovací metoda byla dostatečně efektivní, aby zabránila obětem v přístupu k napadeným souborům. Navíc tento ransomware neměl žádný kód, jehož prostřednictvím by mohl komunikovat s řídícím C & C serverem. Tím pádem nebylo možné odeslat obětem klíč k odšifrování souborů.

Výše zmíněné případy představují jen zlomek škodlivých kampaní zaměřených na uživatele BitTorrentu a samotných torrentů. Jde o stále populárnější vektor kybernetických útoků. Útočníci jej používají pro infikování velkého množství uživatelů malwarem nebo k získání kontroly nad počítači a jejich zneužití ke škodlivým účelům. Chcete být o těchto útocích informováni? Informujte se o aktuálním vývoji v článcích bezpečnostních expertů společnosti ESET na webu WeLiveSecurity.com.