Rozhovor si lze poslechnout i jako podcast:

Rozhovor: „Nejčastější jsou podvody, útoky ransomwerem a útoky …

24. 3. 2022

Pojďme si na úvod položit obecnou otázku. Co je kyberkriminalita? 

Měli bychom začít tím, že si řekneme, co je kyberprostor, protože kyberkriminalita se odehrává v kyberprostoru. Jsou to všechna zařízení a všechny sítě, síťky, podsíťky, páteřní sítě, propojky a zkrátka všechno, co tvoří kyberprostor. To je internet, ale mohou to být ještě další sítě, které jsou provozovány nezávisle na internetu. Jsou to všechna řízení, která mají tzv. IP adresu, tedy každé, které připojíte, je součástí kyberprostoru. Je to váš počítač, ale pokud budete mít připojenou k internetu třeba ledničku, tak i ta se stane součástí kyberprostoru a může se stát i předmětem kybernetického zločinu.  

Nyní se dostanu k odpovědi na to, na co jste se ptala. Kybernetická kriminalita nebo kybernetický zločin jsou trestné činy spáchané v kyberprostoru, a to v buď v případě, kdy zařízení, anebo jejich obsah, je předmětem útoků. Tzn. zločinec na ně útočí, protože je to počítač, nebo protože jsou v něm nějaká data. Anebo naopak využívá vlastností kyberprostoru typicky nějakého hardwaru nebo softwaru, aby s jejich pomocí spáchal trestný čin, který má v podstatě svoji klasickou skutkovou podstatu, ale v kyberprostoru se páchá lépe a radostněji, typicky to platí například pro podvody.  

Dalo by se říci, jaké trestné činy jsou v této oblasti nejčastější, popřípadě v čem spočívá jejich nebezpečí? 

Trestných činů je velké množství. Právě je v tisku třetí vydání mého drobného 1100stránkového dílka Kybernetická kriminalita, kde rozebírám jednotlivé skutkové podstaty tak, jak jsou popsány v trestním zákoníku. A i u takových, u kterých by vás to nenapadlo, se může vynořit počítač, nejčastěji v roli nástroje, který šíří ošklivé informace, anebo jsou naopak informace jenom součástí jednání pachatele, který si klade za cíl z vás vylákat údaje a spáchat na vás třeba podvod.  

Nebo jsou to útoky vedené brutální silou tzn. takové, které se označují zkratkou DoS, DDoS tzn. brutální zahlcení vašeho zařízení typicky serveru požadavky, které jsou v podstatě legálními, ale když vám někdo pošle těch požadavků 1 000 000 za vteřinu, tak tím váš server s naprostou jistotou zahltí. Toto jsou dnes velice časté útoky, které se teď odehrávají i v rámci kybernetické války, která je součástí války o Ukrajinu. Potom jsou to ještě třeba útoky, které jsme v minulosti hodně viděli v souvislosti s nemocnicemi, ale také třeba servery politických stran. To je to, čemu se říká ransomware – útok nějakého ošklivého programu. Říkáme tomu malware. Tenhle ošklivý program zašifruje obsah vašeho počítače, respektive všech vašich disků a pak se objeví zpráva typu zaplaťte 1 bitcoin a dostanete data zpátky. Zásadní radou je, neplatit nic, protože je stejně nedostanete.  

Dnes bych útoky nejhruběji kategorizoval na podvody, útoky ransomwarem a útoky zahlcením. 

Podílel jste se na vyšetřování i mnoha závažných trestných činů, kdy některé z nich souvisely právě s moderními informačními technologiemi. Vzpomenete si na případ, který byste s námi mohl sdílet, a který byl v něčem specifický? 

Těch případů je strašně moc. Dělám znalce od roku 1986, a to je strašlivě dlouhá doba. Předtím jsem působil v justici a těch případů už okolo mě bylo tolik, že už mě dnes nic nepřekvapí.  

Z poslední doby bych zmínil případ, kdy pachatelé manipulovali s počítačem ve výrobně betonu a to tak, že se do oficiální evidence a fakturace nedostala část vyrobeného betonu. Jak je zvykem, přišlo se na to za dlouho (4-5 let) a víceméně náhodou. K mému překvapení to bylo zhruba 4000 tun betonu. Když jsem se ptal ve firmě, která betonárku provozuje, řekli mi: „Pane, to je 1 % naší výroby, to je pod naší rozlišovací schopnost“. Tedy to je pro představu případ, který mě překvapil.  

Když se vrátíme ke kybernetickým útokům, jak obtížné je jejich odhalení? 

