Kybernetické útoky – nelehká ochrana, závažné následky

Společnost se nepochybně digitalizuje, krom tlaku na zvýšení efektivity urychlila tento trend také nedávná pandemická vlna. Využívání technologií má řadu zásadních předností a digitalizovaná řešení jsou dnes prakticky nezbytná pro rozvoj podnikání, zároveň však vytvářejí snadné a lukrativní cíle pro kybernetické útočníky. Časté jsou kybernetické útoky formou tzn. ransomware, tedy jakéhosi digitálního vydírání. Tyto útoky ve většině případů nemají za cíl zneužít získaná dat, ale spíše jejich uzamknutím (znepřístupněním) přimět jejich vlastníka k zaplacení výkupného za vrácení (zpřístupnění) souborů. Nutno podotknout, že zaplacením výkupného není zaručeno navrácení souborů nebo jejich funkčnost.

Zpráva The State of Ransomware 2021 od bezpečnostní společnosti Sophos sleduje vývoj těchto útoků v 30 zemích, mezi nimi i ve 100 společnostech v České republice. V roce 2021 bylo však v Česku podle studie určitou formou ransomware zasaženo 30 % dotázaných společností. Výše požadované částky za odemčení systémů se liší v souvislosti s několika faktory, zejména velikost zasažené společnosti, obtížnost zvoleného útoku a konečně i lokace cíle. Česká republika v celkovém hodnocení vychází jako země s nejnižší průměrnou „ztracenou částkou“, do které se započítává krom částky výkupného také související náklady, čas zaměstnanců nebo např. ztracené příležitosti. Průměrná hodnota negativního dopadu ransomwarového útok je v České republice okolo 7 milionů, v Německu 25 milionů, a suverénně nejvyšší hodnoty dosahuje u našich sousedů v Rakousku při průměru 160 milionů českých korun.

Nejvíce útoků bylo zaznamenáno v oblasti maloobchodu a vzdělávání, kde 44 % respondentů z těchto odvětví uvedlo, že byli napadeni. Zdravotnictví, které se často i v České republice dostává na titulní stránky novin, ve skutečnosti hlásilo mírně podprůměrnou úroveň útoků. Nadměrné množství mediálních zpráv může být způsobeno informační povinností, která dopadá na zdravotnické organizace, zatímco u soukromých subjektů tato povinnost není. Jak se dočtete dále, prakticky neexistuje obor, kterému by se útoky vyhýbaly.

FINANČNÍ DOPADY KYBERNETICKÉHO ÚTOKU

Škody po provedeném kybernetickém útoku se kromě možného zaplacení výkupného mohou projevit v mnoha z následujících scénářů:

• zaplacení smluvních pokut za pozdní dodání;
• ztrátami způsobenými zpomalením nebo zastavením provozu;
• smluvními nároky vyplývajícími ze ztráty citlivých/důvěrných obchodních údajů;
• náklady na reakci na kybernetický incident;
• náklady z regulačního pohledu – pokud takový požadavek existuje; a
• náklady na investice do IT infrastruktury, kybernetické bezpečnosti a školení o kybernetických rizicích.

Je samozřejmě otázkou, zda se vyplatí požadované výkupné vůbec zaplatit či nikoliv. Americké město Atlanta v roce 2018 odmítlo zaplatit požadované výkupné ve výši 50 tisíc dolarů. Několik dnů nebyly funkční dopravní systémy a úředníci byli nuceni pracovat s listinnými formuláři. Následně město zaplatilo více než 2 miliony dolarů za IT poradenství, bezpečnostní audit a PR služby.^[1]

VÝZNAMNÉ ÚTOKY

Jistě si pamatujete, že v květnu roku 2021 proběhl bezprecedentní útok na společnost Colonial Pipeline, kvůli kterému byl po dobu jednoho týdne ve značné části Spojených států nedostatek benzinu. Navazující dominový efekt způsobil prudký nárust ceny této komodity, vzniku front u čerpacích stanic a kritická infrastruktura (nemocnice, záchranné služby a letiště) se obávala nedostatku zásob. Za celým útokem bylo prolomení jediného pracovního účtu. Společnost zaplatila výkupné ve výši téměř 100 milionů českých korun.^[2] Podobný útok zasáhl také největšího světového výrobce masa, společnost JBS. Ta po prvotním odporu zaplatila požadovanou částku téměř 230 milionů korun.^[3]

