Co dělat, když vás někdo napadne (hackne)

Napadení (hacknutí) je stresující. Může působit osobně, naléhavě a matoucím způsobem najednou. Můžete vidět podivné upozornění na přihlášení, najít zprávy, které jste neodeslali, ztratit přístup k účtu, všimnout si, že vám zmizely peníze, nebo zjistit od přátel, že jim od vás dorazily podezřelé odkazy.

Nejdůležitější je nečinit ukvapená rozhodnutí z paniky. Útočníci často spoléhají na rychlost, zmatek a tlak. Vaším cílem je situaci zpomalit, omezit škody, získat nad vším kontrolu a odstranit slabá místa, která kompromitaci umožnila.

Tento průvodce vás provede praktickými kroky, které je třeba podniknout, pokud byl napaden váš osobní účet, pracovní účet, zařízení nebo online služba.

1. Pokud může být ohrožena práce, ihned upozorněte zaměstnavatele

Pokud existuje byť jen malá šance, že by mohla být ohrožena vaše firma, zákazník nebo jiná organizace, obratem kontaktujte odpovídající IT nebo bezpečnostní tým. Nečekejte, až budete mít úplný důkaz. Týká se to situací, kdy byl kompromitovaný přístroj použit k pracovním účelům, zařazen jako BYOD zařízení, použit pro přístup k pracovnímu e-mailu, při jednotném přihlašování, nebo jste v něm přihlášeni do firemního správce hesel, VPN, správního panelu, repozitáře zdrojového kódu, cloudové konzole či služby pro sdílení souborů.

Tento krok provádějte ještě předtím, než se budete snažit všechno vyšetřit sami. Organizace může potřebovat zrušit aktivní relace, vyměnit pověření, zkontrolovat logy, izolovat dotčené systémy nebo dočasně omezit přístup v průběhu incidentu.

Opožděné oznámení může vést k větším škodám a vystavit vás sankcím, pokud organizace utrpí škody, které mohly být zavčasu omezeny. Pokud nemohou být ovlivněny žádné služby, zařízení, účty či data firmy, pokračujte obnovou osobních účtů podle následujících kroků.

2. Začněte na čistém zařízení

Pokud se domníváte, že váš počítač nebo telefon může být napaden, nepoužívejte totéž zařízení pro resetování hesel nebo přihlašování k důležitým účtům. Malware může zachytit nová hesla, ukrást session cookie, pořizovat screenshoty nebo odchytávat obnovovací kódy.

Použijte zařízení, kterému důvěřujete, například:

• Plně aktualizovaný telefon nebo počítač, který nejeví známky kompromitace
• Zařízení někoho z rodiny, kterému věříte
• Zařízení spravované v práci, pokud vám ho IT tým výslovně povolí

Pokud nemáte přístup k bezpečnému zařízení, odpojte podezřelý přístroj od internetu a zaměřte se nejdřív na získání pomoci, než budete zadávat nové přihlašovací údaje.

3. Nejprve zabezpečte e-mailový účet

Váš e-mailový účet je často klíčem ke všemu ostatnímu. Pokud útočník ovládá váš e-mail, může si obnovit hesla k bankovnictví, nákupům, cloudovému úložišti, sociálním sítím, vývojářským platformám či pracovním nástrojům.

Začněte u vašeho hlavního e-mailu a zkontrolujte:

• Změňte heslo na nové, jedinečné a silné
• Zapněte dvoufaktorové ověření (MFA), pokud už není aktivní
• Zkontrolujte obnovovací e-maily a telefonní čísla
• Odstraňte možnosti obnovy, které nepoznáváte
• Zkontrolujte pravidla přeposílání a filtry na neznámé změny
• Zkontrolujte poslední místa přihlášení a aktivní relace
• Odhlaste všechna ostatní zařízení, pokud to poskytovatel umožňuje

Pozornost věnujte hlavně pravidlům v poště – útočníci často vytváří filtry, které skryjí bezpečnostní upozornění, přeposílají faktury nebo potají kopírují emaily s obnovou hesel na jinou adresu.

