Od doby, kdy Covid-19 narušil naše životy, se videohovory staly ústředním bodem naší každodenní komunikace : práce na dálku, online kurzy, rodinná setkání, pohovory, akce… Všechno se děje přes obrazovku. Tato výhoda má i svou nevýhodu: pokud správně nenakonfigurujeme zabezpečení, otevíráme dveře zvědavým pohledům, kyberzločincům a únikům dat, které mohou způsobit vážné problémy.
Problém není jen v tom, že by někdo mohl křičet do schůzky. Skutečným rizikem je, že by nás třetí strana mohla špehovat, nahrávat nebo dokonce bez našeho vědomí převzít kontrolu nad našimi zařízeními. Naštěstí většina platforem obsahuje velmi robustní nastavení zabezpečení… ale téměř nikdy nejsou ve výchozím nastavení správně nakonfigurována. Proto je důležité vědět, které možnosti aktivovat právě teď.
Jak bezpečné jsou videohovory?
S nárůstem práce na dálku provedlo několik organizací hloubkové analýzy hlavních platforem pro videokonference. Například Národní bezpečnostní agentura USA (NSA) zhodnotila 13 nejpoužívanějších nástrojů pro videochat, aby posoudila jejich silné a slabé stránky v oblasti kybernetické bezpečnosti.
V tomto hodnocení se mimo jiné zabývali tím, zda nástroj nabízí skutečné end-to-end šifrování , zda umožňuje aktivaci dvoufaktorového ověřování (2FA), zda je založen na open-source nebo proprietárním softwaru , zda sdílí data s třetími stranami a jak spravuje mazání uživatelských informací, a to jak na zařízeních, tak na svých serverech.
Zjištění nejsou uklidňující: žádná služba nesplňovala všechny ideální bezpečnostní požadavky . Některé, jako Google Workspace nebo Microsoft Teams, nenabízejí end-to-end šifrování pro veškerou komunikaci ani nepoužívají otevřené, auditovatelné technologie. Jiné, jako Zoom, Slack, Cisco Webex nebo Skype for Business, mají zásady pro mazání a uchovávání dat, které by se daly vylepšit.
Nejvyšší hodnocení v této zprávě získaly WhatsApp, Signal a Wickr , aplikace navržené od základu s prioritou soukromí a robustním end-to-end šifrováním. Základní poselství je však jasné: i na těch nejuznávanějších platformách závisí vaše zabezpečení do značné míry na tom, jak je nakonfigurujete a používáte.
Běžná rizika u videohovorů a videokonferencí
Před úpravou nastavení je důležité pochopit, co se může pokazit. Bezpečnostní problémy ve videohovorech se neomezují jen na křik někoho během online hodiny; existují technická, právní a soukromoprávní rizika , která často zůstávají bez povšimnutí.
End-to-end šifrování: základní pilíř
Jedním z klíčových bodů je vědět, zda váš nástroj používá end-to-end šifrování (E2EE) , což znamená, že obsah mohou dešifrovat pouze osoby účastnící se hovoru, aniž by poskytovatel mohl vidět nebo slyšet, co se přenáší.
Pokud šifrování není end-to-end, může být komunikace šifrována „během přenosu“, ale poskytovatel si uchovává klíče a teoreticky by mohl přistupovat k hovorům, spolupracovat s třetími stranami nebo být ohrožen v případě úniku dat. Proto je vždy, když je to možné, vhodné volit služby s povoleným šifrováním E2EE , jako je Signal, WhatsApp, FaceTime nebo některé verze Zoomu a dalších platforem.
Odposlechy, nahrávky a neoprávněný přístup
Další citlivou otázkou je možnost, že hovor bude zachycen, nahrán nebo k němu bude mít přístup někdo, kdo by ho neměl mít . Mnoho schůzek je chráněno pouze krátkým, snadno uhodnutelným odkazem; v minulosti se například ukázalo, že URL adresy pro veřejné schůzky přes Zoom lze „uhodnout“ nebo že volné místnosti lze najít pomocí vyhledávačů.
Navíc na některých platformách mohou být relace nahrávány, aniž by si toho byli všichni účastníci plně vědomi , nebo mohou být nahrávky ukládány v cloudu bez odpovídajících bezpečnostních opatření. V podnikovém nebo vzdělávacím prostředí to může vést k čemukoli od úniků obchodního tajemství až po problémy s ochranou údajů nezletilých osob.
