Learn about OT cybersecurity trends, Dragos product updates, partnerships, emerging industrial cyber threats, OT security best practices, and more.

Vypnou vás dřív, než dopijete kafe: Průmyslový malware už není sci-fi, ale realita českých firem

Představte si, že sedíte v řídicím centru teplárny. Na monitorech svítí zelená, všechno běží podle plánu. Jenže hluboko v útrobách sítě, tam, kde se programovatelné automaty (PLC) baví s turbínami, už měsíce sedí nezvaný host. Neukradl data. Nezašifroval disky. Jen čeká na správný moment. Ten přijde ve tři ráno. Jeden klik v Moskvě nebo Pekingu a vaše město se probudí do mrazivé tmy. Tohle není scénář z románu Toma Clancyho. Je to realita OT (Operational Technology) bezpečnosti v roce 2026.

Průmyslová kyberbezpečnost se dlouho spoléhala na mýtus „izolovaného ostrova“. Věřili jsme, že když továrnu nebo elektrárnu nepřipojíme k internetu, nikdo se tam nedostane. Tahle iluze definitivně praskla. Dnešní průmyslové systémy jsou protkané vzdálenými přístupy pro servis, senzory internetu věcí a cloudovými analytikami. Hackeři už nelezou přes hlavní bránu. Proklouznou skulinou v aktualizaci softwaru nebo přes zapomenutý modem, který tam před deseti lety nechal externí dodavatel.

Patient Zero: Proč jsou tiché útoky nejnebezpečnější

Většina lidí si pod kyberútokem představí ransomware – vyskočí okno, chce to bitcoiny, počítač nejde zapnout. V energetice je to jinak. Špičkový průmyslový malware, jako je třeba PIPEDREAM (detekovaný experty z Dragos), je chirurgicky přesný nástroj. Nemusí nic ničit hned. Dokáže se infiltrovat do inženýrských stanic a manipulovat s logikou strojů tak nenápadně, že si operátoři myslí, že jde o mechanickou závadu.

Koncept „Patient Zero“, o kterém se v bezpečnostních kruzích mluví stále častěji, je v OT prostředí kritický. Prvním nakaženým zařízením nemusí být server, ale obyčejný notebook údržbáře. Stačí jedna infikovaná USB klíčenka nebo návštěva pochybného fóra na „izolovaném“ počítači. Jakmile se útočník dostane dovnitř, začne se šířit horizontálně. V průmyslových sítích se totiž často nepoužívá autentizace. Pokud PLC „vidí“ příkaz k vypnutí, prostě ho poslechne. Nepředpokládá, že by mu ho posílal někdo jiný než oprávněný inženýr.

Dragos a realita na bojišti

Analytická společnost Dragos ve svých posledních zprávách varuje před masivním nárůstem aktivity skupin jako CHERNOVITE nebo BENTONITE. Tyto skupiny se nesoustředí na krádeže platebních karet. Jejich cílem je průzkum kritické infrastruktury. Mapují, jaké používáme jističe, jaké protokoly běží v našich rozvodnách a kde máme slabá místa v dodavatelském řetězci.

Průmyslové firmy často dělají tu chybu, že na OT sítě nasazují IT řešení. Jenže antivirus na PLC nenainstalujete. Průmyslové systémy běží na protokolech jako Modbus nebo S7, které vznikly v době, kdy slovo „hacker“ znali jen autoři sci-fi. Tyto protokoly jsou ze své podstaty nezabezpečené. Obranou proto nemůže být jen zeď (firewall), ale především viditelnost. Musíte vědět o každém paketu, který v síti proletí. Pokud váš střídač v solárním parku začne najednou komunikovat s IP adresou v Severní Koreji, měli byste to vědět v řádu sekund, ne za půl roku při auditu.

Česká stopa a varování NUKIB

Český Národní úřad pro kybernetickou a informační bezpečnost (NUKIB) není v těchto varováních pozadu. Na jejich stránkách (https://nukib.gov.cz) najdete pravidelné analýzy hrozeb, které se týkají právě energetiky. Česká republika je díky své geografické poloze a husté energetické síti lákavým cílem. Nejde jen o politicky motivované útoky. Průmyslová špionáž jede na plné obrátky. Ukrást technologický postup výroby nebo konfiguraci chytré sítě je pro konkurenci levnější než vlastní výzkum.

Aktuálním trendem je zneužívání zranitelností v řídicích systémech budov a chytrých energetických řešeních. Moderní platformy jako SmartEnergyShare sice přinášejí obrovskou efektivitu a úspory díky prediktivnímu řízení spotřeby, ale zároveň vyžadují absolutní disciplínu v oblasti zabezpečení. Pokud propojujete solární panely, bateriová úložiště a spotřebiče do jednoho inteligentního celku, musíte mít jistotu, že mozek celého systému není děravý jako ementál. Bezpečné sdílení energie a její chytré řízení je budoucnost, ale jen tehdy, pokud je postaveno na principech "security by design".

Jak se nenechat vypnout: Praktický manuál přežití

Pokud spravujete průmyslový provoz nebo jen větší technický celek, zapomeňte na pocit bezpečí. Prvním krokem je kompletní inventura. Většina firem netuší, kolik aktivních prvků v síti vlastně má. Staré senzory, zapomenuté switch-e, testovací kity – to všechno jsou vstupní body.

Zadruhé: segmentace. IT síť s maily a účetnictvím nesmí být nikdy přímo propojená s řízením výroby. Pokud se účetní proklikne na phishingový mail, nesmí to zastavit linku. Implementace "Zero Trust" architektury v OT prostředí je bolestivá, ale nezbytná. Každý přístup, i ten z vnitřní sítě, musí být ověřen.

Zatřetí: monitoring anomálií. Lidské oko si nevšimne, že ventilátor v serverovně běží o 5 % rychleji, než by měl, nebo že PLC posílá o deset paketů víc než obvykle. AI algoritmy to ale uvidí okamžitě. Právě včasná detekce "Patient Zero" fáze rozhoduje o tom, jestli incident skončí záznamem v logu, nebo titulkem v hlavních zprávách.

NIS2: Bič, který jsme potřebovali

Evropská směrnice NIS2, která dopadá na tisíce českých firem, není jen další úřednický výmysl. Je to reakce na fakt, že dobrovolná bezpečnost nefunguje. Firmy teď budou muset hlásit incidenty a prokazovat, že svou infrastrukturu skutečně chrání. Sankce jsou drakonické, ale o peníze jde až v druhé řadě. Skutečným strašákem je osobní odpovědnost managementu. Pokud ředitel podepře rozpočet na IT bezpečnost tak, že nezbyde na ochranu výrobních technologií, může se stát, že ponese následky i právně.

Průmyslová kyberbezpečnost už není záležitostí jednoho "ajťáka" v suterénu. Je to strategické rozhodnutí o přežití firmy. Útočníci mají čas. Mají zdroje. A mají trpělivost. My máme jen své technologie a schopnost předvídat jejich další krok. Jak říká staré bezpečnostní přísloví: "Existují jen dva typy firem. Ty, které byly hacknuty, a ty, které o tom ještě nevědí." Do které skupiny patříte vy?

Závěrem lze říct jen jedno: nečekejte na první výpadek. Ten totiž může být i tím posledním. Investice do zabezpečení OT systémů, segmentace sítí a využívání prověřených platforem pro správu energií je jedinou cestou, jak v digitální džungli dneška nezhasnout. A pokud si myslíte, že jste příliš malá firma na to, aby vás někdo hackoval, vzpomeňte si na to, že i ten největší botnet začal u jednoho špatně zabezpečeného kávovaru.