Kyberbezpečnosť: Príležitosť na transformáciu

Bezpečnostné tímy čelia nárastu množstva hrozieb zo strany počítačových zločincov, ktorí sa snažia vykonávať cielené útoky voči narýchlo zavádzaným inováciám aj voči zamestnancom pracujúcim na diaľku. Takmer 80 % oslovených firiem zaznamenalo počítačové útoky v súvislosti so zvýšeným počtom zamestnancov pracujúcich z domu, čo odhaľuje zraniteľnosti v tradičných bezpečnostných technológiách a postupoch.

Spoločnosť VMware zverejnila závery štvrtého vydania štúdie Global Security Insights Report na základe celosvetového prieskumu medzi 3.542 manažérmi na pozíciách CIO, CTO a CISO realizovanom v decembri 2020. Štúdia sa zaoberá dopady počítačových útokov a narušenia bezpečnosti v podnikoch a opisuje, ako sa bezpečnostné tímy týmto výzvam prispôsobujú. 

Hlavné zistenia:

· Nedostatočná pozornosť venovaná bezpečnosti napriek nárastu množstva útokov so závažnými dôsledkami: až 81 % respondentov za posledných dvanásť mesiacov zaznamenalo narušenie bezpečnosti, pričom 4 z 5 prípadov (82 %) boli považované za vážne. Napriek tomu bezpečnostné pracovníci pravdepodobnosť vážneho narušenia bezpečnosti podceňujú - iba 56 % tvrdí, že sa obáva vážneho narušenia bezpečnosti v budúcom roku a len dve pätiny respondentov (41 %) aktualizovali bezpečnostnú politiku a prístupy, aby riziká znížili.

· Opätovný vzostup ransomware a práca na diaľku vytvára nepredvídateľný priestor pre útoky: 76% respondentov uviedlo, že množstvo útokov vzrástlo, pričom väčšina považuje za príčinu zamestnancov pracujúcich z domu a 79 % udáva, že útoky sú dômyselnejšie. Najčastejšie zaznamenaným typom útoku v minulom roku boli útoky vedené prostredníctvom cloudu, zatiaľčo najčastejšou príčinou narušenia bezpečnosti boli aplikácie tretích strán (14 %) a ransomware (14 %).

· Stratégie zabezpečenia zamerané na cloud sú teraz univerzálne: 98% respondentov využíva alebo plánuje zaviesť cloudovo orientovanú bezpečnostnú stratégiu. Prechod do cloudu však rozšíril priestor na útoky. Takmer dve tretiny (61 %) respondentov sa zhodli, že na bezpečnosť je v tejto súvislosti treba pozerať odlišným spôsobom, 43 % opýtaných plánuje integrovať zabezpečenia do infraštruktúry a aplikácií a obmedziť tak množstvo samostatných riešení.

· Aplikácie a pracovná záťaž sú najväčšou obavou manažérov informačnej bezpečnosti, považujú sa za najzraniteľnejšie body na ceste dát: 63 % respondentov sa zhoduje, že je potrebné zabezpečiť lepší prehľad o dátach a aplikáciách ako prevenciu útokov. A 60% respondentov tiež uviedlo, že vo vyššom vedení narastajú obavy z uvádzania nových aplikácií na trh kvôli stúpajúcim hrozbám a škodám spôsobeným kybernetickými útokmi.

· Bezpečnostné otázky brzdí zavádzanie umelej inteligencie. Ďalšou métou technologických inovácií môže byť umelá inteligencia, ale viac ako polovica respondentov (56 %) uvádza, že obavy o bezpečnosť im bráni umelú inteligenciu a strojové učenie zavádzať.

Bezpečnostné tímy by mali transformovať svoje kyberbezpečnostné stratégie, aby si udržali náskok pred útočníkmi. Pozornosť sa v nadchádzajúcom roku musí zamerať na zlepšenie prehľadu o všetkých koncových zariadeniach a pracovnej záťaži, reakciu na opätovný vzostup ransomware, poskytovanie bezpečnosti ako distribuovanej služby a zavedenie prístupu inherentnej, primárne cloudovo zameranej bezpečnosti.

