Október už viac ako desať rokov patrí Európe kybernetickej bezpečnosti. Európsky mesiac kybernetickej bezpečnosti (European Cybersecurity Month, ECSM) spustila v roku 2012 agentúra ENISA. Odvtedy sa z neho stala celoeurópska kampaň, ktorú dnes realizujú členské štáty EÚ, verejné inštitúcie aj súkromné organizácie. ENISA ju spolu s Európskou komisiou naďalej podporuje. Cieľ sa za tie roky nezmenil: kybernetickú bezpečnosť treba priblížiť bežným ľuďom a organizáciám, nielen zamestnancom IT oddelení.
Od roku 2020 kampaň sprevádza jednotné motto #ThinkB4UClick – mysli skôr, ako klikneš. Je jednoduché a vystihuje podstatu: väčšina útokov sa nezačína sofistikovaným prelomením systému, ale jedným nepozorným kliknutím, jednou odpoveďou na podvodnú správu alebo jedným prezradeným heslom.
Tohtoročnou témou je „Cybersecurity Month @ work“. Po rokoch, keď sa kampaň zameriavala najmä na ľudí a ich súkromný digitálny život, sa ENISA tentoraz pozrela priamo na pracovisko. Pracovné prostredie sa digitalizuje, ľudia pracujú z kancelárie aj z domu, komunikujú cez desiatky nástrojov a každý deň narábajú s údajmi, ktoré majú pre útočníkov hodnotu. ENISA si preto kladie dve otázky: je pracovisko kyberneticky bezpečné a majú zamestnanci zručnosti na to, aby ho takým udržali?
Odpovede hľadá v dvoch zdrojoch, ktoré zverejnila koncom septembra: v novom prieskume Eurobarometer o kybernetickej bezpečnosti na pracovisku a v správe ENISA Threat Landscape 2026, ktorá vychádza z analýzy viac ako 8 000 kybernetických udalostí.
1. 74 % zamestnancov dostalo za pol roka podozrivú správu
Podľa prieskumu Eurobarometer o kybernetickej bezpečnosti na pracovisku:
- 74 % zamestnancov dostalo za posledných šesť mesiacov podozrivý e-mail, správu, hovor alebo odkaz,
- 39 % dostalo phishingový alebo podvodný e-mail,
- 83 % si myslí, že kybernetický útok by mal pre ich organizáciu vážne následky,
- len 45 % uvádza, že ich organizácia pravidelne informuje o kybernetickej bezpečnosti,
- 85 % zamestnancov by si chcelo zvýšiť zručnosti. Najčastejšie im v tom bráni nedostatok času (26 %), cena školení (16 %) a chýbajúca podpora zamestnávateľa.
Nová správa ENISA Threat Landscape 2026 dopĺňa tento obraz pohľadom na samotné útoky. Až 73 % napadnutých organizácií patrí medzi základné a dôležité subjekty podľa NIS2 a najčastejším cieľom zostáva verejná správa (32 %). Útočníci stále najviac stavajú na sociálnom inžinierstve, teda na phishingu a technike ClickFix. Pribúdajú podvody postavené na odcudzených prihlasovacích údajoch. Umelá inteligencia zároveň robí kampane útočníkov čoraz efektívnejšími.
2. Vedeli ste, že… útočník vás ani nemusí prinútiť kliknúť na odkaz?
Stačí, aby ste jeho kód spustili sami. Presne na tom stojí technika ClickFix, ktorú ENISA tento rok uvádza medzi hlavnými hrozbami sociálneho inžinierstva.
Ako to vyzerá v praxi:
- Na webovej stránke sa objaví známe overenie „Nie som robot“ alebo hlásenie, že sa dokument nedá zobraziť.
- Stránka vám zobrazí „jednoduchý postup na opravu“: stlačte Win + R, potom Ctrl + V a nakoniec Enter.
- Stránka vám medzitým nenápadne skopírovala do schránky škodlivý príkaz. Podľa návodu ste ho teda sami vložili a spustili vo svojom počítači.
Antivírus ani e-mailový filter to často nezachytia. Útok totiž nespúšťa podozrivá príloha, ale samotný používateľ, ktorý si myslí, že len rieši technický problém.
Jednoduché pravidlo pre zamestnancov: žiadna legitímna webová stránka ani CAPTCHA od vás nikdy nebude chcieť, aby ste niečo vkladali do okna Spustiť, príkazového riadka alebo PowerShellu. Ak to od vás niektorá stránka chce, zatvorte ju a nahláste to.
