Title: "To se mně stát rozhodně nemůže." "This could never happen to me."
Course: CRP-KYBER21 > Section: Modul 1: "To se mně stát nemůže." Module 1: "This could never happen to me."

"To se mně stát rozhodně nemůže." "This could never happen to me."

Tenhle velký mýtus z oblasti kyberbezpečnosti používáme, když se nechceme svou bezpečností zabývat: nemáme na to čas, nevíme jak nebo nás prostě nenapadlo, že by bylo dobré se při práci s vlastními technologiemi chránit. Než se v dalších modulech společně podrobněji podíváme na jednotlivé oblasti kyberbezpečnosti, budeme si vyprávět příběhy. Jména osmi hrdinů těchto příběhů jsou sice smyšlená, jejich útrapy se ale v mnoha obměnách odehrávají dnes a denně na celém světě. This huge cybersecurity myth is often used as an excuse when we don’t want to think about our safety – we don’t have time for it, or we don’t know how to go about it. Or maybe, the idea that we need to protect ourselves when working with technology hasn’t even crossed our minds. Before we proceed to take a closer look at the different areas of cybersecurity, we’re going to tell stories. The names of the eight characters we’re going to meet may be fictional, but the hardships they encounter, with some degree of variation, actually occur – today and every day, all over the world.

Jsou to příběhy obyčejných lidí jako jsme my, kteří si ale na vlastní kůži zažili narušení svého osobního kyberbezpečnostního prostoru: od prolomení hesla, přes sociální inženýrství až po ransomware. Záporáky příběhů jsou kyberkriminálníci z celého světa, kteří chtějí online prostor a technologie využít pro svůj zisk: někdy jde o peníze, někdy o naše data a naše soukromí; někteří využívají sofistikované metody a jiní jednoduché postupy, staré jako lidstvo samo. Ostražitost je tedy na místě vždy. These are stories of ordinary people just like us. These people, however, experienced a violation of their cyber safety first hand – anything ranging from a password breach, through ransomware attacks, right to various forms of social engineering. The villains in these stories are cybercriminals from around the world, trying to use the internet and technology for their personal gain. Sometimes it’s about money, other times it’s about our privacy and personal information. Some of them use all sorts of sophisticated tactics, while others get by with simple tricks as old as the hills. Either way, it is important to stay alert at all times.

Tento e-learning existuje proto, že chceme v říši kyberbezpečnosti vyprávět už jen pozitivní příběhy – nebo alespoň takové příběhy, které budou mít vždy dobrý konec. Proto se dnes zamyslíme i nad rychlými a jednoduchými kroky a tipy, jak se nestát hrdiny podobných příběhů. V dalších modulech tato doporučení a tipy podrobněji rozebereme. This e-learning course was created so that we can tell only positive cybersecurity stories from now on – or at least, stories with a happy ending. That’s why we’re going to introduce some quick and easy tips on how to avoid becoming the heroes of such stories. In the subsequent modules, we’re going to dive deeper into each of these recommendations.

Petr, vyučující na Pedagogické fakultě Petr, a teacher at the Faculty of Education

Petr je ve svých přednáškách zvyklý zkoušet mnoho nových on-line služeb a nástrojů, kterými svou výuku zatraktivňuje. Často se proto registruje k různým službám a často také využívá jedno a totéž heslo pro všechny stránky: kdo si je má jinak všechna pamatovat? Petrovi dnes přišel znepokojivý e-mail: ze služby pro tvorbu studentských kvízů unikla data – a jeho e-mail i heslo v nezašifrované podobě teď prý lítá někde po internetech. Kdokoliv tak může jeho kombinaci e-mailu a hesla využít pro přihlášení k jakékoliv další službě, kde je Petr použil. Útočník, který Petrovy údaje dostal do ruky, se je pokusil zadat do Facebooku. Kombinace byla bohužel správná, Facebook ovšem útočníka ani přes to dál nepustil. Petr totiž naštěstí u těch nejzásadnějších služeb (jako je jeho e-mail, Facebook a školní systém) využívá vícefaktorové ověřování. Kromě zadání hesla se tak musí při přihlašování ověřit ještě potvrzením na svém telefonu. To bylo Petrovo jediné štěstí. I tak ho čeká odpoledne strávené měněním hesel na mnoha dalších webech. Petr enjoys trying out lots of new and shiny online tools to make his lectures more attractive, which also means he often signs up for new accounts. Most of the time he also uses the same password – otherwise, how is one supposed to remember it all? Today, he received a rather concerning e-mail: an online tool for creating school quizzes had suffered a data breach, and both his e-mail address and unencrypted password are now floating around somewhere on the interwebs. Practically anyone can now use this combination of his e-mail and password to log into any other service where Petr used the same credentials when creating his account. An attacker, who got their hands on Peter's login information, tried to use them to sign into Facebook. Despite the fact that the combination was correct, Facebook did not let the attacker in – Petr had, fortunately, set up multi-factor authentication for the most crucial of his online accounts (e.g. his e-mail, Facebook, and the school information system). This means that apart from entering the correct password, he must prove his identity by verifying and confirming every login attempt on his phone. Even though this protected Petr from the worst, he’s still in for a long afternoon spent changing his passwords all over the internet.

