Přístup do firemní sítě nevede pouze přes počítač či telefon a složité šifrování nebo prolomení firewallu, ale skrze zařízení, na která se jednoduše zapomnělo. Etický hacker ze společnosti Axelum popisuje situaci, kdy si útočník nejdřív zjistí typ klimatizace v budově, najde její ovládací rozhraní online a pak už je vše otázka několika minut. Podobně lze zneužít tiskárnu, solární panely, bezpečnostní kamery nebo i chytrý kávovar. Stačí, aby bylo zařízení špatně zabezpečené, mělo výchozí heslo nebo nebylo oddělené od firemní sítě. V mnoha případech tak útočníci nemusí „hackovat“ nic – jen využijí otevřená vrátka.
Skrytá zranitelnost chytrých zařízení
V dnešní době se do firemní sítě připojuje mnoho chytrých zařízení, která posílají data výrobci, stahují aktualizace a komunikují přes portály. A pokud mají veřejně dostupný portál bez zabezpečení nebo se připojují na málo chráněný server výrobce, mohou se stát ideální vstupní branou pro útok.
„Typickým příkladem jsou firemní tiskárny. Mnoho z nich má stále výchozí přístupové údaje a otevřené porty. Útočník se tak může snadno připojit, získat přístup k interní síti nebo zneužít tiskárnu k dalšímu šíření útoku,“ vysvětluje Petr, etický hacker ze společnosti Axelum, a dodává, že pokud navíc firma používá přístupové kartičky, které slouží k autorizaci tisku, může útočník pomocí kompromitované tiskárny získat údaje o konkrétních uživatelích – a převzít jejich identitu v systému. To může vést k dalšímu zneužití oprávnění, například ke čtení citlivých dokumentů nebo k dalším krokům v rámci útoku na celou infrastrukturu.
Útok přitom nemusí směřovat přímo na firemní servery. Stačí zasáhnout jedno zařízení v provozu a narušit výrobní proces, například vypnout stroj nebo změnit jeho nastavení. Dopad může být pro firmu fatální.
Přes souseda k vám: útoky přes slabé články
Ani maximálně zabezpečená síť není zárukou toho, že do ní nikdo nezaútočí. Pokud se do ní nedá proniknout přímo, neznamená to, že to nejde oklikou. Útočníci často využívají nejslabší článek v okolí – a tím nemusí být přímo vaše zařízení, ale třeba síť sousední firmy nebo provozovny.
Pokud má sousední firma nebo jakákoli provozovna slabší zabezpečení, mohou se útočníci nejprve dostat tam a pak přes Wi-Fi signál, sdílené připojení nebo otevřená zařízení objevit i vaši síť. Tento typ útoku nevyžaduje napojení mezi firmami. A ani fyzickou blízkost. Útočník může být na druhém konci světa a kvůli přítomnosti špatně chráněného zařízení se mu podaří do vaší firemní sítě dostat.
„Každou firmu, se kterou jsme pracovali, jsme dokázali prolomit. I když ne vždy napřímo,“ uvádí Petr. Problém podle něj není vždy v samotné firmě, ale v jejím okolí. Stačí, když sídlíte vedle špatně zabezpečené kavárny – a dveře jsou rázem pootevřené i do vaší sítě.
Řešení? Izolace a s nedůvěrou
I když chytrá zařízení ve firmě potřebujeme, neměla by mít volný přístup ke všemu. Řešení je jednoduché – izolovat chytrá zařízení v síti. „Počítačová síť není ve firmě jedna, je jich více. Klíčové tedy je dát ta zařízení do separátní sítě. Samostatná VLAN, omezený přístup, žádné napojení na zbytek firemní infrastruktury. Tiskárna nemá co dělat ve stejné síti jako účetní server,“ říká Petr jasně.
Právě tohle je základ moderní bezpečnostní strategie stavící na principu Zero Trust – nikomu a ničemu ve vnitřní síti se automaticky nevěří. Každý přístup je ověřován, každé zařízení má definovaná přísná pravidla. „Je třeba mít systémy navržené tak, aby případný útok co nejvíce zpomalily, izolovaly nebo zcela zastavily,“ dodává.
Útok musí dávat smysl. I hackeři počítají
Dobrou zprávou je, že útoky nejsou náhodné. Jsou promyšlené – a vždy za nimi stojí „business case“. Útočník si spočítá, jestli se mu útok vyplatí. Velké firmy mají silnou obranu, malé zase často nepředstavují dostatečný zisk. Výjimkou jsou instituce s kritickou infrastrukturou – nemocnice, úřady, dopravní systémy. Tam už útok smysl mít může.
„Umíme hacknout i vás. Ale proč bychom to dělali?“ uzavírá etický hacker.
