Je to celkem jednoduché. Pokud třeba prodáváte něco ze svého majetku na internetu, může se stát, že vám na vaši nabídku přijde odpověď od zájemce s odkazem na doručovací službu. Tam má stačit vyplnit údaje včetně těch z vaší karty a zaplatit poštovné. Tady byste měli zpozornět, protože pravděpodobně jde ve skutečnosti o léčku, kterou chtějí podvodníci získat přístup k vašim penězům. Tento a podobné scénáře poukazují na asi nejslabší článek kyberbezpečnosti – totiž lidi.
Podvody podobného rázu jsou denním chlebem i pro českou společnost Trask, která díky více než tisícovce zaměstnanců dodává komplexní IT řešení do firem ze široké palety segmentů. Její bezpečnostní konzultanti Martin Bareš, Tomáš Sýkora a Jan Zmítko byli hosty dalšího TechCastu, technologického podcastu od CzechCrunche. Přehrát si jej můžete na odkazu níže.
Trask se věnuje především zabezpečení firemních infrastruktur, nicméně ani do nich se hackeři nedostávají složitým kódováním nebo rozšifrováváním hesel, ale právě na základě lidské nepozornosti. „Principiálně není žádný rozdíl v tom, jak se na kyberbezpečnost dívá firma nebo jednotlivec. Rozdíl je v dopadu. Když někdo hackne e-mail nebo bankovní účet, tak se bavíme o škodách v rámci statisíců či milionů. Jenže u firem se jedná o miliardy,“ vysvětluje Zmítko.
V osobní rovině podvodníci zkouší ledacos – SMS s tím, že „váš balík je na cestě“, nebo urgentní hovor od „bankovního poradce“ s tím, že se do vašeho účtu v bance nabourali útočníci a vy musíte své finance okamžitě vybrat a strčit je do bitcoinmatu. Jakkoliv se může zdát neskutečné, že na takové podvody někdo skočí, podobné případy se i v Česku počítají v tisícovkách.
Společně by se tyto útoky daly shrnout pod pojem phishing a jejich cílem je téměř vždy získat peníze. Na firemním poli je situace o něco složitější. „Nejvíc viditelné jsou takzvané DDoS útoky, které se snaží zahltit službu a odstavit ji. To se dělá přes různé boty, které ovládají kvanta počítačů. Daleko horší jsou ale útoky, co nejsou tak viditelné, hacker se do sítě dostává neviditelně. Je složité ho odhalit a firmy na to, že tam byl, mohou přijít klidně po půl roce, aniž by tušily, co hacker napáchal,“ vysvětluje Sýkora.
Základem podobných akcí přitom nebývá nic složitějšího než prostá manipulace, nejčastěji pomocí phishingového e-mailu. V lepším případě se útočník dostane třeba na firemní sociální sítě. V tom horším ale může získat přístup do celkové digitální identity důležitého zaměstnance, díky čemuž dokáže napáchat na firemní síti nebývalé škody – může totiž celý IT systém paralyzovat a tím prakticky znemožnit fungování dané instituce. To byl ostatně i případ některých českých nemocnic.
Firmy tak často samy své zaměstnance zkouší a úmyslně vytvářejí interní phishingové kampaně, jež mají především edukativní účel. Někteří si dokáží vymyslet i to, že zaměstnancům, kteří se na první phishingový útok nenachytají, pošlou druhý e-mail s odkazem na „odměnu“, což je ve skutečnosti další phishingový útok.
Pakliže už zaměstnanec phishingový e-mail odhalí, důležité je to oznámit. Experti z Trasku zmiňují jako příklad případ nejmenované globální firmy, jejíž zaměstnanec dostal phishingový e-mail, a ačkoliv si po vyplnění klíčových údajů uvědomil, že se nachytal, věc neohlásil svým nadřízeným. Výsledkem bylo, že hackeři se dva měsíce pohybovali nepozorovaně po síti, zkoušeli se probourat dále, až se jim to skutečně povedlo. Dostali se do klíčového databázového adresáře a jednoho dne vypustili na celý systém ransomware, který veškerá data společnosti zahesloval. Firma se tak v mžiku nemohla dostat k čemukoliv, co by jí umožňovalo práci.
Experti Trasku se tak shodují na jedné zásadní poučce, která může podobným malérům zabránit – nikomu v online prostředí nevěřit (takzvaná zero trust metodika) a především nepostupovat automaticky a vždy přemýšlet, na co klikáme. Jen tak můžeme být podle nich imunní vůči stále důmyslnějším podvodům.
