Stát chce o svých občanech vědět stále víc. Stačí zmínit elektronickou evidenci tržeb nebo zákon o prokazování původu majetku. Ve sněmovně je před finálním hlasováním novela, která zpravodajským službám otvírá cestu k údajům z finančních úřadů, rozšiřuje přístup k informacím od telekomunikačních operátorů nebo ruší omezení v prolamování bankovního tajemství. Trend se zdá nezadržitelný, centrální hromadění a kontrolu osobních dat usnadňují stále se zdokonalující informační technologie.

Jak přibývají vládní servery a na nich uložené osobní údaje, vyvstává logická otázka: Když už stát o svých občanech shromažďuje tolik informací, umí tyto záznamy také ochránit? Nedávné události v USA ukázaly, že s tím může mít velký problém. Rejdění hackerů ve vládním personálním úřadu (OPM) vedlo k únikům takového rozsahu jako dosud žádný kybernetický útok.

Sofistikovaní kyberšpioni útočí

OPM postihly vlastně dva loupeživé nájezdy. Při jednom, který začal v prosinci, se hackeři, údajně napojení na čínskou vládu, nabourali do souboru obsahujícího čísla sociálního pojištění, data narození, zaměstnání a další údaje více než čtyř milionů současných i bývalých státních zaměstnanců. Útok byl odhalen až v dubnu.

Zřejmě ještě větší škody napáchal druhý vpád hackerů, který trval zhruba rok a zasáhl agendu bezpečnostních prověrek. K čínským oficiálním místům se tak dostaly citlivé informace o milionech vojáků, zpravodajců a dalších osobách se záznamy o jejich psychickém zdraví, užívaných lécích, trestním stíhání a také jména a adresy jejich příbuzných v zahraničí. Podle odhadů některých expertů mohly být vyzrazeny údaje až 14 milionů lidí.

„Spojené státy jsou pod útokem. Sofistikovaní kyberšpioni, většinou ze zahraničí, míří na citlivé osobní údaje milionů Američanů. Utočí na naši vládu, naši ekonomiku, náš finanční sektor, naše zdravotnictví a virtuálně na každý jednotlivý aspekt našich životů,“ prohlásil Elijah Cummings, člen dozorčí komise Sněmovny reprezentantů, která vyšetřovala postup OPM. Jeho slova nemusejí vyznít přehnaně apokalypticky, jak se zdá. USA zažily za poslední dva roky několik nebývale silných kybernetických útoků – český čtenář mohl zaznamenat únik důvěrných informací společnosti Sony Pictures Entertainment, přisuzovaný severokorejským hackerům kvůli uvedení filmu o vůdci Kim Čong-unovi. Íránským hackerům se podařilo paralyzovat jedno z velkých kasin v Las Vegas, Číňanům se kromě OPM přisuzuje také proniknutí do databází zdravotní pojišťovny Anthem letos v únoru.

Hrozí podobné nájezdy také v Česku? Zatím se tu nic srovnatelného nestalo. „Žádný podobný ‚průlom‘ spojený s masivním únikem dat do českých veřejných institucí náš úřad dosud naštěstí nezaregistroval ani mu nebyl nahlášen na základě zákona o kybernetické bezpečnosti,“ říká mluvčí Národního bezpečnostního úřadu (NBÚ) Radek Holý. Pod NBÚ působí Národní centrum kybernetické bezpečnosti, sídlící v Brně. Intenzita útoků podle jeho statistik od poloviny roku 2013 jednoznačně roste. Spíš než získání osobních údajů sledují přímý finanční motiv. Převažují podvodné a phishingové e-maily s přílohou obsahující škodlivý kód. Například loni se v několika vlnách rozšířily maily s falešným upozorněním, že adresát dluží částku, kterou musí uhradit, aby se vyhnul exekuci. Při spuštění přílohy se infikoval jeho počítač formou tzv. trojského koně, skryté části programu nebo aplikace, v tomto případě určené k nabourání bankovního účtu. Loni v červnu nahlásila společnost Symantec rozšíření malwaru Havex (malware je souhrnné označení pro různé druhy programů určených ke vniknutí nebo poškození počítačového systému), který se zaměřoval na průmyslové systémy energetických společností. Postiženo mělo být patnáct českých IP adres. Ze které země útoky pocházejí, se prý obvykle nedá jednoznačně určit, protože hackeři mění své IP adresy, e-maily nebo útočí přes anonymizační sítě, zdůvodňuje Holý z NBÚ.

