Ako ochrániť svoje podnikanie

Aké hrozby na vás číhajú na internete

Sociálne inžinierstvo

Už dlho platí, že najslabším článkom každého kybernetického systému je používateľ - a práve na neho sa zameriava sociálne inžinierstvo. Vo všeobecnosti ide o súbor postupov, nástrojov a psychologických trikov, ktorých cieľom je manipulovať obeťou a ovplyvniť jej správanie. V kontexte kybernetickej bezpečnosti sa hackeri a podvodníci najčastejšie snažia vylákať od používateľov osobné údaje, čísla kreditných kariet, prihlasovacie údaje atď. Metódy sú rôzne, ale majú jedno spoločné: využívajú dôveru ľudí, ich emócie a zvyky.

Nižšie uvádzame výber tých najbežnejších:

Phishing

Ide o najbežnejší typ sociálneho inžinierstva a kybernetického útoku vo všeobecnosti. Cieľom útočníka je vylákať od obete buď peniaze, alebo citlivé údaje - najčastejšie prihlasovacie údaje, čísla kreditných kariet alebo osobné údaje.

Najznámejšou metódou phishingu sú podvodné e-maily, pri ktorých podvodníci rozosielajú správy, ktoré úspešne napodobňujú komunikáciu oficiálnych inštitúcií (bánk, pôšt, úradov, dokonca aj falošné e-maily od nadriadených obete). V správe sa potom pod rôznymi zámienkami snažia prinútiť obeť, aby zadala citlivé údaje alebo poslala peniaze.

Phishing má aj svoje varianty, ktoré sa líšia konkrétnym vektorom útoku:

Scareware

Tento typ útoku je založený na falošnom bezpečnostnom upozornení, ktoré obeť varuje pred vírusom alebo kompromitáciou údajov. Patria sem napríklad vyskakovacie okná prehliadača ponúkajúce "okamžité riešenia", ktoré sa snažia používateľa presvedčiť, aby si stiahol antivírusový softvér. Ten v skutočnosti obsahuje škodlivý kód (pozri nižšie).

Vábenie

Veľmi bežná metóda využívajúca jednoduchú ľudskú zvedavosť. Obeť je lákaná na atraktívnu odmenu, napríklad v podobe smartfónu, výhry v náhodnom žrebovaní alebo finančnej odmeny za návštevu konkrétnej webovej stránky. Útočník sa opäť snaží oklamať cieľ, aby klikol na škodlivý odkaz obsahujúci škodlivý kód.

Malvér

Slovo malware je kombináciou anglických výrazov malicious a software a označuje počítačové programy špeciálne navrhnuté na škodlivú činnosť. Tá môže siahať od snahy podvodne získať peniaze alebo citlivé údaje až po deštruktívne útoky určené na zničenie, poškodenie alebo krádež cenných údajov. Je však možné stretnúť sa aj s relatívne neškodným alebo "len" obťažujúcim škodlivým softvérom, ktorého cieľom je len zobrazenie reklamy alebo zavedenie používateľov na inak neškodnú webovú stránku.

Útočníci používajú na doručenie škodlivého softvéru obeti rôzne metódy, z ktorých mnohé sa spoliehajú na spomínané sociálne inžinierstvo. Známym príkladom sú prílohy v e-mailoch z falošných adries, ktoré môžu vyzerať ako neškodné textové alebo PDF súbory. Malvér sa však môže do počítača obete dostať aj mnohými inými spôsobmi, z ktorých niektoré sú veľmi vynaliezavé a zákerné.

V súčasnosti sú útočníci schopní vytvoriť celé falošné webové stránky, ktoré skrývajú odkazy vedúce k stiahnutiu škodlivého softvéru do počítača obete. Ľudskú zvedavosť a neopatrnosť potom využívajú napríklad pomocou USB diskov ponechaných náhodne na vhodnom mieste.

Malvér sa ďalej delí do niekoľkých základných kategórií:

Počítačové vírusy

Ide o škodlivý počítačový program, ktorý po preniknutí do cieľového systému sa začne samovoľne replikovať a postupne infikuje ďalšie súbory. Konečný výsledok závisí od cieľa útočníka - sú známe vírusy, ktoré na obrazovke zobrazujú zábavné správy, ako aj vysoko deštruktívne programy schopné nenávratne vymazať všetky údaje v počítači.

Trojské kone

Špeciálny druh počítačového vírusu, ktorý sa na prvý pohľad javí ako neškodný alebo dokonca užitočný program. Škodlivý kód, ktorý sa v ňom skrýva, zvyčajne nie je určený na ničenie alebo krádež údajov, ale "len" na to, aby útočníkovi umožnil prístup do infikovaného systému.

Útočník potom môže z počítača ukradnúť údaje, použiť ho na infiltráciu do iných systémov alebo zapojiť zariadenie do botnetu - siete vzájomne prepojených počítačov infikovaných škodlivým softvérom, ktorých výpočtový výkon sa potom využíva na ďalšie škodlivé činnosti (napr. masové šírenie phishingu alebo spamu alebo útoky DDoS).