Služba Podpisovna nabízí důvěryhodné online podpisy
Sdílet
Potřeba digitalizace a méně papírování – dvě témata, která se v poslední době často skloňují. Cestu, jak toho dosáhnout, ukazuje mimo jiné služba Podpisovna, která zpřístupňuje důvěryhodné online podpisy firmám, jednotlivcům i veřejným institucím. S pomocí BankID nebo MojeID přes ni lze snadno, na pár kliků a bez osobního setkání podepsat třeba objednávku zboží, nájemní smlouvu nebo pracovní dokumenty. „Online podepisování v Podpisovně šetří čas i peníze realitním a právním kancelářím, HR pracovníkům nebo třeba e-shopům,“ říká spoluzakladatel projektu Michal Bočan.
Firmy to často neví, ale online podpis je podle české legislativy stejně validní jako klasický podpis rukou na papír. Aby však obě strany měly jistotu, že dokument podepisují ty osoby, které ho podepsat mají, je potřeba řádně ověřit identitu podepisujících. Nástroje, na které sází Podpisovna, tedy BankID, MojeID či Identita občana, představují v tomto směru vrchol, na rozdíl od ověřování prostřednictvím esemesek či e-mailů.
„Online identifikace osob pomocí SMS je poměrně diskutabilní. Pokud chcete mít jistotu identity podepisujících, je ověření přes SMS nedostatečné. Sami můžete vidět, že i banky po celém světě přestávají ve svých systémech SMS používat. To je jednoznačný důkaz jejich problematičnosti,“ vysvětluje Bočan, který je jednatelem společnosti EzConvey, jež za Podpisovnou stojí.
Digitální podepisování se přitom dá využít jak pro fyzické osoby, třeba na stvrzení smlouvy, když někdo pronajímá byt, tak pro byznysy. A to v podstatě všech velikostí – základní idea pro vznik služby byla ušetřit firmám peníze i čas, aby nebylo třeba běhat na poštu, dávat razítka, scházet se… „Když si firma spočítá výdaje za tisk, posílání dokumentů poštou nebo ježdění za klienty, brzy zjistí, že jí online podepisování ušetří spoustu peněz,“ upřesňuje Michal Bočan.
Foto: EzConvey
Michal Bočan, zakladatel Podpisovny
V rozhovoru pro CzechCrunch spolumajitel společnosti EzConvey dále vysvětluje, jak Podpisovna funguje, proč ji se svými partnery založil, jak ji mohou využít fyzické osoby a jak právnické osoby nebo na kolik v průměru tato služba vyjde peněz.
Pojďme to vzít od ryze praktické ukázky. Řeším právě nájemní smlouvu v bytě. Pochopil jsem a cvičně si to i zkusil, že můžu přes Podpisovnu podepsat nájemní smlouvu online, aniž bych se viděl s nájemnicí, že? Ano, je to tak. Pokud použijete Podpisovnu, máte prakticky stoprocentní jistotu, že člověk, který s vámi nájemní smlouvu podepisuje, je skutečně ten, za kterého se vydává. Naše aplikace totiž ověřuje totožnost spolehlivě pomocí BankID, MojeID nebo Identity občana. Takže když v Podpisovně podepíšete dokument online a ověříte identitu podepisujících, záznamy o jejich identifikaci zůstanou také u státem regulované instituce. V případě soudního sporu je pak možné tyto záznamy využít.
A je nějak definované, co se dá podepsat online a co musí být podepsané osobně? Podepsat online je možné jakýkoliv dokument. Málo se ví, že v našem právním řádu je integrováno něco, čemu se obecně říká „zákaz diskriminace datového dokumentu a podpisu“. To zjednodušeně řečeno znamená, že nemusíte dokumenty podepisovat jen rukou na papír, ale i online přes podpisovou aplikaci, jako je například naše Podpisovna.
Neliší se ani to, co mohou podepsat online fyzické osoby a co právnické osoby? Za právnickou osobu jednají vždy fyzické osoby, ať už členové statutárních orgánů, nebo jiné pověřené osoby. Takže i za právnickou osobu je možné podepsat jakýkoliv dokument online. Je ale potřeba dodat, že existují specifické situace, kdy je nutné k podpisu použít například kvalifikovaný certifikát, případně i speciální proces doručení dokumentu. Takových situací je relativně málo, ale existují. Týká se to například úkonů ve vztahu k orgánům veřejné moci nebo úkonů v oblasti pracovního práva.
Také uchování a archivaci dokumentu (pečetěním a použitím časového razítka) je vhodné věnovat náležitou péči tak, aby byl dokument validní třeba i za sto let. V dnešní době je to levné a snadné, zapečetit dokument umí i Podpisovna.
