Jak to funguje: špionáž zadními vrátky
Princip je až děsivě jednoduchý a využívá funkci, kterou komunikační služby původně zavedly pro pohodlí uživatelů: párování dalších zařízení (například přes WhatsApp Web). Stačí, aby někdo získal fyzický přístup k vašemu odemčenému chytrému telefonu na pouhých pár sekund, a může pomocí QR kódu nebo potvrzovacího kódu zaslaného SMS propojit s vaším účtem další zařízení – třeba počítač nebo tablet. Vyšetřovací orgány tuto taktiku už využívají při výsleších, když jim lidé dobrovolně předají své telefony. Nebezpečí ale nehrozí jen ze strany státu: i žárlivý partner večer na pohovce nebo šéf v kanceláři může využít chvilky nepozornosti k rychlému skrytému spárování, takzvanému „ghost pairingu“. Takové propojení může mít závažné následky:
- Sledování v reálném čase: Útočník vidí každou novou zprávu, kterou odešlete nebo přijmete, ve stejnou chvíli na své vlastní obrazovce.
- Synchronizace starších konverzací: V závislosti na konkrétní komunikační službě se při spárování do zařízení třetí osoby stáhne i dosavadní historie konverzací.
- Nenápadná manipulace: Propojené zařízení umožňuje nejen pasivně číst zprávy, ale často také psát a odesílat zprávy z vašeho účtu. V případě sporu tak lze zcela zkreslit důkazní hodnotu konverzací.
Proč zde šifrování selhává
Proti této metodě nepomůže ani sebelepší koncové šifrování. Systém nepovažuje zařízení útočníka za neoprávněnou třetí stranu, ale za oficiální druhý komunikační kanál, který jste sami schválili. Ochranný mechanismus tedy není prolomen, ale jednoduše obejit povoleným způsobem. Tuto praktiku sice odhalíte, jakmile v nastavení aplikace zkontrolujete aktivní relace, ale ruku na srdce: kdo tento seznam kontroluje každý den? Právě na to slídilové spoléhají. Tajného čtenáře zpráv si lidé často všimnou až po hodinách, dnech, nebo dokonce týdnech.
Riziko pro firmy: stínové IT a průmyslová špionáž
Ve firemním prostředí je tento problém ještě mnohem závažnější. Pokud si zaměstnanci vyměňují interní firemní informace, údaje o zákaznících nebo podrobnosti o projektech prostřednictvím soukromých či nedostatečně zabezpečených komunikačních aplikací, hrozí firmám rozsáhlé úniky dat:
- Únik obchodního tajemství: Přes nepozorovaně spárované zařízení se mohou citlivé informace z interních domluv dostat přímo ke konkurenci nebo neoprávněným třetím stranám.
- Porušení pravidel compliance a GDPR: Nešifrovaná synchronizace firemních chatů do soukromých zařízení třetích osob porušuje platná pravidla ochrany osobních údajů a může mít pro firmy nákladné právní důsledky.
Jak se účinně chránit
(Bezpečnostní pravidla pro každý den)
Jako váš IT partner firmám i jednotlivcům důrazně doporučujeme, aby si osvojili následující bezpečnostní pravidla a důsledně je dodržovali v každodenním životě:
- Pravidelně kontrolujte propojená zařízení: V nastavení svých aplikací (WhatsApp, Telegram, Signal) se podívejte do sekce „Propojená zařízení“ nebo „Relace“. Okamžitě odeberte každé zařízení, u kterého si nejste zcela jisti, že jste ho sami přidali.
- Chraňte telefon zámkem obrazovky: Nikdy nenechávejte svůj chytrý telefon odemčený a bez dozoru – doma ani na pracovišti. Používejte bezpečné kódy PIN, Face-ID nebo odemykání otiskem prstu.
- Aktivujte zámek aplikace: Řada chatovacích aplikací nabízí v nastavení soukromí možnost zabezpečit samotnou aplikaci ještě samostatným kódem nebo biometrickým ověřením. Zapněte tuto funkci!
- Pozor na kódy v SMS: Nikdy nikomu nesdělujte ověřovací kódy, které vám přijdou v SMS, a dávejte pozor, aby vám nikdo nenahlížel na displej.
- Jasná pravidla pro používání chatovacích aplikací ve firmě: Pro firemní komunikaci používejte výhradně specializované firemní chatovací aplikace schválené poskytovatelem IT služeb a zakažte přenos firemních dat přes chatovací aplikace určené čistě pro soukromé použití.
Ochrana digitálního soukromí začíná obezřetným zacházením se zařízeními. Pokud potřebujete pomoc se zabezpečením firemní komunikace nebo s nastavením bezpečných komunikačních kanálů pro své zaměstnance, jako poskytovatel IT služeb vám kdykoli rádi poradíme.
Pište sem…