Kyberútok na Partners zasáhl jednu z největších finančních skupin v České republice — a ukázal, že ani zavedené instituce spravující data stovek tisíc klientů nejsou vůči digitálním hrozbám imunní. Útočníci se dostali do systémů hned několika společností skupiny: Partners Financial Services, pojišťovny Simplea, penzijní společnosti Rentea, Partners investiční společnosti a slovenské Simplea Financial Services. Partners Banka a její bankovní systémy napadeny nebyly.
Podle vyjádření generálního ředitele Petra Borkovce útočníci nezískali přístup k penězům klientů ani do takzvaného produkčního prostředí — tedy do živých systémů, kde se aktivně zpracovávají transakce. Přístup však získali k zálohám a neprodukčním prostředím, která obsahují osobní údaje klientů. Část citlivých dat tak s vysokou pravděpodobností unikla ven. Provoz dotčených společností přitom pokračuje, byť s drobnými omezeními.
Jaká data mohla uniknout a proč na tom záleží
Finanční a pojišťovací skupiny patří mezi nejcitlivější cíle kybernetických útoků právě proto, že shromažďují mimořádně hodnotná data. V systémech Partners mohou být uloženy pojistné smlouvy, informace o zdravotním stavu klientů (v případě životního pojištění), rodná čísla, adresy, výše úspor nebo investiční portfolia. Únik takových informací může vést k cíleným podvodům, phishingovým útokům nebo zneužití identity.
Skupina incident nahlásila příslušným dozorovým orgánům, podala trestní oznámení na Policii ČR a spustila forenzní analýzu s pomocí externích bezpečnostních specialistů. Klienti jsou průběžně informováni. Podle Partners jde o první incident tohoto rozsahu za téměř dvacet let existence skupiny — což je na jednu stranu dobrá zpráva, na druhou stranu jasný signál, že ani dlouhá bezpečnostní bilance nezaručuje imunitu.
Kybernetické pojištění firem: kdo ho má a co kryje
Případ Partners přirozeně vyvolává otázku: měla skupina kybernetické pojištění? Tato informace nebyla zveřejněna. Každopádně incident ilustruje přesně ten typ škod, na které jsou kybernetická pojištění pro firmy navržena. Produkty, které v Česku nabízejí například Allianz, Generali nebo UNIQA, standardně pokrývají náklady na obnovu dat a systémů, právní odpovědnost za únik osobních údajů, ztrátu příjmů při výpadku provozu i náklady na krizovou komunikaci a forenzní vyšetřování.
Pro středně velkou firmu nebo finanční skupinu může kybernetický incident bez pojistného krytí znamenat škody v řádech desítek milionů korun — a to ještě před případnými sankcemi od regulátora za porušení ochrany osobních údajů podle nařízení GDPR. Pojištění kybernetických rizik proto přestává být výsadou velkých korporací a stále více ho poptávají i menší podnikatelé a živnostníci, kteří pracují s klientskými daty.
Co by měli udělat klienti Partners a jak se chránit obecně
Pokud patříte mezi klienty některé ze zasažených společností skupiny Partners, platí několik praktických kroků. Sledujte komunikaci od skupiny — ta by vás měla kontaktovat, pokud byla vaše data přímo zasažena. Zpozorněte na neobvyklé e-maily nebo SMS zprávy vydávající se za Partners či jinou finanční instituci. Změňte hesla k online účtům, pokud používáte stejná přihlašovací údaje na více místech. A zvažte aktivaci dvoufaktorového ověřování všude, kde to služba umožňuje.
V širším kontextu incident ukazuje, že kybernetická bezpečnost se týká každého — nejen firem, ale i jejich klientů. Fyzické osoby si mohou sjednat pojištění kybernetických rizik, které kryje například náklady na právní pomoc při zneužití identity nebo finanční ztráty způsobené online podvodem. Tento typ pojistky je v Česku stále relativně nový, ale jeho dostupnost i poptávka rychle rostou. Kybernetický útok na tak velkou skupinu, jako jsou Partners, je bohužel přesně tím druhem události, která zájem o podobné produkty dále urychlí.