Dnes už není otázkou, zda z některé služby data uniknou, ale spíše kdy. Každý týden vídáme zprávy o větších či menších únicích. Jakmile se přihlašovací údaje z jedné služby dostanou na veřejnost (v horším případě nijak nechráněné a čitelné), zkouší je útočníci automatizovaně předhazovat různým dalším webům a službám – a u části z nich se stejnou kombinací uspějí. Této praxi se říká credential stuffing a útočníci zneužívají té hrozivé skutečnosti, že: These days, it’s not a question of whether an online service suffers a data breach, but rather when. Every week, we hear about minor or major breaches and leaks on the news. As soon as leaked login credentials become public (especially if they’re not encrypted and fully readable), attackers are able to deploy automated tools to try and use them across many popular websites and online services – and part of those attempts end up being successful. This practice is called credential stuffing, and it’s made possible by the frightening fact that:

65 % uživatelů používá stejná hesla opakovaně pro různé služby. 65 % of online users reuse the same password for multiple websites.

Stejná hesla většinou používáme, protože je to jednoduché: nemůžeme si pro každou službu pamatovat unikátní heslo. Tím ale velmi dramaticky ohrožujeme své kyberbezpečí! Vaše heslo není jen řetězec znaků, který vám umožňuje přístup do konkrétního účtu. Heslo v kyberprostoru představuje polovinu vašeho soukromí. Most of the time we reuse the same password across websites because it’s convenient: we don’t have to remember a unique password for every single online account. By doing so, we’re creating a great threat to our cyber safety.

Dobrým řešením je správce hesel (více v modulu 2), který si hesla bezpečně pamatuje za nás. U zásadních služeb, jako je e-mail nebo sociální síť, je pak unikátní heslo spolu s vícefaktorovým ověřením (viz modul 2) rozumnou a rychlou cestou, jak je ochránit. Aby se útočník do Petrova Facebooku dostal, nestačilo mu jen znát heslo – musel by ještě Petra fyzicky okrást o jeho telefon. A to už rozhodně není tak jednoduché, jako vytahovat uniklá hesla z temných zákoutí internetu.  A good solution to this problem is using a password manager (more information is in the 2nd module) which remembers all of our unique passwords for us. A unique password, combined with multi-factor authentication (see module no. 2) is an efficient way of protecting our most important online accounts, such as e-mail or social media. With this level of protection, the attacker would have to physically steal Petr’s phone in order to access his Facebook account – which is, without a doubt, much more difficult than just searching for leaked passwords in the dark corners of the internet.

Vyzkoušejte si, zda jste také už někdy nebyli součástí nějakého úniku dat. Vsaďte se, že pravděpodobně ano? Vložte svou pracovní a pak i svou osobní e-mailovou adresu do služby Have I Been Pwned a ihned zjistíte, zda se vaše adresa v nějakém úniku dat již objevila. Pokud ano, doporučujeme si v dané službě změnit heslo – a pokud stejné heslo používáte i jinde, bude třeba ho změnit na unikátní i tam. Podobnou službu nabízí i Firefox Monitor. Try it yourself: Have you ever been the victim of a data breach? What if we told you you most likely actually have? Try entering your work or personal e-mail address into the Have I Been Pwned tool to instantly find out whether your e-mail address appeared in any of the known data breaches. If it did, we recommend changing your password on the affected site. And of course, if you’re using the same password elsewhere, it would be best to change it there as well. A similar service is offered by Firefox Monitor.

Více o heslech, jejich ochraně nebo vícefaktorovém ověření se dozvíte v modulu č. 2. We’re going to learn more about passwords, ways to protect them and multi-factor authentication in module no. 2.

Tomáš, magisterský student fyzioterapie Tomáš, student of physical therapy

Tomáš chodí na pravidelné pivo s kamarádem, kde probírají novinky, radosti i strasti svých životů. Dnes probírají jednu aktuální nepříjemnost: minulý týden Tomovi na telefonu začala vyskakovat upozornění o podezřelých přihlášeních na jeho sociální sítě z druhé strany světa. Všechna přihlášení zamítnul, ale každý den se objevují další. Tomášův kamarád je v kyberbezpečnosti zběhlý, a tak Tomovi odhalil, jak jednoduché a rychlé může být tzv. prolamování hesel. Společně si na speciální webové stránce zkusili zadat heslo podobné těm, které používá Tomáš: bylo prolomeno do tří minut. Zděšený Tomáš ihned po příchodu domů svá hesla změnil na silnější. S novými hesly už byl obezřetnější. Nastudoval si všechny potřebné aspekty, jako třeba že délka je důležitější než složitost a veškeré své poklady svěřil správci hesel, aby si nová a unikátní hesla nemusel pamatovat. Tomáš regularly goes to a pub with his friend, where they discuss the ups and downs of their lives over a beer or two. Today, they’re discussing a recent incident: last week, Tom’s phone started getting notifications about suspicious attempts to log into his social accounts, coming from the other side of the world. He blocked all the attempts, but new ones kept popping up day after day. Tom’s friend is well-versed in cybersecurity, so he explained how fast and simple can something called password cracking be. They used a specialized website to try and enter some passwords similar to those Tomáš is actually using: the estimated time to crack them was three minutes. Tomáš was so shocked that he started changing his passwords right after getting home. He also did his homework this time and read all about what makes a good password (like the length being more important than complexity). Finally, he locked all of these new secrets behind the secure gate of a dedicated password manager.

