V minulých týdnech zasáhla devět evropských zemí vlna kybernetických útoků namířených proti zařízením potravinářského sektoru. Nejvážnější situace nastala ve Francii, kde útočníci nejprve narušili vnitřní systémy stovek supermarketů a při druhé vlně dokonce napadli chladicí systémy tří krevních bank. Kromě škod v řádu desítek až stovek milionů eur naštěstí útoky nezpůsobily závažnější následky. To platí zejména v případě krevních bank, kde systémy kontroly znehodnocení uchovávaných vzorků krve nakonec dokázaly zabránit jejich poškození.

Soukromý sektor nevěnoval odolnosti infrastruktury dostatečnou pozornost

Jak se útočníkům něco takového podařilo? Poměrně snadno. Do vnitřních systémů pronikli prostřednictvím vzdáleného online přístupu, který servisní organizace a další dodavatelé využívají k údržbě zařízení, jež po Evropě spravují. Získaný přístup jim umožnil manipulovat s nastavením chladicích systémů a zvýšit jejich teplotu až na padesát stupňů Celsia, čímž znehodnotili chlazené potraviny.

Útokům napomohlo především nedostatečné zabezpečení těchto vzdálených přístupů. Napadená zařízení navíc neprocházela pravidelnou údržbou a jejich software nebyl aktualizován ani v reakci na informace o nově odhalených zranitelnostech.

Logickou otázkou zůstává, kdo za útoky stál a jaký z nich měl prospěch. Atribuci, tedy připsání útoků konkrétnímu pachateli, provedla po týdnech vyšetřování pouze Francie, která ukázala na Írán a jeho hackery. Již dříve se přitom objevily informace o dvou skupinách napojených na Rusko, které se k útokům samy přihlásily. Pro samotné potravinářské podniky však nakonec nemusí být podstatné, zda za útoky stál nestátní aktér, nebo skupina napojená na některý ze států.

Škoda již byla napáchána a teď je třeba řešit nejen její následky, ale také to, jak předejít budoucím útokům proti této i dalším částem kritické infrastruktury evropských států. Těch bude totiž s největší pravděpodobností do budoucna přibývat, mimo jiné i v souvislosti s masivní krádeží prostředků z kryptoměnové burzy Binance, která pachatelům online podvodů a krádeží poskytuje další finanční prostředky na kriminální činnost.

Poslední vlna kybernetických útoků ukazuje, že jakákoliv zranitelnost naší infrastruktury, ať už v potravinářství, dopravě, energetice či komunikacích, může být využita proti nám. Severoatlantická aliance přitom definuje hned sedm oblastí, kterým by její členské státy měly věnovat zvýšenou pozornost. Kromě výše zmíněných jde ještě o odolnost vládnutí a rozhodovacích procesů, zajištění potravin a přístupu k vodě, pohyb osob a zdravotnictví. Právě na tyto oblasti by státy měly pamatovat v dobách krizí a dalších mimořádných událostí a zajistit jejich fungování navzdory šokovým situacím.

Odolnost kritické infrastruktury tedy NATO vnímá komplexně. Podobně je tomu i na půdě Evropské unie, která navíc věnuje zvláštní pozornost také zapojení jednotlivců a občanské společnosti. Ti totiž při posilování odolnosti jednotlivých zemí sehrávají zvláště významnou roli.

Poslední útoky na potravinářská zařízení ukázaly, že soukromý sektor nevěnoval odolnosti infrastruktury dostatečnou pozornost. Častokrát je totiž hlavní hnací silou efektivita, nízké náklady na provoz či dodávku služeb, respektive maximalizace zisků, které v očích některých stojí v přímém kontrastu s nutnými náklady na pravidelnou údržbu a zabezpečení. Následné dopady a finanční ztráty jsou však nejen v této situaci ve značném nepoměru k investicím do vnitřních procesů, údržby a zabezpečení, například prostřednictvím penetračních testů, které poukazují na slabiny systému.

A bez viny často není ani samotný stát a jemu podřízené instituce. V České republice s tím máme opakovanou zkušenost, například v podobě opakovaných útoků Ruska a Číny na komunikaci a vnitřní systémy ministerstva zahraničních věcí. Častokrát přitom nejde jen o zanedbání péče řádného hospodáře, ale také o důsledek nebývale vypjaté bezpečnostní situace ve světě a intenzity útoků i nebývalých zdrojů, které do prolomení vnitřních systémů organizací investují především státní aktéři.

Mezery české odolnosti

Jak znovu zaznělo na kulatém stole Odolná infrastruktura a nové formy hrozeb, který minulý týden uspořádal na půdě Poslanecké sněmovny poslanec Samuel Volpe, zvlášť nebezpečná je kombinace jednotlivých hrozeb a jejich rostoucí intenzita. S nástupem umělé inteligence, informačních manipulací a kybernetických útoků se jejich dopady mohou dále násobit.

Využívají je přitom jak nestátní, tak především stále agresivnější státní aktéři, jako jsou Rusko, Čína, Írán nebo Severní Korea, kteří proti západním zemím podnikají nejrůznější nepřátelské aktivity. Útoky proti potravinářským firmám by nás tedy v kontextu stále intenzivnějších hybridních útoků a operací proti evropským zemím neměly překvapovat.

Zejména Rusko nás přitom v souvislosti s naší podporou Ukrajiny vnímá jako přímého protivníka. Zkušenosti Ukrajiny z pokračující války jsou přitom k nezaplacení i pro nás v Evropě. A to především s ohledem na naši přípravu na jakoukoliv možnou eskalaci, ať už vojenského, či jiného charakteru.

V Asociaci pro mezinárodní otázky jsme tyto zkušenosti identifikovali v několika oblastech: v celospolečenském přístupu k budování odolné společnosti, ve spolupráci se samosprávami, v digitalizaci fungování státu a také v oblasti odolnosti infrastruktury. Právě tu dnes na Ukrajině pomáhají chránit i aktéři, kteří nejsou přímo pod kontrolou státu. To přispívá k decentralizaci a tím i k vyšší efektivitě obrany proti ruské agresi a k zachování fungování společnosti.

Nejen v těchto oblastech, ale také při budování efektivní komunikace a spolupráce mezi státem, občanskou společností, soukromým sektorem a akademickou obcí či při zvyšování efektivity fungování velmi roztříštěného systému samospráv má Česká republika při budování své odolnosti zásadní mezery. A to přesto, že jednotlivé části společnosti často fungují samy o sobě poměrně dobře a v některých oblastech dokonce dosahují výsledků nad evropským průměrem, jak ukazuje například činnost Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) v kybernetické oblasti.

Před vládou Andreje Babiše tak stojí zásadní úkol: posunout agendu národní bezpečnosti a ochrany kritické infrastruktury na vyšší úroveň. V rámci NATO patříme z hlediska investic do vlastní obrany na samotný chvost. Jak navíc ukazuje nedávno schválená Koncepce výstavby Armády ČR do roku 2040, Česká republika nedokáže naplnit až sedmdesát procent všech přislíbených aliančních cílů.

Zranitelné země se přitom stávají snadnějším a pro agresory často i preferovanějším cílem dalších útoků. O to důležitější je, aby vláda začala brát bezpečnost vážněji a konečně více investovala do ochrany kritické infrastruktury i vlastních občanů. Právě jejich bezpečí je koneckonců jednou ze základních funkcí státu. Ani projev premiéra Andreje Babiše na konferenci Pražský bezpečnostní dialog v minulém týdnu však tyto obavy nerozptýlil.