Rusi cez Wi-Fi špehovali ľudí aj na Slovensku. Čo na to úrady a ako sa chrániť?

Domáci router je pre väčšinu ľudí nenápadná škatuľka, ktorá má jednoducho „dávať internet“. Práve z takýchto zariadení sa však môžu stať ideálne nástroje na tichú špionáž.

Nové zistenia západných bezpečnostných zložiek ukazujú, že ruská skupina APT28 napojená na vojenskú rozviedku GRU zneužívala staršie sieťové zariadenia, cez ktoré vedela presmerovať komunikáciu a dostať sa k citlivým dátam používateľov.

Podľa amerických a českých úradov využívala skupina APT28 od roku 2024 zraniteľné SOHO zariadenia, teda routery určené pre domácnosti a malé kancelárie, na budovanie globálnej infraštruktúry pre kyberšpionáž. Ide o aktéra známeho aj pod menami Fancy Bear, Forest Blizzard či Sofacy Group, ktorý je dlhodobo spájaný s ruskou vojenskou spravodajskou službou GRU. Do medzinárodnej operácie vedenej FBI sa zapojili aj partneri z Európy vrátane Česka a Slovenska.

České Vojenské spravodajstvo uviedlo, že v marci 2026 vykonalo v rámci operácie Masquerade aktívny zásah v kybernetickom priestore. Ten spočíval v úprave nastavení časti zneužívanej infraštruktúry a zabezpečení potenciálne zraniteľných zariadení na území Českej republiky. Podľa českých úradov boli kompromitované zariadenia využívané na zber strategicky dôležitých informácií namierených proti vojenským a vládnym cieľom v Česku aj v zahraničí, vrátane spojencov v NATO a EÚ.

Jadrom kampane bola zraniteľnosť CVE-2023-50224, ktorá sa týkala viacerých starších zariadení značky TP-Link, najmä starších Wi-Fi routerov, 4G modemov a prístupových bodov. Medzi uvádzanými modelmi sa objavujú napríklad MR6400, Archer C5, Archer C7, WDR3600, WDR4300, WR740N, WR841N, WR841ND, WR842N, WR845N či WR941ND. Zoznam zverejnený britskými bezpečnostnými autoritami pritom nemusí byť úplný.

Mechanizmus útoku bol mimoriadne nepríjemný práve preto, že používateľ si nemusel všimnúť prakticky nič. Po zneužití chyby získali útočníci administrátorský prístup a zmenili nastavenia DHCP a DNS. To v praxi znamená, že komunikácia zariadení pripojených k routeru mohla byť smerovaná cez DNS servery ovládané útočníkmi. Takto vedeli zachytávať dotazy na domény, pri vybraných službách vracať podvrhnuté odpovede a v niektorých prípadoch vykonávať aj takzvané adversary-in-the-middle útoky.

Tie sú z pohľadu obete najvážnejšie. Slovenský NBÚ upozorňuje, že útočníci mohli zachytávať prihlasovacie údaje, autentifikačné tokeny, e-mailovú komunikáciu či informácie o prehliadaní webu. V určitých situáciách sa mohli dostať aj ku komunikácii, ktorú by za bežných okolností chránilo šifrovanie SSL/TLS. Inými slovami, nešlo len o technické zneužitie routera, ale o možnosť čítať dáta, ktoré si používateľ bežne spája s bezpečným pripojením.

Podľa amerického varovania boli cieľom najmä informácie súvisiace s armádou, vládou a kritickou infraštruktúrou. Samotná kompromitácia však prebiehala plošne a zasahovala široký okruh zariadení. Až následne si útočníci vyberali, ktoré z obetí sú pre nich zaujímavé. Aj preto ide o pripomienku, že bežný domáci používateľ sa síce nemusí stať hlavným cieľom špionáže, jeho zariadenie však môže poslúžiť ako medzičlánok v širšej operácii.

Slovenský NBÚ v prvom rade odporúča výmenu zariadenia, ak už je po skončení životného cyklu a výrobca preň nevydáva bezpečnostné aktualizácie. Ďalej treba nainštalovať najnovší dostupný firmvér, zmeniť prihlasovacie údaje do administrácie routera, skontrolovať DNS nastavenia, aktivovať firewall a vypnúť vzdialenú správu z internetu. Organizáciám, ktoré umožňujú prácu na diaľku, úrad odporúča aj používanie VPN a pravidelnú kontrolu zariadení, cez ktoré sa zamestnanci pripájajú k citlivým systémom.

Dôležitá je aj opatrnosť pri certifikátových upozorneniach v prehliadači alebo e-mailovom klientovi. Práve ignorovanie varovania o neplatnom certifikáte môže otvoriť dvere útoku, pri ktorom útočník číta inak šifrovanú komunikáciu. V praxi teda nejde iba o technický problém výrobcu alebo štátu, ale aj o používateľský návyk, ktorý môže rozhodnúť o tom, či sa útok podarí.

K situácii sa vyjadrila aj spoločnosť TP-Link. Tá tvrdí, že zariadenia spomínané v správach sú staršie modely, ktoré už pred rokmi dosiahli koniec podpory. Zároveň uvádza, že pre vybrané kusy pripravila bezpečnostné aktualizácie tam, kde to bolo technicky možné. Výrobca preto zákazníkom odporúča prechod na aktuálne podporovaný hardvér, pravidelnú aktualizáciu firmvéru, vypnutie vzdialenej správy a výmenu predvoleného hesla za nové.