OT už není ostrov. A útočníci to vědí

NADPIS: Hackeři už nemusejí vypnout elektrárnu. Stačí jim zmapovat vaši síť a počkat na špatný den

Tiskárna v kanceláři může být nudná. Až do chvíle, kdy se přes ni útočník dostane k účtům, serverům a nakonec k systémům, které drží provoz výrobní linky, teplárny nebo energetického dispečinku. PaperCut zero-day CVE-2023-27350 byl přesně ten typ chyby, který ukázal starou pravdu OT bezpečnosti: cesta do provozní technologie často nezačíná u PLC, RTU nebo SCADA serveru. Začíná u věci, kterou někdo považoval za „obyčejné IT“.

V energetice je to zvlášť nepříjemné. Firmy připojují fotovoltaiky, bateriová úložiště, chytré elektroměry, energetické manažery, vzdálené servisní brány a monitoring. Ekosystém roste. Útočná plocha také. Kdo dnes řeší IoT monitoring, sdílení výroby nebo řízení flexibility, řeší ve skutečnosti i kybernetickou bezpečnost. Bez ní se z chytré energetiky stává velmi drahý experiment s otevřenými dveřmi.

OT už není ostrov. A útočníci to vědí

Starý mýtus říká, že OT síť je oddělená, nepřipojená a tedy bezpečná. V praxi bývá „oddělená“ přes jeden zapomenutý VPN profil, sdílený účet dodavatele, špatně nastavený firewall nebo server, který má dvě síťové karty. Jedna noha v IT. Druhá v provozu. Gratulujeme, máte most.

Dragos ve svém přehledu OT/ICS hrozeb za rok 2025 upozornil, že útočníci už nemapují jen jednotlivá zařízení. Zajímají je celé řídicí smyčky. Kde vzniká příkaz. Kudy putuje. Který systém ho validuje. Kde může vyvolat fyzický dopad. To je zásadní posun. Útok na energetiku už nemusí vypadat jako filmové mačkání červeného tlačítka. Může vypadat jako tiché sbírání síťových diagramů, alarmových dat, konfigurací, názvů projektů a přístupů servisních techniků.

Dragos v roce 2026 uvedl, že sledoval 26 OT hrozbových skupin, z toho 11 aktivních v roce 2025. Ransomwarové skupiny zasahující průmyslové organizace podle něj meziročně vzrostly o 49 % a dopadly na zhruba 3 300 organizací. To nejsou akademické grafy do prezentace pro vedení. To je inventura toho, co se děje v elektrárnách, výrobě, vodárenství, dopravě a u dodavatelů technologií.

Energetika má navíc nový problém. Decentralizace. Dřív bylo méně velkých bodů. Dnes jsou tisíce menších zdrojů, střídačů, baterií a řídicích jednotek. To je dobré pro flexibilitu sítě. Horší pro obranu. Každý připojený prvek potřebuje správu identit, aktualizace, segmentaci a monitoring. Ano, i ten „malý“ střídač na střeše firmy.

PaperCut zero-day: proč by měl zajímat i energetiky

Zranitelnost PaperCut NG/MF CVE-2023-27350 umožňovala neautentizované vzdálené spuštění kódu. CISA a FBI v roce 2023 upozornily, že útočníci chybu aktivně zneužívali a PaperCut vydal opravu už v březnu 2023. Jenže mezi vydáním záplaty a reálným nasazením v organizacích bývá mezera. Někdy dny. Někdy měsíce. Někdy „až po auditu“. Tedy nikdy.

Proč to patří do článku o OT? Protože tiskový server často sedí v korporátní síti, kde jsou účty administrátorů, sdílené složky, monitoring, dokumentace a napojení na helpdesk. Útočník nemusí z tiskárny rovnou posílat příkaz do rozvodny. Stačí mu získat oporu, vytáhnout přihlašovací údaje, zmapovat Active Directory a najít dodavatelský VPN tunel do technologické části. V mnoha firmách je cesta z kanceláře do provozu kratší, než by bezpečnostní manažer přiznal před představenstvem.

