foto: O2, se svolením/Radek Šichtanc
ROZHOVOR: „Dávno pryč jsou doby, kdy byly podvody se špatnou češtinou. Díky AI dnes podvodníci vytvářejí velmi realistické, uvěřitelnější podvodné kampaně, a nejen text, ale i hlas a obraz (tzv. deep fake). Na druhou stranu AI nám zároveň pomáhá tyto podvody odhalovat, a to i u sofistikovaných útoků, které bychom běžnými technologiemi neodhalili včas,” řekl pro PrahaIN.cz Radek Šichtanc, ředitel bezpečnosti O2. Prozradil také, na co si mají lidé nejvíc dávat pozor.
Téma bezpečnosti na internetu, ale i skrze telefony se skloňuje čím dál častěji. Na vývoji bezpečnostních opatření a ochraně spotřebitele se podílí i vaše společnost. Co klientům v této oblasti nabízíte?
Máte pravdu, zloději dnes míří čím dál víc na naše mobily. Ať už formou podvodných zpráv, e-mailů nebo telefonátů se z nás snaží vymámit podvodem citlivé údaje nebo rovnou peníze. V praxi to funguje nejčastěji tak, že vám přijde podvodná SMS, zpráva na WhatsApp nebo e-mail, který obsahuje URL odkaz, který odkazuje na falešné webové stránky, tvářící se jako skutečné stránky např. platební brány, kurýrní společnosti, banky apod. Je poměrně těžké rozeznat, že se jedná o podvodné stránky, protože se velmi podobají skutečným. Podvodníci se tímto způsobem snaží primárně získat informace k platební kartě nebo přihlašovací údaje do různých portálů a aplikací. V posledních měsících se také šíří podvodná vyúčtování od operátora, že máte drobný nedoplatek, nebo dokonce přeplatek. Ve skutečnosti nejde o těch deset korun na falešném vyúčtování, ale o vaše přístupové údaje, které zadáte na falešném odkazu. Ty pak otevřou cestu útočníkovi například k mobilní samoobsluze, e-mailu nebo bankovnímu účtu.
Naštěstí máme na tyto podvody řešení, a to naši službu O2 Security, která chrání telefony, tablety i počítače našich zákazníků před kybernetickými hrozbami. Funguje tak, že monitoruje nebo přímo blokuje přístup na škodlivé webové stránky, podvodné stránky, stránky šířící malware apod. Tato služba je přímo integrovaná v rámci sítě. Nemusíte na svém zařízení nic instalovat nebo složitě nastavovat. Služba využívá databázi hrozeb, která je neustále aktualizována – a to i o aktuálně probíhající škodlivé kampaně v České republice. To se týká i podezřelých SMS, které nám zákazník může přeposlat na telefonní číslo 7226, nebo ji označit přímo v nativní SMS aplikaci chytrého telefonu. My esemesku prověříme a případně přidáme do této databáze hrozeb. Ochráníme tak i další uživatele. Dobrou zprávou je, že služba O2 Security je automaticky součástí našich nových mobilních tarifů NEO a NEO Family i tarifů pro připojení k internetu na doma — chrání všechna zařízení připojená k domácímu modemu.
Další kapitolou jsou podvodné telefonáty. V posledních několika letech začal tento druh podvodu velmi narůstat. Volající se vydává například za pracovníka banky, Policie ČR nebo finančního poradce. Nabídne vám údajně výhodnou službu nebo Vás bude „varovat” před zaručeným podvodem. Podvodníci dokáží být velmi uvěřitelní! Nově umíme naše zákazníky ochránit před podvrhováním českých telefonních čísel, kterého podvodníci využívají.
Můžete být trochu konkrétnější, prosím? Jak se vám například daří bránit spoofingu (podvodná technika, kdy se volající vydává za někoho jiného – bankéře, policistu atd)? Můžete nám například říci, na kolik vyjde vývoj systémů, které lidi chrání? A podílí se na něm všichni operátoři?
V praxi podvod probíhá tak, že podvodník změní identitu volajícího čísla a na displeji telefonu se vám tak zobrazí číslo vaší banky nebo státní instituce, přestože podvodník ve skutečnosti volá ze zahraničí. Tato podvržená čísla nyní dokážeme rozpoznat a zablokovat hovory dříve, než se dostanou k zákazníkům. K hovoru tedy vůbec nedojde. Aby toto řešení bylo funkční, bylo nutné, aby se zapojili všichni operátoři. Vznikl tak systém, který zajišťuje ochranu napříč všemi hlavními mobilními sítěmi Česka. Takto dokážeme ochránit česká čísla všech tří velkých mobilních operátorů.
