Jak se z GitHubu stalo minové pole pro energetiku

Jedno kliknutí a tma: Jak hackeři přes GitHub kradou klíče k vaší energetické síti

Stačí jedno neopatrné kliknutí na nevinně vypadající tlačítko "Open in Dev Environment" a vaše firma právě přišla o kontrolu nad celým svým repozitářem na GitHubu. Žádné složité hádání hesel, žádné prolamování firewallů. Jen čistá, elegantní manipulace s OAuth tokeny, která útočníkům otevře dveře do vaší nejstřeženější digitální kuchyně. Zatímco si váš vývojář v klidu dopíjí ranní kávu, útočníci na druhém konci světa už stahují zdrojové kódy k řídicímu softwaru vaší bateriové stanice nebo systému pro sdílení elektřiny.

Bezpečnostní experti bijí na poplach. Nová vlna útoků zaměřená na vývojáře využívá právě jejich touhu po efektivitě a rychlosti. GitHub Codespaces a podobná cloudová vývojová prostředí jsou skvělá, dokud se neobrátí proti vám. Tento typ útoku, známý jako "One-Click OAuth Theft", není jen teoretickou hrozbou z konferencí. Je to realita, kterou v posledních týdnech pociťují firmy po celém světě, včetně těch v České republice, které se snaží o modernizaci své energetické infrastruktury.

Jak se z GitHubu stalo minové pole pro energetiku

Moderní energetika už dávno není jen o betonu a tlustých kabelech. Je to svět jedniček a nul. Software řídí vše – od stability rozvodné sítě až po obchodování na vnitrodenním trhu s elektřinou. Právě proto se vývojáři v tomto sektoru stali primárním cílem. Útok, který umožňuje ukrást plné OAuth tokeny GitHubu jedním kliknutím, využívá sofistikované podvržení identity aplikací. Útočník vytvoří legitimně vyhlížející nástroj pro vývojáře, který po autorizaci získá přístup k širokému spektru oprávnění.

Problém je v tom, jak OAuth funguje. Uživatelé jsou zvyklí potvrzovat vyskakovací okna s dotazy na přístup k profilu nebo repozitářům bez hlubšího zkoumání. Hackeři využívají chyby v implementaci přesměrování (redirect URI), čímž dokáží token "unést" na svůj server. Jakmile mají tento token, nepotřebují heslo ani druhý faktor (MFA). Jsou prostě vámi. V kontextu kritické infrastruktury to znamená, že útočník může vložit škodlivý kód přímo do automatizačních skriptů, které spravují třeba BESS (Battery Energy Storage Systems).

Tento útok je obzvláště nebezpečný pro firmy pracující na projektech komunitní energetiky. Pokud vyvíjíte platformu pro sdílení energie, vaše zdrojové kódy obsahují logiku pro zúčtování, přístupové údaje k API regulátorů a možná i citlivá data o spotřebě zákazníků. Jedno kliknutí vývojáře na podvržený odkaz v diskusním fóru nebo v pull requestu může celou tuto stavbu poslat k zemi. O tom, jak citlivá jsou tato data, se dočtete více na SdileniEnergie.info.

TA4922 a phishingová ofenzíva: Evropa v hledáčku

Zatímco my řešíme instalace fotovoltaik, čínská skupina TA4922 (někdy spojovaná s širšími státními zájmy) masivně rozšiřuje své operace. Původně se soustředili na asijský trh, ale nejnovější reporty ukazují, že jejich phishingové kampaně nyní drtí Velkou Británii, Německo, Itálii a bohužel i střední Evropu. Jejich modus operandi je děsivě precizní. Nečekejte žádnou lámanou češtinu v e-mailu o dědictví po nigerijském princi. Tohle jsou vysoce personalizované útoky, které cílí na konkrétní inženýry a správce sítí.

TA4922 často využívá právě zranitelnosti v OAuth a GitHubu k tomu, aby získala počáteční přístup do korporátních sítí. Jejich cílem není jen krádež dat. Jde jim o špionáž a přípravu půdy pro případné budoucí sabotáže v energetickém sektoru. Reporty organizací jako NUKIB nebo americká CISA potvrzují, že zájem o kritickou infrastrukturu v Evropě roste lineárně s tím, jak se státy snaží zbavit závislosti na ruském plynu a přecházejí na decentralizované zdroje.

Útočníci vědí, že nejslabším článkem není firewall, ale člověk pod tlakem. Vývojář, který chce rychle opravit chybu v kódu pro řízení flexibility, snadno klikne na odkaz, který mu slibuje okamžité nasazení testovacího prostředí. V tu chvíli se aktivuje skript, který vykrade OAuth token a odešle ho na Command & Control server skupiny TA4922. Tato technika je součástí širšího trendu útoků na dodavatelský řetězec (supply chain attacks), kde se útočník nesnaží nabourat přímo do vaší sítě, ale do nástrojů, které používáte k její správě. Podobné incidenty popisuje i blog Electric-Share.cz.

