Kybernetické útoky se objevily už v 70. letech, s rozvojem AI jsou ale útoky rychlejší a dostupné i méně zkušeným aktérům. V článku vysvětlíme, jak se na potenciální ohrožení IT služeb připravit, co dělat v prvních minutách a hodinách po jeho detekci a proč se vyplatí svěřit obnovu dat odborníkům.
Jak kybernetické útoky fungují
Než začneme vysvětlovat, jak se kybernetickým útokům bránit, krátce shrneme, co firmám vlastně hrozí. Základní logika funguje tak, že útočník potřebuje nástroj, kterým se dostane dovnitř systému, a pak použije techniku, která mu pomůže napáchat škodu.
Mezi „vloupací“ nástroje patří:
- Phishing: Falešné e-maily, webové stránky nebo přílohy, které se prostřednictvím důvěryhodného vyznění snaží od uživatele získat citlivé údaje – hesla, čísla platebních karet apod.
- Trojský kůň: Na základě analogie s koněm, ve kterém se při trójské válce schovávali řečtí vojáci, se škodlivý kód ukrývá uvnitř jiných programů. A jak se tam dostane? Uživatel ho paradoxně spustí sám – nejčastěji instalací programu nebo aplikace stažených z internetu, které se tváří jako důvěryhodné, ale ve skutečnosti obsahují škodlivý kód.
Obě techniky jsou součástí tzv. sociálního inženýrství, tedy netechnické formy útoku založené na zmanipulování uživatele tak, aby (nevědomě) poskytl přístup k citlivým informacím nebo provedl škodlivou akci. Novou technikou v této oblasti je ClickFix, kdy hacker uživatele vyzve k nějaké opravě, například když se nenačte stránka. Ten pak v dobré víře následuje instrukce a ve výsledku spustí škodlivý příkaz ve vlastním systému. Právě tady se projevuje vliv AI, která pomáhá tvořit přesvědčivé texty a výzvy: V telemetrii firmy ESET vzrostly detekce této techniky mezi druhou polovinou roku 2024 a první polovinou roku 2025 o 517 %.
Jak útočníci narušují kybernetickou bezpečnost po vniknutí do systému:
- Vynucují si výkupné: Jde o tzv. ransomware, tedy spojení slov ransom (výkupné) a software. Hackeři omezí přístup k datům nebo systémům, dokud firma nepošle požadovaný obnos.
- Sbírají informace o uživateli: Výzvědný software (spyware) se v počítači chová jako špion. Sbírá osobní data, přihlašovací údaje, historii prohlížených stránek apod.
Incident Response IT: Jak postupovat při kybernetickém útoku
Když už znáte základní logiku toho, jak hackeři mohou narušit kybernetickou bezpečnost IT služeb, lépe pochopíte, jak se před útokem bránit a co dělat, když nastane. V žádném případě neposílejte útočníkům výkupné (nemáte jistotu, že přestanou a spíš jim potvrdíte, že jejich taktika funguje), případ ohlaste na policii a vyhledejte odborníky na kybernetickou bezpečnost – pokud firma takové oddělení nemá, obraťte se na specializovanou firmu.
Americký NIST (Národní institut pro standardy a technologie) v rámci kybernetických útoků definuje čtyři fáze reakce:
1. Příprava
Základ obrany je prevence. Ve firmě udržujte aktuální software a zaměřte se na správnou konfiguraci sítě a ochranu proti malwaru (škodlivý software). Trh nabízí řadu užitečných nástrojů a technologií jako je například SIEM (Security Information and Event Management).
Stejně důležitý je lidský faktor – většina útoků začíná chybou uživatele, proto se vyplatí pravidelné školení zaměstnanců. Firma by měla mít připravený Incident Response plán s jasnými rolemi a postupy, jak v případě kybernetického útoku jednat. A také stanovit tým, který incident řeší – u menších firem obvykle stačí IT správce, u větších CSIRT tým nebo externí specialisté.
2. Detekce a analýza
V této fázi je klíčové rozeznat skutečný incident od neškodné anomálie – podezřele může vypadat třeba i přihlášení ze zahraničí v neobvyklou dobu, ve skutečnosti to ale může být kolega na dovolené. Pokud se podezření potvrdí, tým analyzuje data z monitorovacích nástrojů, aby zjistil rozsah a povahu útoku. Zaměstnanci by zároveň měli vědět, komu a jak podezřelou aktivitu hlásit.
3. Zadržení, odstranění a obnova
Jako při každé katastrofě, i v případě kybernetického útoku, je prioritou zastavení jeho následného šíření.
To znamená především:
- Izolovat napadené systémy, odpojit je od sítě a segmentovat infrastrukturu.
- Odstranit škodlivý kód, opravit chyby v zabezpečení a změnit hesla.
Obnova probíhá výhradně ze záloh, které nebyly zasaženy útokem. Platí přitom, že čím lépe byl připravený plán, tím rychlejší je návrat k běžnému provozu. To může trvat týdny až měsíce.
4. Aktivita po incidentu
Tým provede rekonstrukci útoku, aby zjistil, jak se hacker dostal dovnitř a co všechno stihl narušit. Firma na základě analýzy kybernetického útoku aktualizuje Incident Response Plan, případně zorganizuje firemní školení zaměřené na kybernetickou bezpečnost. Firma může také zvážit, zda podniknout právní kroky.
Kybernetickému útoku nejde úplně vždycky zabránit, dobře nastavená prevence, pravidelně aktualizované postupy a rychlá odborná reakce ale výrazně pomůžou omezit jeho dopady na chod firmy.
