Útoky na webové aplikace

Pachatel se snaží zneužít chybu v aplikaci, špatné nastavení serveru, slabé ověřování, nedostatečnou kontrolu vstupů nebo zranitelnost v použitém softwaru.

Mezi známé typy útoků patří

• SQL injection,

• cross-site scripting,

• zneužití nezabezpečeného nahrávání souborů,

• útoky na administrační rozhraní,

• obcházení autentizace,

• zneužití chyb v konfiguraci nebo

• útoky na aplikační rozhraní API.

Důsledkem může být únik osobních údajů, změna obsahu webu, vložení škodlivého kódu, převzetí účtů uživatelů, poškození reputace provozovatele nebo využití serveru k dalším útokům.

Příkladem je napadení špatně zabezpečeného e-shopu, ve kterém útočník získá databázi zákazníků obsahující jména, e-mailové adresy, telefonní čísla a historii objednávek. Taková data mohou být následně zneužita k phishingu, vydírání, spamovým kampaním nebo dalším podvodům.

Prevencí je

• bezpečný vývoj aplikací,

• pravidelné testování zranitelností,

• aktualizace redakčních systémů a doplňků,

• správné nastavení serverů,

• omezení přístupu do administrace,

• vícefaktorové ověřování,

• důsledná kontrola vstupních dat,

• používání webového aplikačního firewallu a pravidelné zálohování.

Provozovatelé webů by měli mít jasně stanovený postup pro řešení bezpečnostních incidentů a odpovědnost za ochranu osobních údajů.

Obecná doporučení pro veřejnost

Každý uživatel by měl přistupovat k digitálnímu prostředí s vědomím, že opatrnost je stejně důležitá jako technické zabezpečení. Je vhodné pravidelně aktualizovat zařízení, používat silná a jedinečná hesla, zapnout vícefaktorové ověřování, neklikat na podezřelé odkazy, neotevírat nevyžádané přílohy, zálohovat důležitá data a ověřovat si podezřelé požadavky jinou cestou.

Při podezření na kybernetický útok je důležité nepanikařit, neplatit bez rozmyslu požadované částky, nekomunikovat zbytečně s pachatelem, uchovat důkazy, například e-maily, SMS, čísla účtů, telefonní čísla, adresy webových stránek nebo snímky obrazovky, a obrátit se na Policii České republiky nebo příslušné odborné pracoviště.