AI našla vážnu chybu v technológii, na ktorej stojí veľká časť webu. Rovnaký trik môžu použiť aj hackeri

Umelá inteligencia priniesla do kybernetickej bezpečnosti zásadnú zmenu. Bezpečnostní výskumníci vďaka nej odhalili vážne chyby v softvéri, ktorý tvorí základ veľkej časti internetu. Problém však spočíva v tom, že rovnaké nástroje môžu zneužiť aj hackeri. Tí tak získali ďalšiu možnosť, ako rýchlo nájsť slabé miesta webových stránok a dostať sa k citlivým údajom.

Jedným z najnovších príkladov sa stala bezpečnostná zraniteľnosť s názvom PHP2Shell. Výskumníci ju odhalili pomocou nástrojov umelej inteligencie od spoločností OpenAI a Google. Chyby sa týkajú programovacieho jazyka PHP, ktorý podľa odhadov poháňa približne 70 percent webových stránok. Ak útočník zneužije podobnú chybu, môže získať údaje zo stránky alebo na nej spustiť vlastný škodlivý kód. Z dôveryhodného webu sa tak môže stať nástroj na krádež osobných údajov a návštevník pritom nemusí vopred spoznať, že stránka padla do nesprávnych rúk, informuje Washington Post.

PHP2Shell ukázal, aký veľký problém môžu predstavovať staré chyby

Zraniteľnosť PHP2Shell pozostáva z dvoch bezpečnostných nedostatkov. Útočník ich dokáže zneužiť na získanie údajov zo servera a spustenie vlastného kódu. V praxi tak môže prevziať kontrolu nad časťou napadnutého systému a zneužiť jeho funkcie na ďalšie škodlivé činnosti. Americká Agentúra pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry (CISA) závažnosť problému potvrdila vo svojom upozornení. Prevádzkovateľom webových stránok odporučila okamžitú inštaláciu bezpečnostnej opravy, pričom prednosť majú systémy prístupné cez internet. Ak správca nedokáže chybu odstrániť, mal by príslušný systém dočasne odstaviť.

Ak si si na niektorých stránkach všimol upozornenie na údržbu alebo nedostupnosť určitých funkcií, za podobnými obmedzeniami môže stáť aj snaha prevádzkovateľov zabrániť zneužitiu zraniteľnosti. Problém pripomína obavy z roku 2000, keď sa svet pripravoval na možné chyby počítačových systémov pri prechode do nového tisícročia. Rozdiel spočíva v tom, že pri PHP2Shell sa problém dostal do centra pozornosti náhle a prevádzkovatelia webov museli konať bez zbytočného odkladu.

Čo môžeš urobiť, aby útok neohrozil všetky tvoje účty?

Nemusíš sám kontrolovať bezpečnosť každej webovej stránky, ktorú navštíviš. Následky prípadného úniku údajov však vieš výrazne obmedziť niekoľkými základnými opatreniami. Ed Skoudis, prezident organizácie SANS Institute, upozorňuje, že najdôležitejšiu úlohu zohrávajú dlhodobo dodržiavané bezpečnostné návyky.

Súvisí s tým

Bezpečnostní experti varujú pred novou vlnou podvodných hovorov. Takto sa snažia oklamať Slovákov a pripraviť ich o peniaze

„Najdôležitejšie je neustále dodržiavať zásady bezpečného používania internetu, namiesto toho, aby si začal konať až vtedy, keď sa v správach objaví veľká bezpečnostná chyba,“ vysvetlil.

V prvom rade nikdy nepoužívaj rovnaké heslo vo viacerých službách. Ak útočník získa prihlasovacie údaje z jednej napadnutej stránky, môže ich vyskúšať aj na ďalších službách. Jedno uniknuté heslo by tak mohlo ohroziť tvoju e-mailovú schránku, sociálne siete aj internetové bankovníctvo.

S tým súvisí aj používanie správcu hesiel. Takýto nástroj za teba vytvorí silné a jedinečné heslá, bezpečne ich uloží a upozorní ťa na opakované použitie rovnakých prihlasovacích údajov. Nemusíš si tak pamätať desiatky komplikovaných kombinácií. Pomôže aj dvojfaktorové overenie. Pri prihlásení si služba okrem hesla vyžiada aj druhý dôkaz totožnosti, napríklad potvrdenie v aplikácii alebo jednorazový kód. Samotné ukradnuté heslo tak útočníkovi nemusí stačiť na prevzatie účtu.

Ak služba ponúka prístupové kľúče, známe aj ako passkeys, môžeš ich použiť namiesto klasického hesla. Overenie prebieha prostredníctvom zariadenia, biometrie alebo jeho zabezpečenia. Prístupové kľúče zároveň výrazne obmedzujú riziko phishingových útokov, pri ktorých sa podvodníci pokúšajú vylákať prihlasovacie údaje.

Bezpečnostné opravy systému, prehliadača, aplikácií a ďalšieho softvéru inštaluj čo najskôr. Ideálne je zapnúť automatické aktualizácie, aby si na ne nemusel neustále myslieť.

Madeline Lawrence, spoluzakladateľka bezpečnostnej spoločnosti Aikido, upozorňuje aj na ďalšie riziko. Útočníci môžu ukradnuté osobné údaje zneužiť na prípravu presvedčivejších podvodov.

„Vždy si over nečakané požiadavky prostredníctvom oficiálnych kanálov. Oznámenia o úniku údajov ber vážne a riaď sa pokynmi príslušnej služby,“ odporučila.

Umelá inteligencia môže situáciu ešte zhoršiť

PHP2Shell pravdepodobne nepredstavuje posledný prípad, keď výskumníci odhalia závažné chyby s pomocou umelej inteligencie. Bezpečnostné modely dokážu rýchlo preskúmať rôzne možnosti zneužitia softvéru, otestovať ich a nájsť slabé miesta, ktoré vývojárom unikali celé roky. Takéto nástroje však nemajú k dispozícii iba bezpečnostní experti. Rovnaké možnosti môžu využiť aj útočníci, ktorí hľadajú cestu k cudzím údajom alebo systémom. Výsledkom môže byť väčší počet odhalených zraniteľností a kratší čas medzi ich objavením a pokusom o zneužitie. Skoudis preto očakáva, že situácia sa v blízkom období ešte zhorší.

„Veci sa najskôr výrazne zhoršia, až potom sa začnú zlepšovať. Umelá inteligencia odhaľuje existujúce zraniteľnosti novou rýchlosťou, v novom rozsahu a s vážnejšími následkami,“ varoval.

Svoju úlohu zohráva aj takzvaný vibe coding, teda tvorba aplikácií s výraznou pomocou umelej inteligencie. Ak vývojár bez dostatočných skúseností prijme vygenerovaný kód bez dôkladnej kontroly, výsledná aplikácia môže obsahovať vážne bezpečnostné nedostatky.

Umelá inteligencia zároveň dokáže pomôcť aj pri odstraňovaní chýb a predchádzaní podobným problémom v budúcnosti. Lawrence v tom vidí dôvod na optimizmus.

„Najviac ma povzbudzuje potenciál umelej inteligencie pomáhať nám odhaľovať zraniteľnosti, opravovať ich a predchádzať opakovaniu rovnakých chýb,“ uviedla.

Bezpečnosť internetu síce nemáš vo vlastných rukách, no môžeš zariadiť, aby únik hesla alebo napadnutie jednej služby automaticky neohrozili všetky tvoje ostatné účty.