Používání a ukládání vašich dat
Každá aplikace má svá vlastní pravidla pro nakládání s vašimi informacemi: protokoly hovorů, identifikátory zařízení, kontakty, údaje o používání, IP adresy… Je důležité ověřit, zda nástroj splňuje předpisy, jako je evropské GDPR nebo CCPA v Kalifornii , a které třetí strany mají k těmto informacím přístup.
Dále je důležité zvážit, kde je uložen obsah související s aplikací. V některých případech se fotografie, chaty nebo historie konverzací ukládají lokálně bez plného vědomí uživatele . Například Skype může ukládat přijaté obrázky do telefonu a v Zoomu může protokol chatu ze schůzky po stažení protokolů obsahovat i soukromé zprávy.
Monitorovací a kontrolní funkce v aplikaci
Některé platformy obsahují nástroje pro „produktivitu“, které se při zneužití stávají mechanismy pro skryté sledování . Kontroverzi vyvolala například funkce Zoomu, která umožňovala organizátorovi zjistit, zda účastník opustil okno aplikace na určitou dobu.
Tyto typy funkcí mohou být lákavé pro monitorování zaměstnanců nebo studentů, ale vyvolávají etická a právní dilemata , zejména pokud účastníci nejsou jasně informováni. Je vhodné je zkontrolovat a deaktivovat, pokud nejsou nezbytně nutné.
Malware, falešné aplikace a nadměrná oprávnění
Další velkou hrozbou je situace vně platformy. Nárůst videohovorů vedl k nárůstu falešných aplikací, upravených instalačních programů a podvodných stránek pro stahování , které místo legitimní aplikace instalují do zařízení malware.
Je také riskantní bez rozmyslu přijmout oprávnění, která aplikace požaduje: přístup k fotoaparátu, mikrofonu, kontaktům, úložišti nebo poloze . Pokud se některé z těchto oprávnění dostane do rukou škodlivé aplikace, je jen otázkou času, kdy bude zneužito k vaší špehování nebo krádeži informací. Proto mnoho odborníků doporučuje jako dodatečné opatření fyzicky zakrýt webkameru, když se nepoužívá , a po schůzkách aplikaci zcela zavřít.
Případy ze skutečného života: Zoombombing a krádež přihlašovacích údajů
Bezpečnostní incidenty ve videohovorech nejsou teoretické. Během pandemie se zpopularizoval termín „Zoombombing“ pro popis vniknutí cizích osob na schůzky a online kurzy pořádané na Zoomu a dalších platformách.
V mnoha školách a univerzitách studenti a trollové sdíleli odkazy a hesla ke schůzkám na sociálních sítích a fórech, jako jsou Reddit, Discord a Twitter, a koordinovali živé útoky za účelem zveřejňování urážek, rasistického nebo pornografického obsahu či výhrůžek. Mnoho z těchto útoků skončilo násilným ukončením relace ze strany moderátora.
Kromě konkrétního skandálu je znepokojivá postava tichého vetřelce: osoby, která vstoupí na schůzku bez jediného zvuku, poslouchá, nahrává a odchází s cennými informacemi o projektech, osobních údajích nebo interních rozhodnutích společnosti.
Byly také zjištěny případy, kdy byly na fórech kybernetické kriminality prodávány přihlašovací údaje k účtům a schůzkám . Vyšetřování zveřejněné ve specializovaném tisku uvádí stovky tisíc postižených uživatelů, z nichž mnozí byli nepřímými oběťmi, kteří znovu používali stará hesla ukradená z jiných služeb.
Tyto příklady jasně ukazují, že v situaci masivního používání videohovorů mají útočníci více než dostatečnou motivaci zneužít jakéhokoli , byť sebemenšího, přehlédnutí.
Základní nastavení pro ochranu vašich videohovorů
Dobrou zprávou je, že s několika změnami konfigurace můžete dramaticky zvýšit zabezpečení svých schůzek. Specifika se liší mezi platformami Zoom, Teams, Meet, Webex, Jitsi, Signal atd., ale principy jsou prakticky stejné.
1. Chraňte místnosti a účty silnými hesly a 2FA
Prvním krokem je zabezpečení vašeho účtu i samotných schůzek. Používejte dlouhá, jedinečná a obtížně uhodnutelná hesla , která kombinují velká a malá písmena, číslice a symboly. Nepoužívejte hesla, která již používáte pro jiné služby.