Trend: Drahšie elektrospotrebiče

V minulom roku podľa analýzy Heureka rástli aj ceny bielej a čiernej techniky. Toto zvýšenie spôsobila kombinácia výpadkov tovarov počas pandémie, nedostatku surovín a problémov v medzinárodnej, najmä lodnej, doprave. Rastúci trend cien sa však nedotkol všetkých produktových kategórií. 

Dáta z e-shopov ukazujú, že v priebehu apríla tohto roku bola priemerná cena niektorých veľkých domácich spotrebičov aj o 15 % vyššia ako vlani v rovnakom období - najmä rúry, umývačky a chladničky. Ostatné spotrebiče sa hýbali približne v rovnakých cenách. Rovnako sa v priemere predávali drahšie aj niektoré kategórie malých domácich spotrebičov. Výnimkou potvrdzujúcou pravidlo sú kuchynské roboty, ktorých priemerná cena v slovenských e-shopoch od prvej polovice roku 2020 relatívne stabilne klesala. Na tejto kategórii sa však ukazujú aj rozdiely medzi Slovenskom a Českom. Kým Slováci nakupovali vlani drahšie kuchynské roboty a dnes sa predávajú za nižšiu priemernú cenu, v Česku to bolo opačne.

S príchodom pandémie a lockdownu si zákazníci najmä v prvej vlne nakupovali lacné notebooky, napríklad v apríli 2020 to boli notebooky v priemernej cene 617 eur. So zvýšenými nákupmi však na trhu ubúdali dostupné zariadenia v nižších cenách, preto priemerná cena nakupovaných notebookov vzrástla až na vyše 750 eur. Dôvodom rastu cien notebookov je ale nielen absencia lacnejších notebookov na trhu vo všeobecnosti, ale aj nedostatok čipov, ktoré komplikujú produkciu. Podobne rástli aj ceny televízorov či tabletov. Kým v apríli minulého roku bola priemerná cena televízoru 389 eur, v máji tohto roku Slováci platili za televízory v priemere 489 eur. Priemerná cena tabletov v e-shopoch za uplynulý rok stúpala podobne, až o 20 %. 

V uplynulom roku išli hore aj elektrobicykle – cenou aj popularitou. Za uplynulý rok vzrástol predaj elektrobicyklov na internete o 66 %, len v marci tohto roku to bolo o 150 % viac ako vlani. Aj preto sú relatívne nedostatkovým tovarom, čo ťahá ceny hore. Pravdou tiež je, že Slováci aj Česi začali nakupovať aj kvalitnejšie a drahšie modely. Priemerné ceny sa za posledný rok zvýšili o viac ako 20 %.

Niektoré produtky si udržali svoj stabilný každoročný cenový vzorec: napríklad inteligentné hodinky alebo lego stavebnice, obľúbené najmä na jeseň a pred Vianocami, kedy sa nakupujú v priemere relatívne lacnejšie hodinky a priemerná cena lego stavebníc dosahuje vrchol, len aby na začiatku roka znovu klesla. Priemerná cena inteligentných hodiniek zase pravidelne vyskočí pred letom, kedy si e-shopov kupujeme nové drahšie zariadenia. Podobná situácia bola aj na trhu s výživovými doplnkami, ktoré si držia relatívne stabilnú priemernú cenu po celý rok a vyskočia len počas zimy, kedy nimi ľudia posilňujú imunitu.

SR: Marketingové telefonáty a maily

Ponúkal vám niekto telefonicky alebo mailom tovar alebo služby bez vášho predchádzajúceho súhlasu? Úrad pre reguláciu elektronických komunikácií a poštových služieb registruje narastajúcu závažnosť problému nevyžiadanej komunikácie a preto sa obracia na občanov, aby ho o takýchto marketingových volaniach a mailových správach informovali.

Obsahom telefonátov a mailov sú napríklad ponuky lacnejšieho odberu plynu alebo elektriny, telekomunikačných služieb, zmeny zdravotnej poisťovne alebo predaj iných rôznych tovarov a služieb (vysávačov, ponožiek, paplónov, hrncov a pod). Napísať o vašich konkrétnych skúsenostiach s takýmito ponukami tovarov a služieb môžete na e-mail prieskum@teleoff.gov.sk V správe by ste mali uviesť čo najviac podrobností, najmä telefónne číslo, z ktorého vám volali, kedy, v akej veci, aké tovary alebo služby vám ponúkali. 