Většinou hodně obtížné, protože jen ty nejvyspělejší a nejbohatší firmy mají software, který třeba monitoruje síťový provoz, který přichází a odchází z firmy. Přičemž systémy na monitorování jsou velice složité, tudíž velice drahé a tudíž i obtížné na nasazení a provoz. Drtivá většina středních a malých firem, včetně všech advokátních kanceláří, samozřejmě nic takového nemá. Firma to tak pozná, až když se něco stane, tzn. typicky, až když má již počítač zašifrovaný.  

Pokud na to není připravena bezpečnostním opatřením dopředu, tak už jen zoufale kouká na černou obrazovku. Někdy se na to dá přijít tak, že např. správci sítě dělají různé testy. Test, který třeba zjistí, že zařízení začíná zpomalovat. To je významný signál, že se něco děje, že běží nějaký proces, ale pokud se ten stroj navenek chová normálně, tak prakticky pro běžného uživatele nebo i pro středně vedenou firmu to je bez šance. 

Už jsme zmínili nějaké opatření, jak se proti tomu lze bránit a to tím, že nebudeme otevírat podezřelé zprávy, existují ještě nějaké? 

Nejhorší vlastnost je, že člověku přijde mail, on vůbec nepřemýšlí nad realitou toho mailu a tupě kliká na odkazy, které tam jsou. V ten moment už je všechno špatně, neboť si tam tím natáhne marware, který začne páchat škody.  

Vždycky jsem se bavil, když psali v minulosti v novinách, že hackeři zaútočili, ale oni by nezaútočili nebýt blbosti uživatele, který ve špitále takový mail otevřel. Důležité je mít nastavenou antivirovou ochranu. Výrobci se na mě budou zlobit, ale dneska není potřeba kupovat žádné sofistikované programy, základní Windows Defender naprosto stačí, ale je potřeba ho mít neustále aktualizovaný. Je dobré si nastavit, aby se všechny aktualizace prováděly okamžitě, ne až když si někdo vzpomene, protože mezitím se objeví nová zranitelnost, na kterou je Microsoft schopen zareagovat řádově v několika dnech, ale pokud přijdu k uživateli a zjistím, že 3 roky neaktualizoval Windows, natož Windows Defender, tak se nedivím, co se mu přihodilo.  

To je ale jen jeden z kroků. Obecně vzato by každá organizace měla provést celou sadu kroků od analýzy rizik, aby zjistili, jaká rizika hrozí. Ale také to má druhou stránku věci, o co mohou přijít, protože mám-li riziko, že přijdu o program pro závodní kuchyň, tak mě to zřejmě nebude tolik pálit a nebudu muset vynakládat taková opatření, třeba na ochranu webu, než když mám data citlivá typicky třeba v advokátní kanceláři. Na základě analýzy rizik by měl být zpracován plán opatření, a co je důležité – ten plán musí být také realizován.  

Třetí věc je mít vyhlášenou přijatou bezpečnostní politiku, se kterou budou prokazatelně všichni zaměstnanci seznámeni a pozor, bude kontrolována a sankcionována. Pokud si pouze napíšete něco na papír a pověsíte ho na nástěnku, nikdo na něj nevzdychne, a nemá to žádný smysl. Pokud zjistíte, že zaměstnanec odejde na oběd a neodhlásí se z počítače, tak by se mu měly strhnout peníze z platu. 

Když jsme se bavili o tom, aby lidé slepě neklikali na odkazy, znamená to, že ve chvíli, kdy na odkaz kliknou a uvědomí si, že to byla chyba, už se s tím nedá nic dělat? 

Nedá. Pokud byste rybičkou skočila a vyrvala kabel ze zásuvky, pak byste to možná ještě zachránila. To jsou ale řádově jednotky sekund. Ono by stačilo, kdyby uživatelé používali alespoň elementární zbytky zdravého rozumu.  

Mně Outlook rovnou takové věci hází do nevyžádané pošty. Skoro každý den tam mám mail, že mi někdo chce darovat milion nebo dokonce miliardu dolarů, nebo že mi banka píše, že mám zablokovaný účet a obzvlášť zábavné je to za situace, kdy s danou bankou nemám vůbec nic společného. 

 Vždycky se ještě dívám i na adresy. Přijde vám mail, ve kterém se někdo vydává za banku XY, ale adresa je přitom „frantaflinta@.com“. Jak jsem již řekl, kdyby uživatelé měli alespoň elementární zbytky zdravého rozumu, nebyli zaslepení a jako zběsilí na všechno neklikali. Přitom jsou to ty nejhorší cesty, jak poškodit celý informační systém. 