Od kódu k blackoutu: Anatomie útoku na OT

Proč by měl majitel teplárny nebo provozovatel solárního parku řešit nějaké tokeny na GitHubu? Protože hranice mezi IT (informačními technologiemi) a OT (operačními technologiemi) prakticky zmizela. Dnešní PLC automaty, střídače a řídicí systémy baterií jsou v podstatě specializované počítače připojené k internetu. A jejich software se píše, verzuje a nasazuje pomocí nástrojů, jako je právě GitHub.

Představte si scénář: útočník získá přístup k repozitáři firmy, která spravuje stovky malých bateriových úložišť po celé republice. Do aktualizace firmwaru propašuje drobnou chybu, která v určitý čas způsobí náhlé odpojení všech baterií od sítě. V momentě, kdy síť potřebuje stabilitu (např. při večerní špičce), dojde k náhlému výpadku stovek megawattů. Výsledek? Lokální blackout nebo v horším případě destabilizace celé přenosové soustavy.

Společnost SmartEnergyShare.com si je těchto rizik vědoma a při vývoji svých systémů pro obchodování s flexibilitou a provozování BESS o výkonu 50–250 kW klade extrémní důraz na zabezpečení vývojového cyklu. Nejde jen o to mít "dobrý firewall", ale o celkovou architekturu Zero Trust, kde se žádný token a žádné kliknutí nepovažuje za automaticky bezpečné. Pokud vás zajímá, jak se počítá ekonomika bezpečného provozu, podívejte se na [Share-Electric.cz](https://share-electric.cz).

Strategie obrany podle standardů Dragos a NUKIB

Jak z toho ven? Prvním krokem je přiznat si, že tradiční hesla jsou mrtvá. V prostředí, kde útočníci kradou session tokeny a OAuth autorizace, vás heslo nezachrání. Musíte implementovat striktní politiku správy identit. NUKIB dlouhodobě doporučuje používat hardwarové bezpečnostní klíče (např. YubiKey), které jsou odolné proti phishingu, protože vyžadují fyzickou přítomnost uživatele a jsou vázány na konkrétní doménu.

Dalším klíčovým prvkem je monitoring. Pokud se OAuth token vašeho vývojáře najednou použije z IP adresy v Šanghaji nebo Singapuru, váš systém musí okamžitě reagovat. Automatizace bezpečnosti je v energetice stejně důležitá jako automatizace samotného sdílení elektřiny. Firmy by měly pravidelně auditovat oprávnění, která jejich zaměstnanci udělili aplikacím třetích stran na GitHubu. Často tam najdete zapomenuté nástroje z roku 2021, které mají stále plný přístup k vašim nejcennějším kódům.

V rámci služeb SmartEnergyShare.com využíváme pokročilé algoritmy pro day trading elektřiny a obchodování odchylek, které běží v izolovaných prostředích. Bezpečnost není produkt, je to proces. Tento proces zahrnuje i vzdělávání každého jednoho zaměstnance. Musí vědět, že "One-Click" na GitHubu může být stejně nebezpečný jako otevření neznámého souboru .exe v roce 2005. Kybernetická hygiena v OT prostředí je dnes otázkou národní bezpečnosti.

Budoucnost: AI jako štít i meč

Vstupujeme do éry, kdy AI začíná hrát hlavní roli na obou stranách barikády. Útočníci používají LLM (velké jazykové modely) k vytváření dokonale uvěřitelných phishingových kampaní a k hledání zranitelností v kódu na GitHubu rychleji, než to dokáže jakýkoliv člověk. Na druhé straně nám AI umožňuje detekovat anomálie v chování sítě a v používání API tokenů v reálném čase.

Pro český trh s energiemi to znamená jediné: digitalizace musí jít ruku v ruce s kybernetickou odolností. Nelze budovat moderní energetiku na hliněných nohou děravého softwaru. Služby jako sdílení energie, agregace flexibility a regulační elektřina jsou závislé na důvěře. Jakmile tato důvěra padne kvůli jednomu ukradenému tokenu, celý model komunitní energetiky se může zhroutit.

Závěr je jasný. Nečekejte, až vám NUKIB zaklepe na dveře s oznámením o incidentu. Prověřte své GitHub integrace, zakažte zbytečné OAuth aplikace a naučte své lidi, že v digitálním světě "pohodlí" často znamená "nebezpečí". Budoucnost energetiky je v cloudu, ale ten cloud musí mít zatraceně dobré zámky. SmartEnergyShare.com je připraven vám pomoci nejen s obchodováním, ale i s bezpečným provozem vašich energetických aktiv.

Zdroje

- NUKIB: Oficiální doporučení a hrozby - The Hacker News: GitHub OAuth Token Theft Analysis - Dragos: OT Cybersecurity Year in Review - oEnergetice.cz: Digitalizace a bezpečnost v ČR - CISA: Protecting Critical Infrastructure from Phishing

Obchodujete s batteriovými úložišti nebo hledáte partnera pro flexibilitu a day trading elektřiny? SmartEnergyShare nabízí kompletní řešení pro BESS projekty od 50 do 250 kW - obchodování odchylek, regulační elektřiny a intraday trading. Zjistěte víc na SmartEnergyShare.

Další články na toto téma najdete na: SdileniEnergie.info - komunitní energetika ShareElectric.cz - sdílení FVE a úspory