Vo viacerých prípadoch sú marketingové volania legálne, lebo ste na takéto volanie vopred udelili súhlas niekedy v minulosti a už si to nepamätáte, resp. ste si to pri odovzdaní súhlasu ani neuvedomili. Občania často dávajú písomný súhlas s volaním alebo zasielaním ponúk emailom na účely priameho marketingu pri uzatváraní zmlúv, počas rôznych marketingových kampaní, napr. počas súťaží, alebo pri získavaní rôznych kariet výhod, akými sú členské či vernostné karty. Pokiaľ vás takéto volania alebo správy obťažujú, váš súhlas môžete kedykoľvek odvolať.

V zákone o elektronických komunikáciách sa uvádza: Na účely priameho marketingu je dovolené volanie alebo používanie automatických volacích a komunikačných systémov bez ľudského zásahu, telefaxu, elektronickej pošty vrátane služby krátkych správ účastníkovi alebo užívateľovi len s jeho predchádzajúcim súhlasom, pričom tento súhlas musí byť preukázateľný. Udelený súhlas možno kedykoľvek odvolať. Povinnosť predchádzajúceho súhlasu sa vzťahuje na účastníkov a užívateľov, ktorí sú fyzickými osobami.

EU: Legislatívne porušenia

Slovensko aj ďalšie členské krajiny EÚ obdržali v júni od Európskej komisie (EK) sériu upozornení na neplnenie legislatívy EÚ v oblasti životného prostredia. V pravidelnom súbore rozhodnutí týkajúcich sa prípadov nesplnenia povinnosti EK podniká právne kroky proti členským štátom, ktoré si nesplnili svoje povinnosti podľa práva EÚ. Cieľom je zaistiť správne uplatňovanie práva EÚ v záujme občanov aj podnikov.

Európska komisia vyzvala sedem členských štátov (Belgicko, Fínsko, Grécko, Chorvátsko, Luxembursko, Maltu a Slovensko), aby do svojich právnych predpisov implementovali nové pravidlá EÚ o tokoch odpadov v súlade s aktualizovanou smernicou z roku 2018 o vozidlách po životnosti, použitých batériách a akumulátoroch a o odpade z elektrických a elektronických zariadení. Účelom je prispievať k udržateľnej výrobe a spotrebe predchádzaním vzniku nového odpadu opätovným používaním týchto materiálov, recykláciou a inými formami využitia a zlepšiť ochranu životného prostredia. Po výzve z októbra 2020 sa EK teraz rozhodla zaslať aj odôvodnené stanovisko. Spomínané krajiny majú dva mesiace na to, aby odpovedali a prijali potrebné opatrenia, inak im hrozí žaloba na Súdnom dvore EÚ.

Komisia tiež žiada Slovensko a 12 ďalších členských štátov, aby vo svojich právnych predpisov implementovali nové pravidlá EÚ o skládkach, čo má byť v súlade so zmenami smernice EÚ z roku 2018 o skládkach odpadov. Smernica zavádza od roku 2030 zníženie skládkovania všetkého odpadu, ktorý je vhodný na recykláciu alebo na energetické zhodnotenie a do roku 2035 má obmedziť podiel komunálneho odpadu na skládkach na desať percent. Po októbrovej výzve v roku 2020 im posiela odôvodnené stanovisko. Ak do dvoch mesiacov naň nezareagujú a neprijmú potrebné opatrenia, môžu byť zažalované na Súdnom dvore EÚ. EK zároveň vyzvala 17 členských štátov EÚ, aby vo svojich právnych predpisoch plne implementovali nové pravidlá EÚ o nakladaní s odpadmi, čo sa týka aj Slovenska. Svoje právne predpisy by mali zosúladiť s pozmenenou smernicou o odpadoch z roku 2018. Tá sprísňuje pravidlá predchádzania vzniku odpadu, stanovuje nové ciele pre recykláciu komunálneho odpadu a špecifikuje, že do roku 2025 musí byť recyklovaných aspoň 55 percent hmotnosti komunálneho odpadu. Na výzvu z októbra 2020 nereagovali a preto postup pokračuje zaslaním odôvodneného stanoviska. Tieto krajiny majú dva mesiace na to, aby odpovedali a prijali potrebné opatrenia, inak im hrozí žaloba na Súdnom dvore EÚ.