Typický postup vypadá obyčejně. Exploit veřejné služby. Web shell nebo vzdálené spuštění kódu. Dump přihlašovacích údajů. LDAP dotazy. SMB enumerace. Hledání názvů typu `SCADA`, `PLC`, `Historian`, `Engineering`, `Backup`, `VPN`, `Vendor`. Potom opatrné testování laterálního pohybu. Ne rychlý sken celé sítě jako v učebnici. Spíš pomalé dotazy, které se ztratí v běžném provozu.

Proto nestačí říkat, že PaperCut je IT problém. V prostředí energetiky je IT problém často předstupeň OT incidentu. Platí to pro tiskové servery, M365 identity, vzdálený přístup, správu patchů i systémy pro energetický obchod. Když firma řeší spotové ceny elektřiny, obchodování nebo automatizované řízení odběru, bezpečnost datových toků není přílepek. Je to součást provozního rizika.

Dragos, Accenture, Microsoft a AI: co se mění na trhu OT bezpečnosti

Dragos v září 2025 oznámil Dragos Platform 3.0. Hlavní směr je jasný: lepší viditelnost, rychlejší prioritizace zranitelností, jednodušší nasazení na vzdálených lokalitách a využití AI v analytických pracovních postupech. V červnu 2026 firma představila EmberAI, OT-nativní AI pro analytiky. O pár dní dříve Accenture oznámil akvizici většinového podílu v Dragosu a zároveň akvizice runZero a NetRise. To je důležitý signál. OT bezpečnost už není specializovaná disciplína pro pár lidí v montérkách a s notebookem u rozvaděče. Stává se velkou platformovou hrou.

Pro provozovatele energetiky to má dvě stránky. Dobrá zpráva: nástroje pro OT viditelnost, detekci a správu rizik dozrávají. Umějí lépe poznat průmyslové protokoly, pasivně mapovat aktiva, detekovat podezřelé příkazy a spojovat technické nálezy s dopadem na provoz. Špatná zpráva: nástroj sám nic nezachrání, pokud nikdo neví, co je kritické, kdo smí kam přistupovat a jak se má reagovat, když monitoring zahlásí divný Modbus provoz v sobotu v noci.

Partnerství Dragosu s Microsoftem a dostupnost přes Azure Marketplace ukazují další trend. OT data se čím dál víc potkávají s cloudem, SIEM platformami a centrální bezpečnostní analytikou. To dává smysl. Jenže cloudová integrace v OT musí být navržená opatrně. Jednosměrné toky, oddělené role, jasná pravidla pro vzdálený přístup, logování a havarijní režim. Žádné „napojíme to přímo, vždyť je to jen dashboard“.

V české energetice to platí i pro komunitní modely, agregaci flexibility a řízení baterií. Kdo staví projekty pro obchodování flexibility, měl by vedle obchodního modelu řešit i model hrozeb. Baterie, střídač a řídicí jednotka nejsou tabulka v Excelu. Jsou to zařízení s fyzickým dopadem.

Střídače, BESS a chytrá energetika: nová útočná plocha pod střechou

NÚKIB v roce 2025 upozornil na rizika čínských střídačů v malých fotovoltaických elektrárnách. Zmínil vzdálenou správu, dataloggery, komunikační rozhraní, aktualizace firmwaru za provozu, sběr dat a v krajním případě možnost vzdálené manipulace. To je nepříjemně konkrétní. Nejde jen o soukromí majitele FVE. Při rostoucím podílu solárních zdrojů může koordinovaná manipulace s větším počtem zařízení ohrozit stabilitu distribuční sítě.

Bateriová úložiště mají podobný profil rizika. BESS obsahuje výkonovou elektroniku, řídicí systém, komunikační brány, cloudový portál, servisní účty a často napojení na obchodní signály. Když někdo špatně nastaví vzdálený přístup, nemusí útočník lámat kryptografii. Stačí mu najít panel na internetu, slabé heslo, starý firmware nebo API token v repozitáři. Klasika. Nudná, levná, účinná.

