CERT-In Recommends 12-Hour Patching for Internet-Facing Flaws Amid AI-Assisted Attacks

Hackeři mají AI, vy máte 12 hodin. Proč vaše fotovoltaika možná právě teď těží kryptoměny pro Severní Koreu

Dvanáct hodin. To je doba, za kterou průměrný Čech stihne odpracovat šichtu, dojet domů a podívat se na dva díly seriálu. Pro indický úřad CERT-In je to ale nová časová hranice mezi "v pohodě" a "totální katastrofou". Vydali totiž doporučení, které v komunitě bezpečnostních expertů vyvolalo slušné pozdvižení: kritické zranitelnosti systémů vystavených do internetu musíte zalátat do 12 hodin od jejich zveřejnění.

Zní to jako šílenství? Pro každého, kdo někdy spravoval podnikovou síť nebo energetický dispečink, určitě. Jenže v roce 2026, kdy útočníci používají umělou inteligenci k automatizovanému hledání děr v kódu, je i těch dvanáct hodin luxus, který si možná brzy nebudeme moci dovolit. Zvlášť v sektoru energetiky, kde se hraje o stabilitu sítě a miliony korun.

AI jako steroidy pro DDoS útoky

Tradiční DDoS útok byl v podstatě digitální demonstrace – hromada botů tupě bušila na bránu serveru, dokud ho neshodila. Obrana byla relativně přímočará: poznat podezřelý provoz a odklonit ho. Jenže nová generace AI-asistovaných útoků, o kterých se mluvilo na nedávném THN webináři, hraje úplně jinou ligu.

Tahle "chytrá" AI už nebuší do zavřených dveří. Ona se učí. Sleduje, jak vaše aplikace reaguje, jaké dotazy jsou pro databázi nejnáročnější, a pak simuluje chování reálných uživatelů tak věrně, že klasické WAF (Web Application Firewall) filtry jen zmateně mrkají. Útok se přizpůsobuje vaší obraně v reálném čase. Pokud nasadíte pravidlo na blokování určitého vzorce chování, AI útočníka to během sekund vyhodnotí a změní strategii.

V energetice je tohle smrtící kombinace. Představte si tisíce chytrých střídačů fotovoltaických elektráren připojených k jednomu ovládacímu cloudu. Pokud AI botnet paralyzuje tenhle cloud, operátor ztratí možnost regulovat výrobu v síti. Výsledek? V lepším případě finanční ztráty z nevyrovnané bilance, v tom horším lokální blackout.

TrapDoor: Když vám malware nasadí vlastní vývojář

Zatímco se všichni bojí hackerů zvenčí, největší průšvih může přijít v balíčku, který si vaši programátoři sami stáhnou. Supply chain útoky typu TrapDoor se šíří jako mor skrze repozitáře npm, PyPI a CratesIO. Útočníci tam podstrkují knihovny, které vypadají užitečně, ale obsahují kód pro krádeže přihlašovacích údajů.

Je to geniálně jednoduché a děsivě efektivní. Vývojář, který píše software pro řízení bateriového úložiště, si stáhne "vylepšenou" knihovnu pro práci s daty. Ta mu během kompilace nenápadně prohrabe soubory `.env`, vykrade API klíče a pošle je na server v Rusku nebo Číně. Než si toho někdo všimne, mají útočníci klíče od celého vašeho království. A věřte, že tihle lidé nepůjdou po vašem e-mailu. Půjdou po přístupu k SCADA systémům a průmyslovým kontrolérům.

Energetika v hledáčku: Proč je vaše FVE terčem?

Možná si říkáte, že vaše domácí fotovoltaika s deseti panely nikoho nezajímá. Omyl. Hackery nezajímá váš výkon, ale váš procesor a vaše připojení. Tisíce špatně zabezpečených střídačů tvoří ideální armádu pro těžbu kryptoměn nebo jako odrazový můstek pro útoky na kritickou infrastrukturu.

Český NUKIB (https://nukib.gov.cz) už dlouho varuje před riziky v dodavatelských řetězcích a před používáním technologií z rizikových zemí. Problém je v tom, že energetika je dnes v podstatě obří počítačová síť s připojenými dráty. Každý chytrý elektroměr, každá nabíječka na elektromobil je potenciální vstupní bod.

Pokud provozujete větší energetický celek, doporučení CERT-In o 12hodinovém okně pro patching pro vás znamená jediné: musíte automatizovat. Ruční správa aktualizací u stovek zařízení rozsetých po republice je cesta do pekel. Potřebujete systémy, které dokážou zranitelnost detekovat dřív, než o ní vyjde článek na Hacker News, a nasadit virtuální patch na úrovni sítě.

Jak přežít v éře digitální války o kilowatty

Obrana proti AI útočníkům musí být stejně rychlá jako útok sám. Zapomeňte na "security by obscurity" – to, že o vašem systému nikdo neví, už v době Shodanu neplatí. Útočníci skenují celý internetový prostor IPv4 každých pár minut.

Segmentace bez milosti: Váš střídač nesmí vidět do stejné sítě jako váš účetní počítač. Bodka. Pokud máte chytrou domácnost nebo firmu, izolujte IoT zařízení do vlastní VLAN.
Zero Trust v praxi: Žádné zařízení v síti nesmí být "důvěryhodné" jen proto, že je připojené kabelem. Každý dotaz na API, každá změna konfigurace musí být autentizována a autorizována.
Sdílení dat s rozumem: Moderní energetika vyžaduje data. Bez nich nemůžete efektivně obchodovat na spotovém trhu ani řídit spotřebu. Je ale klíčové používat platformy, které na bezpečnost myslí už v základu. Například projekty jako Smart Energy Share ukazují, jak lze chytře propojovat energetické systémy a sdílet data, aniž byste tím rezignovali na ochranu své infrastruktury.
MFA na všechno: Pokud váš cloudový portál pro správu FVE nepodporuje dvoufaktorové ověřování (a ideálně hardwarové tokeny), vyměňte dodavatele. Hned.

Konec doby hájení

Doba, kdy kybernetická bezpečnost v energetice znamenala zámek na bráně trafostanice, je definitivně pryč. Dnešní války se vedou skrze exploity a špatně napsané javascriptové knihovny. Doporučení indického CERT-In o 12hodinovém okně pro opravy je pro mnohé budíčkem, pro jiné rozsudkem smrti za jejich laxní přístup.

Realita je taková, že zatímco vy tohle čtete, nějaký automatizovaný skript pravděpodobně zkouší defaultní hesla na vašem routeru nebo hledá známou zranitelnost ve vašem monitorovacím systému. AI útočníkům nevadí, že jsou Vánoce nebo tři hodiny ráno.

Pokud se nezačneme chovat k zabezpečení energetických aktiv stejně zodpovědně jako k zabezpečení bankovních účtů, koledujeme si o pořádný průšvih. A až vám jednoho dne zhasnou světla jen proto, že si někdo před půl dnem zapomněl aktualizovat knihovnu v ovládacím softwaru, bude už pozdě na to ptát se, proč to nešlo zalátat dřív. Budoucnost patří těm, kteří patchují dřív, než se o problému dozví široká veřejnost. Máte na to dvanáct hodin. Hodiny začaly tikat právě teď.