Pokud platforma nabízí dvoufaktorové ověřování, vždy povolte jeho povolení (prostřednictvím SMS, ověřovací aplikace nebo fyzického klíče). Tento jednoduchý krok výrazně ztíží přístup k vašemu účtu, i když se jim podaří získat vaše heslo.
Pokud jde o schůzky, vyhněte se používání svého trvalého osobního ID pro veřejné nebo opakující se relace. Je lepší generovat náhodná a jedinečná ID schůzek pro každou událost, vždy chráněná silným heslem, které sdílíte pouze prostřednictvím zabezpečených kanálů.
2. Používejte čekárnu a blokujte přístup, když tam všichni jsou.
Téměř všechny moderní nástroje obsahují možnost „čekárny“ nebo „lobby“ . Díky této funkci zůstávají účastníci ve virtuální čekárně, dokud je hostitel ručně nevpustí.
Aktivujte tuto funkci, abyste si prohlédli seznam lidí, kteří se snaží připojit, a ověřili jejich totožnost . Pokud zahlédnete podezřelé jméno nebo někoho, kdo by tam neměl být, jednoduše mu přístup odepřete. Jakmile se všichni připojí, schůzku uzamkněte, abyste zabránili dalším přidáním.
Můžete si také nastavit upozornění, aby aplikace upozornila hostitele pokaždé, když se někdo připojí nebo odejde . To usnadňuje odhalování narušení uprostřed schůzky nebo neočekávaných připojení.
3. Ovládejte, kdo může sdílet svou obrazovku, soubor nebo zvuk
Dalším velmi účinným opatřením je ve výchozím nastavení omezit používání citlivých zdrojů, jako je kamera, mikrofon, sdílení obrazovky a odesílání souborů.
V ideálním případě by schůzky měly být nastaveny tak, aby všichni účastníci měli ztlumené mikrofony a vypnuté video a aby jim moderátor v případě potřeby udělil povolení. Tím se zabrání nepříjemným situacím, únikům vizuálních informací nebo nežádoucímu šumu v setkáních s mnoha účastníky.
Podobně vyberte možnost, aby ve výchozím nastavení mohl obrazovku sdílet pouze hostitel . Pokud potřebuje prezentovat někdo jiný, jsou mu udělena ad hoc oprávnění. To zabrání ve sdílení citlivého nebo nevhodného obsahu se zbytkem skupiny vetřelcem nebo nepozorným účastníkem.
Zkontrolujte také nastavení sdílení souborů a odkazů v chatu . Pokud nejsou nezbytné, omezte je nebo je deaktivujte, protože představují běžný kanál pro šíření malwaru, phishingu nebo nebezpečných dokumentů.
4. Sledujte, co je na vašich schůzkách vidět a slyšet
I když jsou technické aspekty správně nakonfigurovány, existuje stejně důležitá složka založená na zdravém rozumu. Než zapnete kameru nebo sdílíte obrazovku, zkontrolujte, co je kolem vás viditelné a jaká okna máte v počítači otevřená.
Vyhněte se zobrazování důvěrných dokumentů, osobních údajů, uživatelských jmen, webových adres nebo citlivých souborů . Pokud je to možné, používejte virtuální pozadí nebo rozmazání pozadí, pokud to platforma umožňuje, a odstraňte rodinné fotografie, přihlašovací údaje nebo soukromé informace z viditelné oblasti.
Pokud jde o obsah konverzace, zacházejte s jakýmkoli videohovorem, jako by mohl být nahráván: neposkytujte bankovní údaje, přístupové údaje ani extrémně citlivé informace, pokud to není nezbytně nutné a nemáte skutečně zabezpečený kanál.
5. Povolte pouze potřebná oprávnění a po dokončení zavřete aplikaci.
Věnujte několik minut kontrole nastavení soukromí a oprávnění aplikace . Vypněte vše, co není nezbytné: funkce, které umožňují cizím lidem najít vás e-mailem nebo telefonicky, doporučení na základě vašich kontaktů, integrace sociálních médií, odesílání dat třetím stranám pro reklamní účely, boty nebo externí integrace, které nepoužíváte.
V telefonu upravte systémová oprávnění tak, aby aplikace měla přístup k fotoaparátu a mikrofonu pouze tehdy, když ji skutečně používáte , a ne aby trvale běžela na pozadí. V počítači si zvykněte program po schůzce úplně zavřít, ne jen minimalizovat.
