Rozhovor TÝDNE
"Lednice nás bude šikanovat, televize šmírovat"

V roce 2020 bude na světě 22 miliard chytrých a potenciálně nebezpečných věcí - lednic, praček, hodinek i záchodových prkýnek. "Jejich schopnosti i počty budou raketově narůstat a dojde až k naprostému zamoření světa," varuje JIŘÍ SEDLÁK, expert O2 na internetovou bezpečnost.

Jaké množství černých peněz se točí v kyberprostoru?

Podle společnosti Grant Thornton se roční částka pohybuje někde kolem šedesáti až sedmdesáti miliard eur v rámci Evropy. To je ta "černá" zóna. Problém je, že mnoho útoků směřuje do oblasti politiky, špionáže či konkurenčního boje a tyto ztráty se velmi těžko vyčíslují a prokazují. Zajímavější by bylo položit si otázku, kolik se investuje do ochrany.

Kolik?

Rozhodně se opět bavíme o miliardách eur. Ale je to málo! Růst investic do ochrany není zdaleka tak dynamický, jako je růst investic do kyberkriminality.

Jinými slovy, lupiči jsou pořád krok nebo dva před četníky?

Ten náskok není o krok, ale o světelná léta. A budeme rádi, pokud se nebude významně navyšovat. Útočníky neomezuje žádná legislativa, hranice ani morální zábrany. Navíc jsou podporováni i jinými kriminálními aktivitami a to jsou podmínky pro velmi agresivní rozvoj této oblasti.

Letos se prý občasné bitvy změní ve válku. Děje se tak?

Děje. To, co probíhá třeba na Ukrajině, je kybernetická válka. Odstavení služeb pro občany, odříznutí od tepla, elektriky, komunikací. Za těmito aktivitami stojí pravděpodobně ruská strana, nicméně na straně Ukrajiny se spojili hackeři a cíleně útočí na e-mailové schránky významných ruských politiků.

Takových případů je více?

Rozhodně není první. Jeden z těch slavnějších byl postaven na počítačovém červu zvaném Stuxnet, který byl využit v Íránu a odstavil technologii obohacování uranu. Tady se už pohybujeme v jaderné sféře. (Stuxnet, počítačový červ objevený v červnu 2010 běloruskou firmou VirusBlokAda, je první známý červ zaměřený na průmyslové systémy. Cílem jeho útoku byla jaderná elektrárna Búšehr, respektive závod na obohacování uranu v Natanzu. Napadeno bylo 45 000 počítačů, spekuluje se, že za útokem stáli Izraelci, pozn. red.)

To někdo sedl k počítači a napojil se na jiné, které ovládají v prvním případě proud, ve druhém jadernou továrnu?

Dnes už se nedá mluvit o tom, že si někde někdo sedl k počítači. Jsou zde velmi dobře organizované a financované týmy na státních úrovních. Nejsou to žádné náhodné aktivity, ale dlouhodobě trvající výzkum zranitelností protivníka, a to například z hlediska geografického, ekonomického nebo geopolitického.

Když nám tedy nepřítel dovede vypnout proud, může například v nemocnici hravě změnit medikace či nastavení kapaček, je to tak?

Ano, když to vyhodnotí jako efektivní, může se to stát. Je nekonečný výčet toho, co může nastat. Vždy je ale třeba položit si otázku, co je hlavním cílem útoku a co jsou pouze mimikry. Pokud půjde o co největší poškození občanů, může samozřejmě dojít i k průniku do zdravotnictví. Dopad by byl zničující hlavně pro nemocné, ale ve finále to je zlomek obyvatelstva. Z pohledu plošného dopadu nebude význam útoku na nemocnice tak zásadní. Jiná věc by byla, kdyby nastala kombinace klasické války s kyberválkou. Zraněné v nemocnicích by najednou nebyl schopen nikdo léčit, nefungovaly by přístroje, netopilo by se.

Lze se na tohle připravit?

Částečně ano. Nevím, jestli jsou tyto bezpečnostní týmy v každém státě, ale pokud ne, je tam něco špatně. U nás takové skupiny existují na armádní i policejní úrovni. Silové složky disponují projekty, které se zabývají obrannými mechanismy.

A mezitím nám doma přibývá "chytrých věcí" počínaje televizemi, konče rychlovarnými konvicemi. Jak velké nebezpečí představují?

Jsme ve fázi semínka, které teprve začíná klíčit. Nikdo přesně neví, kolik je dnes těch chytrých zařízení připojitelných k internetu funkčních. Je ale jisté, že jejich schopnosti i počty budou raketově narůstat a dojde až k naprostému zamoření světa. Prognóza je, že v roce 2020 jich bude dvaadvacet miliard.

To je obrovská armáda vnitřních nepřátel...

