Článek
AI dnes umí dělat úžasné věci. Napíše text, vytvoří obrázek, shrne poradu, přeloží půlku internetu a některým lidem už skoro nahrazuje kolegu, kterého stejně nikdy neměli rádi. Jenže má ještě jednu schopnost, o které se mluví méně. Strašně moc usnadňuje práci hackerům.
A tím myslím opravdu strašně moc.
Když jsme se před lety bavili o kyberútocích, člověk si často představil génia v mikině, který někde ve tmě ručně píše zelený kód na černou obrazovku. Dneska sedí někdo u počítače a nechává umělou inteligenci hledat slabá místa rychlostí, na kterou lidský mozek prostě nestačí. AI umí hledat zranitelnosti, analyzovat chování systémů a připravovat útoky mnohem efektivněji než dřív.
A bohužel umí být i zatraceně přesvědčivá.
Ještě před pár lety jste phishing poznali podle toho, že vám nigerijský princ psal česky stylem „vážený pane klikněte laskavě zde“. Dneska vám přijde mail, který vypadá dokonale. Bez chyby. Ve správném tónu. S logem. S podpisem. A hlavně v kontextu, který dává smysl.
Málem jsem se chytil i já.
Přišel mi mail údajně od HP. Jsme partneři, takže nic divného. Prý je potřeba aktualizovat údaje, aby pokračovalo partnerství. Kliknout, přihlásit se, potvrdit informace. Všechno vypadalo perfektně. Jenže pak mi došlo, že to přišlo na můj osobní mail, přestože registrace byla vždy vedená přes firemní účet. A hlavně: nikdy po mně nic takového nechtěli.
Byl to phishing.
A upřímně? Kdybych byl unavenější, ve spěchu nebo mezi dvěma meetingy, možná bych kliknul. A to je přesně ono. Dneska už nejde o to, že útočníci dělají chyby. Dneska čekají, až je uděláme my.
Ještě vyšší liga jsou deepfake technologie. AI se dnes naučí hlas, intonaci, styl komunikace, oblíbené fráze. Stačí pár videí ze sociálních sítí, rozhovor nebo podcast. A druhý den může někdo volat vaší asistentce vaším hlasem perfektní češtinou.
„Hele, jsem teď na služebce, nestíhám, mohla bys prosím zařídit tu platbu?“
A zní to úplně normálně.
Žádný robotický hlas. Žádný translátor. Prostě vy.
Proto si myslím, že v budoucnu bude jedna z nejdůležitějších bezpečnostních věcí obyčejná lidská schopnost říct si: „Počkej, je tohle opravdu normální chování toho člověka?“ Protože technologie dnes umí napodobit hlas. Ale pořád ještě neumí dokonale napodobit charakter.
Mimochodem, já mám jednu jednoduchou zásadu. Když mi přijde nečekaný mail od obchodníka, partnera nebo kohokoliv, kdo po mně chce kliknout, přihlásit se nebo něco řešit, většinou ho rovnou mažu. Pokud je to opravdu důležité, ten člověk mi zavolá. A i telefon dnes není stoprocentní jistota, ale pořád je to o něco lepší než slepě věřit každému odkazu. Často se mě lidé ptají, jak eliminovat riziko na nulu.
Nejde to.
A podle mě je chyba snažit se být dokonalý v jedné jediné věci. Bezpečnost není o jednom zázračném software ani o jednom školení ročně s kávou a croissantem. Je to kombinace všeho dohromady. Můžete mít perfektně vyškolené lidi a děravé technologie. Nebo skvělé technologie a zaměstnance, kteří kliknou na první blikající tlačítko. Musíte být prostě hodně dobří komplexně.
Je to stejné jako řízení auta. To, že perfektně znáte vyhlášku, ještě neznamená, že nikdy nenabouráte. Ale když pravidelně řídíte, trénujete a dáváte pozor, výrazně snižujete pravděpodobnost, že skončíte ve škarpě. A kyberbezpečnost funguje úplně stejně. Proto firmy potřebují školení. Online kurzy. Simulované phishingové kampaně. Aktualizace systémů. A hlavně něco, na co se často zapomíná. Dohled. Protože technologie bez dohledu je trochu jako alarm v domě, který nikdo neposlouchá.
Potřebujete log management, dohledová centra, lidi, kteří sledují, co se v síti děje. Protože útok dnes často nepoznáte podle dramatického výbuchu monitoru. Poznáte ho podle malých zvláštností, které musí někdo umět vidět.
Kdybych měl v IT firmách zakázat jednu jedinou věc, byly by to sdílené účty. Jeden účet pro tři lidi je bezpečnostní horor. A hned za tím jsou zapomenuté neaktivní účty. Někdo odejde z firmy, informace se nedostane na IT a jeho přístup zůstane měsíce aktivní. Nebo externista, který potřebuje přístup jednou za dva roky, ale účet běží pořád dál. To je jako nechat po bývalém nájemníkovi klíče ve dveřích a doufat, že už se nikdy nevrátí.
Osobně mám rád princip „zero trust“. V překladu: nevěřím ničemu automaticky. Třeba IoT zařízení v domácnosti nebo firmě beru z principu jako potenciální díru do sítě. Povolit jim jen to, co nezbytně potřebují, a nic navíc.
A ještě jeden mýtus bych rád zabil: „Já nejsem pro hackery zajímavý.“
Omyl!
Pokud máte peníze, účet, data nebo přístupy, tak jste zajímaví. Nemusíte obchodovat se zbraněmi ani řídit jadernou elektrárnu. Útočníci často hledají hlavně nejsnazší cíl. Je to stejné jako u vykrádání domů. Půjdete radši k domu s vysokým plotem, kamerami, zamčenými dveřmi a dobrmanem na zahradě? Nebo tam, kde je otevřená garáž, nízký plot a nikde nikdo? Kyberbezpečnost není o tom být nedobytný. Je o tom nebýt nejjednodušší cíl v ulici.