Otázka elektronických důkazů. Mohl byste vysvětlit, co se jimi rozumí? 

Elektronický důkaz, jak už název napovídá je něco, co vzniklo v důsledku jednání pachatele v elektronickém prostředí tzn. obvykle to bývá záznam na nosiči informací. Nosič informací může být i síť elektronických komunikací, ale většinou to přistane na nějakém nosiči a my potom můžeme zkoumat, co z něho zjistíme.  

Bohužel problém elektronických důkazů je v tom, že nejsme schopni zjistit, jestli je důkaz pravdivý nebo nepravdivý, protože dnes všechno, co se odehrává v elektronickém prostředí, je digitální.  

V době, kdy byl analogový záznam, starší si pamatují např. VHS kazety, který zanechával fyzikální stopu a hlavně každé přemazání, překopírování, nebo třeba i střih byl na záznamu jednoznačně vidět. V momentě, kdy se objevil digitální záznam čili nuly a jedničky, které když někdo přepíše, tak to nemáte šanci poznat. 

 Elektronické důkazy mají tedy tu slabinu, že jim nesmíme a priori věřit. V momentě, kdy máme nějaký mechanismus, který nám umožní zajistit integritu záznamu, anebo alespoň zajistit to, že zjistíme porušení integrity tzn., že někdo záznam modifikoval atd., tak je to něco jiného, ale 90 % elektronických záznamů žádný takový mechanismus nemá. Jedná se např. o mechanismus nazývající se kontrolní součet, nebo o elektronické podpisy, časové razítko, elektronickou pečeť, popsaná nařízení eiDAS. Toto všechno je nástroj, který třeba neumožní ochránit to, že to nikdo nemůže změnit, ale vždy s naprostou jistotou zjistíme, že k té změně došlo.  

Jenomže, kolik lidí všechny své maily podepisuje elektronickým podpisem? Nikdo. Podepisují se pouze dokumenty, které slouží jako podání podle procesních předpisů orgánů veřejné správy apod.  

Ten běžný provoz, který se odehrává ve firmě, tak každý, kdo se může dostat k záznamu, může s ním udělat naprosto cokoli. To je obrovský problém elektronických důkazů. Je zde ale i taková výhoda, a to ta, že těch informací je obvykle velké množství a my tak můžeme zkoumat třeba to, jak na sebe navazují, jak se to vyvíjelo apod.  

Třeba padělat celou e-mailovou komunikaci, která probíhá rok je dost složité, ale pozor, jde to. V jednom případě jsme se s tím setkali. Ve firmě si chtěli lidé vypořádat účty s bývalým jednatelem, tak vzali databázi jeho mailů, které tam zůstaly, ale změnili jim obsah. Kvůli tomu byla pak osoba trestně stíhána, a to na základě tohoto tzv. důkazu. Podařilo se nám najít, že maily v databázi nejsou uspořádány tak, jak by se při normálním běhu věcí očekávalo. Ale upřímně řečeno nevím, jak věc dopadla. To je trochu osud znalce na rozdíl od advokáta. U mnoha případů, pokud je vysloveně nesleduji nebo se nedomluvím ať už s obžalobou nebo obhajobou, aby mi dali vědět, nebo pokud se o nich nepíše ve sdělovacích prostředcích, tak ani nevím, jak dopadly. 

Jaké jsou hlavní odlišnosti mezi klasickým důkazem a elektronickým? 

Hlavní odlišností je to, co jsem již zmiňoval. U klasického důkazu, kterým je např. zakrvácená sekera, tedy hmotný předmět, můžete zjišťovat stopy. Je na ní krev, kterou můžete analyzovat a další řadu kriminalistických prostředků, které mohou tento důkazní předmět vytěžit. Zatímco elektronický důkaz si můžete pouze přečíst a buď věřit nebo nevěřit. 

Existují v praxi problémy při zajišťování elektronických důkazů? Dělá např. policie nějaké chyby, které jsou s tím spjaté? 

Co se odehrává ze strany policie při zajišťování tak je hrůza. Při domovních prohlídkách nebo prohlídkách jiných prostor se odehrává tzv. pytlování, což znamená, že tam naběhne policejní jednotka a nacpe do pytlů všechno, co jim přijde pod ruku, včetně počítačů, disků, CD, flash disků atd. Neexistuje přitom vůbec žádný doklad o tom, co na nosičích v ten moment bylo. Protokoly jsou vedeny stylem – počítač, IBM, výrobní číslo… To by byl jistě dobrý popis v momentě, kdyby vám někdo tím počítačem rozbil hlavu, ale z hlediska obsahu je to o ničem.  

