30.03.2016

Hackerský útok ­– teambuilding, který nevymyslíte

V souvislosti se zveřejněnou e­mailovou komunikací premiéra Sobotky a obvinění Prestashopu z nedostatečného zabezpečení starších e­shopů se znovu rozvířila nikdy nekončící diskuze o internetové bezpečnosti. V souvislosti s tím jsem si našel poznámky z nejhoršího momentu naší dvanáctileté historie, chvíle, kdy se hackerovi podařilo prolomit naši obranu.

Security 1163108 1920

Je čtvrtek večer, zhruba 17:50 a já provádím poslední kontrolu e-­mailů před odchodem z práce. Tuhne mi krev a zastavuje se dech. Kybernetický útočník napadl jeden námi kdysi vytvořený e­shop a za nezveřejnění dat požaduje bitcoiny. Hodně bitcoinů. Kategoricky zavrhuji. Hackerské útoky nejsou nic neobvyklého, útočník se v tomhle případě však dostal na nešifrovaná hesla uživatelů v databázi e­shopu. Co teď?

Svolávám asi desítku zaměstnanců, kteří jsou ještě v práci, a volám pár kolegům a kamarádům. Díky tomu, že jsme ShopSys vybudovali na transparentnosti a 100% službě pro zákazníky, je rozhodování v nejtěžší chvíli naší firmy o něco lehčí. Shodujeme se, že s tím musíme ven a to hned, bez ohledu na to, co zpráva bude znamenat pro naši pověst.

Zároveň se rozhodujeme ihned maximálně zabezpečit všechny staré e­shopy ­ včetně těch, které jsme tvořili na začátku naší firmy, ve 2 lidech za pár korun.

Do práce se vrací všichni techničtí zaměstnanci, kteří jsou v tu dobu v okruhu 100 km od kanceláří, zbytek se připojuje “na dálku”. Opravit desítky starých e­shopů je povinnost, jdeme ale ještě dál a chceme zvýšit zabezpečení všem e­shopům. Více než 400 e­shopům stojících na ShopSys řešení. Perná noc. Stovky upravených e­shopů, telefonáty klientům, tiskovka, statusy na sociálních sítích. Během noci přichází další útoky. Hacker zkouší nové formy prolomení serverů, my jsme však připraveni. Neustálé napětí. Následující dny implementujeme další a další bezpečnostní opatření a zároveň intenzivně spolupracujeme se speciálním útvarem Policie ČR. Teambuilding, který nevymyslíte.

Má doporučení, pokud se dostanete do podobné situace (což se s velkou pravděpodobností dostanete, pokud úspěšně podnikáte v IT):

1. Pokud něco pokazíte (a je jedno, že to bylo před mnoha lety), nemá smysl zatloukat, nejde o vás, jde o vaše zákazníky;

2. Od začátku mějte na mysli, že Vás daná situace něco naučí (“vše zlé je k něčemu dobré”).

3. V oblasti kyber­kriminality nepodceňujte schopnosti speciálního útvaru Policie ČR;

4. Budujte tým, který pro firmu dýchá (v tomto případě klidně 48 hodin v kuse bez spánku)

Autorem článku je Petr Svoboda, CEO firmy ShopSys, která již 13 let na vlastní platformě vyvíjí českým a slovenským klientům e-shopy. Zaměstnává přes 50 IT odborníků, z nichž se většina stará o funkční rozvoj e-shopů a nonstop dohled. Předním e-shopům nabízí své kapacity a know-how pomocí agilních kontraktů a měsíčních paušálů. Českou online komunitu posouvá prostřednictvím odborných konferencí ShopCamp, Barcamp Ostrava a PHPlive.

Kam dál?