Dvakrát měř, jednou věř
Dovolím si reagovat na (a též tak trochu doplnit) článek „Zločin-jako-služba“ country managerky Crowe Petry Štogrové Jedličkové z květnových Crowe news. Ptám se - opravdu si lze dnes objednat kybernetický útok jako službu, tedy „Crime as a Service“ (CaaS) nebo se jedná o veskrze přehnané a pesimistické vnímání dnešního „technologického světa“? A ihned si odpovídám – ano, CaaS je realitou. Vše ve zmíněném článku popsané je nepopiratelnou pravdou. Co mi však jako technikovi chybí, je řešení či návod na to, jak se proti tomu bránit.
Kdo nyní očekává popis hypermoderních bezpečnostních technologií, bude zklamán. Následující text pojednává o Vás, v tom nejlepším slova smyslu „běžných“ uživatelích, kteří se mohou a umí úspěšně bránit bezpečnostním hrozbám, a to nekonečněkrát účinněji, než to kdy budou umět všechny firewally, antiviry, antimalwary, content filtry a dokonce i dnes tak vychvalovaná umělá inteligence (AI).
Tedy vzhůru do toho! Pojďme si společně projít nejčastější případy, které nás mohou potkat a jejich možná řešení.
Emaily s nebezpečným obsahem či odkazy na nebezpečný web
Došel Vám email z podivné adresy, nicméně s důvěryhodně vypadajícím obsahem? Či naopak email s podivnou přílohou, ale od Vám známého odesílatele? Obsahuje email link kamsi na web, link vypadající věrohodně? V tento okamžik ještě může zapracovat technologie a při troše štěstí a správné správě Vašeho IT bude takový útok zastaven. Jenže přiznejme si, technologie není všemocná. Navíc není v silách bezpečnostních firem reagovat okamžitě na všechny hrozby, které se na internetu vyskytnou. A pak přicházíte ke slovu Vy! Vy a Vaše inteligence nahrazujete tu umělou. Nejste sice „obrandovaní“ žádnou sofistikovanou zkratkou jako např. AI, ale věřte, poradíte si i s problémy, u kterých technologie zaspí či prostě selže.
Případ emailu z divné či neznámé adresy obsahující věrohodný text či přílohu s důvěryhodným názvem
Než se pustíte do otevírání příloh, uvařte si kafe a zamyslete se, proč by vám někdo neznámý takový email posílal. Obsahuje zpráva kromě příloh také kontakt na odesílatele? Jiný kontakt než emailovou adresu? Ne? To je ale dnes dosti divné, že? Pokud tam kontakt je, použijte ho! Telefon, LinkedIn, Facebook…tam všude můžete odesílatele jednoduše oslovit. Ale nedivte se, když v 99 % případů zjistíte, že jde o zcela vymyšlenou identitu. Pokud máte pouze emailovou adresu odesílatele, prostě dejte v emailovém klientu „Odpovědět“ a jednou větou se zeptejte, zdali je skutečně tento email určen Vám a co přesně příloha obsahuje. V drtivé většině případů se Vám Váš email vrátí velmi rychle zpět jako nedoručitelný. Pokud útočník použil (či spíše zneužil) existující email, jistě Vám dotyčný odpoví, že nikdy nic podobného vědomě neposílal. A nyní přichází čas na otázku klasika - Kam s ním? Smazat přece! :-)
U emailů od Vám známých kontaktů, které se ale vymykají obvyklé komunikaci, se nezdráhejte ověřit, ideálně nikoliv emailovou cestou (opět tedy telefon, instant messaging), apod., že email je Vám určen. Třeba se teď obáváte, že budete pro partnery paranoik, ale rozumný člověk pochopí, že trocha opatrnosti není na škodu.
Podvodné emaily lákající přihlašovací údaje nebo žádající vykonat konkrétní akci
Samostatnou kapitolou jsou emaily (dnes už ale i zprávy z instant messaging nástrojů – Viber, Whatsup, Facebook messenger a další), které se Vás pokouší přimět k nějaké akci – povětšinou k vydání přístupů do nějakého systému (útočník často předstírá pracovníka IT podpory, nejen Vaší lokální, ale třeba i podpory Google či dokonce podpory z Vaší banky). Zde si pamatujte pravidlo, které platí absolutně a bez výjimky – nikdy žádná profesionální IT podpora nevyžaduje od uživatelů vydání přihlašovacích údajů!
Logicky, pracovník podpory si dokáže Váš uživatelský účet vyresetovat a nastavit si libovolné heslo - proč by jej tedy žádal po Vás? A i kdybyste si byli víceméně jisti, že jde o „Vašeho ajťáka“, vydání přístupu přesto odmítněte. Nechť si k Vašemu účtu heslo změní a pak Vám jej pošle alternativní cestou – tedy jinou, než kudy přišla žádost (typicky mailem nebo messengerem). Ideální cesta je SMS do telefonu.
Co je však hitem posledního roku? Podvodné emaily! Útočník zkusí z veřejně přístupných zdrojů rozkrýt část organizační struktury Vaší firmy a pošle email požadující urychlený bankovní převod. Typicky jde o emaily předstírající, že majitel, jednatel či jiný vedoucí pracovník úkoluje žádostí o převod peněz účetní, office managera nebo někoho, kdo by nejspíše mohl mít přístup k bankovním účtům. Co dělat? Nyní si již určitě odpovíte sami. Ano, zcela správně - ověřit si identitu odesílatele. A protože za věrohodně vypadající adresou odesílatele může být skryta úplně jiná adresa, která se použije v případě Vaší odpovědi (což je technicky triviální), ptali byste se tedy samotného útočníka, což je k ničemu. Použijte jiný kanál. Instant messaging, SMS, telefon. Nepochybuji, že rozumný manažer na Vás nejenže nebude řvát, že ho kupříkladu rušíte na dovolené, ale měl by naopak projevit uznání nad Vaší opatrností.
Uplatníte-li princip dvojího ověření, můžou se kybernetičtí útočníci třeba postavit na hlavu, ale k Vašim datům či penězům neprojdou (pomiňme případ, kdy Vašemu šéfovi drží u hlavy pistoli a on Vám tedy ten převod na 100.000 EUR do telefonu potvrdí). Ale to už jsme zpět u bouchačů dona Corleone z článku Petry Štogrové Jedličkové. A toho se snad ještě dlouho nedočkáme!