To, že jsme podvodníkům znemožnili podvrhovat naše národní čísla, ale neznamená, že by zanechali své snahy o podvodné telefonáty. Tyto podvodné aktivity dále probíhají, jen se podvodníci přesunuli na čísla se zahraniční předvolbou – a stále se jim daří některé klienty oklamat. Náš systém proto budeme dále rozšiřovat a zdokonalovat tak, aby pokrýval i zahraniční čísla. Plánujeme i nasazení nových technologií umělé inteligence k rozpoznání podvodných volání, využívající pokročilé analýzy provozních dat.
Jaké další podvodné praktiky se nyní objevují?
Je jich celé řada, objevují se např. různé falešné soutěže, výzvy na sociálních sítích s možností vyhrát úžasné ceny, kampaň „Ahoj mami/tati“, kde se podvodníci vydávají za vaše děti v nesnázích. V minulosti jsme viděli i falešné oznámení policie o zahájeném trestním stíhání. Těch narativů je velmi mnoho, ale všechny vedou k tomu stejnému – zmanipulovat vás a přimět ke sdělení citlivých údajů a zaslání finančních prostředků. Statisticky nejvýznamnější je stále phishing (podvody s cílem získat citlivé údaje) a malware (škodlivý software). S rozvojem umělé inteligence jsou tyto útoky ale více propracované, uvěřitelné a lépe zacílené.
Předpokládám, že se snažíte minimálně držet s podvodníky krok. Jak se vám to daří? Existují například země, kde se podvody objevují častěji? Případně dá se například hlídat situace ve světě a připravovat se na to, že se podobné věci objeví i v České republice?
Sledujeme a vyhodnocujeme všechny relevantní hrozby, tedy i to, co se děje mimo Českou republiku, a podle toho upravujeme naše opatření. Zároveň jsme součástí organizací a pracovních skupin, které sdružují bezpečnostní komunity po celém světě a od nich čerpáme informace o aktuálních hrozbách. Spolupracujeme také s úřady a institucemi, které se podílí na kybernetické obraně České republiky, ať již jde o NUKIB, Policii ČR, Vojenské zpravodajství atp.
Existují standardní rady, na co si dávat pozor, aby člověk nikomu „nenaletěl”, ale někdy je to opravdu složíte. Ze svého okolí znám i příběh, kdy podvodnému telefonu uvěřila i bankéřka, a přišla tak o značnou sumu. O to složitější je to například pro staré lidi. Je vůbec cesta, jak je ochránit?
Hlavní a zásadní rada je být obezřetný. A chránit a edukovat nejen sebe, ale i děti nebo seniory. Konkrétně v případě telefonátu, pokud po vás kdokoli po telefonu chce přístupové údaje, hesla, kódy z SMS apod., zbystřete. Je to podezřelé volání a nejlepší je zavěsit a zavolat na oficiální číslo banky nebo operátora a ověřit si to.
V obecné rovině bych pak doporučil zabezpečit si své klíčové internetové služby. Důležité je také nepoužívat stejná přihlašovací jména a hesla do více aplikací, a u těch zásadních jako je e-mailová, bankovní aplikace atp. mít nastaveno dvoufaktorové ověřování.
Jaké jsou základní varovné signály, kdy by měly člověku začít svítit všechny kontrolky?
Základních varovných signálů je hned několik. Z mé praxe v oblasti kybernetické bezpečnosti mohu říct, že podvodníci jsou dnes natolik suverénní, že se neštítí využívat nejen psychologický tlak, ale i vydávat se za pracovníka banky, policie, nebo dokonce vaše známé či příbuzné. Typickým znakem, který se opakuje napříč většinou podvodů, je naléhavost a snaha vyvolat ve vás obavu, nebo naopak lákavou nabídku, kterou musíte rychle využít, ať už formou super výhodné investice, neodkladné platby nebo údajné záchrany vašich peněz. Pamatujte, že žádné seriózní instituce po vás nikdy nežádají zaslání vašich autorizačních kódů e-mailem, telefonicky nebo jiným způsobem. Neřešte nic ve spěchu, a pokud na vás někdo naléhavě tlačí na rychlé rozhodnutí, chce, abyste neposílali informace jiným lidem, nebo vám dokonce doporučuje, abyste zatím o transakci neinformovali ani nejbližší, neváhejte a zavěste. Není hanbou být opatrný – naopak, dnes už se obětí těchto podvodů nestávají jen senioři nebo technicky méně zdatní, ale naprosto běžně třeba i právníci, lékaři nebo IT experti. A pamatujte, pokud něco vypadá příliš dobře na to, aby to byla pravda, je velká šance, že tomu tak není.