4. Měňte hesla ve správném pořadí

Po zajištění e-mailu pokračujte účty, které představují největší riziko. Neztrácejte první kritické minuty na méně důležitých účtech, dokud mohl mít útočník stále přístup třeba k vašemu bankovnictví, cloudovému úložišti nebo administraci.

Prioritizujte účty v tomto pořadí:

1. E-mailové účty
2. Bankovní, platební a kryptoměnové účty
3. Správci hesel, identity providery a jednotné přihlášení
4. Cloud úložiště, zálohy a služby pro sdílení souborů
5. Pracovní účty, admin panely, hostingy a vývojářské platformy
6. Sociální sítě a komunikační platformy
7. Nákupy, hry, fóra a jiné nízkorizikové účty

Každé nové heslo musí být jedinečné. Použijete-li tentýž nový kód pro víc účtů, jedno poslední slabé místo může vše znovu ohrozit.

5. Odeberte aktivní relace, zařízení, aplikace a tokeny

Změna hesla je důležitá, ale útočníka již přihlášeného to nemusí odhlásit. Mnoho služeb ponechává existující relace aktivní i po změně hesla, pokud je výslovně neodeberete.

Hledejte nastavení jako:

• Odhlásit ze všech zařízení
• Aktivní relace
• Důvěryhodná zařízení
• Přiřazené aplikace
• Aplikační hesla
• API klíče
• Rozšíření prohlížeče
• OAuth přístupy
• SSH klíče
• Obnovovací kódy

Odstraňte vše, co neznáte. U firemních nebo vývojářských účtů vyměňte i API tokeny, deployment klíče, SSH klíče, webhooky a účty služeb, které mohly být ohrožené.

6. Zapněte silnější dvoufaktorové ověření (MFA)

Dvoufaktorové ověření, označované také jako MFA nebo 2FA, dokáže zastavit mnoho pokusů o převzetí účtu, i když se útočník dostane k heslu. Pokud jste MFA dosud nezapnuli, nastavte jej alespoň na důležitých účtech teď.

Preferujte nejsilnější dostupné možnosti:

• Hardwarové bezpečnostní klíče
• Aplikační autentizátory
• Záložní kódy uložené bezpečně offline

SMS kódy jsou lepší než žádný druhý faktor, ale jsou slabší než aplikace či hardwarové klíče. Telefonní číslo lze zneužít přes útok SIM swap, zachytit v některých situacích nebo ho zneužít přes zranitelné procesy obnovy účtu.

Při nastavování MFA vygenerujte záložní kódy a bezpečně je uložte. Jinak může ztráta telefonu nebo bezpečnostního klíče znamenat další nouzový stav při obnově účtu.

7. Prověřte finanční a identitní škody

Pokud se přes napadený účet dostal útočník k penězům, dokladům totožnosti, fakturám, zákaznickým údajům či daňovým informacím, předpokládejte, že si užitečná data mohl zkopírovat – i pokud získáte přístup rychle zpět.

Zkontrolujte zejména:

• Bankovní a karetní transakce
• Platební aplikace a uložené platební karty
• Výběry a API klíče na burzách s kryptoměnami
• Nové dodací adresy v nákupních účtech
• Nová předplatná nebo nákupy
• Výpisy z registrů/monitoring identity, kde je to možné
• Daňové, pojistné či úřední portály

Při podezřelé aktivitě ihned kontaktujte svou banku nebo poskytovatele plateb. V mnohých případech rychlé oznámení zvyšuje šanci na vrácení peněz či omezení odpovědnosti.

8. Zachovejte důkazy, než vše smažete

Je člověku přirozené chtít vše rychle uklidit, ale pokud smažete zprávy, logy nebo soubory moc brzy, ztížíte pozdější šetření. Než odstraníte podezřelý obsah, uložte základní důkazy. Platí to dvojnásob před přeinstalací nebo vymazáním zařízení, zejména pokud může jít o finanční prostředky, firemní data, data zákazníků, ransomware či právní povinnosti.