O tom není pochyb. Dvacet dva miliard konvic, lednic, aut, náramků, hodinek, záchodových prkýnek a nevím čeho všeho.

Nezdá se vám, že lidstvu stačila "hloupá" lednice?

Určitě nestačila! Máme rádi "hračičky", což právě chytré věci jsou. Záleží ale na tom, zda si zákazníci kupující IoT (internet of things neboli internet věcí, pozn. red.) uvědomují rizika s nimi spojená. Jestli si budou vymáhat, aby výrobky obsahovaly bezpečnostní prvky, budou to zajímaví a možná i efektivní pomocníci. Jinak je to samozřejmě past.

Když si koupím televizi, kterou lze propojit s internetem, mám požadovat nějaký certifikát o bezpečnosti?

Požadovat můžete, ale bohužel se ničeho nedočkáte. Maximálně klasifikace energetické náročnosti. Pokud je televize propojitelná s internetem, jde o IoT, obvykle má ještě kameru a mikrofon, ale ani to neznamená, že je chytrá. Jde o další funkce, kterými může disponovat. Může třeba mapovat, kdo před televizí sedí, na jaký žánr a kdy se dívá, jestli přepíná při reklamách, zda přes televizi chatuje, mailuje anebo používá Facebook.

Může se stát, že mi ublíží "hacknutá" lednice?

Takhle daleko si to zatím neumím představit. Ale někdo vám může dost znepříjemnit život třeba tím, že vám lednici bude vzdáleně vypínat a zapínat. Asi si dovedete představit, co vás bude doma čekat po návratu z dovolené. Nebo vám může pouštět pračku, kdykoli budete v práci.

Existuje ještě vůbec intimita, mám-li počítač nebo telefon?

Jistě, ale je relativní. Hacknout se dá prakticky cokoli. Někdy pomocí generátoru útočník strojově prolomí vaše hesla, jindy sama prozradíte svá data. Nevěřil bych tomu, ale viděl jsem video, kdy v New Yorku nějaká televize dělala anketu, jak mají lidé zabezpečená svá zařízení. Nakonec se zeptali, jaká hesla používají. A oni odpověděli: "Já používám jméno svého zvířecího miláčka." Oni na to: "Jé, to je hezké. A jak se jmenuje?" Respondent: "Je to P. G." Oni se zeptali: "Používáte k tomu ještě i nějaká čísla?" A respondent do kamery: "Jo, jo, jo, mám tam P. G. 578, ale pozor, P a G jsou velká písmena."

Tak to je asi americký extrém, ne?

To si bohužel nemyslím.

Slyšela jsem, že hesla jsou zbytečná, že se dají prostě koupit a nejsou drahá.

Rozhodně jsou významným bezpečnostním prvkem a je třeba s nimi zacházet velmi obezřetně. Ale to, aby si někdo objednával zjištění vašeho hesla, je z ekonomického hlediska nesmysl a ztráta času. Šlo by to, ale takhle se to nedělá. Ti, kteří s informacemi, hesly a kódy obchodují, to dělají ve velkém, obchodují se databáze zákazníků, pojištěnců, pacientů, bankovních údajů, informací ke kreditním kartám a tak dále. Takové informace se ve velkém prodávají, a to i několikrát.

Kolik to stojí?

To je různé, ale například cena přístupových hesel se pohybuje kolem třiceti dolarů (700 korun, pozn. red.). Asi nejdražší jsou záznamy o zdravotním stavu, kolem pěti tisíc amerických dolarů (117 000 korun, pozn. red.). Zájemců o tyto údaje je velmi mnoho. Více než těch, které zajímají čísla kreditních karet a hesla k účtům.

Čím to je?

Účty se dají vyluxovat, můžete utrácet, ale jen do doby, než to dotyčný zjistí. Informace o zdravotním stavu se prodávají pojišťovnám, výrobcům léků, vyděračským skupinám, politické sféře... Stačí například vypustit informaci o konkurentovi, že je vážně nemocný, a můžete ho snadno zdiskreditovat. V korporátním světě už na sebe lidé běžně shánějí citlivé nebo přímo kompromitující informace. Ví se, kdo se chodí dívat na travesti show, zda se stýká s nějakou menšinovou komunitou, jak se projevuje. Čím více kamarádů máte třeba na Facebooku, tím více lidí vám vidí pod sukni. Bylo by ale nesmyslné tvrdit, že nebezpečná je ta či ona sociální síť. Nepřáteli jsme velmi často sami sobě nezodpovědným přístupem ke svému soukromí.

Jiří Sedlák (55) Ředitel centra kybernetické bezpečnosti Security Expert Center společnosti O2 IT Services. Po ukončení studia na pražské technice působil v oblasti leteckého provozu. Je krizovým manažerem. Prošel významnými pozicemi v prostředí telekomunikačních operátorů, energetických korporací a řídil několik velkých transformačních projektů.