Konec TikToku v Čechách aneb s bajty nesmí tančit každý

Zájem o něj rostl od roku 2016, ovšem pak se začaly objevovat první pochybnosti a tak následovaly výzvy k ukončení jeho používání.

Varování ohledně instalace a používání aplikace TikTok od čínské společnosti ByteDance na zařízeních přistupujících k informačním a komunikačním systémům kritické informační infrastruktury, informačním systémům základní služby a významným informačním systémům vydal nakonec i NÚKIB.

Uveďme si stručně, co uživatelům této aplikace dle NÚKIB hrozí: ovládnutí telefonu a získání přístupu k datům na něm uloženým, sběr dat o uživatelích dané sociální sítě a následný spear phishing, vydírání a v neposlední řadě pak vlivové operace skrze nekonečný proud příspěvků. A tuto hrozbu NÚKIB ohodnotil jako pravděpodobnou až velmi pravděpodobnou.

Otázka je, proč toto varování nepřišlo už dříve, a jaké je skutečné riziko. Připomeňme si, že aplikace, které slouží pro přístup do nějaké sociální sítě, sbírají informace o uživateli, který si na dané sociální síti vytvořil profil, aby mu mohli nabízet obsah relevantní jeho zájmům, čehož se samozřejmě dá i zneužít v rámci PSYOPS operací a také se to již mnoho let dělá.

Všechny sociální sítě v zásadě fungují na stejném principu a vždy je zcela na uživateli, jaké informace o sobě v profilu, který si na dané sociální síti vytváří, uvede, jaký obsah na ni bude nahrávat, co bude lajkovat, komentovat, vyhledávat a s jakými lidmi se bude propojovat. Tohle všechno totiž ovlivňuje, jaký obsah se mu bude následně zobrazovat.

A o tom, jak budou provozovatelé dané sociální sítě s informacemi, které jim uživatel poskytne, zacházet, jej informují ve smluvním ujednání (které nikdo nečte). Bez ohledu na to, co je v něm uvedeno, však mnohdy stejně s informacemi od uživatele nakládají tak, jak potřebují a informace poskytují organizačním složkám státu, když je o ně požádají. U některých sociálních sítí se to již prokázalo a u jiných zatím ne.

Všechny sociální sítě mohou být také kýmkoliv využity v rámci OSINT. Ostatně vytěžování dat ze sociálních sítích má dokonce i své pojmenování – SOCMINT (a budeme se mu nejspíš věnovat v některém z příštích dílů našeho seriálu).

Když vezmete v úvahu ostatní sociální sítě třeba Facebook, LinkedIn, Twitter, najdete zde o konkrétním uživateli zpravidla mnohem více informací než na již zmíněném TikToku. Jednoduše proto, že TikTok tolik informací o vás při registraci nepožaduje a jak již bylo řečeno, většina jeho uživatelů na něm ani nic moc nesdílí, obzvláště pak ne ti, na které je cíleno ono varování.

Mnohem zásadnější však je, kdo je provozovatelem dané aplikace a sociální sítě a jaké oprávnění daná aplikace vyžaduje. A zde už některá oprávnění vypadají na první pohled skutečně děsivě, např. odesílání e-mailů bez vašeho vědomí, čtení kontaktů, čtení událostí v kalendáři, čtení obsahu úložiště, atd.

Ovšem když se podíváme na aplikaci Facebook, je na tom dost podobně, zvláštní, že? Ani ne. Co z toho tedy vyplývá? Vždy musíte kontrolovat, jaká práva aplikace požaduje a pokud se vám to nelíbí, tak danou aplikaci nepoužívejte anebo ji daná oprávnění odeberte. Jde to velice snadno v Nastavení – Aplikace – Oprávnění.

A když už ty aplikace musíte na svém chytrém zařízení mít, tak pak jen ty, co pocházejí od našich spojenců, protože slovy bývalého ředitele NÚKIB Dušana Navrátila: „Když máme možnost si vybrat, od koho se necháme sledovat, tak ať jsou to raději naši spojenci.“

Tohle je skutečně třeba mít na paměti, protože nikdy nevíte, zda daná aplikace neobsahuje nějaká zadní vrátka nebo zero-day zranitelnost, které by mohlo být zneužito. A skutečně nelze vyloučit, že někdo z  té miliardy uživatelů TikToku již nějakou takovou zranitelnost našel a nahlásil.

Zájmové osoby by neměly čekat až jednou za rok vyjde nějaké varovní před pochybnou firmou nebo aplikací a měly by na zařízení, které využívají v souvislosti s plněním svých pracovních povinnosti své aktivity na sociálních sítích zcela omezit a pokud možno si žádné další aplikace do telefonu ani neinstalovat.

Nikdy nevíte, skrze kterou aplikaci bude veden útok. Cílem by proto mělo být, mít na svém telefonu nainstalovány jen ty skutečně nezbytně nutné aplikace, aby byl povrch útoku co nejmenší. Ale ani tak nemáte jistotu, jak jsem ostatně psal zde před více jak deseti lety.

Bude zajímavé sledovat, zda se toto varování a blokace nějak zásadně projeví co do počtu uživatelů a dalšího fungování této sociální sítě. Každopádně je nutné počítat s tím, že mnozí uživatelé budou tuto aplikaci i nadále používat. V rámci cyber threat intelligence, brand intelligence a business intelligence bude proto nutné tuto síť sledovat i nadále, abychom včas věděli, co za aktivity se tam odehrává.

Pokud níže uvedené video nevidíte, máte přístup na TikTok již nejspíš zablokován.

Štítky: socialní sítě

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.