Heslo nemusí jen uniknout (jako v případě Petrova příběhu). Když používáme heslo příliš jednoduché, může se nám přihodit to, co se stalo Tomášovi: heslo prostě někdo takzvaně prolomí. Dnes už se samozřejmě „neláme“ ručně. Slovníkové útoky nebo útoky hrubou silou jsou zpravidla prováděny pomocí speciálních crackovacích programů (více v modulu 2), které zkouší jako možné heslo všechna slova ve slovníku nebo kombinace různých znaků. Jedná se o metodu poměrně rychlou a efektivní: program zkouší různé kombinace tak dlouho, až tu správnou prostě najde. Jak dlouho to trvá? A password leaking in a data breach is not the only problem we could face. Using passwords that are too simple can lead to the same thing Tomáš learned about that day: someone could simply crack them. These days, cracking is not done by hand anymore. So called dictionary attacks (see module no. 2) and brute-force attacks are typically carried out using dedicated cracking software which attempts to guess the password by going through all of the words in the dictionary, or by generating random sequences of characters. It’s quite an effective method: the software simply keeps guessing until, at some point, it simply gets it right. How long would it take?

Rychlost lámání záleží mimo jiné i na tom, zda uživatel používá jednoduchá nebo silná hesla. Více o správných heslech, jejich ochraně nebo vícefaktorovém ověření se dozvíte v modulu č. 2. The speed and efficiency of password cracking depends, among other things, on the strength of the password itself. More about strong passwords, their protection, and how two-factor authentication helps us will be discussed in module no. 2.

Bětka, studentka sociologie Bětka, a student of sociology

Na přednášky jezdí Bětka tramvají přes celé město – po chvíli se většinou začne nudit, z kapsy vytáhne mobil, rychlým gestem na displeji ho odemkne a sleduje, co nového se událo na Instagramu. Dnes díky tomu ztratila přehled o čase a skoro zapomněla vystoupit u fakulty: na poslední chvíli vystřelila ze sedadla a ze dveří. Až na přednášce zjistila, že mobil nemá. Uf, naštěstí byl zamčený... Bětka na přednášce dlouho nevydrží, musí pořád myslet na svůj telefon: vyplíží se pryč z posluchárny a spěchá zpátky domů, aby mohla na Facebook nasdílet výzvu, zda někdo její telefon na tramvajové lince 4 nenašel. Na počítači ale zjišťuje, že někdo mezi tím změnil její hesla do většiny služeb: od Facebooku přes Instagram až po její soukromý e-mail. Nikam se teď nedostane a nad svým kyberprostorem dočasně úplně ztratila kontrolu. Bětka uses public transport to commute to her lectures. It’s a long ride through the entire city, and when she gets bored, she reaches for her phone to help her pass the time and uses a quick gesture to unlock it. Today, she got so distracted scrolling her Instagram feed she almost forgot to get off at the stop near the faculty. She jumped out of her seat and ran through the closing door, only to realize when already outside that her phone was missing. Thank God it was locked… Being unable to focus on the lecture and still thinking about her phone, she sneaks out of the lecture hall and hurries back home, so she could ask on Facebook whether, by chance, somebody had found her phone on the morning tram line number 4. On her computer she finds out that somebody had changed most of her important passwords: Facebook, Instagram, even her personal e-mail. She’s not able to access any of these accounts, and for the time being, she has completely lost control over her online presence.

Mnohdy pečlivě chráníme své notebooky či stolní počítače a na chytré souputníky zapomínáme. Přitom jsou v podstatě branami do našich digitálních životů: v mobilním telefonu má většina z nás přihlášeny všechny základní a důležité služby, sociální sítě a e-mail nevyjímaje. Náhodný útočník využil Bětčinu nepozornost a jednoduchou praktiku, zvanou shouldersurfing: prostě stál vedle Bětky a zahlédl, jakým gestem telefon otevírá. Zamykání telefonu vzorem je jedním z nejslabších a zároveň nejjednodušeji zapamatovatelných způsobů: We tend to carefully protect our laptops and desktop computers while underestimating the protection of our smart companions, even though they are basically the gateway to our digital life. Most of us carry our smartphones, with our most important accounts permanently logged in. A random attacker has taken advantage of Bětka’s inattentiveness and used a simple trick called shouldersurfing: He just happened to be standing nearby and caught a glimpse of her screen unlock gesture. Pattern lock is one of the weakest means of protecting your device, thanks in part to the fact they’re so easy to remember.

