Když router selže: Jak DNS hijacking ohrožuje domácí sítě

Přiznejme si. Router většinou jen stojí v rohu, bliká a my si myslíme, že vše jede jak má. Ale realita je jiná. Ten malý krabička může být nejslabším článkem celé vaší sítě.

Proč jsou domácí routery snadnou kořistí

V malých firmách nebo doma nemáme IT oddělení. Routery běží na výchozích nastaveních, starém firmwaru a heslech jako "admin". To láká útočníky.

Jakmile se dostanou dovnitř, nejsou omezeni jen na WiFi. Sedí uprostřed mezi vámi a internetem. Vidí všechno.

Co je DNS hijacking a proč je to nebezpečné

DNS říká vašemu zařízení, kam se připojit. Napíšete banku.cz a router pošle dotaz na DNS server – třeba od ISP nebo Google 8.8.8.8.

Útočník v routeru ten dotaz zachytí. Místo banky vás pošle na falešnou stránku. Ta vypadá stejně, ale krade vaše údaje.

Není to sci-fi. Děje se to teď tisícům lidí, kteří si ničeho nevšimnou.

Jak útok postupuje krok za krokem

S ovládnutým DNS má útočník plný přístup:

Kradení přihlášek: Falešné login stránky sbírají hesla, e-maily i 2FA kódy.

Peníze pryč: Bankovní portály nahradí kopií. Vy nic netušíte.

Škodlivé aktualizace: Normální software dostane malware místo oprav.

Sledování všeho: Každá stránka, e-mail nebo API volání je vidět.

Domácí sítě bez šance

Velké firmy mají monitory a specialisty. Doma? Heslo z roku 2019 a žádná kontrola.

Typické slabiny:

• Výchozí přihlášky: Username admin, heslo admin. Nikdy nezměněné.
• Starý firmware: Opravy čekají na stažení.
• Slabé WiFi: WPA2 je minimum, WPA je horší.
• Žádný dohled: DNS změnu neodhalíte.
• Fyzický přístup: Router snadno resetovat.

Jak se bránit hned teď

Nenechte router osamělý. Začněte tímto:

1. Změňte přihlášku

Do admin panelu, nové silné heslo. Dnes.

2. Aktualizujte firmware

Podívejte se na web výrobce. Zapněte auto-update.

3. WPA3 na WiFi

Podporuje? Zapněte. Jinak WPA2. Heslo změňte.

4. Bezpečný DNS

Zapomeňte na ISP. Zkuste:

• Cloudflare 1.1.1.1 (soukromí)
• Quad9 9.9.9.9 (blokuje malware)
• Google 8.8.8.8 (spolehlivý)

Nastavte v routeru i zařízeních.

5. DoH nebo DoT

Šifruje DNS dotazy. I při kompromitovaném routeru.

6. Kontrolujte logy

V adminu hledejte podezřelé pokusy o login.

7. Vypněte UPnP

Ulehčuje malware. Potřebujete? Nechte vypnuté.

8. Guest síť

Pro hosty a chytré věci. Izolovaná od hlavní sítě.

Tipy pro vývojáře: Navrhujte bezpečně

Aplikace pro domácí sítě? Počítejte s rizikem.

• Vždy HTTPS: Žádné nešifrované spojení.
• Certificate pinning: Blokuje falešné certifikáty.
• MFA: Nejen heslo.
• Sledujte chování: Neobvyklý login? Alarm.
• Šifrujte na klientovi: Data jdou šifrovaná.

Širší pohled

Útoky na routery jsou sofistikovanější. Nástroje skenují slabiny, využívají zero-day a skrývají se.

Je to hon na kočky a my jsme zatím pomalí.

Co dál

Bezpečnost chce péči:

• Měsíčně: Nastavení a logy.
• Čtvrtletně: Firmware.
• Ročně: Hesla a hardware check.
• Nový router: Pokud starý bez updateů, kupte nový za 1000–4000 Kč.

Lepší investice než ztráta účtů. Router je základ. Zajměte se o něj.