Málo se ví, že v našem právním řádu je integrováno něco, čemu se obecně říká „zákaz diskriminace datového dokumentu a podpisu“.
Takže online podpis přes Podpisovnu se hodí skoro na všechno?
Náš online podpis se hodí pro všechny situace, kdy potřebujete s jistotou vědět, kdo dokument podepisuje. Firmy i běžní lidé mohou v Podpisovně podepisovat nájemní smlouvy, objednávky zboží, účetní doklady, pracovní dokumenty nebo třeba rezervační smlouvy a smlouvy o dílo. I proto naše aplikace usnadňuje práci a šetří peníze například realitním kancelářím, personálním pracovníkům, ale také živnostníkům, kteří se zákazníky často podepisují objednávky nebo dohody o mlčenlivosti.
Jak vaše služba vlastně funguje, když ji chce nějaká firma začít využívat? A kolik služba stojí? Podpisovna je typickým představitelem cloudových služeb typu SaaS (software jako služba, pozn. redakce). Znamená to, že firma nemusí investovat do hardwaru ani softwaru, Podpisovnu zákazníkovi připravíme na míru, rychle a tak, aby ji mohl rovnou začít používat. Podepisovat dokumenty online pak mohou klidně všichni lidé napříč firmou.
Cena firemního řešení se odvíjí od rozsahu služeb. Jedná se o nižší desítky tisíc korun za připojení aplikace, samotné online podepisování pak vyjde na jednotky tisíc měsíčně, v závislosti na počtech podepisovaných dokumentů. Když si firma spočítá výdaje za tisk, posílání dokumentů poštou nebo ježdění za klienty, brzy zjistí, že jí online podepisování ušetří spoustu peněz. Podpisovna navíc šetří i čas, protože zrychluje firemní procesy až o 36 procent. Podpisovnu si může kdokoliv zdarma vyzkoušet na našem webu.
Všiml jsem si, že Podpisovna umí ověřit totožnost osob i pro účely AML zákona, tedy zákona proti praní špinavých peněz. To bude určitě zajímat především realitní kanceláře a další firmy, které musí plnit takzvané AML povinnosti. Ano, výhodou Podpisovny je, že dokáže ověřit totožnost osob na nejvyšší úrovni všemi dostupnými prostředky. Firmy díky tomu snadno splní zákonné AML povinnosti online formou, bez fyzické přítomnosti jednotlivých lidí. Jako příklad bych uvedl firmu Roklen, která náš systém pro tyto účely využívá již několik měsíců. Subjekty, na které se AML zákon vztahuje, mají každopádně jednu velkou výhodu – k ověřování identity klientů mohou využívat informace ze státních registrů, prostřednictvím systému NIA, přičemž tato služba je pro ně zdarma.
Foto: Podpisovna
Náhled služby Podpisovna
Při online podepisování se lze často setkat s ověřováním identity podepisujících přes SMS. V čem je to jiné než ověření identity pomocí BankID a MojeID? Online identifikace osob pomocí SMS je poměrně diskutabilní. Pokud chcete mít jistotu identity podepisujících, je ověření přes SMS nedostatečné. Sami můžete vidět, že i banky po celém světě přestávají ve svých systémech SMS používat. To je jednoznačný důkaz jejich problematičnosti.
Představte si, že vám druhá strana při online komunikaci tvrdí, že vlastní určité telefonní číslo a že zrovna v určitém momentu má telefon s tímto číslem pod svou kontrolou. Ale jak chcete v budoucnu dokázat, že mobil držel v ruce opravdu tento člověk? Můžete jít za mobilním operátorem, ale ten vám řekne, že číslo bylo anonymní. A i kdyby ne, tak těžko potvrdí, kdo v danou dobu s telefonním číslem operoval.
Identitní prostředky typu BankID nebo MojeID jsou pevně ukotveny zákonem a jejich záznamy mají násobně větší důkazní hodnotu než informace telefonních operátorů. Proto jsme se v Podpisovně rozhodli pracovat jen s ověřováním totožnosti pomocí BankID, MojeID nebo Identity občana.
Podepsat online je možné jakýkoliv dokument. Málo se ví, že v našem právním řádu je integrováno něco, čemu se obecně říká zákaz diskriminace datového dokumentu a podpisu.
Když dokument podepíšeme online, jak jej potom doložit třeba úřadům? Nestane se, že jej budou chtít fyzicky? Pokud splníte zákonné požadavky na podpisy a archivaci, musí úřadům stačit digitální dokument. Kdyby po vás chtěly papírovou verzi, můžete se odvolat na zákazy diskriminace. Ty jsou upraveny v nařízení Evropské unie známém pod zkratkou eIDAS v článcích 46 a 25 odst.1.