3. Ľudia veria nástrojom viac, než si reálny stav zaslúži
Až 82 % zamestnancov považuje nástroje svojej organizácie za účinné proti útokom. Zároveň však má kľúčové bezpečnostné opatrenia zavedené iba približne polovica organizácií. Ľudia teda technológiám dôverujú viac, než by si reálny stav zaslúžil. Práve tento falošný pocit bezpečia útočníci využívajú a ClickFix, ktorý technické ochranné mechanizmy obchádza, je toho učebnicovým príkladom.
Vzdelávanie zamestnancov a základná kybernetická hygiena patria medzi bezpečnostné opatrenia, ktoré smernica NIS2 a zákon o kybernetickej bezpečnosti vyžadujú od regulovaných subjektov. Školenie musí absolvovať aj vrcholový manažment, nielen bežní zamestnanci. Jedno školenie ročne, ktoré sa len „odklikne“, nestačí. Vzdelávanie musí byť preukázateľné: kto bol vyškolený, z čoho a s akým výsledkom.
4. Tri kroky, ktoré môžete urobiť ešte v októbri
1. Otestujte, či ľudia vedia, kam hlásiť podozrivé správy
Opýtajte sa piatich náhodne vybraných kolegov z rôznych oddelení: „Čo urobíte, keď vám príde podozrivý e-mail alebo vás stránka vyzve, aby ste niečo vložili do okna Spustiť?“ Ak dostanete päť rôznych odpovedí alebo odpoveď „neviem“, našli ste svoju najväčšiu slabinu. Zamestnanec, ktorý podvod rozpozná, ale nevie, komu ho nahlásiť, organizáciu neochráni. Útočník medzitým skúša šťastie u ďalšieho kolegu. Cieľom je jeden jasný kanál, ktorý pozná každý – napríklad e-mailová adresa, tlačidlo v Outlooku alebo telefónne číslo.
2. Zaveďte kultúru nahlasovania bez obviňovania
Predstavte si zamestnanca, ktorý klikol na podvodný odkaz alebo vložil príkaz z falošnej CAPTCHA a o chvíľu si uvedomí, že niečo nie je v poriadku. V tej chvíli sa rozhoduje, či to nahlási, alebo radšej bude dúfať, že sa nič nestane. Ak sa bojí výčitiek, zosmiešnenia pred kolegami alebo následkov, takmer vždy mlčí. Útočník tak získa čas, ktorý potrebuje, a incident sa odhalí až po dňoch, keď sú škody oveľa väčšie. Pri kybernetickom incidente rozhodujú minúty, preto by každé nahlásenie malo viesť k poďakovaniu, nie k hľadaniu vinníka. Dohodnite sa vo vedení na jednoduchom princípe: kto nahlási podozrenie – a to aj vlastnú chybu –, urobil správne. Dajte to ľuďom jasne najavo, najlepšie priamo ústami vedenia.
3. Dajte kybernetickú bezpečnosť na program porady vedenia
Prieskum ukázal zaujímavý rozdiel: zamestnanci považujú kybernetickú bezpečnosť za dôležitejšiu než ich vedenie. NIS2 a zákon o kybernetickej bezpečnosti pritom kladú zodpovednosť priamo na členov štatutárnych orgánov a vyžadujú, aby sa vzdelávali aj oni. Využite október a na porade vedenia odsúhlaste plán vzdelávania na rok 2027. Plán by mal určiť, kto sa bude vzdelávať a ako často, či zaradíte cvičné phishingové kampane a ako budete merať výsledky. Ide o rozhodnutie na pätnásť minút, ktoré vám ušetrí veľa práce pri ďalšej kontrole alebo audite.
Rada experta
„Najväčšou chybou by bolo pozerať sa na zamestnancov ako na najslabší článok, ktorý treba len raz ročne preškoliť a odškrtnúť si povinnosť. Útočníci dávno pochopili, že je jednoduchšie získať dôveru človeka než prelomiť systém. Organizácie preto musia ľuďom dať jasné pravidlá, priestor sa učiť a istotu, že nahlásiť podozrenie je vždy správne rozhodnutie. Kto začne budovať takúto kultúru dnes, bude mať pri ďalšej phishingovej kampani v zamestnancoch namiesto obetí prvú líniu obrany.“
#CyberSecurity #ManažérKybernetickejBezpečnosti #AuditKybernetickej Bezpečnosti #Cyllium