Až 64 % lidí je schopno si odemykací vzor zapamatovat, i když ho vidí jen jednou a letmo – třeba právě u spolucestujícího v tramvaji. As many as 64% of people are able to memorize an unlock pattern after seeing it just once, or merely catching a glimpse – just like our tram bystander.

Kdyby se Bětka po cestě na přednášku navíc rozhodla i zkontrolovat rozvrh ve školním systému, viděl by útočník i jak zadává přihlašovací údaje. Těch by mohl později zneužít i bez toho, aby telefon fyzicky odcizil. Tak pozor, kdo se dívá... Moreover, if Bětka decided to check her timetable on her way to school that morning, the curious bystander could watch her enter her login credentials into the school system. He could then abuse this piece of information even without physically taking her phone. So from now on, beware who’s watching…

Tereza, studijní referentka Tereza, study officer at the Faculty of Law

Jako studijní referentka má Tereza většinou práce až nad hlavu: řeší potíže studentů i akademiků, nastavuje rozvrhy nebo třeba pomáhá vyučujícím zadávat známky ze závěrečných testů do systému. Část týdne může pracovat z domu – a to si Tereza užívá. Když je hezky, jde si sednout do parku, připojí se na otevřenou Wi-Fi z nedaleké kavárny a všechny zapeklité administrativní záležitosti se najednou řeší mnohem příjemněji. Dnes si ale Tereza všimla, že její kalendář a poznámky nejsou takové, jak je posledně zanechala. Zítra ve 3 měla mít přece schůzku – a ta v kalendáři najednou není! A z té konzultace se studijním oddělením určitě udělala pro kolegy poznámky – a přitom jsou v souboru na interním úložišti jen nějaké nesmyslné odkazy. Co se to děje? Tereza si po chvíli přemýšlení vzpomněla, že v některých dokumentech lze dohledat historii změn. A samozřejmě! Někdo prováděl změny v době, kdy zcela určitě spala. Nemohla to tedy být ona. Kdo to ale byl? Kdo prováděl tuto záškodnickou činnost? Tereza is usually flooded with work in her job as a study officer. Most of the time, she has to addresses the difficulties of both students and academics; other times it’s up to her to set up lecture schedules, or, for example, she’s helping lecturers with entering grades into the system. She’s allowed to work from home for a few days a week – and she really enjoys this privilege. When the weather is nice, she likes to go to the park and get online using an open Wi-Fi network from the nearby café. This way, all of the tricky and tiring administration is somehow more pleasant to deal with. Today, however, Tereza noticed something’s off about her schedule and notes. She was supposed to have a meeting tomorrow at 3 PM, but it’s suddenly missing from her calendar! What’s worse, she’s absolutely sure she had taken a lot of notes during her last consultation with the department of studies, yet her cloud folder is filled with some meaningless files instead. What is going on here? After a bit of thought, Tereza remembered she’s able to view the history of changes in certain document types. And of course, somebody had been modifying the files at a time when Tereza was most definitely asleep. It can't have been her. But who was it then? Who was behind this malicious activity?

Dostat se na internet zdarma venku v kavárně nebo parku je fajn, ale dostat se tam bezpečně – to už je oříšek. U veřejných sítí si nemůžeme být jistí, že jsou dobře nastaveny a zabezpečeny, a ačkoliv je situace lepší než před lety, stále bychom se měli venku "v divočině" chovat jinak, něž když jsme připojení na síť v práci nebo doma. Na veřejných WiFi je lepší se nepřihlašovat do citlivých systémů, jako je třeba naše elektronické bankovnictví nebo univerzitní systém. Being able to get online outside or in a café, for free, sure is nice. But getting there safely, that is a tough nut to crack. With public wireless networks, we can never be sure they are properly configured and secured. And even though the situation has improved over the years, we should always remember to be more vigilant while online “in the wild” and not, for example, on a secure university network. While on a public Wi-Fi, it’s better to avoid signing into sensitive systems like the university system, or online banking.

Víte, že...Did you know? Mezi časté praktiky navíc patří i falešné sítě, které se pouze jmenují podle podniků v okolí: ve skutečnosti se ale jedná o takzvané honeypoty, které ovládá útočník – na jeden takový se nejspíš nachytala i Tereza v parku. One of the malicious practices involving Wi-Fi is creating fake networks named after nearby businesses to make the access point look legitimate, while in fact they are so called honeypots controlled by an attacker. Tereza most likely fell for one of those in the park.