Byla doba, kdy se dělaly kontrolní součty, dneska se na to naprosto rezignovalo, nacpe se to pytlů a věří se tomu, že s tím nikdo, kdo se k tomu mohl dostat v rámci orgánů činných v trestním řízení nebo v rámci znalců, kteří pracují pro policii, nic neudělal. Je zajímavé, že co se týče znalců, stále dokola se opakují pouze 2 nebo 3 stejná jména pro celou Českou republiku, jde o oblíbené policejní znalce. Nicméně třeba pro obhajobu je pak velmi obtížné zjistit, jestli se něco, ať už úmyslně nebo z nedbalosti se zajištěným nosičem dat neodehrálo. Toto považuji za zásadní chybu. 

Jak by vypadal správný postup? 

Správný postup by vypadal tak, že se ze zajištěného počítače nebo obecně nosiče dat spočítá, co velice zjednodušeně nazývám kontrolním součtem. Ten by se měl potom při každém předání a převzetí předmětu zkontrolovat. 

Setkáváte se v praxi u právníků, popřípadě advokátů, soudců, státních zástupců s pochopením principu fungování nových technologií? 

Myslím, že doba velice pokročila, protože s různými zařízeními u počítačů, mobilů dnes zachází prakticky každý. Je to i trošku generační problém, protože s nástupem počítačů někteří, typicky z řad starých advokátů, rezignovali na svoji práci, i když podle mých informací daleko větší ránu jim zasadilo nabytí účinnosti nového občanského zákoníku, než používání počítače.  

Nicméně obecně vzato se v tom orientují. Setkal jsem se zejména v posledních letech s několika velice osvícenými předsedy senátu, ať už okresních anebo zejména krajských soudů, kteří jsou schopni s tím bez problémů nějakým způsobem pracovat. Jiný problém je v tom, že právě třeba obžaloba, nebo obecně orgány činné v trestním řízení, pracují s důkazy zcela nevhodně. Myslí si, že to, co jimi sjednaný znalec z toho vytáhne, je nevyvratitelný důkaz. Přitom, ať už z hlediska obsahu dokumentu, tak z hlediska těch tzv. metadat, které vypovídají o okolnostech vzniku dokumentu, nelze za nevyvratitelné považovat nic. 

Lze metadata falšovat, případně to rozpoznat? 

Metadata jsou zase jenom data. Opět jsou to nuly a jedničky. Největší chyba typicky policie a státních zástupců je, že slepě metadatům věří. Je-li tam jako autor dokumentu napsán Jan Vonásek tvrdí, že dokument opravdu napsal, přitom ho mohl napsat úplně někdo jiný, ale na počítači, který patří Vonáskovi. Anebo dokonce na počítači, na kterém Vonásek pouze nainstaloval nějaký software.  

Teď konkrétně jsem to řešil v případě poměrně mediálně známém, kdy jeden z pachatelů byl vrah a druhý podvodník a spolupachatel, ale ne při samotné vraždě. Řešilo se, jestli jméno podvodníka v metadatech znamená to, že měl něco společného s vraždou. Toto by podle mého názoru mělo být předmětem rozsáhlé edukace, aby pochopili, že další důkazy, byť nepřímé, na sebe musí navazovat a musí být jednotné. To se ostatně přece učí už na právnické fakultě. Z pouhého faktu, že je v metadatech nějaké jméno, datum, nebo třeba čas, kdy byl dokument údajně změněn či vyčištěn, to vůbec nemusí být pravda. To se bavíme v podstatě jenom o variantách, kdy dokumenty přitom nikdo úmyslně nemodifikoval. S naprosto minimální námahou i člověk, který není úplně přehnaně zdatný v oblasti IT, dokáže metadata v dokumentu změnit. Takže nevěřit, nevěřit, nevěřit. 

Rozpoznat se tedy dá, ale je potřeba se tomu věnovat a být v této oblasti edukován. Z praktického hlediska, zvládl byste říct, co všechno se dá zjistit třeba z telefonu?  

Záleží na tom, co v tom telefonu máte. To je klíčová věc. Pokud tam máte veškerou svoji mailovou korespondenci, informace o svém internetovém bankovnictví, tisíce fotografií, tak o vás zjistím strašně moc. Ale pozor, musím se do něj nejdřív dostat.  