Pokud chcete jít ještě o krok dál, můžete webkameru fyzicky zakrýt posuvným krytem nebo lepicím papírkem, když ji nepoužíváte. Není to dokonalé řešení, ale přidává vrstvu ochrany před potenciálním neoprávněným přístupem.
Výběr platformy: ne všechny nabízejí stejnou úroveň zabezpečení
Kromě interních úprav stojí za zvážení, zda je nástroj, který používáte, nejvhodnější pro typ informací, se kterými pracujete. Neformální videohovor s přáteli není totéž co schůzka, kde se sdílejí zákaznická data, lékařské záznamy nebo obchodní tajemství.
Šifrování, soukromí a dodržování předpisů
Při výběru platformy zkontrolujte, zda nabízí end-to-end šifrování, jasné zásady ochrany osobních údajů a shodu s předpisy, jako je GDPR . Nástroje jako Signal, WhatsApp a FaceTime mají robustní E2EE šifrování již od začátku, což je činí velmi atraktivními pro obzvláště citlivé konverzace.
V oblasti firemních videokonferencí ( Zoom , Webex, Teams, Meet, Jitsi atd.) je důležité zkontrolovat, jaký typ šifrování používají, kam ukládají data a jaké možnosti nabízejí pro správu nahrávek a protokolů . V mnoha případech jsou nejpokročilejší bezpečnostní funkce dostupné pouze v placených tarifech.
Obchodní plán vs. bezplatný plán
Pro průběžné profesionální používání se téměř vždy vyplatí zvolit podnikové plány namísto bezplatných verzí . Tyto plány obvykle zahrnují lepší bezpečnostní kontroly, více možností správy, rychlejší technickou podporu, jasné zásady uchovávání dat a centralizované nástroje pro správu pro velké týmy.
Základní nebo bezplatné tarify naopak obvykle zahrnují omezení počtu účastníků, menší kontrolu nad oprávněními, méně možností šifrování a cloudové úložiště dat s omezenými možnostmi konfigurace . Pro malé nebo střední podniky nebo organizace, které nakládají s citlivými informacemi, mohou být tyto nedostatky nákladné.
Stahování z oficiálních stránek a aktualizovaný software
Bez ohledu na zvolenou platformu je nezbytné stahovat aplikaci pouze z oficiálních webových stránek poskytovatele nebo z oficiálních obchodů s aplikacemi (Google Play, App Store, Microsoft Store atd.). Webové stránky třetích stran pro stahování, webové stránky plné reklamy nebo odkazy přijaté e-mailem či zprávami jsou magnetem pro upravený software a malware.
Stejně důležité je udržovat program aktualizovaný na nejnovější verzi . Aktualizace nejen přidávají nové funkce: opravují zranitelnosti, uzavírají bezpečnostní mezery a posilují šifrování. Odkládání těchto aktualizací ponechává otevřené dveře, které kyberzločinci až příliš dobře znají.
Nejlepší postupy pro administrátory a organizátory schůzek
Když organizujete pracovní schůzky, online kurzy nebo akce s velkými skupinami, vaše role hostitele je klíčová. Nestačí jen vytvořit odkaz a držet se palců: potřebujete stručné interní „zásady používání“ a někoho, kdo je bude vymáhat.
Vždy jmenujte správce
Na každé schůzce určité velikosti je vhodné mít určenou osobu zodpovědnou za vytvoření zasedací místnosti, konfiguraci zabezpečení, monitorování přístupu a správu oprávnění . Tato role centralizuje správu a zabraňuje duplicitě úkolů nebo mezerám v dohledu.
Před schůzkou je tato osoba zodpovědná za výběr vhodného nástroje, vygenerování ID místnosti, nastavení hesla, čekací místnosti, zámku sdílení obrazovky a dalších omezení a za odeslání pozvánky zabezpečenými kanály očekávaným účastníkům.
Během schůzky řídí vstup a výstup, přiřazuje oprávnění k videu a zvuku, spravuje čekárnu a může vyloučit kohokoli, kdo se chová nevhodně nebo je neoprávněný . Po schůzce smaže nepotřebné nahrávky, sdílí materiály prostřednictvím definovaných kanálů a řádně uzavře místnost.
Zodpovědně spravujte nahrávky a obsah
Nahrávání schůzek může být velmi užitečné, ale s sebou nese i rizika. Před stisknutím tlačítka nahrávání vždy informujte všechny účastníky a vysvětlete jim, k čemu bude nahrávka použita, kdo k ní bude mít přístup a jak dlouho bude uchovávána.
