Kybernetické incidenty se v Česku pravidelně týkají nemocnic, obcí i soukromých firem. Mnohé začínají phishingovým e-mailem, slabým heslem nebo přehlédnutým varovným signálem. Tady jsou konkrétní případy, z nichž se dá učit.
Následující případy jsou sestaveny z veřejně dostupných zpráv NÚKIB, CSIRT.CZ a mediálních informací. Identifikační údaje jsou v některých případech zobecněny.
Případ 1 — Benešovská nemocnice: ransomware který zastavil provoz
V prosinci 2019 zasáhl nemocnici ransomware RYUK. Útočníci se do sítě dostali prostřednictvím phishingového e-mailu. Malware se šířil sítí týdny nepozorován, než byl aktivován. Napadeny byly stovky počítačů, zálohovací systémy i lékařské přístroje.
Zaměstnanec otevřel přílohu e-mailu, která vypadala jako faktura od dodavatele. Makro ve Wordu stáhlo loader, který se v síti šířil přes neopravené zranitelnosti a sdílené přihlašovací údaje. Útočníci měli přístup k síti přibližně 3 týdny před spuštěním ransomwaru — mapovali systémy a deaktivovali zálohy.
Nemocnice musela přejít na papírové záznamy, odložit plánované operace a přesměrovat záchranky. Výpadek trval přes dva týdny. Celková škoda přesáhla 30 milionů Kč včetně obnovy systémů, ztracených dat a provozních nákladů.
Zálohy nebyly offline nebo immutable — útočníci je zašifrovali spolu s produkčními daty. Chybělo pravidelné školení zaměstnanců v rozpoznání phishingu. Síť nebyla segmentována — malware se šířil bez omezení. Pravidelné zálohy oddělené od sítě + proškolení zaměstnanců by útok buď zastavily nebo dramaticky omezily škody.
Případ 2 — Výrobní firma: CEO fraud — 11 milionů pryč za 20 minut
Účetní obdržela e-mail zdánlivě od jednatele firmy s instrukcí převést 11,2 milionu Kč na „nový bankovní účet dodavatele v Německu" před koncem pracovního dne. Jednatel byl v tu dobu na dovolené a nedostupný. Účetní převod provedla.
Útočníci předem získali přístup k e-mailové schránce jednatele — pravděpodobně phishingem nebo uniklými přihlašovacími údaji. Sledovali korespondenci týdny. Věděli kdo je účetní, věděli kdy jednatel odjíždí na dovolenou, věděli jaký styl komunikace jednatel používá. E-mail byl téměř identický s normální komunikací.
11,2 milionu Kč bylo převedeno na účet v Estonsku a odtud okamžitě přesunuto dál. Policie zahájila mezinárodní spolupráci, ale peníze se nepodařilo dohledat. Firma přišla o celou částku. Účetní svoji funkci opustila.
Chyběl proces ověření neobvyklých platebních příkazů — telefonicky, ne e-mailem. Chyběla MFA na e-mailové schránce jednatele. Zaměstnankyně nebyla proškolena v rozpoznání BEC (Business Email Compromise) útoků. Jakékoliv proškolení nebo interní politika „pro platby nad X Kč povinné ověření telefonátem" by tento útok zastavily.
Případ 3 — Jihočeský kraj: data občanů na dark webu
V srpnu 2022 provedla skupina NoName057(16) rozsáhlý DDoS útok na weby jihočeského kraje a souběžně došlo k úniku části dat z krajského systému. Na dark webu se objevila data zahrnující interní dokumenty a kontaktní informace zaměstnanců.
Útok byl součástí koordinované vlny kybernetických útoků na českou veřejnou správu v kontextu podpory Ukrajiny. NÚKIB vydal v té době opakovaná varování před zvýšenou hrozbou pro českou kritickou infrastrukturu a veřejné instituce.