Zásadní problém je, že drtivá většina lidí se vůbec nezaměří na otázku ochrany mobilu, a to ve dvou rovinách. Za prvé si kupují mobily s operačním systémem, který je hodně nebezpečný, a to z toho hlediska, že obsahuje mnoho různých děr, vad a zranitelností. Existuje řada nástrojů, jak ho prolomit, protože je to tzv. otevřený operační systém. Nechci ho jmenovat, abych neměl na krku řadu žalob, ale drtivá většina lidí ho používá z důvodu, že jsou tyto mobilní telefony levné, ale mají velmi malou míru bezpečnosti.  

Druhá věc je, že se na bezpečnost ani nezaměří. Já sám všem doporučuji používat mobily s uzavřeným operačním systémem. Opět nebudu jmenovat, kde operační systém a všechny programy, které si do něho nahrají, tak procházejí přes výrobce. U toho prvního operačního systému nikoliv. Tam můžete sehnat program jakýkoliv, ale nevíte, zda neobsahuje nějaký malware. V telefonech s uzavřeným operačním systémem mám vysokou míru jistoty a dokonce je všeobecně známo, že ani vlády a tajné služby se do nich nejsou schopny dostat.  

Pozor však na to, pokud použijete vstupní heslo 1234, tak nemáte šanci to uchránit. Mimochodem do třetího vydání Kybernetické kriminality jsem si opatřil statistiku nejpoužívanějších hesel na světě, jednak celosvětově a jednak v Česku. Na prvním místě je 123456 a na druhém je anglicky password a česky heslo. Kdyby člověk měl heslo a8_?*9q apod., tak takové heslo je neprolomitelné. Lidi jsou ale líní a nejsou ochotni takové věci použít.  

Pak máme další možnosti. Uživatelé mobilů si neuvědomují rizika, příkladem je otisk prstu. Vypadá to strašně krásně, otisk působí bezpečně, ale není. Za prvé otisk lze ukrást. V Brně na Fakultě informačních technologií funguje profesor, který se zabývá biometrikami a tím, jak je lze někomu ukrást a použít, aby se dostal do jejich dat. A ukrást ho lze velmi snadno. Stejně tak vám lze ukrást třeba obrázek duhovky oka, protože jsou to všechno tzv. statické biometriky, které lze okopírovat. A to ještě nemluvím o případech, kdy vás dva lidé budou násilně držet a třetí vám na mobil, nebo počítač otisk přitiskne. Ještě brutálnější varianta je taková, že vám prst uříznou, budou si ho nosit v termosce s nějakým fyziologickým roztokem, aby jim dlouho vydržel.  

To platí třeba i o obrázku tváře, protože i to je statická biometrika. Význam mají dynamické biometriky tzn. například vrátím se k tomu oku, není to duhovka, ale sítnice. Sítnice už je nenapodobitelná a z obrázku sítnice se dá zjistit i zda jste živá. Dále jsou to hlasové metody, je to zkrátka všechno, co máte v hlavě, co nelze odpozorovat. Je to i třeba váš podpis. Dlouho se věnujeme výzkumu tzv. dynamického biometrického podpisu, a to je podpis, o kterém se nesnímá jenom ten obrázek, ale i biometrika pod ním tzn. rychlost, zrychlení, tlak apod. Desetiletým výzkumem jsme jednoznačně prokázali, že to nelze napodobit, i když třeba vidíte, jak se ten člověk podepisuje, a i když dokonce vidíte i tu biometriku, tak to nelze napodobit.  

Pokud se zaměříte tímto způsobem, anebo máte to dobře zvolené neprolomitelné heslo, tak máte velkou míru bezpečnosti a velkou míru jistoty, že z vašeho mobilu o vás nic nezjistím. 

Tedy to nejjednodušší doporučení je, aby lidé nebyli líní a používali složitější hesla. 

V délce roste požadavek na výpočetní sílu nástroje, který by to měl prolomit a v momentě, kdy budete mít šesti až osmimístné heslo, tak už můžete být dosti v pohodě. Jak říkám. nesmí to být 98765.  

Existuje spoustu aplikací jako je WhatsApp, Signal atd. Jak vnímáte jejich bezpečnost? 

Jejich bezpečnost s kolegy průběžně velice bedlivě monitorujeme a vyhodnocujeme. Ne každá z těchto aplikací je stejně bezpečná. Tvrdí se, že WhatsApp má spoustu zranitelností, ale hlavně i to, že zadní vrátka do něj jsou v držení různých orgánů, organizací atd. Já ho sám používám, abych někomu poslal obrázek mého kocoura a nemám s tím žádný problém, ale v momentě, když bych si měl s někým psát něco o nějaké živé kauze, tak bych ho asi nepoužil.  

Momentálně považujeme za bezpečný Viber a Signal. Je třeba to však monitorovat, za měsíc to zase může být celé jinak.