Jak jsou na tom české firmy? Jsou dostatečně digitální a využívají online podepisování? Ano i ne, záleží na úhlu pohledu a na tom, s kým české firmy porovnáváme. Pokud jde například o tradiční země EU, tak tam bych řekl, že jsme na tom poměrně slušně. V porovnáním například se severskými zeměmi, pobaltskými státy a některými asijskými „tygry“ to zase tak slavné není.
Je to záležitost práva, kultury, historie i technologického pokroku. Problematika online podepisování se stává aktuální hlavně v poslední době, kdy se více mluví o datových schránkách, identitních prostředcích nebo o evropské digitální občance. Předpokládáme, že tento obor projde v následujících měsících a letech prudkým vývojem a dojde k razantním změnám v přístupu firem, lidí i veřejnoprávních institucí.
Mimochodem, jak vlastně Podpisovna vznikla? Původně jsme s Podpisovnou počítali jako se službou pro bezpečné ověřování identity online. Nakonec se ale ukázalo, že online podepisování je perspektivní obor a že jiné podpisové aplikace v Česku nejsou dostatečné. Buď nabízí složité procesy s využitím kvalifikovaných certifikátů, které jsou k běžnému uživateli poměrně nepřátelské, nebo naopak řeší ověřeni identity nespolehlivě pomocí SMS nebo potvrzovacích e-mailů. A tak jsme si řekli, že vytvoříme službu, která bude vstřícná k uživateli a zároveň bezpečná z hlediska ověřitelnosti a práva.
Pomocí cookies ukládáme vaše nastavení a preferencí, analýze návštěvnosti našich stránek, zprostředkování funkcí sociálních médií a k personalizaci obsahu … Číst dále
Pomocí cookies ukládáme vaše nastavení a preferencí, analýze návštěvnosti našich stránek, zprostředkování funkcí sociálních médií a k personalizaci obsahu. Informace o užívání našich stránek také dále sdílíme s našimi obchodními partnery z oblasti sociálních médií, reklamy a analytiky. Za tyto webové stránky a soubory cookies odpovídá CzechCrunch s.r.o. Více informací naleznete na následujícím odkazu.
Nastavit preferované cookies
Vždy, když navštěvujete jakoukoliv webovou stránku, stránka může ukládat nebo získávat informace z vašeho prohlížeče, zejména formou souborů cookies. Tyto informace se mohou týkat vás, vašich preferencí nebo vašeho zařízení a jsou užívány převážně k zajištění vámi očekávaného chodu stránek. Takto získané informace vás obvykle přímo neidentifikují, ale mohou vám zprostředkovat personalizovanější zkušenost při užívání našich stránek. Protože respektujeme vaše právo na soukromí, můžete zakázat některé druhy cookies, které nejsou k využívání našich stránek nezbytné. Pokud se však rozhodnete některé cookies zakázat, může mít tento krok vliv na vaši uživatelskou zkušenost stránek a námi nabízené služby. Aktivací níže uvedených souborů cookies vyjadřujete souhlas s tím, že vaše osobní údaje mohou být převedeny do třetích zemí. Více informací naleznete na následujícím odkazu.
Možnosti předvolby jednotlivých cookies
Naprosto nezbytné cookies
Nezbytné cookies zajišťují klíčové funkce webových stránek jako jsou zabezpečení, správa sítě, přístupnost a základní statistiky o návštěvnících, takže není možné je vypnout. Prohlížeč můžete nastavit tak, aby blokoval soubory cookie nebo o nich posílal upozornění (tato skutečnost však může mít vliv na fungování stránek).
Pokročilé analytické funkce
Nástroje třetích stran, které nám umožňují zlepšovat fungování webových stránek pomocí zasílání zpráv o tom, jaký způsobem stránky užíváte. Tyto cookies však shromažďují údaje způsobem, který nikoho přímo neidentifikuje. Pokud tyto cookies nepovolíte, nebudeme vědět, kdy jste navštívili naši stránku.
Funkce a preference
Funkční a preferenční cookies umožňují použití pokročilého webového obsahu a pokročilých funkcí a zároveň nám také umožňují ukládat vaše nastavení a preference.
Cílené soubory cookies
Díky těmto cookies vám můžeme zobrazovat personalizované nabídky, obsah, jakož i reklamní obsah, na základě vašich zájmů na našich webových stránkách, na stránkách třetích stran a na sociálních médiích. Neukládají ale vaše osobní informace přímo, nýbrž přes jedinečné identifikátory prohlížeče a internetového zařízení. Pokud je nepovolíte, bude se vám zobrazovat na stránkách méně cílená reklama.