Dragos ve svém reportu zmiňoval i výzkum zranitelností u bateriových energetických úložišť, včetně obcházení autentizace a command injection. Z pohledu provozu jsou takové chyby vážné, protože mohou vést nejen ke ztrátě dat, ale i ke změně provozního chování zařízení. U energetiky má kybernetický incident velmi rychle fyzikální rozměr. Proud teče, nebo neteče. Frekvence sedí, nebo nesedí. Rezerva je dostupná, nebo není.

Pro širší kontext baterií a akumulace se vyplatí sledovat i BESS Global Blog. U komunitní energetiky a sdílení elektřiny zase dává smysl číst SdíleníElektřiny.com. Technologická architektura těchto projektů totiž rozhoduje o tom, jestli bude decentralizace odolná, nebo jen hezky vypadající diagram.

Firmy, obce i domácnosti by měly u FVE řešit bezpečnost už při nákupu. Kdo má vzdálený přístup? Kde běží cloud? Jak se aktualizuje firmware? Existuje lokální režim bez internetu? Dá se vynutit MFA? Lze oddělit monitoring od řízení? To jsou otázky, které patří do zadání stejně jako cena panelů. Přehled praktických energetických modelů je na smartenergyshare.com, konkrétně třeba u služeb pro [výrobce FVE](https://smartenergyshare.com/pro-vyrobce?utm_source=smartenergyshare-info&utm_medium=referral&utm_campaign=satellite-marketing).

Tiché mapování sítě: útok začíná dřív, než si myslíte

The Hacker News v srpnu 2026 upozornil na téma tichého mapování sítí a výsledky simulací útoků od Picus Labs. Podstata je jednoduchá: útočníci nejdřív kreslí mapu. A obranné kontroly podle těchto simulací blokují jen část takových akcí. Přesné metodiky se liší, ale závěr sedí s tím, co vidíme v incidentech. Reconnaissance nebývá brána jako plnohodnotný poplach. Přitom právě tam lze útok zastavit nejlevněji.

V OT prostředí je mapování ještě citlivější. Útočník hledá historiany, engineering workstation, jump servery, doménové řadiče, HMI, OPC servery, datové brány, vzdálené terminály a zálohy projektů. Zajímá ho, která síť je plochá, kde je důvěra mezi segmenty, kdo má administrátorská práva a kde se používají staré protokoly bez autentizace. Modbus/TCP, DNP3, Profinet nebo starší průmyslové služby nejsou navržené pro nepřátelské prostředí. Když je pustíte přes půl firmy, nedivte se.

Obrana začíná inventářem. Ne tabulkou z loňského auditu. Živým přehledem aktiv, komunikací a kritických závislostí. Pasivní monitoring v OT je často lepší než agresivní skenování, protože nechcete rozhodit starší zařízení jen proto, že někdo pustil univerzální scanner. Vedle toho potřebujete baseline. Která stanice běžně komunikuje s PLC? Kdy? Jakým protokolem? Jaké příkazy jsou normální? Bez baseline je anomálie jen pocit.

Druhá věc je segmentace. IT a OT oddělit přes DMZ. Vzdálený přístup pouze přes řízený jump server, MFA, nahrávání relací a časově omezená oprávnění. Žádné trvalé VPN účty dodavatelů. Žádné sdílené heslo `servis2024`. Ano, pořád se to děje.

Co má energetická firma udělat zítra ráno

Začněte u věcí, které mají největší dopad a nejmenší závislost na rozpočtovém kolečku. První krok: seznam internetově dostupných aktiv. VPN, RDP, webové portály, správní rozhraní, dataloggery, cloudové brány, tiskové servery, staré NASy. Použijte vlastní sken, Censys, Shodan, Shadowserver nebo službu typu attack surface management. Když své zařízení najdete vy, najde ho i útočník. Jen nebude posílat zápis z porady.