Vždy je třeba počítat se situací, že nás útočník na veřejné síti odposlouchává: může sledovat kudy brouzdáme, kam se přihlašujeme, někdy dokonce může vidět i heslo, které zadáváme. Díky většímu rozšíření zabezpečených protokolů (HTTPS) už dnes není tak jednoduché odposlouchávat samotný obsah našeho brouzdání, někdy jsou však pro útočníka velmi zajímavá i takzvaná metadata: na jaké weby chodíme, v jakém pořadí nebo třeba kolik na nich trávíme času. Dobrou praxí je proto využívat virtuální privátní síť (VPN On a public network, we always have to consider the possibility of an attacker eavesdropping on us: they could watch which pages we visit, which pages we sign into, and maybe even see the passwords we’re entering. Thanks to a recent widespread adoption of secured protocols (like HTTPS), it’s not so simple to eavesdrop on the actual content of the pages we visit. However, an attacker could be very much interested even in so-called metadata: What websites we visit, in what order, or maybe how much time we spend there. Therefore it’s good practice to use a virtual private network (VPN <school-specific: odkaz na lokální návod> ), která nás před tímto typem sledování dostatečně ochrání. ), which sufficiently protects us from this type of spying out of the box.

Vyzkoušejte si, Try it yourself: že někdy stačí jen málo a naše kyberbezpečnost dramaticky vzroste. Třeba takový obyčejný doplněk do prohlížeče HTTPS Everywhere, který zajistí, že vždy když vstupujeme na webovou stránku, vstoupíme na ní zabezpečenou cestou pomocí bezpečnějšího protokolu (pokud to daná stránka umožňuje). Stačí ho nainstalovat, a pak na něj můžeme zapomenout. Sometimes it doesn’t take much effort to dramatically increase your cyber safety. Take a simple browser extension like HTTPS Everywhere, which automatically ensures that we always use the safest route (using an encrypted protocol) to enter any page we visit - as long as the website supports it. One can just install it and then completely forget about it.

Radek, student ekonomiky Radek, a student of economics

Radek studuje jeden z magisterských programů ekonomické fakulty. Protože je šikovný, občas si pomáhá k penězům navíc jako konzultant pro známé, kteří chtějí začít investovat. To zahrnuje práci se spoustou citlivých dat a někdy i svěřených fondů svých klientů. Do e-mailu dnes ráno Radkovi přišla zpráva, která odkazuje na přihlašovací okno investičního účtu, kde spravuje většinu produktů. Odkaz byl doplněný zprávou, že pokud se Radek přihlásí přes zaslaný odkaz ještě daný den, dostane ke každému produktu 5 % měsíčně investované částky. Radek is studying for his masters degree at the Faculty of Economics. Since he’s really good at his field, he’s also earning a side income as a consultant for friends looking to get into investing. This involves handling loads of sensitive information and sometimes even investment funds he’s been entrusted with by his clients. This morning, he received an e-mail with a link to the login page of an investment service he uses regularly. It was accompanied by a message saying that if he logs in via that particular link today, he will be eligible for a monthly bonus of 5 % on all of his investments.

Obsah zprávy zněl velmi lákavě a pokud by Radek své údaje vyplnil a odeslal, putovaly by přímo do rukou útočníka. V tomto případě se totiž jedná o ukázkový phishing, kdy útočník rozesílá hromadné množství podvodných e-mailů a snaží se tak sbírat přihlašovací údaje. Ty pak může libovolně zneužít. Následky by pro Radka mohly být nedozírné: od finanční škody až po škraloup na pověsti ve vysněném zaměstnání. Naštěstí je však na podobné typy zpráv již poměrně zvyklý a ví, že je vždy důležité myslet na několik bodů: The offer sounded very tempting, and had Radek filled out and sent his login credentials, they would have fallen directly into an attacker’s hands. This was a textbook example of phishing, where an attacker sends out fraudulent e-mail messages in bulk, with the intention of collecting login credentials which the attacker can further abuse as they please. The consequences of such a scenario could be unfathomable in Radek’s case: from a significant financial loss, all the way to a permanent scab on his reputation in his dream line of work. Luckily for him, he’s already used to this kind of messages at this point, and he’s wary about the important things to keep in mind:

1. Kriticky přemýšlet – proč by mu někdo cizí na internetu dával jen tak něco zdarma? Ne každý e-mail musí být skutečně od toho odesílatele, od jakého se zdá, že je. 1. Think critically – why would anyone on the internet give him anything for free? Not every e-mail really does come from the sender it appears to come from.

2. Prohlédnout si gramatiku a pravopis zprávy – divné formulace a chyby ve zprávě by Radka i nás měly zalarmovat, stejně tak jako například urgence a deadline („Pokud to neodešleš ještě dnes, přijdeš o bonus.“). 2. Check for spelling errors and proper grammar – typos, questionable english or weird use of words in general should serve as a warning sign; same goes for the sense of urgency or the presence of a deadline (”If you don’t click today,, you’re going to miss out on the bonus”).

3. Nespěchat, pořádně si prohlédnout URL odkaz  (někdy může jít jen o prohozená písmenka v adresním řádku a phishing je na světě!), ale i celkovou grafickou podobu stránky. I drobné nuance mohou být předzvěstí nekalosti. Navíc platí, že heslo nikdy nezadáme přes odkaz, který nám někdo zašle. Heslo je prostě jako zubní kartáček, nikdy ho nepůjčujeme a nikdo důvěryhodný se nás nikdy na naše heslo mailem nebo telefonicky ptát nebude. 3. Don’t rush, carefully check the URL and the overall look of the page – sometimes it’s a matter of just two letters swapped in the domain name. Even small visual nuances could foreshadow a malicious intent. Moreover, under no circumstances should we enter our password after following a clickable link. A password is basically like our toothbrush: we never share it. And no one trustworthy would ever ask for our password via e-mail or over the phone.

