3 miliardy ukradených účtů a benzín pro půlku USA: 25 největších kyberútoků v historii ukazuje, jak málo stačí

Jeden zapomenutý VPN účet bez dvoufázového ověření dokázal zastavit dodávky paliv pro celé východní pobřeží Spojených států.

Zdroj fotografie: Pexels

Když Cybersecurity Ventures společně s Yahoo! Finance sestavily žebříček 25 největších kyberútoků v historii, neměřily jen počet ukradených záznamů. Kritéria zahrnují objem kompromitovaných dat, finanční škody, provozní výpadek, geopolitický dopad i novost použité metody. Výsledný seznam sahá od viru Melissa z roku 1999 až po útok na Change Healthcare v roce 2024, a ukazuje jednu nepříjemnou konstantu: největší historické škody nespouští žádná „superzbraň“, ale běžná slabina v široce nasazeném systému.

Tři miliardy účtů: co se stalo v Yahoo

V srpnu 2013 se útočníci dostali do uživatelské databáze Yahoo a odnesli záznamy všech tehdy existujících účtů, přibližně tří miliard po celém světě. Jména, e-maily, telefonní čísla, data narození, hashovaná hesla, bezpečnostní otázky i odpovědi. Podle oficiálního FAQ k vyrovnání šlo o kompletní zásah: nikoli výběr, nikoli vzorek, ale celá databáze. Český počet zasažených uživatelů nikdy zveřejněn nebyl, ale platí jednoduchý filtr: kdo měl v té době účet u Yahoo, mohl být mezi nimi.

Rozsah je těžko představitelný. Tři miliardy záznamů znamenají, že v okamžiku útoku šlo zhruba o každého třetího uživatele internetu na planetě. A přesto Yahoo incident veřejně přiznal až o tři roky později, v prosinci 2016.

Benzín pro východní pobřeží: šest dnů bez Colonial Pipeline

7. května 2021 ransomware zastavil provoz Colonial Pipeline, potrubí dlouhého zhruba 8 850 kilometrů, které denně přepravovalo kolem 2,5 milionu barelů paliv z pobřeží Mexického zálivu na východní pobřeží USA. Potrubí neodstavili hackeři přímo. Firma to udělala sama, preventivně, protože nedokázala zaručit integritu svých systémů. Efekt byl okamžitý: regionální tlak na zásoby, panické tankování, nouzové výjimky federální vlády a přesměrování dopravy paliv.

Podle amerického ministerstva energetiky provoz obnovili až 13. května. Šest dnů. A vstupní brána? Na senátním slyšení CEO Joseph Blount potvrdil, že útočníci pronikli přes starý VPN účet chráněný jen heslem, bez vícefaktorového ověření. Jeden zapomenutý přístupový bod, jedna chybějící vrstva ochrany.

Jak málo stačí: tři slabiny, tři katastrofy

Colonial Pipeline není výjimka. Je to vzorec. Podívejme se na trojici konkrétních slabin, které stojí za třemi různými útoky ze seznamu:

• Colonial Pipeline (2021): Starý VPN účet s jednofaktorovým přihlášením. Žádné MFA, žádný monitoring neobvyklého přístupu.
• WannaCry (2017): Zneužití kritické zranitelnosti v protokolu SMBv1. Microsoft vydal opravu (bulletin MS17-010) už v březnu 2017, dva měsíce před útokem. Stovky tisíc počítačů ve 150 zemích ji neměly nainstalovanou.
• MOVEit (2023): SQL injection v široce nasazeném nástroji pro přenos souborů. Jedna serverová chyba, stovky zasažených organizací, miliony vynesených záznamů.

Žádný z těchto útoků nevyžadoval průlomovou technologii. Stačila jedna neopravená komponenta, jeden účet bez MFA, jedna vstupní brána, o které nikdo nevěděl, nebo o ní věděl, ale neřešil ji.

Od makra v e-mailu po dodavatelský řetězec: jak se útoky proměnily

Seznam začíná rokem 1999 a virem Melissa. Nakažený wordový dokument spustil makro, převzal Outlook a rozeslal se prvním padesáti kontaktům v adresáři. Šíření záviselo na tom, že uživatel otevře přílohu. O čtvrt století později MOVEit nebo SolarWinds fungují úplně jinak: útočník zasáhne jednoho dodavatele softwaru a přes něj se dostane k tisícům organizací najednou. Uživatel nemusí kliknout na nic.

Celý žebříček, od Stuxnetu přes NotPetya, Equifax, útok na americký Úřad pro personální řízení (OPM) až po Change Healthcare v roce 2024, dokumentuje posun od „otevři přílohu“ k „jeden vendor, mnoho obětí“. A tempo se zrychluje. NÚKIB v červnu 2026 varoval, že nové AI modely dokážou autonomně vyhledávat a řetězit zranitelnosti, čímž se dramaticky zkracuje čas mezi objevem chyby a jejím zneužitím.

Česko není mimo dosah

Kdo by si myslel, že se ho to netýká, mýlí se. NÚKIB v roce 2023 evidoval 262 kybernetických incidentů, meziročně o 80 procent více. Česko patřilo mezi evropské státy silně zasažené kampaněmi ruskojazyčných aktérů. Už v roce 2020, po odhalení kompromitace SolarWinds, vydal NÚKIB reaktivní opatření nařizující okamžité aktualizace a audit u regulovaných subjektů. U těch tehdy nebyl hlášen případ kompromitace, ale to neznamená, že příště budeme mít stejné štěstí.

Nový zákon implementující evropskou směrnici NIS2 má doplnit chybějící mechanismus prověřování dodavatelského řetězce u nejkritičtější infrastruktury. Nástroje se zlepšují, regulace přibývá. Jenže stejným tempem roste závislost na softwaru a centrálních poskytovatelích služeb, a s ní i plocha, kterou lze zasáhnout.

Co může udělat každý hned teď? Unikátní heslo pro každý účet. Vícefaktorové ověření všude, kde to jde, především na e-mailu. Automatické aktualizace. A neotevírat neočekávané přílohy. Zní to banálně. Ale Colonial Pipeline padl kvůli jednomu heslu bez MFA a WannaCry se rozšířil kvůli jedné nenainstalované záplatě. Kontrolu, zda vaše data už někde neunikla, nabízí služba Have I Been Pwned: stačí zadat e-mail.

Největší kyberútoky v historii nespojuje sofistikovanost. Spojuje je to, že někdo nechal otevřené dveře, o kterých si myslel, že na nich nezáleží.