10 nejčastějších hackerských útoků a jak se jim bránit

Záludné e-maily, falešné weby nebo tiché těžení kryptoměn. Nauč se poznat nejběžnější hrozby a chraň svá data i zařízení.

Říkáš si, že hackeři cílí jen na banky, nemocnice nebo technologické firmy? A že tobě, s pár hesly, e-mailem a fotkami z dovolené, se nic stát nemůže? Tak to jsi na omylu.

Kybernetické útoky dnes míří na každého – korporáty, živnostníky, e-shopy, školy, úřady i běžnou populaci. Podle informací NÚKIB v roce 2024 Česká republika čelila rekordnímu počtu kybernetických incidentů, přičemž jen v říjnu bylo evidováno 47 případů – což je nejvíce v historii sledování.

Nejde přitom vždy o sofistikované techniky. Někdy stačí kliknout na falešný e-mail. Jindy útočník uhádne heslo, protože nebylo aktualizované od střední školy. Abychom ti dali jasný přehled toho, co se vlastně na internetu může stát, připravili jsme seznam nejběžnějších typů kyberútoků – a hlavně návod, jak jim nepodlehnout.

1. Malware

Malware je zastřešující pojem pro škodlivý software, který se do zařízení dostává bez tvého vědomí a poté vykonává nežádoucí činnost. Může jít o viry, trojské koně, spyware, červy nebo ransomware.

Dostat se do systému může velmi nenápadně – například přes přílohu v e-mailu, podvodný odkaz, neaktuální aplikaci nebo zavirovaný USB disk. Jakmile se malware spustí, může začít sledovat tvůj pohyb na internetu, odesílat citlivé údaje útočníkům, nebo zcela znepřístupnit počítač.

Některé formy malwaru pracují rychle a destruktivně, jiné zůstávají v pozadí týdny nebo měsíce, aniž bys poznal*a, že je něco v nepořádku.

Jak se bránit:

Pravidelně aktualizuj operační systém i všechny aplikace.
Používej důvěryhodný antivirový program s aktivní ochranou.
Nestahuj software z neoficiálních zdrojů a neotevírej přílohy od neznámých kontaktů.

2. Phishing

Phishing je jednou z nejčastějších forem útoku, která nevyžaduje žádné technické znalosti – jen dobře napsaný e-mail nebo zprávu.

Útočník se snaží vyvolat dojem, že je někdo, komu důvěřuješ: banka, přepravní společnost, nadřízený nebo zákaznická podpora. Cílem je vyvolat tlak (např. upozornění na bezpečnostní incident) a přimět tě k tomu, abys klikl*a na odkaz nebo otevřel přílohu. Tím se buď nainstaluje malware, nebo zadáš své přístupové údaje na falešné stránce.

Moderní phishingové kampaně už nejsou jen plné pravopisných chyb – často jsou velmi propracované a vizuálně nerozeznatelné od legitimních e-mailů.

Jak se bránit:

Vždy si důkladně ověřuj adresu odesílatele i podobnost odkazu s oficiální doménou.
Nikdy nezadávej přihlašovací údaje nebo čísla karet z odkazu v e-mailu – otevři si web ručně.
Využívej dvoufázové ověření (2FA) – i když někdo získá heslo, nepřihlásí se bez dalšího kroku.

3. Ransomware

Ransomware je speciální typ malwaru, který zašifruje tvoje soubory a zobrazí výzvu k zaplacení výkupného. Ať už jde o pracovní dokumenty, fotky z dovolené, nebo účetnictví firmy, všechna data se stanou nedostupná.

Útočníci často dávají termín, po kterém údajně dojde k trvalému smazání dat. Některé skupiny jdou ještě dál a vyhrožují zveřejněním citlivých souborů, pokud nezaplatíš.

I když někteří napadení podlehnou nátlaku a výkupné zaplatí, neexistuje žádná záruka, že data dostanou zpět. Některé varianty ransomwaru dokonce nemají funkci dešifrování – jsou vytvořené jen k ničení.

