Rubrika: Hacking

Vládní weby v některých evropských zemích míří preventivně do offline režimu. Dvě kritické bezpečnostní chyby v PHP, na kterém stojí množství internetových stránek a e-shopů, by totiž mohly útočníkům umožnit ovládnout napadené weby a ukrást data. Podle agentury Reuters odstavují své stránky například státní instituce v Nizozemsku a Finsku. Objevují se už také zprávy o prvních útocích.

České firmy a instituce se v květnu staly jedním z nejčastějších cílů kybernetických útoků v Evropě. Na jednu organizaci připadlo v průměru 2568 útoků týdně, více jich zaznamenalo už jen Rusko s 3203 útoky. Vyplývá to z dat bezpečnostní společnosti Check Point.

V prvním čtvrtletí letošního roku čelili uživatelé počítačů Apple v Česku a na Slovensku výrazné vlně útoků, za kterou stál škodlivý program ClickFix. Ten podle bezpečnostní společnosti Eset tvořil až 78 % všech zaznamenaných incidentů. Útočníci zneužívali vyhledávání aplikace Microsoft Teams pro macOS a přes manipulované výsledky přesměrovávali uživatele na podvodné stránky.

Na těchto stránkách byli uživatelé vyzváni k řešení údajného problému nebo ke stažení aplikace. Klíčovým momentem bylo spuštění připraveného příkazu, kterým si oběť sama nainstalovala škodlivý software. Útok tak nestál na technické zranitelnosti, ale na manipulaci, tedy klasickém sociálním inženýrství.

Cílem byl malware typu infostealer, konkrétně Mac Stealer, který z napadeného zařízení sbírá citlivá data. Patří mezi ně uložená hesla, informace z aplikací nebo data ke kryptoměnovým peněženkám. Tento typ škodlivého kódu se na macOS objevuje dlouhodobě a představuje reálné riziko ztráty přístupů i financí.

Útoky ClickFix mají různé scénáře, ale princip zůstává stejný – vytvořit pocit urgence a přimět uživatele k rychlé akci. Ať už jde o falešnou chybu, aktualizaci nebo stažení aplikace, klíčové je nepodléhat tlaku a vždy ověřovat zdroj, odkud software instalujete.

Používání umělé inteligence pro generování hesel se může zdát jako rychlé a bezpečné řešení. Podle průzkumu kyberbezpečnostní firmy Irregular ale taková hesla často nejsou tak silná, jak vypadají. AI sice vytvoří kombinace splňující běžná pravidla (délka, znaky), ve skutečnosti ale vychází z naučených vzorců, a výsledky jsou proto předvídatelnější, než by měly být.
Výzkum zaměřený na hlavní modely jako ChatGPT, Claude a Gemini ukázal, že jejich hesla lze pomocí automatizovaných nástrojů relativně snadno prolomit. Na rozdíl od specializovaných generátorů totiž AI nepracuje s skutečnou náhodností, ale skládá výstupy podle pravděpodobnosti, což útočníkům usnadňuje odhad správné kombinace. Nástroje určené pro vytváření hesel využívají bezpečné generátory náhodných čísel a písmen k sestavení hesel.
Odborníci proto doporučují spoléhat spíše na osvědčené postupy: využívat správce hesel, dvoufázové ověření nebo moderní přístupové metody jako biometrie. Klíčová je také délka a unikátnost – ideálně alespoň 12 až 16 znaků a jiné heslo pro každou službu.
Heslo zůstává jednou z hlavních linií obrany. Přestože AI může působit jako pomocník, v tomto případě může být její „kreativita“ spíše slabinou. Bezpečnost totiž nestojí na tom, jak složitě heslo vypadá, ale jak obtížné je ho skutečně odhadnout.