Určitě existují rizika i na internetu, nemyslím prohlížečů jako takových, ale spíše sítí. Setkali jste se například s tím, že by někdo napadl připojení bytového domu, kancelářské budovy a získal tak nějaká data?
Pokud firma nemá správně zabezpečené budovy, muže dojít i k tomu, že útočník pronikne do budovy a připojí si tam své zařízení (tzv. „rogue device"), které mu umožní přístup do sítě firmy. K takovým případům dochází, pokud má firma špatně nastavenou a zabezpečenou síť, která umožňuje připojení cizích zařízení např. v zasedačkách nebo na síťových portech, které využívají tiskárny atp. Nicméně, v drtivé většině případů využije útočník způsob, jak do sítě proniknout vzdáleně. Možností, jak toho dosáhnout, je celá řada. Často jde jednoduše o selhání zaměstnance, zneužití nějaké bezpečnostní chyby nebo zranitelného prvku v síti či aplikace.
Jak je v této oblasti s chytrými domácnostmi, kdy mají její obyvatelé přes internet řešeno prakticky všechno?
Dnes mají lidé v domácnosti běžně desítky chytrých zařízení a senzorů. Možná si ale neuvědomují, že i přes teplotní čidlo v akvárku nebo robotický vysavač je může útočník ohrozit. Tito chytří pomocníci totiž můžou být vstupní brány do jejich domácí sítě.
Aby byla vaše domácnost co nejvíce v bezpečí, je důležité dodržovat několik zásad. V první řadě je klíčové ihned po instalaci změnit výchozí (defaultní) hesla u všech zařízení, ta bývají u všech prodaných kusů stejná a snadno dohledatelná. Dále doporučuji pravidelně aktualizovat software jednotlivých zařízení, protože tím výrobci opravují objevené bezpečnostní chyby. To se týká i chytrých mobilních telefonů a jejich aplikací. My v O2 jdeme ještě o krok dále a u našich síťových zařízen, jako je např. O2 Smartbox, to děláme za zákazníky automaticky. To většina výrobců nedělá, resp. pokud už záplatu vůbec vydá, tak proces aktualizace nechává na zákazníkovi. Důležité je také zabezpečit komunikaci mezi chytrými zařízeními pečlivým nastavením domácí Wi-Fi sítě. U online služeb spojených s chytrou domácností je dobré využívat vícefaktorové ověření, tedy například kombinaci hesla a ověřovacího kódu zaslaného na telefon.
Svou síť mohou lidé chránit také za pomocí služby O2 Security, která pomáhá rozpoznat a blokovat podezřelé aktivity. A pozor, raději se vyhněte zařízením a softwaru neznámé nebo pochybné pověsti, protože právě u nich je vyšší bezpečnostní riziko, nebo dokonce skrytého sledování. Dodržováním těchto zásad lze podstatně zvýšit úroveň ochrany celé chytré domácnosti.
Existují nějaké predikce do budoucna? Co třeba AI? Nemůže být zneužita k podvodným praktikám?
Může a již se tak děje. Dávno pryč jsou doby, kdy byly podvody se špatnou češtinou. Díky AI dnes podvodníci vytvářejí velmi realistické, uvěřitelnější podvodné kampaně, a nejen text, ale i hlas a obraz (tzv. deep fake). Na druhou stranu AI nám zároveň pomáhá tyto podvody odhalovat, a to i u sofistikovaných útoků, které bychom běžnými technologiemi neodhalili včas.
Další věc, kterou bych zmínil stran výhledu do budoucna, jsou určitě kvantové počítače. Jejich rozšíření bude znamenat velký pokrok v řadě oblastí, zejména díky skokovému nárůstu výpočetního výkonu a schopnosti řešit složité matematické problémy. Na podobných principech ale funguje i dnešní kryptografie. Kvantové počítače tak zároveň představují hrozbu. Zatímco klasické počítače by potřebovaly na prolomení běžně používaných šifrovacích metod miliardy let, kvantové technologie slibují, že tyto úkoly zvládnou během několika hodin nebo dní. Proto jako první v Česku nasazujeme kvantově odolné zabezpečení sítě. Nová technologie bude chránit páteřní síť pro mobilní a datové služby před hrozbami budoucnosti.