Užitečnými důkazy jsou:

• E-maily s upozorněním na neznámé přihlášení
• Screenshoty podezřelých aktivit na účtech
• Odesílatelské adresy a hlavičky u phishingových e-mailů
• ID transakcí a podrobnosti faktur
• Přihlašovací lokace a časové údaje
• Jména neznámých zařízení/aplikací
• Čísla ticketů podpor
• Originální disk (SSD/HDD), pokud lze zařízení forenzně zkoumat

Tyto informace pomohou týmům podpory, bance, policii, pojišťovně, interním IT týmům či specialistům na incidenty pochopit, co se stalo.

Pokud je to možné, zvažte u stolních počítačů a notebooků vyjmutí originálního disku a instalaci nového pro čistou instalaci systému. Budete mít čistý systém k práci a původní disk pro případné šetření. V případě firemního incidentu před změnou disku nebo zapnutím zařízení vše konzultujte s IT nebo specialisty na incidenty.

9. Pro kompromitovaná zařízení proveďte čistou reinstalaci

Pokud kompromitace začala malwarem, škodlivou přílohou, falešným rozšířením prohlížeče, pirátským softwarem nebo neznámými dálkovými nástroji, samotné obnovení účtů nestačí. Zařízení už nemusí být důvěryhodné. Útočník mohl nainstalovat nástroje pro perzistenci, změnit systémová nastavení, ukrást session cookie nebo zanechat další software, který po zadání nových přihlašovacích údajů vše opět ukradne.

V takové situaci je bezpečnější nikoliv zařízení "čistit ručně", ale uložit potřebné důkazy, zálohovat jen skutečně nezbytná data, zařízení smazat a systém čistě přeinstalovat.

Důležité zásady:

• Instalační USB vytvářejte jen na nekompromitovaném zařízení
• Instalační média stahujte výhradně z oficiálních stránek výrobce systému
• Nepoužívejte staré zálohy systému, pokud nevíte, kdy kompromitace začala
• Zálohujte dokumenty, fotky a potřebné soubory, ale nikdy nespouštějte neznámé spustitelné soubory, skripty či instalátory
• Aplikace instalujte z důvěryhodných zdrojů, neobnovujte vše automaticky
• Před přihlášením do důležitých účtů aktualizujte systém i prohlížeč na poslední verzi
• Hesla vyměňte znovu, pokud jste je zadávali do potenciálně kompromitovaného zařízení

U vážných incidentů, např. ransomwaru, podvodu s pracovním e-mailem, přebírání účtů adminů či podezření na únik dat, se nejprve obraťte na profesionální specialisty na incidenty. U firem jsou často nutné důkazy pro šetření, pojišťovny, právní zástupce i pro komunikaci se zákazníky.

10. Upozorněte další osoby, které mohly být dotčeny

Pokud útočník použil váš účet k rozesílání zpráv, faktur, odkazů nebo souborů, varujte příjemce. Upozornění udržte krátké a konkrétní.

Například:

Můj účet byl kompromitován. Prosím, neotvírejte odkazy, přílohy, platby ani soubory sdílené mnou mezi [časy]. Přístup už mám zpět a situaci řeším.

U firem může být oznámení i zákonnou či smluvní povinností. Pokud mohlo dojít k úniku dat zákazníků, zaměstnanců, plateb, zdravotních informací nebo důvěrných klientských informací, zapojte včas právní, compliance a bezpečnostní týmy.

11. Incident také nahlaste, kde je to vhodné

Ne každý napadený sociální účet vyžaduje policejní oznámení, ale některé incidenty by oznámeny být měly. Platí to hlavně pro finanční podvody, krádeže identity, ransomware, podvodné pracovní e-maily, úniky zákaznických dat či výhrůžky proti osobám.

Užitečné kanály pro nahlášení mohou být:

• Poskytovatel napadené služby
• Vaše banka nebo platební služba
• IT/bezpečnostní tým zaměstnavatele
• Policie či národní kyberbezpečnostní portály
• Pojišťovna (pokud máte pojištění kyberrizik)
• Zákazníci, partneři nebo regulátor, pokud byl únik dat potvrzen nebo je pravděpodobný

Oznámení incidentu navíc vytváří záznam. Ten může být důležitý, pokud podvodné aktivity potrvají nebo budete potřebovat prokázat, že jste jednali včas.

