Ochranou osob se živím řadu let a za tu dobu se těžiště rizika znatelně posunulo. Řadu informací, které se dřív musely fyzicky odsledovat, dnes útočník získá z e-mailu, telefonu nebo z toho, co o sobě člověk sám zveřejnil. V tomhle článku popisuji, co s tím konkrétně dělám a co doporučuji lidem, které chráním.
Útok dnes obvykle nezačíná sledováním, ale zprávou
Vzorec, se kterým se u klientů setkávám nejčastěji, vypadá nenápadně. Přijde zpráva, která se tváří jako od nadřízeného nebo kolegy — podobný podpis, podobný způsob vyjadřování, podobná zkratkovitost. A žádá o zdánlivou drobnost: přeposlat program cest, potvrdit adresu, poslat kontakt.
Právě tahle drobnost je ten problém. Program cest znamená přesné časy, adresy a trasy. To už není únik dat, to je podklad pro kohokoli, kdo by chtěl člověka zastihnout na nesprávném místě. Fyzická a digitální stránka ochrany se v tomhle bodě potkávají.
Za ty roky v oboru jsem si zvykl číst prostředí — kdo se dívá, kdo se otáčí, které okno není prázdné náhodou. Svět se ale posunul. Informace, které se dřív musely fyzicky odsledovat, se dnes často dají jen vyžádat, dohledat nebo vyčíst z veřejně dostupných zdrojů.
Únik dat řeším stejně vážně jako vypáčené dveře
Útoky, se kterými se u klientů potkávám, zpravidla nezačínají složitým hackerstvím. Začínají phishingem — zprávou, která se tváří jako někdo důvěryhodný a chce po Vás jedinou reakci. Klik, přihlášení, potvrzení platby. Zbytek už si útočník udělá sám.
Vedle toho stojí škodlivý software, který se do zařízení dostane přes přílohu nebo stažený instalátor a tiše sbírá, co píšete a kam chodíte. A pak ransomware, který data zašifruje a nabídne Vám je zpátky za výkupné. Nenápadná bývá krádež identity — někdo jedná Vaším jménem a Vy se to dozvíte až ve chvíli, kdy je potřeba to složitě vysvětlovat.
Následky bývají trojího druhu a žádný z nich není příjemný. Finanční ztráta, se kterou se dá většinou nějak pohnout. Poškozená reputace, se kterou už to jde hůř. A psychická zátěž, protože pocit, že Vám někdo cizí čte poštu, se z hlavy nedostává snadno.
Mě ale nejvíc zajímá čtvrtá věc, na kterou se v IT běžně nemyslí. Z uniklých dat se dá poskládat rutina: kde bydlíte, kdy vyjíždíte, kam vozíte děti, kde obědváte. Přesně tohle by potřeboval znát někdo, kdo by chtěl člověka ohrozit fyzicky. Proto beru datovou hygienu jako součást osobní ochrany, ne jako oddělenou agendu.
Heslo, které si nepamatujete, je obvykle to lepší
Nejčastější chyba, kterou u klientů vidím, není slabé heslo. Je to jedno heslo použité na deseti místech. Stačí, aby uniklo z jediné nedůležité služby, a útočník ho zkusí všude jinde. Ta služba přitom bývá ta, na kterou jste dávno zapomněli.
Dobré heslo je dlouhé a nikde jinde ho nemáte. Raději celá věta, kterou si vybavíte, než krátké slovo s číslicí na konci. A hlavně: pro každý účet jiné. To si nikdo nezapamatuje, a proto se to pamatovat nemá — od toho je správce hesel.
Správce hesel bývá věc, u které klienti nejdřív krčí rameny a po čase ji nechtějí vrátit. Vygeneruje unikátní heslo, uloží ho a sám ho vyplní. Vy si pamatujete jediné — to hlavní, které nesmíte použít nikde jinde. Zásadní účty, hlavně e-mail, mají mít vlastní heslo bez výjimky. E-mail je totiž klíčenka od všeho ostatního: kdo ho ovládne, obnoví si přes něj přístup skoro kamkoli.
Druhý zámek, který se na dálku otevírá hůř
Dvoufázové ověření patří k opatřením, u kterých je poměr mezi vynaloženým časem a přínosem podle mé zkušenosti nejpříznivější. Zapnout se dá během chvíle a přihlášení pak nestačí uhádnout heslem — je potřeba i druhý potvrzující krok. Kdo má jen ukradené heslo, druhý krok obvykle k dispozici nemá.
Zapněte ho všude, kde to jde. Prioritně na e-mailu, v bankovnictví, na cloudovém úložišti a na sociálních sítích. Pokud si máte vybrat způsob, dávám přednost ověřovací aplikaci nebo fyzickému bezpečnostnímu klíči před kódy přes SMS. SMS je lepší než nic, ale telefonní číslo se dá za určitých okolností přesměrovat a druhý zámek tím padá.