Ransomvér

Ako vyplýva z názvu (ransom = výkupné), cieľom ransomvéru nie je zničenie alebo krádež údajov, ale ich odcudzenie používateľovi. Útočníci potom odošlú správu požadujúcu výkupné, zvyčajne vo forme peňazí alebo kryptomeny, výmenou za odomknutie údajov. Ani po zaplatení výkupného však obeť nemá zaručené, že získa údaje späť. Terčom ransomvéru nie sú len jednotliví používatelia, ale čoraz častejšie aj veľké spoločnosti a vládne inštitúcie.

DoS/DDoS útoky

Pod týmito skratkami sa skrývajú slová Odmietnutie služby alebo Distribuované odmietnutie služby. Cieľom oboch metód je zneprístupniť napadnutý počítačový systém bežným používateľom, či už ide o webové stránky alebo inú platformu. Útočníci dosiahnu toto zablokovanie zahltením cieľového systému požiadavkami, čo nakoniec spôsobí jeho preťaženie a pád. Pri útoku DoS tieto požiadavky posiela jeden zdroj; častejšie používaná metóda DDoS môže mať niekoľko tisíc zdrojov.

Útoky DDoS sú v súčasnosti bežnou súčasťou každodenného života v sieťach. Svedčí o tom napríklad voľne dostupná Mapa hrozieb](https://threatmap.checkpoint.com/) zobrazujúca najväčšie útoky za daný deň. Z mapy je zrejmé, že cieľom sú veľmi často štátne inštitúcie, na ktoré sa útočí z politických, ideologických alebo iných nepeňažných dôvodov. Mnohí používatelia PC sa potom na DDoS podieľajú úplne nevedome, pretože ich zariadenie mohlo byť v minulosti infikované trójskym koňom (pozri vyššie) a teraz je súčasťou botnetu.

Man-in-the-middle (MITM)

Pri útoku MITM sa útočník nespolieha na sociálne inžinierstvo alebo iné "zákerné" spôsoby získavania údajov. Namiesto toho sa pripojí priamo ku komunikačnému kanálu medzi používateľmi alebo počítačovými systémami a potom tam zachytáva dátové pakety. Pomocou špecializovaných nástrojov potom môže tieto pakety analyzovať, rekonštruovať a následne z nich získať citlivé údaje. Zákernosť tohto útoku spočíva v tom, že sa ťažko odhaľuje, pričom používatelia si často neuvedomujú, že sú takto "odpočúvaní".

Ako zabrániť uvedeným útokom?

V súvislosti s kybernetickou bezpečnosťou sa často uvádza, že k útoku skôr či neskôr vždy dôjde. Najlepšie bezpečnostné postupy sa potom odvíjajú od tejto filozofie a točia sa predovšetkým okolo účinnej prevencie incidentov. Nižšie preto uvádzame niekoľko základných tipov, ako chrániť svoje údaje.

Vzdelávanie a bezpečné postupy

Ako sme už spomenuli vyššie, najslabším článkom systému je používateľ. Preto by ste sa mali zamerať predovšetkým na ľudský faktor. Rozhodujúcim krokom je poznať hrozby a vedieť ich v prvom rade identifikovať, k čomu vám pomôže pravidelné a kvalitné vzdelávanie koncových používateľov. To by sa nemalo obmedzovať len na teoretickú výučbu, ale malo by zahŕňať aj praktické príklady a v ideálnom prípade aj testovacie scenáre.

Dôležitou súčasťou sú základné bezpečnostné návyky, ktorých dodržiavanie výrazne zníži riziko útoku. Patria k nim nasledujúce:

Ak je to možné, používajte viacfaktorovú autentifikáciu, pri ktorej prístupové heslo doplníte sekundárnym spôsobom prihlásenia. Môže to byť buď kód v SMS správe alebo odtlačok prsta, alebo kód v autentifikačnej aplikácii (napríklad Google Authenticator). Pravidelne tiež zálohujte svoje údaje a uistite sa, že vždy používate najnovšiu verziu softvéru.

Bezpečnostné postupy

Dôležitým prvkom bezpečnosti je aj vedieť, čo robiť v prípade zachytenia kybernetickej hrozby. Pre pracovníkov na voľnej nohe tu odporúčame spísať dokument s konkrétnymi pokynmi pre prípad vážneho problému (napadnutie počítača, strata zariadenia, strata používateľského účtu atď.) Konkrétne môže tento „núdzový sprievodca" obsahovať napríklad telefónne kontakty, pokyny na obnovenie hesla a ďalšie informácie, ktoré nechcete v prípade núdze prácne vyhľadávať. Potom tento dokument vytlačte a uložte na bezpečné miesto.

Aké digitálne technológie vám môžu pomôcť?

Čo robí mBank pre vašu bezpečnosť

Veľký počet kybernetických útokov je spojený s krádežou peňazí z bankových účtov, pri ktorých sú odcudzené osobné údaje používateľov alebo platobné karty. Tejto hrozby sme si dobre vedomí a zaviedli sme množstvo bezpečnostných opatrení na ochranu banky aj peňazí našich klientov:

Pre našich klientov sme pripravili aj jednoduchý prehľad základných bezpečnostných návykov. Nejde o zložité úlohy ani postupy, ale ich dodržiavanie vám môže ušetriť veľa problémov. Stránka obsahuje aj návod pre prípad, že by sa do vášho účtu dostala neoprávnená osoba.