Pokud vedete firmu, řešte vše jako incident

Ve firmách není napadený účet nikdy jen "problém daného účtu". Může to být první známka širšího incidentu. Kompromitovaná schránka může být vstupní branou k zákaznické komunikaci. Ukradené heslo administrátora může vést k úniku dat. Uniklý deployment klíč může ovlivnit produkci.

Firemní postup by měl zahrnovat:

• Izolujte dotčená zařízení a účty
• Zálohujte logy dřív, než se přemažou nebo smažou
• Zjistěte, k čemu měl útočník přístup, co změnil, zkopíroval nebo vytvořil
• Rotujte hesla, API klíče, certifikáty, tokeny i obnovovací kódy, které mohly být ohroženy
• Zkontrolujte pravidla přeposílání pošty, OAuth aplikace, admin role a nové uživatelské účty
• Odeberte starý přístup bývalým zaměstnancům, dodavatelům a externistům
• Jasně komunikujte se všemi, kteří mohli být zasaženi
• Přesně dokumentujte, co se stalo a co se bude měnit

Pokud incident zasahuje regulovaná data, zákaznická data, produkční infrastrukturu, privilegované účty nebo jde o ransomware, kontaktujte experty včas. Přílišné čekání ztěžuje jak zajištění, tak sběr důkazů.

Běžné chyby, kterým se vyhnout

Některé dobře míněné kroky situaci jen zhorší nebo přinesou další riziko.

Vyhněte se chybám jako:

• Okamžitě neinformovat zaměstnavatele/IT oddělení
• Resetovat hesla na zařízení, které je nejspíš stále infikované
• Zvolit jedno nové heslo pro více účtů minulou slabinu opakujte
• Přehlédnout pravidla přeposílání e-mailů a nastavení obnovy
• Zapomenout odebrat aktivní relace a napojené aplikace
• Smazat podezřelé zprávy před uložením důkazů
• Domnívat se, že MFA znamená automaticky bezpečný účet
• Odhodlávat se dny s kontaktováním banky nebo poskytovatele služeb po zjištění podvodu

Jak po obnově snížit šanci, že se situace zopakuje

Až bude akutní situace zažehnána, věnujte čas posílení zabezpečení. Většina kompromitací nemá příčinu ve "vysokém hackingu", ale v opakovaně použitých heslech, phishingu, slabých možnostech obnovy, malwaru, starých zařízeních či zapomenutých přístupech.

Praktický checklist pro posílení bezpečnosti:

• Každý účet má unikátní heslo
• Hesla ukládejte do zabezpečeného správce hesel, ne do dokumentu, poznámky či chatu
• Zapněte MFA na e-mail, bankovnictví, cloudové úložiště, pracovní účty a sociální sítě
• Kde to jde, zaměňujte SMS MFA za silnější způsoby
• Udržujte zařízení, prohlížeče a aplikace aktualizované
• Odeberte nepoužívané aplikace, rozšíření a napojené služby
• Každých pár měsíců projděte nastavení obnovy účtů
• Důležité soubory zálohujte způsobem, který nemůže ransomware jednoduše přepsat
• Naučte členy rodiny nebo kolegy rozpoznat phishing nebo podvržené žádosti podpory

Bezpečnost nemusí být dokonalá, aby byla mnohem lepší. Pár osvojených návyků odstraní nejsnadnější cesty útoku a omezí škody, pokud by k něčemu znovu došlo.

Závěrečná myšlenka

Napadení není vždy známka, že jste udělali něco hloupého. Útočníci zkouší zasáhnout lidi i firmy neustále a i opatrný uživatel může být oklamán věrným phishingem, opakovaně použitým heslem z dávného úniku nebo nepozorovanou kompromitací zařízení.

Ze všeho nejdůležitější je reakce: nejdříve zabezpečte e-mail, měňte hesla z důvěryhodného zařízení, zrušte ostatní relace, nastavte silné MFA, prověřte finanční a identitní rizika, uložte důkazy a informujte všechny, koho se to mohlo týkat. Následně zlepšete návyky a systémová opatření, která sníží pravděpodobnost úspěchu příštího útoku.