Doplním k tomu jednu praktickou drobnost. Záložní kódy, které Vám služba při zapnutí nabídne, si vytiskněte a uložte fyzicky, ideálně tam, kde máte důležité dokumenty. Setkal jsem se s lidmi, kteří se do vlastního účtu nedostali kvůli zabezpečení, které si sami zapnuli.
Nudná část, o které se to celé rozhoduje
Zbytek je hygiena. Není na tom nic zajímavého a přesně proto se zanedbává. Aktualizace se odkládají, protože zrovna teď se to nehodí. Zálohy se řeší až po ztrátě dat. A veřejná wi-fi v hotelu vypadá neškodně přesně do chvíle, než na ní někdo poslouchá.
Když s klientem procházím jeho zařízení, jdu vždycky po tomhle seznamu:
Nic z toho není technicky náročné a většinu položek zvládne člověk sám. Rozdíl mezi tím, kdo to má hotové, a tím, kdo to odkládá, se přitom pozná až ve chvíli, kdy se už nedá nic dohánět.
- Operační systém, aplikace i ochranný software aktualizované, ideálně automaticky
- Zálohy důležitých dat na externím disku nebo v šifrovaném cloudu — a ověřené, že jdou opravdu obnovit
- VPN na veřejných sítích: v hotelu, na letišti, v kavárně
- Software stahovaný jen z oficiálních obchodů a stránek výrobce, nikdy z odkazu ve zprávě
- Pravidelná kontrola oprávnění aplikací v telefonu: poloha, mikrofon, kamera, kontakty
- Šifrovaná komunikační aplikace pro citlivé hovory a zprávy, ne běžné SMS
Co o sobě zveřejňujete, aniž byste to tak mysleli
Se sociálními sítěmi nebojuji. Jen prosím klienty o dvě věci: nesdílejte polohu v reálném čase a nezveřejňujte nic, z čeho se dá odvodit pravidelnost. Fotka z dovolené může počkat, až budete doma. Snímek z auta nemusí obsahovat čitelnou značku ani okolí domu. A pravidelný příspěvek ze stejného podniku ve stejný den je informace, kterou bych si na Vašem místě nechal pro sebe.
Stejné pravidlo platí pro rodinu a nejbližší okolí. Bezpečnostní opatření se obvykle neobchází přes klienta, ale přes partnera, děti, asistentku nebo řidiče. Ochrana soukromí, která končí u jedné osoby, je jen napůl hotová.
U firem to funguje podobně. Bezpečnost celku odpovídá tomu nejméně opatrnému člověku v týmu a nebývá to nutně ten na nejnižší pozici. Proto do bezpečnostních auditů zahrnuji i digitální rizika a proto tolik tlačím na školení lidí — na rozpoznání phishingu, na ověřování neobvyklých žádostí druhým kanálem a na základní pravidla práce s technikou. Kamerové a monitorovací systémy pak nasazuji šifrované a nastavené tak, aby odpovídaly pravidlům GDPR, protože opatření, které samo vytváří právní problém, svůj účel neplní.
Co si z toho odnést
Kdybych měl celý článek shrnout do jedné myšlenky, je to tahle: informace o Vás jsou dnes stejně citlivá věc jako klíče od domu a zaslouží si stejnou péči. Žádný strach, žádná paranoia. Jen pořádek.
Prakticky to znamená čtyři kroky, které za Vás nikdo neudělá. Unikátní hesla ve správci hesel. Dvoufázové ověření všude, kde jde, prioritně na e-mailu. Aktualizace a zálohy, které opravdu běží. A vědomé rozhodování o tom, co o sobě pouštíte ven — Vy i lidé kolem Vás.
Žádné z těchto opatření nic negarantuje a nikdo Vám poctivě neslíbí, že se Vás útok nedotkne. Smysl je jinde: snížit množství informací, které o Vás jde získat, a zvýšit šanci, že si nesrovnalosti někdo včas všimne.
Nejlevnější opatření ze všech je přitom návyk, ne technika — ověřit si neobvyklou žádost jiným kanálem, než kterým přišla. Zvednout telefon a zeptat se. Tohle se dá naučit a funguje to i tam, kde technika selže.
Pokud si nejste jistí, jak na tom Vaše rodina nebo firma stojí, můžeme to spolu v klidu projít. Nabízím nezávaznou konzultaci, při které se podíváme na digitální i fyzickou stránku a řekneme si, co má smysl řešit hned a co může počkat. Diskrétnost považuji za samozřejmost.
„Únik osobních dat neberu jako IT téma — beru ho jako informaci o tom, kde a kdy se člověk pohybuje.“— Robert Václavík