Komisia tiež vyzvala 18 členských štátov EÚ vrátane Slovenska, aby chránili životné prostredie pred inváznymi nepôvodnými druhmi v súlade s nariadením EÚ z roku 2014, Európskou zelenou dohodou a európskou stratégiou v oblasti biodiverzity do roku 2030. Ani jeden z týchto 18 štátov nevypracoval, nevykonal a neoznámil EK akčný plán, ktorý by riešil najdôležitejšie spôsoby, ako zabrániť šíreniu inváznych druhov. Po výzve EK majú dotknuté krajiny dva mesiace na to, aby na ňu odpovedali a prijali potrebné opatrenia. Invázne nepôvodné druhy sú rastliny a živočíchy zavlečené človekom do oblastí mimo svoj prirodzený areál výskytu, ktoré sa rýchlo šíria a agresívne vytláčajú pôvodné druhy, čo má závažné environmentálne a ekonomické dôsledky.

BEC: podvodníci majú prístup k 50 % napadnutých účtov do 12 hodín

Správa Anatómia napadnutého účtu analyzuje, ako používajú aktéri hrozieb phishingové stránky na získavanie hesiel a na čo ich následne využívajú. Agari Cyber ​​Intelligence (ACID) zavŕšila šesťmesačný prieskum vyše 8.000 phishingových stránok napodobňujúcich prihlasovacie obrazovky účtov Microsoft Account, Microsoft Office 365 a Adobe Document Cloud. Poverený tím prepojil jednotlivé phishingové útoky s konkrétnymi aktérmi a ich postupmi, aby lepšie pochopil životný cyklus napadnutia účtov.

Konkrétne štatistiky odhalené v rozsiahlom prieskume:

• Počas prvého týždňa mali aktéri hrozieb manuálne prístup k 91 % všetkých účtov.
• Polovica napadnutých účtov bola prístupná počas prvých 12 hodín.
• 23 % phishingových stránok použilo techniky automatického overenia účtu.
• Aktéri hrozieb sa nachádzali v 44 krajinách sveta (47 % v Nigérii).

Akonáhle útočníci získali prístup k napadnutým účtom, usilovali sa identifikovať prístup k finančným, informačným alebo platobným systémom spoločnosti na realizáciu podvodov. Účty sa používali na odosielanie škodlivých emailov aj  na registráciu ďalšieho softvéru, pomocou ktorého by sa mohli spúšťať podvody. V jednom prípade aktér hrozby použil svoj napadnutý účet na nahranie dvoch finančných dokumentov na priradený účet OneDrive - súvahu nájmu a bankové pokyny pre ich bankový účet. Na základe obsahu týchto dokumentov je pravdepodobné, že zamýšľal použiť ich ako súčasť útoku BEC, pravdepodobne takého, ktorý sa vydáva za investíciu do nehnuteľností, pričom sa snaží vylákať aj vyše 200.000 dolárov ako dlžné nájomné. 

V ďalšom príklade sa počítačoví zločinci zamerali na zamestnancov realitných alebo finančných spoločností v USA prostredníctvom emailu, ktorý podľa všetkého pochádzal od spoločnosti poskytujúcej finančné služby so sídlom v USA a ktorá ponúka poistenie pre transakcie s nehnuteľnosťami. Keď adresáti otvorili e-mail, boli vyzvaní, aby si prezreli správu, ktorá ich poslala na webovú stránku napodobňujúcu skutočnú domovskú stránku spoločnosti. Od tejto chvíle boli vyzývaní, aby si prezreli ďalšie dokumenty a zadali informácie o svojom účte. Išlo o cyklus útokov, kedy phishingové útoky vedú k napadnutiu účtov, a to vedie k ďalším phishingovým útokom ohrozujúcim nové účty, atď.

Business e-mail compromise (BEC) je typ kybernetického ohrozenia, ktorý sa stáva jedným z najrozšírenejších mailových útokov. Priebeh je na prvý pohľad veľmi jednoduchý: útočník sa dostane, alebo napodobní legitímny obchodný účet. Potom pomocou tohto účtu vyzve zákazníkov alebo kontakty (účtovné oddelenie, asistentku...) o podvodné platby. Aj keď ich koncept je jednoduchý, dokážu napáchať veľkú škodu.