Jak se bránit:

Pravidelně zálohuj důležitá data – ideálně na zařízení, které není trvale připojeno k internetu.
Nestahuj neznámé soubory a neklikej na odkazy z podezřelých zpráv.
Udržuj operační systém i bezpečnostní software v aktuální verzi a používej firewall.

4. DDoS útoky

DDoS (Distributed Denial of Service) je útok, při kterém útočník zahltí cílový server, web nebo síť obrovským množstvím požadavků. Služba se tím zpomalí nebo úplně přestane fungovat.

Na rozdíl od jiných typů útoků není cílem krádež dat, ale způsobení výpadku – například e-shopu během slevové akce, webu státní instituce nebo přihlašovacího systému. Může jít o cílenou sabotáž, politicky motivovaný akt nebo jednoduše vydírání.

Útoky DDoS jsou čím dál častější, a to i v Česku – jejich počet meziročně roste. Pro útočníky je jejich provedení navíc poměrně levné, protože využívají sítě kompromitovaných zařízení (tzv. botnety), které dělají špinavou práci za ně.

Jak se bránit:

Využívej služeb, které poskytují ochranu proti DDoS (např. Cloudflare, poskytovatel hostingu apod.).
Sleduj síťový provoz a nastav si automatická upozornění na neobvyklou aktivitu.
Měj připravený plán pro krizové situace, včetně alternativní komunikace se zákazníky.

5. Útoky na hesla

Hesla jsou základní, ale často podceňovaný prvek bezpečnosti. Útočníci používají různé metody, jak se k nim dostat – od prostého hádání (brute force) přes využití uniklých databází hesel až po sofistikované sledování stisků kláves (keylogging).

Rizikem je i opakované používání stejného hesla napříč službami – jakmile se jedno heslo dostane ven, útočníci ho vyzkouší na dalších platformách. Velmi časté jsou také tzv. credential stuffing útoky, kdy se automaticky testují přihlašovací údaje z úniků.

Silné heslo by mělo být dlouhé, složené z různých znaků a unikátní pro každou službu. Pamatuješ si heslo z hlavy? Pak je nejspíš příliš jednoduché.

Jak se bránit:

Používej správce hesel – bezpečně ti pomůže generovat i uchovávat složitá hesla.
Nepoužívej stejné heslo na více místech.
Aktivuj dvoufázové ověření, kde je to možné – i kdyby útočník heslo získal, přihlášení mu ztížíš.

6. Man-in-the-Middle

Útok typu Man-in-the-Middle (MitM) nastává, když se útočník „vmáčkne“ mezi dvě komunikující strany – typicky mezi uživatele a webovou stránku. V takovém případě může zachytávat nebo upravovat data, aniž by si toho někdo všiml.

Běžně k tomu dochází například na veřejných Wi-Fi sítích, kde útočník nastraží falešný přístupový bod nebo jednoduše monitoruje nešifrovaný provoz. Přihlášení do banky, odeslání e-mailu, nákup na e-shopu – to všechno může být zachyceno.

MitM útoky se často používají k získání přihlašovacích údajů, čísel platebních karet nebo manipulaci s obsahem webu v reálném čase.

Jak se bránit:

Používej VPN, zejména pokud se připojuješ přes veřejnou nebo nezabezpečenou síť.
Dbej na to, aby weby používaly zabezpečený protokol HTTPS.
Nikdy nezadávej citlivé údaje přes veřejnou Wi-Fi bez dodatečného zabezpečení.

7. SQL Injection

SQL Injection je útok zaměřený na databáze webových aplikací. Útočník do vstupního pole (například přihlašovacího formuláře) zadá speciální příkaz, který aplikace bez ověření pošle přímo databázi.

Výsledkem může být zpřístupnění, změna nebo smazání dat – včetně osobních údajů, objednávek nebo administrátorských přístupů.

SQL Injection je stále častý zejména u špatně zabezpečených webů, open-source CMS systémů bez aktualizací nebo vlastních aplikací bez důkladného testování.

