Článek
Představte si to: Otevřete e-mail a vidíte zprávu z vaší alma mater, z prestižní školy, kterou znáte a důvěřujete jí. V příloze je dokument, který je třeba podepsat. A ne jen tak nějakým podpisem. Je to DocuSign, mezinárodně uznatelná, bezpečná platforma pro digitální podpisy. Kdo by to nepodepsal, že? Vždyť je to tak snadné, tak důvěryhodné…
To samé si myslel i kdejaký opatrný rozumbrada a na odkaz málem klikl. Vše vypadalo dokonale. Ale pak… Rozumbrada se na chvíli zastavil. Vzpomněl si totiž, že školy, které tak dobře zná, vlastně DocuSign nikdy nepoužívaly. Většina škol na to prostě nemá finance; je to pro ně natolik vzdálené a spíš preferuje staré dobré papíry. A tak hacker napálil sám sebe …
Varování pro všechny školy: nadešel čas ke kontrole sítě, zda náhodou nejste při nejlepším spameři.
Je to vlastně docela fascinující sociologický experiment. Jsou prázdniny, učitelé rozjímají a na školní maily si možná ani nevzdechnou. Jenže vzdychají šmejdi u hackerských aktivit. Během týdne jsem od škol, které mě mají v adresáři, dostal pět oficiálních, ověřených mailů, abych podepsal dokument uložený v DocuSignu. Na první pohled věrohodná záminka. Jenže nelze věřit ani tomuhle. Naštěstí s žádnou z těchto škol nemám moc co společného, jen jsem v adresáři. A už jsem cílem phishingové kampaně. Tento článek je varováním, protože je zřejmé, že právě běží druhá vlna či kolikátá vlna útoků na přístupová hesla škol, zejména účtů vedení a hospodářek.
My řešíme, zda dát pedagogickému sboru do ruky tablet, nainstalovat jim nejnovější interaktivní tabule, mluvit hodiny o digitalizaci vzdělávání a pak jim do e-mailu poslat jeden falešný odkaz. Výsledek? Během jediného týdne máme na stole přesně pět oficiálně hacknutých e-mailových schránek v různých vzdělávacích institucích. Pět úspěšných zářezů na pažbě útočníků, kteří odeslali tisíce spamů s phishingovým útokem. Kolik takových útoků odešlo během prázdnin? Radši nedomýšlet.
A co je na tom nejzábavnější? Z těchto pěti zasažených škol přesně jedna jediná tušila, co má v takové situaci dělat. Zavolal jsem jim zpátky a upozornil je na to svinstvo. Zbylé čtyři pravděpodobně svolaly krizový štáb v kabinetu biologie a dumaly, co že se to děje. Absolutně neměly ani šajn, že se staly aktérkami phishingové kampaně.
Anatomie dokonalé pasti
Útočníci totiž konečně pochopili, že zprávy od „zhrzeného nigerijského prince“ už nezabírají ani na češtináře před důchodem. Současná vlna je mnohem elegantnější. Přijde vám zpráva, která se tváří jako oficiální výzva k podpisu dokumentu přes platformu DocuSign.
Má to všechno, co má moderní byrokratická past mít:
- Věrohodný odesílatel: Často je to rovnou e-mail vašeho kolegy (který už do pasti spadl před vámi a teď jeho schránka vesele spamuje celý adresář).
- „Verifikované“ odkazy: Systém se tváří jako legitimní přesměrování.
- Pocit naléhavosti: Něco se musí podepsat. A my ve školství přece milujeme podepisování lejster.
Nikomu z těch čtyř nešťastných škol zjevně nepřišlo ani trochu podezřelé, že by po nich tělocvikář zničehonic vyžadoval digitální podpis nadnárodní smlouvy v angličtině přes korporátní platformu. Kliknout je totiž vždycky snazší než se zamyslet.
Ta jedna škola, která neselhala
Zastavme se u té jediné instituce, která zareagovala správně. Co udělali? Nezačali hystericky restartovat routery ani nevolali policii. Okamžitě izolovali napadený účet, resetovali administrátorská hesla, odstřihli daný segment sítě, nahlásili incident svému DPO (pověřenci pro ochranu osobních údajů) a zahájili plošný audit. Prostě a jednoduše uplatnili procesy, které mají všechny školy dávno mít napsané v těch tlustých směrnicích o kyberbezpečnosti, na které ve sborovně sedá prach.
Co nás čeká dál? Hloubková prověrka sítě
Tento týdenní debakl s pěti zářezy znamená jediné. Hra na to, že „nám se to stát nemůže, jsme jenom malá škola“, definitivně skončila.
Následuje to, co přijít muselo – nekompromisní prověrka celé školní sítě. To znamená:
- Konec heslové anarchie: Hesla typu „Jaro2024“ nebo „Kabat123“ budou smazána a nahrazena něčím, co k rozlousknutí vyžaduje alespoň minimální výpočetní výkon.
- Dvoufázové ověření: Ano, bude to zdržovat. Ano, budete muset u přihlašování vytáhnout mobil. Ne, nedá se to obejít.
- Audity oprávnění: Zjistíme, proč má asistentka pedagoga administrátorská práva k databázi žáků.
Digitalizace školství zjevně není o tom nakoupit roboty do informatiky, ale spíše o tom naučit se neklikat na každou hloupost, která se nám objeví na monitoru. Do té doby nám totiž nepomůže ani ten nejlepší firewall, protože největší bezpečnostní trhlina sedí vždycky přímo mezi židlí a klávesnicí.
PS: Pokud máte své dítko či vnouče na nějaké škole, prosím připomeňte vedení školy, že i ona se mohla stát obětí takového útoku. 5 zpráv během týdne v mailu jednoho stařešiny je dostatečným varováním.