Jeden z nejničivějších útoků vůbec postihl společnost Maersk v květnu 2017, ten odstavil veškeré systémy a nástroje, které společnost používala, včetně všech zákaznických zařízení, 49.000 notebooků, 1.200 firemních aplikací, a více než 3.500 z celkových 6.200 serverů společnosti bylo nenávratně zničeno. Celková částka za nápravu škod se uvádí okolo 6 miliard českých korun.^[4] V tomto případě společnost požadované výkupné nezaplatila a udělala dobře. V tomto konkrétním případě se jednalo o typ útoku, který ani po zaplacení částky data neodemkne, ale naopak je smaže; stejným typem viru byly zasaženy společnosti FedEx, Merck, Rosneft nebo ukrajinská centrální banka.^[5]

Nejaktuálnější červencový případ kybernetického útoku zasáhl zřejmě až stovky cílů, a spekuluje se tak o nejrozsáhlejším případu použití metody ransomware vůbec. Terčem útoku se stal například obchodní řetězec Coop, který kvůli tomu musel ve Švédsku uzavřít asi 500 prodejen.^[6]

SITUACE V ČESKÉ REPUBLICE

Česká republika se řadí k odborné špičce v oblasti kyberbezpečnosti, národní tým České republiky tvořený zástupci státních složek, soukromého sektoru i akademické sféry se umístil na 3. místě v největším cvičení kybernetické bezpečnosti na světě,^[7] přesto se kybernetické útoky nevyhýbají ani českému prostředí. Výroční zpráva Národní centrály proti organizovanému zločinu (NCOZ) za rok 2020 uvádí nárůst počtu kybernetických útoků v České republice oproti předchozímu roku o téměř 25 %. Pachatelé kybernetických útoků se mimo jiné zaměřili na oblasti zdravotnictví, kdy NCOZ označila tyto útoky za provedené na vysoce profesionální úrovni.^[8]

Terčem útoku se letos v květnu stala také například Národní knihovna, která byla útokem téměř týden naprosto ochromena.^[9] Hackeři zaútočili také na tři soukromé polikliniky v centru Prahy, kde kvůli útoku nefungovala e-mailová pošta ani objednávkový systém. Lékaři navíc přišli o přístup do databází laboratoří.^[10] Kybernetičtí útočníci tento rok napadli také počítačové systémy Správy železnic i Českých drah.^[11] V těchto případech se nejednalo o tzn. ransomware, přesto závažnost těchto útoků nemůže být podceňována. Čerstvou zprávou je napadení Institutu plánování a rozvoje hlavního města Prahy, který hackeři zneužili k těžení kryptoměn.^[12]

Užití ransomware v České republice potvrzeno dokonce i v případu významného insolvenčního správce, který spravuje přes 4.100 insolvenčních případů a vedle toho vykonává i advokátní praxi. Napadení bylo ohlášeno Úřadu pro ochranu osobních údajů (ÚOOÚ) a Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB), kteří poskytli podporu při procesu obnovování dat. Za ty bylo útočníkům nakonec zaplaceno. Závažnost tohoto případu je patrná i co do citlivosti údajů, které se nachází v advokátních spisech.^[13]

CO LZE DOPORUČIT

Nejlepším řešením je v případě kyberbezpečnosti prevence. Správně provedený audit právních a technických zabezpečení (a provedení navazující opatření) může předejít nenávratným škodám. Z naší praxe víme, že po provedeném kybernetickém útoku nezůstane pouze způsobená škoda, ale následně se zkoumá i možný postih zodpovědných osob majících povinnost péče řádného hospodáře. V daném kontextu je pak přijetí dostatečných bezpečnostních opatření součástí této povinnosti. Naše zkušenosti potvrdily nutnou součinnost více odvětví v účinné prevenci, a proto doporučujeme jak opatření technická, tak i právní. Řada našich klientů k těmto krokům společně s námi urychleně přistupuje. Platí zde, že čím dříve, tím lépe.

Rádi pro Vás zajistíme mj. komplexní právní audit stavu kybernetické bezpečnosti, zajistíme potřebná školení, provedeme celkovou revizi smluvních podmínek s dodavateli IT systémů, nastavíme interní pravidla a krizové plány, a veškeré další nezbytné požadavky na zajištění co možná nejvyšší kyberbezpečnosti. Naše kontakty naleznete na uvedeném odkazu.

V této souvislosti odkazujeme na další články z blogu HAVEL & PARTNERS: KYBERBEZPEČNOST V DOBĚ COVIDOVÉ, Předcházet kyberútokům se vyplatí, zvlášť v době koronaviru nebo Cyberpunk nebo Cyberpwned? Aneb když ransomware dělají profesionálové