provozuje Innovative Business s.r.o.
Nedávno jsme řešili bezpečnostní incident u jednoho z našich klientů. Menší firma, šikovní lidé, normální Microsoft 365. Nic, co by se nedělo tisícům dalších českých firem každý den. A přesně proto o tom píšu.
Majitel firmy měl zapnuté dvoufázové ověření (MFA). Měl silné heslo. Byl přesvědčený — a měl právo být — že je v bezpečí. A přesto se útočník jedno dopoledne přihlásil do jeho účtu, rozeslal jeho jménem podvodné maily na všechny jeho kontakty a během následujícího dne a půl stáhl z firemního cloudu přes 3 000 souborů včetně smluv, bankovních výpisů a osobních údajů klientů.
Jak je to možné, když měl MFA? V tom je celý vtip. A je to důležité pochopit, protože tahle metoda je dnes nejčastější způsob, jak se útočníci dostávají do firem.
Útok začal úplně nenápadně — phishingovým mailem s odkazem. Nic, co by vyloženě křičelo „podvod". Majitel klikl, otevřela se přihlašovací stránka, která vypadala přesně jako ta od Microsoftu. Zadal heslo, potvrdil dvoufázové ověření v mobilu. Všechno proběhlo „normálně".
Háček je v tom, že ta stránka nebyla od Microsoftu. Byla to stránka útočníka, která stála mezi obětí a skutečným Microsoftem a v reálném čase všechno přeposílala dál. Tomuhle se říká útok „přes prostředníka" (anglicky adversary-in-the-middle, AiTM).
A teď to klíčové: útočník touhle cestou neukradl heslo. Ukradl už hotovou, ověřenou přihlašovací relaci — tedy ten neviditelný „lístek", který Microsoft vystaví poté, co projdete heslem i dvoufázovým ověřením. S tímhle lístkem v ruce se útočník tvářil jako už přihlášený uživatel. Žádné heslo, žádné MFA už nepotřeboval. Proto dvoufázové ověření nepomohlo — bylo úspěšně provedeno, jen ne tím, kým mělo.
Tohle je část, která lidi obvykle zaskočí. Jakmile je útočník uvnitř, jedná rychle a metodicky:
1. Rozeslal phishing jménem oběti. Vytvořil si skrytou automatizaci (v Power Automate, který je součástí Microsoft 365) a tou rozeslal podvodné maily na firemní kontakty. Tyhle maily prošly všemi kontrolami pravosti — protože byly skutečně odeslány z firemního účtu. Pro příjemce vypadaly naprosto důvěryhodně.
2. Zakryl stopy. Založil si pravidlo, které veškerou příchozí poštu automaticky přesouvalo do archivu. Majitel tak neviděl odpovědi ani varování — dokud mu lidé nezačali volat, co že jim to posílá.
3. Stáhl data. A tohle byla nejvážnější část. Systematicky stahoval soubory z OneDrivu a SharePointu. Ne náhledy — kompletní obsah. Více než 3 000 souborů. Mezi nimi soubor s firemními údaji, bankovní výpisy, smlouvy, výpisy z katastru a dokumentace ke klientským zakázkám. Tedy i osobní údaje třetích osob.
A právě poslední bod posouvá celou věc z roviny „IT problém" do roviny právní povinnosti. Únik osobních údajů klientů je za běžných okolností ohlašovatelné porušení podle GDPR — s lhůtou 72 hodin na ohlášení Úřadu pro ochranu osobních údajů. K technické škodě se přidává regulatorní riziko a poškození důvěry klientů.
Před pár lety platilo, že „zapni si MFA a máš klid". Bohužel to už neplatí. Jakmile se MFA rozšířilo, útočníci se přizpůsobili — a útoky „přes prostředníka" jsou jejich odpovědí. Existují hotové sady nástrojů, které takový útok zvládnou postavit i méně zkušení útočníci. Klasické dvoufázové ověření (kód z SMS, schválení v aplikaci, jednorázový kód) proti téhle metodě nechrání, protože útočník to ověření jednoduše propašuje spolu se vším ostatním.
To neznamená, že MFA je zbytečné — pořád zastaví spoustu jednodušších útoků a mít ho musíte. Znamená to, že samotné MFA už nestačí.
Dvě věci dělají největší rozdíl.
Tohle je ta nejúčinnější obrana — a zároveň ta, o které většina firem neví. Na rozdíl od kódu nebo schválení v aplikaci je passkey kryptograficky svázaný s konkrétní webovou adresou. Když se ho útočníkova falešná stránka pokusí zneužít, prostě to nefunguje — adresa nesedí, ověření selže. Relaci, kterou by útočník ukradl, není jak vytvořit.
Jinými slovy: zatímco klasické MFA útok „přes prostředníka" obejde, passkey ho láme přímo v základu. Tohle je ta jediná věc, kterou kdybych měl doporučit jen jednu, doporučím ji.
Druhá vrstva. Conditional Access umožní nastavit, že přihlášení projde jen z firemních (registrovaných a prověřených) zařízení, zablokovat zastaralé a nebezpečné způsoby přihlašování, automaticky odmítnout rizikové přihlášení z neznámé země nebo z hostingových serverů a vynutit častější ověření. V našem případě by se útočníkovo přihlášení z cizí serverové IP adresy do takového pravidla rovnou zaseklo.
Tady je háček, na který spousta firem narazí až ve chvíli, kdy je pozdě. Microsoft 365 Business Basic a Standard tyhle ochrany neobsahují — a co je důležité, nejdou k nim ani dokoupit jako doplněk. Mají jen základní MFA a základní filtrování pošty. Conditional Access, pokročilou správu zařízení i kvalitní ochranu odkazů a příloh v mailu dostanete až o úroveň výš.
Tou úrovní je Microsoft 365 Business Premium. Obsahuje:
Plus zázemí pro nasazení passkeys / Windows Hello napříč firmou.
Buďme upřímní o číslech. Business Premium stojí 5 650 Kč na uživatele měsíčně. Oproti levnější licenci je to rozdíl řádově pár stovek korun na člověka za měsíc. U menší firmy možná pár tisíc korun měsíčně.
A teď si k tomu dejte druhou stranu rovnice: dny práce na vyšetření a nápravě incidentu, povinné GDPR ohlášení a riziko sankce, telefonáty vystrašeným klientům, kterým někdo posílal podvody vaším jménem, a hlavně ztracená důvěra, kterou penězi nedoženete. Náš klient strávil řešením následků mnohonásobně víc, než kolik by ho stál upgrade na Premium za celý rok.
Bezpečnost se kupuje dopředu, ne zpětně. Po incidentu už si Premium stejně koupíte — jen k tomu připočtěte všechno výše. Dává mnohem větší smysl zaplatit těch pár stovek na uživatele předtím, dokud je to jen položka v rozpočtu, a ne škoda na seznamu.
A ještě jedna praktická poznámka: nemusíte upgradovat úplně všechny. Licence se dají v rámci firmy míchat — dává smysl dát Premium aspoň rizikovým účtům: majiteli, vedení, financím, lidem se správcovským přístupem. Tam, kde se útok nejvíc vyplatí a nejvíc bolí.
