ThreatsDay Bulletin: Edge Plaintext Passwords, ICS 0-Days, Patch-or-Die Alerts and 25+ New Stories

Vypnuto jedním klikem. Hackeři mají spadeno na české rozvodny a vaše FVE může být další obětí

Většina moderních továren a elektráren dnes běží na technologiích, které drží pohromadě jen díky lepicí pásce a modlitbám jejich správců. Nedávný audit v jedné z evropských distribučních soustav odhalil něco, co by mělo každého CISO probudit ze zimního spánku: hesla k řídicím systémům (ICS) uložená v prostém textu přímo v konfiguračních souborech Edge zařízení. Žádné šifrování. Žádný hash. Jen "admin" a "heslo123" svítící do tmy pro kohokoli, kdo se dostane za první linii obrany.

Tohle není scénář z béčkového kyber-thrilleru. Je to realita roku 2026. Průmyslová kybernetická bezpečnost (OT – Operational Technology) se nachází v bodě zlomu. Zatímco svět IT se naučil používat vícefaktorové ověřování a zero-trust architekturu, svět "železa" stále bojuje s dědictvím systémů, které byly navrženy v době, kdy internet byl jen akademickým experimentem.

Když Edge zařízení mluví až moc nahlas

Problém s plaintextovými hesly v Edge zařízeních je hlubší, než se na první pohled zdá. Tato zařízení stojí na hranici mezi fyzickým světem senzorů a digitálním světem cloudu. Výrobci se často snaží o co nejjednodušší nasazení (plug-and-play), což v praxi znamená, že bezpečnost obětují na oltář uživatelské přívětivosti.

Dragos, lídr v oblasti OT bezpečnosti, ve svém posledním bulletinu upozorňuje na alarmující nárůst 0-day zranitelností právě v těchto hraničních prvcích. Útočník nemusí být geniální hacker. Stačí mu najít špatně zabezpečenou bránu, přečíst si konfigurační soubor a má klíče od celé rozvodny. Jakmile je uvnitř, může manipulovat s logickými automaty (PLC), které ovládají ventily, jističe nebo otáčky turbín. Výsledek? "Patient Zero" efekt. Jedna infikovaná brána, totální shutdown celého segmentu sítě během několika minut.

Energetika pod palbou: České FVE v hledáčku

Česká republika není žádným bezpečným ostrovem. Právě naopak. Masivní boom fotovoltaických elektráren (FVE) vytvořil obrovskou plochu pro útok. Každý chytrý střídač, každá baterie připojená k internetu je potenciálním vstupním bodem. NUKIB (Národní úřad pro kybernetickou a informační bezpečnost) na svých stránkách nukib.cz pravidelně varuje před zranitelnostmi v dodavatelském řetězci.

Představte si situaci, kdy útočník hromadně vypne 300 velkých solárních parků v jeden moment. Nejde jen o finanční ztrátu majitelů. Jde o stabilitu celé přenosové soustavy. Frekvence v síti začne kolísat a pokud zareagují ochranné prvky příliš pomalu, hrozí blackout. V tomto kontextu už nejde o "ukradená data", ale o fyzickou bezpečnost a fungování státu.

Vzdělávání v oblasti kybernetické bezpečnosti energetiky se stává kritickým. Pokud vás zajímá, jak se technologie a bezpečnost prolínají v moderní distribuované síti, platformy jako smartenergyshare.com ukazují směr, kterým se ubírá sdílení elektřiny. Bezpečnost tam není jen volitelný doplněk, ale základní stavební kámen důvěry mezi účastníky trhu. Bez neprůstřelného zabezpečení IoT prvků totiž žádné komunitní sdílení energie dlouhodobě nepřežije.

Patch-or-Die: Proč v OT nefunguje Windows Update

V IT světě jsme zvyklí na "Patch Tuesday". V pondělí vyjde záplata, v úterý se nainstaluje a ve středu vše funguje (většinou). V průmyslu je to jinak. Máte systém, který řídí chlazení jaderného reaktoru nebo míchání chemikálií v lince za miliardu korun. Nemůžete ho prostě "restartovat", protože se instaluje aktualizace.

Tento fenomén se nazývá "Patch-or-Die". Buď riskujete zranitelnost, nebo riskujete zastavení výroby. Mnoho průmyslových systémů běží na nepodporovaných verzích Linuxu nebo dokonce Windows XP, protože software, který je ovládá, by na ničem jiném nefungoval. Útočníci to vědí. Právě proto se zaměřují na protokoly jako Modbus nebo Profinet, které jsou staré desítky let a postrádají jakékoli autentizační prvky. Poslat příkaz "STOP" je pro ně stejně snadné jako poslat e-mail.

Jak přežít v éře stealth breach útoku

Moderní útoky nejsou hlučné. Ransomware, který vám zašifruje počítač a chce bitcoiny, je amatérismus. Skuteční profesionálové, často podporovaní cizími státy, se v síti pohybují jako duchové. Tomu se říká "stealth breach". Infiltrují se, měsíce pozorují provoz, mapují topologii sítě a čekají na správný moment.

CISA (Cybersecurity and Infrastructure Security Agency) doporučuje několik základních kroků, které by měl implementovat každý, kdo spravuje kritickou infrastrukturu:

1. Segmentace sítě: OT síť nesmí být nikdy přímo propojena s kancelářskou sítí. Žádné "ale my tam máme firewall". Musí tam být vzduchová mezera (air-gap) nebo alespoň velmi striktně nastavená demilitarizovaná zóna (DMZ).
2. Kontrola identity: Pryč s plaintextovými hesly. Každý přístup k Edge zařízení musí být logován a ideálně podmíněn certifikátem nebo hardwarovým klíčem.
3. Pasivní monitoring: V OT světě nemůžete skenovat síť aktivně (např. pomocí Nmapu), protože byste mohli shodit citlivá zařízení. Musíte používat pasivní sondy, které jen "poslouchají" provoz a upozorní na anomálie. Pokud PLC najednou začne komunikovat se serverem v Severní Koreji, je něco špatně.

Budoucnost: AI jako útočník i obránce

Nástup umělé inteligence situaci dále komplikuje. Na jedné straně máme AI, která dokáže generovat malware přizpůsobený konkrétnímu průmyslovému hardwaru. Na straně druhé stojí AI systémy pro detekci hrozeb, které dokáží v reálném čase analyzovat miliony paketů a najít v nich vzorce typické pro přípravu útoku.

Investice do kyberbezpečnosti v energetice už nejsou jen položkou v rozpočtu "pro jistotu". Jsou to investice do přežití. Pokud si dnes myslíte, že vaše malá vodní elektrárna nebo solární park nikoho nezajímá, pletete se. Pro útočníka jste jen další bod v botnetu, který může být použit k destabilizaci celého regionu.

Závěr: Poslední varování

Doba bezpečné izolace skončila. Každý kabel, každý bezdrátový modul je bránou, kterou může někdo vstoupit do vašeho fyzického prostoru. Hesla v prostém textu na Edge zařízeních jsou jen vrcholkem ledovce. Pod hladinou se skrývají tisíce neopatchovaných ICS systémů, které čekají na svůj osudný příkaz.

Otázka už nezní "jestli" budeme čelit velkému útoku na českou energetiku, ale "kdy". A až ten moment přijde, rozhodne jen to, zda jsme dali přednost pohodlí, nebo jsme se drželi striktních pravidel, která nám dnes připadají otravná. Možná je čas odpojit ten střídač od veřejné IP adresy a konečně si přečíst doporučení NUKIBu. Zítra už může být pozdě.