Druhý krok: účty a vzdálený přístup. MFA všude, kde to jde. U OT alespoň na jump hostu. Oddělené účty pro IT a OT správu. Žádné sdílené servisní účty bez evidence. Přístup dodavatelů povolovat jen na konkrétní čas a konkrétní systém. Po zásahu účet vypnout. Zní to banálně. Proto se to často podceňuje.

Třetí krok: zálohy a obnova. Nejde jen o kopii databáze. Potřebujete konfigurace PLC, HMI projektů, firewallů, switchů, historianů, řídicích jednotek FVE a BESS. Zálohy musí být offline nebo alespoň izolované. A hlavně testované. Neexistuje smutnější moment než zjistit při incidentu, že záloha sice existuje, ale nikdo ji tři roky nezkusil obnovit.

Čtvrtý krok: pravidla pro energetické technologie. Pokud řešíte sdílení elektřiny, komunitní energetiku nebo služby pro obce, nastavte kybernetické požadavky už do výběrového řízení. Původ zařízení, podpora aktualizací, dokumentace API, možnost lokálního řízení, audit přístupů, export logů, reakce dodavatele na zranitelnosti. Pro obce a města je to zvlášť důležité, protože často spravují školní budovy, úřady, ČOV, kotelny a FVE v jednom provozním balíku. Relevantní start je třeba stránka pro obce a města.

Pátý krok: incident response pro OT. Musí být jiný než čisté IT. U ransomwaru v kanceláři můžete odpojit segment. U technologie musíte vědět, co tím vypnete. CISA doporučuje testovat manuální ovládání kritických funkcí, segmentaci IT/OT, DMZ a monitoring klíčových bodů. NÚKIB dlouhodobě zdůrazňuje řízení rizik, bezpečnost dodavatelského řetězce a u FVE také diverzifikaci dodavatelů. Papír nestačí. Cvičení rozhoduje.

Rok 2026: méně magie, více provozní disciplíny

Nejbližší vývoj nebude o jednom superútoku, který změní všechno. Bude horší. Přijde série menších, levných a dobře načasovaných incidentů. Zranitelný portál. Ukradená relace z phishingu. Špatně nastavený vzdálený servis. Starý firmware na střídači. Zapomenutý server s PaperCutem. Útočníkům stačí jeden vstup. Obránci musí hlídat celý řetězec.

AI útočníkům pomůže s phishingem, skriptováním, tříděním ukradených dat a rychlejší analýzou prostředí. Obráncům pomůže s korelací logů, vysvětlením anomálií a prioritizací. Výsledek nebude „AI vyhraje kyberválku“. Výsledek bude prostší: týmy s dobrými daty, segmentací a procesy budou rychlejší. Týmy bez inventáře budou mít jen dražší chaos.

Energetika má jednu výhodu. Lidé v provozu rozumějí následkům. Vědí, co znamená špatný příkaz, výpadek komunikace nebo nedostupný dispečink. Teď je potřeba stejnou provozní kázeň dostat i do kybernetiky. Žádné slepé aktualizace v pátek večer. Žádné trvalé dodavatelské účty. Žádná víra, že „to není připojené“. Žádné panely a baterky bez bezpečnostních požadavků.

Kontroverzní předpověď? První velký problém české decentralizované energetiky nezpůsobí nedostatek panelů ani špatná výkupní cena. Způsobí ho mizerně zabezpečená správa zařízení, která měla jen „posílat data do cloudu“. Kdo to vyřeší dnes, bude mít za dva roky konkurenční výhodu. Kdo počká, bude vysvětlovat zákazníkům, proč jejich chytrá energetika právě zhloupla.

Zdroje

Obchodujete s batteriovými úložišti nebo hledáte partnera pro flexibilitu a day trading elektřiny? SmartEnergyShare nabízí kompletní řešení pro BESS projekty od 50 do 250 kW — obchodování flexibility, SVR služby a IoT monitoring. Zjistěte víc →

Další články na toto téma najdete na: ElectricShare.cz Chladný duben zvedl spotřebu elektřiny v ČR. Soláry potře... Vice o sdílení elektřiny