Být o krok pozadu. Ale jen o krok

Roste i počet útoků cílených mimo úřady a strategická odvětví. V této „veřejné“ oblasti koordinuje počítačovou ochranu Národní bezpečnostní tým CSIRT.CZ (CSIRT = Computer Security Response Team). V roce 2013 jeho experti řešili 495 bezpečnostních incidentů, loni už 939 událostí a za necelé první pololetí bylo hlášeno přes 565 incidentů. Podstata útoků se příliš nemění, ale zdokonalují se. Když například CSIRT.CZ vydá novou zprávu o zranitelnosti určitého programu, profesionální kyberzločinci tyto poznatky rychle aplikují. „Zlepšují se také techniky sociálního inženýrství, stále častěji můžeme pozorovat přesně cílené phishingové zprávy,“ říká Pavel Bašta, bezpečnostní analytik sdružení CZ.NIC, které provozuje Národní bezpečnostní tým.

Kybernetickou bezpečnost má v popisu práce také BIS. V poslední zveřejněné výroční zprávě za rok 2013 kontrarozvědka napsala, že potenciální nebezpečí pro ČR může představovat rostoucí podíl čínských společností Huawei a ZTE na českém telekomunikačním trhu. „Obě společnosti jsou ve světě dlouhodobě podezřívány ze spolupráce s čínskými zpravodajskými službami a podílu na výzvědných aktivitách,“ uvedla BIS. Minimálně Huawei ale toto varování u nás nepocítila a loni se obrat firmy v Česku zvýšil o 20 procent na téměř tři miliardy korun.

Celkově se zdá, že Česko nepatří mezi hlavní cíle nejzákeřnějších hackerských gangů. Ve skutečnosti však možná o některých průlomech naše úřady, podniky ani kybernetičtí hlídači netuší. Druhá strana totiž může disponovat modernějšími nástroji. Například ve srovnání s americkou agenturou NSA technologicky nepochybně zaostáváme. „Nejde o to, něco vymyslet. U nás jsou minimálně stejně chytré hlavy jako v USA. K tomu je ale potřeba ještě přidat realizaci a uvedení do provozu, a tím pádem také odpovídající investice, na které náš stát prostě nemá,“ říká Tomáš Rosa, jeden z nejuznávanějších českých odborníků na aplikovanou kryptologii.

Úspěch hackerů nemusí být vůbec založen jen na prolomení nějakého zašifrovaného algoritmu. To byl také případ OPM, do nějž se útočníci dostali přes uloupený login a heslo jednoho ze zaměstnanců společnosti, která personálnímu úřadu poskytovala služby. Firmy mohou používat sebelepší šifry, když si ale nedají pozor na základní bezpečnostní opatření, není jim to nic platné. Hlavně tajné služby zemí sovětského bloku se už před rokem 1989 soustředily na specifické způsoby získávání hesel a šifrovacích klíčů. Jako klasický příklad se dá uvést prostorový odposlech, přes nějž se nahrávají a analyzují úhozy na klávesnici. Dnešní technologie potom nabízejí dříve nepředstavitelné možnosti.

Podle Tomáše Rosy se už v kybernetickém světě přijal názor, že hackerským útokům se nedá stoprocentně zabránit předem. Snaha pojistit se proti všem možným typům napadení a kanálům byla finančně neúnosná a útočníci navíc mnohdy našli cestu, jakou si nikdo z obránců dopředu nedokázal představit. „Je třeba být o krok pozadu. To dává výhodu sledovat, kam útočníci směřují. Důležité ale je, aby to byl právě jenom ten jeden krok,“ říká Rosa.