Vyzkoušejte si, jaké to může být v podobných situacích, jakou zažil Radek. Poznáte phishing a další zákeřné metody? Odhalíte je dostatečně brzy? Otestovat se můžete v češtině na webu KYBERTEST, v angličtině v testu od společnosti Google nebo ve slovenské verzi podobného testu na webu CSIRT.SK. Try it yourself: How does it feel to face a similar challenge? Can you spot phishing attempts and other sneaky tactics? Can you spot them fast enough? You can put your caution to test in an interactive quiz made by Google.

Lenka, ekonomka Právnické fakulty Lenka, an accountant at the Faculty of Law

Množství emailů, které každý den přistanou Lence ve schránce, je skoro nekonečné. Lenka je zvyklá pracovat velmi rychle a efektivně: jeden mail za druhým řeší palčivé problémy akademiků a výzkumníků s jejich projekty a rozpočty. Dnes dopoledne dostala stručný e-mail od vedoucího jedné z kateder: The amount of e-mail landing daily in Lenka’s inbox seems endless at times. Lenka prides herself in being fast and efficient at her work; she’s constantly solving pressing issues regarding research projects and their budgets, message after message. This afternoon, she received a brief e-mail coming from one of the departments:

Předmět: Platba (naléhavá)
Od: Profesor Syrový, syrovy@law.universita.cz
Komu: Sekretářka Prudká, prudka@ekon.univerzita.cz Subject: Payment (urgent)
From: professor Syrový, syrovy@law.universita.cz
To: secretary Prudká, prudka@ekon.univerzita.cz

Dobrý den, Lenka, Jaký je zůstatek na našem bankovním účtu?
Můžeme dnes zaplatit 28.780,00 EUR? Je třeba ihned proplatit faktura v příloze. Good morning Lenka, What is the balance at ourbank account?
Can we pay 28,780.00 EUR today? A invoice in attachment must paid immediately.

S pozdravem, Profesor Syrový Regards, professor Syrový

Odesláno z mého iPhonu.Sent from iPhone.

Lenka zpět odpověděla s informací o velikosti zůstatku a doptala se pana profesora, zda jde o platbu v rámci jeho projektu a zda bude dokládat průzkum trhu. Zpět však opět přišla jen zpráva o tom, že je třeba fakturu co nejdříve proplatit. Ale takové zvláštní slohové formulace... A taky nesedí to oslovení v prvním pádu! Že by to pan profesor psal ve spěchu? Je pravda, že podle patičky e-mail píše ze svého mobilního telefonu... Možná mu Lenka raději ještě zkusí zavolat, než platbu provede. Lenka replied, disclosing the current balance and asking further questions, like whether the payment falls under the professor’s research project. Shortly after, she received a similar message, stressing that the payment is due now, ignoring any of her questions. Something started to seem odd… “Good morning”? It’s well past lunch already! Maybe the professor was in a hurry? He may have used a message template or an auto-generated greeting. It does say in the footer that the message was sent from his phone, but still… Lenka decides to try and call the professor on the phone before proceeding with the payment.

Příběh Lenky je podobný zkušenosti Radka. Jen tady nebyl žádný odkaz, kam se měla Lenka prokliknout a přihlásit. Tento e-mailový podvod využívá metod sociálního inženýrství – útočník například předpokládá, že Lenka se příkazu od profesora zalekne a ihned uposlechne (případně často také že otevře nakaženou přílohu). Útočníci v podobných případech velmi často využívají časovou tíseň: „do druhého dne“, „máte po splatnosti faktury“ atp. Takovéto nečekané prosby a žádosti vždy kontrolujeme i jinou komunikační cestou, pokud to situace umožňuje: tak například pan profesor Syrový píše e-mail, že máme proplatit fakturu? Tak to mu raději zavoláme na jeho pracovní mobil a vše ověříme. Lenka’s story is similar to Radek’s experience. This time though, there was no link for Lenka to follow and sign in. This type of fraudulent e-mail relies on social engineering – the attacker might have assumed that Lenka, respecting the professor’s authority, would feel the need to “obey” his request immediately – whether that means quickly sending out a payment, or carelessly clicking a link. Time pressure is often employed as a tactic: “by tomorrow”, “your payment is overdue”, etc. As long as the situation allows it, these kinds of unexpected requests or favors should always be double-checked by other means of communication: The professor e-mailed us an invoice he needs paid? Better call him on his work phone and confirm everything.

Více o bezpečné komunikaci (nejen) e-mailem nebo o šifrování a podepisování e-mailů najdete v kapitole 3, více o sociálním inženýrství a jeho metodách pak v modulu 4.We’ll find out more about safe communication (not exclusive to e-mail), encryption and e-mail signatures in chapter no. 3. More about social engineering and its methods will be discussed in module no. 4.