Kdykoli je to možné, omezte nahrávání na hostitele nebo konkrétně autorizované uživatele a nakonfigurujte aplikaci tak, aby zobrazovala viditelné varování při nahrávání relace. Neukládejte citlivé nahrávky do nešifrovaných umístění nebo do cloudových služeb bez dodatečné ochrany.
Definujte jasná pravidla pro používání a komunikaci
Zejména ve vzdělávacím a obchodním prostředí je vhodné stanovit několik základních pravidel o tom, co se smí a nesmí dělat během videohovorů : nepořizovat snímky obrazovky bez povolení, nesdílet odkazy na schůzky ani hesla, nepřeposílat pozvánky bez povolení, nesdílet důvěrné informace ve veřejných chatovacích kanálech atd.
Stručné vysvětlení na začátku citlivějších relací pomůže všem pochopit rámec: zda bude hovor nahráván, zda je povoleno chatování, zda je povoleno sdílení obrazovky , jak se budou řešit otázky a co dělat, když někdo zjistí, že se hovoru účastní neoprávněná osoba.
Další klíčové tipy pro ochranu vašich každodenních videohovorů
Kromě všech výše uvedených úprav existuje řada obecných doporučení, která stojí za to si osvojit, aby se minimalizovala plocha pro útok při každodenním používání těchto nástrojů.
Vyhněte se veřejným Wi-Fi sítím pro citlivé schůzky
Otevřené sítě Wi-Fi, zejména na veřejných místech, jsou obzvláště nebezpečné. Často postrádají dostatečné šifrování a umožňují komukoli připojenému ke stejné síti špehovat provoz nebo spouštět útoky typu „man-in-the-middle“.
Pokud se nezbytně musíte připojit z tohoto typu sítě, použijte důvěryhodnou VPN k zašifrování veškerého provozu z vašeho zařízení a minimalizaci rizika, že někdo zachytí váš videohovor nebo přihlašovací údaje.
Nepřijímejte pozvání ani hovory od cizích lidí
Na platformách, které umožňují vyhledávání uživatelů podle telefonního čísla, e-mailu nebo aliasu, upravte nastavení soukromí tak, aby vás mohly najít pouze vaše kontakty nebo lidé z vaší organizace . Odmítněte podezřelé žádosti a nepřijímejte na hovory od neznámých volajících.
Pokud obdržíte odkaz na videohovor z nespolehlivého zdroje nebo od někoho, koho neznáte, neotevírejte jej bez ověření . Ověřte si legitimitu pozvánky jiným kanálem a pokud máte jakékoli pochybnosti, zahoďte ji.
Minimalizujte sdílení osobních údajů
I v důvěryhodných prostředích se snažte omezit množství citlivých osobních, finančních nebo firemních údajů, které sdílíte během videohovorů. Mnoho aplikací uchovává protokoly a pokud dojde k narušení bezpečnosti platformy, tyto informace by se mohly dostat do nesprávných rukou.
Pokud potřebujete sdílet citlivé dokumenty, je vhodnější je odeslat zašifrované prostřednictvím kanálu speciálně připraveného pro tento účel před nebo po videohovoru, než je veřejně zobrazovat na obrazovce nebo přikládat do chatu.
Doplňte to řešeními kybernetické bezpečnosti
A konečně, nezapomeňte, že videohovory jsou jen jedním dílkem skládačky. Není příliš užitečné mít v aplikaci vše perfektní, pokud je váš počítač nebo mobilní zařízení již napadeno malwarem . Dobrý antivirus , antiphishingové filtry, správně nakonfigurovaný firewall a základní zásady zálohování jsou nezbytnými spojenci.
Pokud řídíte firmu nebo organizaci, zvažte využití externích služeb kybernetické bezpečnosti , které vám pomohou definovat zásady, nasadit ochranné nástroje na všechna zařízení a proškolit uživatele v detekci škodlivých e-mailů, odkazů a aplikací.
Zabezpečení videohovorů nezávisí na jediném magickém tlačítku, ale spíše na kombinaci malých úprav a návyků: výběr správné platformy, povolení šifrování a silných hesel, kontrola vstupů a sdílení, stahování z oficiálních stránek, udržování aktuálního obsahu a zodpovědné používání kamery, mikrofonu a obrazovky. S těmito povolenými bezpečnostními nastaveními a trochou selského rozumu budou vaše online schůzky pro kyberzločince mnohem méně atraktivní a pro vás mnohem bezpečnější.