Výpadek krajských webů trval několik hodin. Únik interních dokumentů vyžadoval notifikaci dotčených osob. NÚKIB zahájil šetření. Případ upozornil na nedostatečné zabezpečení webové infrastruktury menších krajských institucí.
Veřejné instituce jsou cílem jak motivovaných hacktivistických skupin, tak kriminálních organizací. DDoS ochrana, pravidelné penetrační testy a oddělení veřejné infrastruktury od interních systémů jsou základní opatření, která ZoKB nyní vyžaduje pro regulované subjekty.
Případ 4 — IT firma: dodavatelský řetězec jako vstupní brána
Menší IT firma spravující systémy pro 40 klientů byla napadena prostřednictvím zranitelnosti v nástroji pro vzdálenou správu. Útočníci použili přístup MSP jako „tramplin" — dostali se přes jednu firmu do systémů desítek jejich klientů současně.
Útočníci využili neopravené CVE zranitelnosti v RMM nástroji (Remote Monitoring and Management). Software byl aktualizován se zpožděním přes 3 měsíce — přesně v tomto okně byl exploit zveřejněn. Po získání přístupu do systémů MSP měli automaticky přístup ke všem spravovaným klientům.
17 klientů MSP bylo přímo zasaženo — od výpadků systémů po zašifrování dat. Celkové škody napříč klienty přesáhly 15 milionů Kč. MSP ztratila většinu klientů a ukončila provoz. Incident ilustruje, proč ZoKB věnuje celý článek 21(2)(d) bezpečnosti dodavatelského řetězce.
Váš IT dodavatel má přístup k vašim systémům. Smluvně požadujte od dodavatelů kybernetická opatření — aktualizace do N dní od vydání záplaty, MFA, záznamy o přístupech. ZoKB tuto povinnost nyní ukládá regulovaným subjektům přímo zákonem.
Případ 5 — Phishing přes QR kód na parkovišti
Na firemní vozidla na parkovištích v Praze a Brně byly nalepeny falešné pokuty s QR kódem odkazujícím na „platební portál". Zaměstnanci, kteří QR kód naskenovali pracovním telefonem, přistoupili na podvodnou stránku napodobující platební portál. Stránka zachytila přihlašovací údaje a v jednom případě i instalovala spyware.
Situace vypadala naléhavě a legitimně — pokuta za parkování, firemní auto, časový tlak. Zaměstnanci nebyli proškoleni v rozpoznání QR phishingu (tzv. quishing). Pracovní telefony neměly MDM ochranu blokující neznámé weby.
V dokumentovaných případech šlo o únik přihlašovacích údajů k firemním systémům. V jednom případě útočníci použili získané přihlašovací údaje k přístupu do firemního e-mailu a zahájili BEC útok na kolegy.
QR phishing je nová technika, která obchází e-mailové filtry a antivirové programy. Zaměstnanci, kteří prošli školením zahrnujícím QR kódy jako útočný vektor, tento útok rozpoznali. Ti bez školení nikoliv. NIS2 Awareness kurz toto téma výslovně zahrnuje v modulu o phishingu.
Co mají všechny tyto případy společného
Podívejte se na vzorec: v každém z výše uvedených případů byl klíčovým faktorem člověk, který nevěděl co dělá. Ne nedostatečný firewall, ne zastaralý antivirus. Zaměstnanec, který otevřel přílohu. Účetní, která provedla převod bez ověření. Správce, který neaktualizoval software.
Přesně proto NIS2 a ZoKB ukládají povinné školení zaměstnanců jako zákonný požadavek — nikoliv jako doporučení. Technická opatření fungují jen tehdy, když je lidé správně používají a neobcházejí je.
NÚKIB pravidelně zveřejňuje výroční zprávy o stavu kybernetické bezpečnosti s přehledem incidentů. Podle dostupných dat i mezinárodních statistik (ENISA Threat Landscape) tvoří incidenty s lidským faktorem konzistentně přes polovinu všech hlášených případů.