Aneta, bakalářská studentka Aneta, bachelor's student of Film studies

Aneta studuje druhým rokem svůj vysněný obor Filmová studia. Škola ji velmi baví, ráda by se v budoucnu věnovala filmovým kritikám, a tak se také ve volném čase snaží psát a sdílet své kritiky na webu. Aneta ráda trénuje na starších filmech, může totiž potom porovnávat své úvahy s výroky slavných kritiků. Méně známé a starší filmy však někdy není jednoduché sehnat, proto filmy občas stahuje skrze poskytovatele v takzvané šedé zóně. Včera Aneta stahovala film z dvacátých let pomocí tzv. torrentů, který ovšem kromě filmového zážitku přinesl Anetě do počítače také malware. Počítač je teď podezřele pomalý... Aneta is in her second year of her bachelor’s program: Film studies, and she enjoys it very much. She would like to pursue a career as a film critic, so it’s no wonder she’s already publishing her opinions and reviews online. Aneta likes to practice on older movies, so she can compare her own thoughts and views with thoughts of accomplished critics. Older or obscure movies might be hard to come by, though. That’s why she’s sometimes forced to obtain them via providers falling under a so-called grey area. Yesterday she was downloading a 1920s movie using BitTorrent, and apart from a nice cinematic experience for Aneta, the torrent brought malware to her computer, which has been suspiciously slow ever since...

Aneta ani neví, jak rizikové je stahování ze zmíněných zdrojů (často v křížku se zákonem), a kolikrát unikla velkému problému jen díky svému antivirovému a plně aktualizovanému programu. Antivirový software funguje jako síto toho nejhoršího, na co můžete (nejen) na internetu narazit. Identifikuje podezřele se chovající soubory, software a malware. Aneta has no idea how risky (even legally speaking) downloading from the aforementioned sources can be, and how many times she avoided huge problems thanks solely to her up-to-date antivirus software. Antivirus software works like a shield against the very worst you can come across (not only) on the internet, identifying files and software with suspicious and potentially dangerous behavior.

Víte, že... malware může mít různé cíle? Některé škodlivé programy sledují naše chování na počítači a pátrají po osobních datech, některé na naše zařízení pašují reklamu, některé nás chtějí vydírat a jiné třeba v pozadí těží kryptoměny (tzv. cryptojacking) a tím náš počítač výrazně zpomalují – zrovna takový malware si spolu s filmem stáhla Aneta. Did you know? Malware can serve different purposes? Some malware monitors our activity on our computer searching for personal information, others try to sneak in ads to our device. Some want to extort actual money from us, while others may be mining cryptocurrency in the background (cryptojacking), slowing our computer down to a crawl. The last example is what Aneta brought in with her movie ticket.

Ať jste zvolili placený antivirový program nebo bezplatnou verzi, nikdy neotálejte s aktualizacemi. To však platí u všech programů, které máte v zařízení instalované. A pozor – mezi zařízení nepatří jen váš počítač, ale i tablet, notebook nebo chytrý telefon, kde lze také instalaci antivirového programu doporučit – a především zde doporučujeme důsledně systémy těchto zařízení aktualizovat.  A na závěr, v případě serverů ve křížku se zákonem nemusí pomoci ani antivir... Whether you opted for a paid antivirus software or stuck to a free alternative, never postpone the updates. This, however, applies to any kind of software installed in your device. And beware – a device doesn't mean just your computer or laptop, but also your smartphone or tablet. It’s highly recommended to install antivirus software there as well, and equally important is allowing the operating system to install updates whenever possible. And as a final note, when dealing with these shady websites, even an up-to-date antivirus software can fail to protect you…

Josef, výzkumník a sociolog Josef, researcher and sociologist

Josef je sice výzkumník, ale taky trochu chaotik. Většina souborů, se kterými pracuje, leží u něj na ploše: data z výzkumů, tabulky, rozepsané články i prezentace na konference. Jednou za čas se rozhodne plochu vyčistit, ale většinou to skončí vytvořením složky s názvem 'Stará plocha', do které všechny soubory přesune. V praxi to znamená, že Josef své soubory uchovává lokálně na svém počítači. Něco jako zálohování nikdy neřešil, protože na to jednoduše neměl čas. Dnes ráno Josef z úložiště stáhl program, který nutně potřeboval k analýze dat: jenže po jeho rozbalení a spuštění počítač zamrzl. Josef zařízení zrestartoval a teď na zářivě červené obrazovce svítí agresivní zpráva: „Vaše soubory byly zašifrovány! Pokud k nim chcete znovu získat přístup, pošlete alespoň 400 dolarů v Bitcoinu na níže uvedený účet.“ Josef might be a researcher, but he’s also a bit chaotic. Most of the time, all of his work files lie scattered on his desktop: research data, spreadsheets, article drafts and slideshows prepared for conferences. Once in a while he gets the urge to bring some order into this mess: he creates a folder named along the lines of “Old Desktop”, moves all of his files there and calls it a day. This also means Josef is storing all of his important work locally on his computer. He can’t be bothered with something like backups because he simply didn’t have the time for it. This morning, Josef downloaded a piece of software he needed for data analysis. After extracting the archive and trying to start the application, his computer froze, and he had no choice but to reboot it. Instead of the familiar desktop however, he was greeted with a painfully vibrant red screen and an aggressive message: “Your files have been encrypted. If you wish to regain access to them, send at least $400 worth of bitcoin to the address below”.