Jak se bránit:

Webové aplikace by měly vždy správně validovat a filtrovat vstupy od uživatele.
Využívej tzv. připravené SQL dotazy (prepared statements), které znemožní vložení škodlivého kódu.
Pravidelně testuj bezpečnost webu a sleduj zranitelnosti v používaných systémech.

8. XSS útoky

Cross-Site Scripting (XSS) umožňuje útočníkovi vložit škodlivý skript – nejčastěji JavaScript – do webové stránky, která pak tento kód spustí v prohlížeči ostatních uživatelů.

Cílem může být krádež cookies, přesměrování uživatele, sběr přihlašovacích údajů nebo narušení funkce webu. Útok se často schová do komentáře, vyhledávacího pole nebo jiného vstupu, který není dostatečně ošetřen.

Nejde jen o technickou chybu – i jeden nezabezpečený vstup může vážně poškodit důvěryhodnost webu nebo aplikace.

Jak se bránit:

Vstupy od uživatelů by měly být vždy ošetřeny (tzv. escaping).
Nastavuj bezpečnostní hlavičky a Content Security Policy (CSP), která omezuje spouštění cizího kódu.
Testuj web z pohledu útočníka – XSS se dá dobře simulovat.

9. Spoofing

Spoofing je technika, při které se útočník vydává za někoho jiného – může to být falešná e-mailová adresa, telefonní číslo, IP adresa nebo třeba celý web. Cílem je oklamat uživatele, vyvolat důvěru a vylákat z něj data, peníze nebo přístup do systému.

Může ti přijít e-mail, který vypadá jako od tvé banky – design je přesný, podpis správný, i odesílatel sedí na první pohled. Jenže odkaz vede na podvodnou stránku, ze které tvé údaje padnou přímo do rukou útočníka.

Spoofing se často kombinuje s phishingem nebo útoky na hesla – a čím lépe vypadá, tím snáz člověk uvěří, že je zpráva reálná.

Jak se bránit:

Ověřuj si podezřelé zprávy z nezávislého zdroje (např. zavolej na oficiální infolinku).
Všímej si detailů – podvržené domény se často liší jen v jednom znaku.
Nepodléhej časovému tlaku – útočníci často hrají na paniku a nutnost rychlé reakce.

10. Cryptojacking

Cryptojacking je tichý a nenápadný útok, při kterém útočník zneužije výkon tvého zařízení k těžbě kryptoměn, a to bez tvého svolení i vědomí.

Na rozdíl od ransomwaru nebo phishingu tu není žádný požadavek, žádná výzva. Jen si možná všimneš, že se ti přehřívá notebook, zařízení je pomalé nebo se baterie vybíjí podezřele rychle. Útočník si na dálku bere výpočetní výkon tvého počítače, telefonu nebo serveru – a to v klidu i týdny nebo měsíce, dokud ho neodhalíš.

Jak se bránit:

Sleduj vytížení procesoru a paměti – když je vysoké i při nečinnosti, něco není v pořádku.
Používej rozšíření do prohlížeče, která blokují skripty pro těžbu kryptoměn.
Pravidelně kontroluj nainstalované aplikace a procesy běžící na pozadí.

Většina útoků začíná jediným kliknutím

Přestože útočníci často využívají chytré techniky, největší slabinou zůstává lidský faktor. Dobrou zprávou je, že většině útoků se dá předejít, pokud víš, na co si dát pozor, a nenecháš se nachytat.

Co můžeš udělat hned:

Změň slabá nebo opakovaná hesla a zapni dvoufázové ověření.
Pravidelně aktualizuj operační systém, aplikace i prohlížeč.
Zálohuj důležitá data – ideálně offline nebo do cloudu.
Používej antivirový software, firewall a zvaž VPN.
Přemýšlej, než klikneš – a vždy ověřuj, s kým komunikuješ.

Není nutné být paranoidní. Ale trocha ostražitosti ti může ušetřit spoustu problémů. Kybernetická bezpečnost je především o návycích, které tě udrží o krok napřed.

Autor: Kateřina Slezáková

Sdílet: