Neútočí na vás. Útočí na to, co jste nechali otevřené

Kyberbezpečnost · 31. 8. 2026

Co znamená varování BIS o kamerách, kotlích a čerpadlech pro malou firmu a ordinaci

Když se řekne „ruský kybernetický útok“, většina lidí si představí elektrárnu, ministerstvo nebo banku. Výroční zpráva Bezpečnostní informační služby za rok 2025 ale popisuje něco mnohem přízemnějšího — a proto znepokojivějšího. Terčem jsou IP kamery, kotle a čerpadla. Včetně těch v obyčejných domácnostech a malých provozech.

To zní jako kuriozita. Není. Je to popis toho, jak dnes velká část útoků reálně funguje.

Co přesně BIS napsala

Podle zprávy provádějí aktéři napojení na ruský stát „oportunistické útoky na nezabezpečené nebo neadekvátně zabezpečené lokální technické provozy, kdy útočník mění parametry systému (například čerpadel, kotlů a podobně)“. Jmenovitě zmiňuje také IP kamery, včetně kamer umístěných v domácnostech.

Zpráva zároveň upřesňuje něco, co se v médiích běžně zjednodušuje: ruští „hacktivisté“ nejsou spontánně vzniklé skupiny nadšenců. Mají vazbu na stát. Jejich obvyklou činností jsou málo sofistikované útoky typu DDoS, které se opakují od roku 2022 — ale útoky na technologie budov jsou jiná kategorie.

Vedle Ruska zpráva popisuje i zesilující aktivitu Číny v kyberprostoru, zaměřenou spíš na zpravodajskou práci a ovlivňování než na technické provozy.

Rozdíl v dopadech stojí za zapamatování: v Česku útoky na tato zařízení podle dostupných informací vedly k automatickému bezpečnostnímu odstavení systémů. V zahraničí došlo v obdobných případech i k fyzickému poškození zařízení.

Klíčové slovo je „oportunistický“

Tohle je jádro celého článku a zároveň věc, kterou si drtivá většina malých provozů neuvědomuje.

Oportunistický útok neznamená, že si někdo vybral vaši ordinaci, váš penzion nebo vaši dílnu. Znamená, že někdo prohledal internet a našel zařízení, které je odtud dostupné a špatně zabezpečené. Vaše jméno se dozví až potom — pokud vůbec.

Existují veřejné vyhledávače připojených zařízení, kde se dá během několika sekund najít seznam kamerových rekordérů nebo řídicích jednotek dostupných z internetu, včetně země, města a typu zařízení. Útočník nepotřebuje vědět, komu patří. Stačí mu, že odpovídají.

Z toho plyne nepříjemný závěr: „my nikoho nezajímáme“ není obrana. Zajímavost cíle v této rovnici nefiguruje vůbec.

Proč zrovna kamery a technologie budov

Protože je to nejhůř hlídaná část sítě, jaká existuje. Sejde se v nich několik věcí najednou:

•      Instalují se s cílem „ať to jde vidět z mobilu“. To je legitimní požadavek, jenže nejrychlejší cesta k jeho splnění — přesměrovat port z internetu přímo na rekordér — je zároveň ta nejhorší.

•      Běží na nich starý software, který nikdo neaktualizuje. U počítače je aktualizace samozřejmost. U kamery se nikdo neptá, protože „kamera přece funguje“.

•      Mají tovární hesla. Nastavovala se při montáži a nikdo je pak neměnil.

•      Mají zapnuté služby, o kterých nevíte. Vzdálený přístup přes cloud výrobce, ONVIF, RTSP, někdy i Telnet. Každá z nich je další dveře.

•      Nikdo je nesleduje. Když se někdo přihlásí do kamerového systému ve tři ráno, nikde to nezazvoní.

•      A jsou ve stejné síti jako všechno ostatní. Tohle je ta nejdražší chyba.

Co to znamená pro ordinaci nebo malý provoz

Nemáte čerpadla ani kotelnu elektrárny. Máte ale překvapivě dlouhý seznam zařízení, která do téhle kategorie spadají:

Zařízení

Proč je zajímavé

Kamerový rekordér

Vidí čekárnu, ordinaci, vchod, personál. Bývá dostupný z internetu.

IP kamery

Vlastní operační systém, vlastní přihlášení, vlastní zranitelnosti

Tepelné čerpadlo, kotel, rekuperace

Dálkový dohled přes cloud, změna parametrů má fyzický dopad

Docházkový a přístupový systém

Osobní údaje zaměstnanců, ovládání dveří

Vjezdová brána, garážová vrata

Fyzický přístup do objektu

NAS se zálohami

Ta nejcennější data v provozu

Chytré zásuvky, termostaty, čidla

Nejlevnější prvky s nejhorším zabezpečením

 

A tady je ta podstatná věta: napadená kamera je hlavně vstupní bod. Útočníka většinou nezajímá záběr z vaší čekárny. Zajímá ho, že z kamerového rekordéru je vidět na počítač na recepci, na server s kartotékou a na NAS se zálohami.

GDPR rozměr, na který se zapomíná

Kamerový systém v ordinaci snímá pacienty. To je zpracování osobních údajů — a v prostředí zdravotnického zařízení jde o citlivý kontext. Pokud se do rekordéru dostane někdo cizí, není to jen technický incident, ale porušení zabezpečení osobních údajů se vším, co k tomu patří: posouzení rizika, případné ohlášení Úřadu pro ochranu osobních údajů do 72 hodin a informování dotčených osob.

Málokdo má kamerový systém zahrnutý ve svých GDPR podkladech. Přitom je to zpravidla to zařízení, které o lidech ví nejvíc.

Jak je na tom Česko celkově

Pro kontext čísla ze Zprávy o stavu kybernetické bezpečnosti ČR za rok 2025, kterou vydal NÚKIB:

•      203 evidovaných incidentů — o 65 méně než v roce 2024

•      46 % z nich byly útoky na dostupnost služeb

•      2 velmi závažné incidenty (rok předtím jeden)

•      Phishing je nejrozšířenější hrozbou: setkalo se s ním devět z deseti oslovených organizací, a více než třetina z nich netestuje zaměstnance vůbec

•      21 137 zaevidovaných kybernetických trestných činů, meziročně o 14 % víc

Ten pokles počtu incidentů je zrádný. Ředitel úřadu k němu poznamenal, že méně incidentů neznamená bezpečnější prostředí — sofistikovanost útočníků roste. Zároveň platí, že drtivá většina útoků na malé provozy se do žádné statistiky nedostane, protože je nikdo nehlásí a často si jich nikdo ani nevšimne.

Jak zjistíte, jestli máte problém

Šest kroků, které se dají zvládnout během jednoho odpoledne.

1.      Zjistěte, co je z internetu vidět. Ověří to sken vaší veřejné IP adresy zvenku. Zajímají vás hlavně porty 80, 443, 554, 8000, 8080, 37777 a 34567 — typické pro kamerové systémy.

2.      Podívejte se na routeru, co je přesměrované. Každé pravidlo v „port forwarding“ nebo „virtual server“ musí být takové, které umíte vysvětlit. Cokoli jiného pryč.

3.      Vypněte UPnP. Tahle funkce dovoluje zařízením otevřít si port ven samo, bez vašeho vědomí. Bývá zapnutá z výroby.

4.      Zkontrolujte hesla. Tovární heslo na rekordéru nebo kameře je nejčastější nález ze všech.

5.      Zjistěte verzi firmwaru. U kamer i rekordéru. Pokud výrobce už zařízení nepodporuje, je to informace, se kterou je potřeba něco udělat.

6.      Ověřte, do jaké sítě zařízení patří. Pokud jsou kamery ve stejné síti jako ordinační software, je co řešit.

Co s tím udělat

Zrušte přímé přesměrování portů. Vzdálený přístup ke kamerám patří přes VPN, nebo přes službu výrobce s vícefaktorovým ověřením. Ne přes port otevřený do internetu.

Oddělte technologie do vlastní sítě. Kamery, čerpadlo, docházka a chytré prvky patří do vlastní VLAN, ze které není vidět na ordinační software, server ani zálohy. Tohle je jediné opatření, které vás ochrání i tehdy, když se ukáže, že samo zařízení mělo chybu.

Omezte, kam smí zařízení komunikovat ven. Kamera nepotřebuje volný přístup do celého internetu. Když ho má, poznáte to až ve chvíli, kdy ho někdo využije.

Aktualizujte firmware — a plánujte konec životnosti. Zařízení, které už výrobce nepodporuje, je potřeba vyměnit. U kamer to není otázka obrazu, ale bezpečnosti.

Zaveďte přehled. Seznam všeho, co je v síti, s modelem, verzí firmwaru, heslem v manažeru hesel a odpovědnou osobou. Zní to jako administrativa. Je to základ, bez kterého ostatní kroky nedávají smysl.

Otázky, které má smysl položit dodavateli

Pokud vám kamerový nebo přístupový systém někdo instaloval nebo právě instaluje, tohle jsou legitimní otázky. Odpověď na ně řekne hodně:

•      Je vzdálený přístup řešený přes VPN, nebo přesměrováním portu?

•      V jaké síti budou kamery? Uvidí odtamtud na ostatní počítače?

•      Jaká hesla jsou nastavená a kdo je zná?

•      Jak dlouho bude výrobce vydávat aktualizace firmwaru a kdo je bude instalovat?

•      Kam zařízení komunikuje ven a přes jaký cloud?

•      Co se stane, když někdo rekordér ukradne?

Dodavatel, který na tyto otázky odpoví bez zaváhání, je dobrá zpráva. Dodavatel, který na ně odpovědět neumí, je sám o sobě odpověď.

Rychlý checklist

❑  Vím, co je z internetu vidět na mé veřejné IP adrese

❑  Na routeru nejsou žádná přesměrování, která bych neuměl vysvětlit

❑  UPnP je vypnuté

❑  Žádné zařízení nemá tovární heslo

❑  Kamery a technologie jsou v oddělené síti

❑  Vzdálený přístup jde přes VPN nebo s vícefaktorovým ověřením

❑  Vím, jaký firmware kde běží a jestli je ještě podporovaný

❑  Kamerový systém mám ošetřený i v GDPR dokumentaci

Shrnutí

Varování BIS se netýká jen kritické infrastruktury. Popisuje způsob útoku, který si cíl nevybírá podle důležitosti, ale podle toho, co našel otevřené. V takové rovnici je malá ordinace se špatně zapojeným kamerovým systémem stejně dobrý cíl jako velká firma — a má výrazně menší šanci si toho všimnout.

Dobrá zpráva je, že opatření jsou konečná a srozumitelná: vědět, co v síti mám, nepouštět to přímo do internetu a oddělit to od dat, na kterých mi záleží. Není to projekt na půl roku. Je to jedno odpoledne a pak už jen pořádek.

Zdroje

•      Cnews.cz — Rusové v Česku útočí na domácí kamery, kotle a čerpadla, varuje BIS

•      Lupa.cz — Rusové v ČR napadají kamery v domácnostech, kotle i čerpadla. Škodí i Čína

•      NÚKIB — Zpráva o stavu kybernetické bezpečnosti ČR za rok 2025

•      BIS — Výroční zpráva za rok 2025