Způsobů, jakými se na naše zařízení může dostat malware, je mnoho: otevřeme přílohu zákeřného e-mailu, klikneme na podvržený zkrácený odkaz, stahujeme ZIP archiv s filmy z nelegálního úložiště jako Aneta nebo si třeba stáhneme nelicencovaný software – a malware s ním přijede jako černý pasažér. Josef se stal obětí zákeřného typu malware: ransomware útoku. Není to nic vzácného: poslední roky počet těchto případů dramaticky roste i u nás v Česku. There are many ways in which we can unintentionally bring malware into our computer: we open a malicious e-mail attachment, we trust and follow an unknown shortened link, we download and extract a ZIP archive with pirated content like Aneta did, or we download unlicensed commercial software, carrying malware with it like a stowaway. Ransomware, the particular type of malware Josef was unlucky enough to welcome in his computer, is particularly insidious. And unfortunately it’s nothing uncommon. The number of ransomware attacks has been steadily increasing in recent years, even here in the Czech Republic.

Počty případů ransomware útoků v ČR rostou každým rokem o desítky procent. The number of cases of ransomware attacks in the Czech Republic is growing by tens of percent every year.

Pokud selže naše antivirová ochrana (nebo ji dostatečně neaktualizujeme), výsledek je vždy velmi podobný: naše data jsou zašifrována, zařízení zablokováno a na obrazovce výzva, abychom za své soubory zaplatili výkupné. V takový moment už většinou není příliš jak pomoci. If our antivirus software fails to protect us (maybe because it hasn’t been updated lately), the results tend to look the same: our files are encrypted, access to our device is effectively blocked, and the only screen we can see urges us to pay ransom in order to get our stuff back. And at this point, there’s pretty much nothing else we can do.

Nejlepší cestou je prevence: dnes svá data zálohujeme a naše budoucí já nám za to poděkuje. Když pak ransomware zašifruje data, nebolí to tolik, protože je máme v dostupné kopii i jinde: na externím disku nebo třeba na úložišti v cloudu (OneDrive atp.). I takové zálohy samozřejmě musíme dostatečně chránit, v případě cloudových služeb například silným heslem a dvoufázovým ověřováním. Zálohování nechrání jen před ransomware útoky, pomůže stejně i při ztrátě či odcizení zařízení nebo když počítač nebo mobil jednoho dne prostě už odejde stářím – a to se jednou stane určitě, dříve nebo později.The best way to protect against these attacks is prevention: if we backup our files today, our future self will be thankful one day. Because even if some ransomware encrypts our data locally, it’s not a huge loss, since we keep a safe copy elsewhere – whether that’s on a disconnected external drive, or in cloud storage (e.g. OneDrive) where the ransomware has no power. Obviously, we have to protect these backups too, each in their own way. In case of cloud storage, for example, by utilizing a strong password and two-factor authentication. In any case, keeping up-to-date backups protects us from more than just ransomware. We can remain certain that we don’t lose our files even if someone steals our computer, or if the device in question simply bites the dust forever – which is going to happen, sooner or later.

Co si z toho odnést? What to take away from the first module?

Na co nezapomenout z prvního modulu?
Kyberbezpečnostní incidenty se dějí každý den.
Technologií se nemáme bát, ostražitost a obezřetnost jsou ale na místě.
Způsobů, jak může být naše kyberbezpečí narušeno, je celá řada.
Důležité je například dbát na silné a unikátní heslo a vyžívat vícefaktorové ověření (2FA).
Sociální inženýrství je reálná hrozba: ne každý je tím, za koho se vydává.
Zálohování dat nám může ušetřit mnoho práce nejen v případě ransomware útoku.
What to take away from the first module?
Kyberbezpečnostní incidenty se dějí každý den.
Cybersecurity incidents happen every day.
While we shouldn’t be afraid of technology, it’s advised to stay cautious and vigilant.
There are a number of ways our cyber safety can be compromised.
It’s important to use strong, unique passwords, and enable multi-factor authentication (2FA) where possible.
Social engineering is a real threat: not everyone really is who they say there are.
Having a backup of our files can save us a lot of headache, not only when dealing with a ransomware attack.

Pozor! Co dělat, když se něco pokazí? V případě, že došlo k bezpečnostnímu incidentu nebo máte podezření, že mohlo být narušeno vaše kyberbezpečí, obracejte se na Attention! What to do in case something goes wrong? In case of a security incident, or if you suspect your online safety might have been compromised, reach out to <school-specific>.