Ransomware ve firmě: co dělat v prvních hodinách útoku

Od 1. listopadu 2025 je účinný zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Ve starší verzi článku jsem psal, že podle něj musí incidenty hlásit přes 6 000 českých organizací. Takové tvrzení bylo příliš zkratkovité. Číslo vycházelo z odhadu počtu regulovaných subjektů, nikoli ze seznamu firem s automatickou ohlašovací povinností. Rozhoduje poskytovaná služba, režim povinností a dopad konkrétního incidentu.

Při zjištění ransomwaru postupujte v tomto pořadí: izolujte napadená zařízení od sítě, ochraňte zálohy, z čistého zařízení zapisujte časy a provedené kroky, svolejte vedení a specialisty a prověřte ohlašovací povinnosti. Výkupné není automatickým řešením. Obnovu nezahajujte v prostředí, do kterého může mít útočník stále přístup.

O rozsahu škod se z velké části rozhoduje v prvních hodinách. Obnova může pokračovat ještě dlouho po zjištění incidentu, šíření útoku je však nutné omezit hned. Určení útočné skupiny proto může počkat.

V prvních 60 minutách zastavte šíření a zachovejte důkazy

Některý ransomware se šíří po síti automaticky. Jindy útočník spouští šifrování ručně na více systémech, ke kterým už získal přístup. V úvodních 60 minutách je třeba oddělit napadené systémy od zdravých a přitom nezničit stopy.

1. Izolujte napadená zařízení od sítě. Vytáhněte síťový kabel, odpojte zařízení od Wi-Fi nebo je zablokujte na switchi či firewallu. Nevypínejte je automaticky. Vypnutím přijdete o data v operační paměti, která mohou ukázat běžící procesy, aktivní spojení nebo použitý šifrovací klíč. Pokud však zařízení nelze izolovat a šifrování pokračuje, může mít omezení dalších škod přednost.
2. Chraňte zálohy a systémy pro správu. Přerušte spojení napadeného prostředí se zálohovacími úložišti a zablokujte kompromitované účty, kterými lze zálohy spravovat. Ve starší verzi jsem doporučoval rovnou odpojit také doménový řadič. Taková rada byla příliš obecná. Bez doménového řadiče se firma může odříznout od přihlášení, správy i důležitých logů. Izolaci serverů má řídit člověk, který zná jejich závislosti.
3. Nezasahujte do zašifrovaných souborů. Nemažte je, nepřejmenovávejte a nepokoušejte se je „opravit“. Pro některé rodiny ransomwaru existuje veřejný dešifrovací nástroj, například v projektu No More Ransom. Přepsání souboru však může znemožnit jeho pozdější obnovu.
4. Zapište čas a vše, co vidíte. Poznamenejte si, kdy jste problém zjistili, na kterém zařízení, jak zní výzva k platbě a jaký název má její soubor. Vyfoťte obrazovku telefonem. Uchovejte kopii výzvy a několik zašifrovaných souborů pro analýzu. Zapisujte také každý zásah, včetně odpojených zařízení a změněných účtů.
5. Komunikujte mimo napadené prostředí. Pokud mohl útočník získat přístup k e-mailu nebo firemnímu chatu, nezakládejte v něm krizovou skupinu. Použijte známá čistá zařízení a náhradní komunikační kanál. Z čistého zařízení také měňte důležitá hesla, rušte aktivní relace a omezujte vzdálené přístupy.

Koho volat a v jakém pořadí

Následující kontakty nemusíte obvolávat postupně. Vedení, IT, externí specialisty a pojišťovnu často kontaktujete souběžně.

• Interní tým a vedení. Svolejte pracovníky IT, jednatele a člověka, který bude komunikovat se zákazníky a dalšími lidmi mimo firmu. Určete 1 člověka, který zásah řídí a zapisuje rozhodnutí. Rozhodnutí je nutné přijímat rychle a musí u nich být člověk s odpovídající pravomocí.
• Externí specialisté na incident response. Pokud nemáte vlastní bezpečnostní tým, kontaktujte firmu, která se zabývá forenzní analýzou a obnovou. Kontakt si připravte předem a uložte jej mimo firemní síť. Z napadeného notebooku jej nemusí být možné dohledat.
• Pojišťovna. Máte-li kybernetické pojištění, nahlaste škodu podle pojistných podmínek. Některé pojišťovny vyžadují využití schválených specialistů nebo předchozí souhlas s určitými náklady. Podmínky se liší. Neodkládejte však nezbytné kroky k zastavení škody jen proto, že se nemůžete dovolat na infolinku.
• NÚKIB, pokud spadáte pod zákon. Starší verze článku rozlišovala lhůtu 24 hodin v nižším režimu a hlášení bez zbytečného odkladu ve vyšším režimu. Po nabytí účinnosti zákona č. 264/2025 Sb. už takový popis není přesný. U incidentu, který podléhá hlášení, zákon č. 264/2025 Sb. stanoví prvotní hlášení nejpozději do 24 hodin od jeho zjištění a oznámení incidentu nejpozději do 72 hodin od jeho zjištění. Závěrečná zpráva se podává nejpozději do 1 měsíce od oznámení incidentu. Rozsah povinnosti se liší podle režimu a dopadu na regulovanou službu. Ověřte jej v Portálu NÚKIB nebo s právníkem.
• Úřad pro ochranu osobních údajů. Pokud incident zasáhl osobní údaje, je nutné samostatné posouzení podle GDPR. Podle čl. 33 odst. 1 GDPR správce ohlašuje porušení dozorovému úřadu bez zbytečného odkladu a pokud možno do 72 hodin od chvíle, kdy se o něm dozvěděl, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody lidí. Zašifrování může být porušením dostupnosti dat i bez potvrzeného úniku.
• Policie. Jednání útočníka při ransomwarovém útoku může naplnit skutkovou podstatu trestného činu. Podání trestního oznámení může vyžadovat také pojišťovna. Policii předejte zachované výzvy, časovou osu a další podklady. Nemažte je ani po obnovení provozu.

Proč neplatit hned

Výzva k platbě vytváří časový tlak. Může nabízet slevu při platbě do 48 hodin a hrozit zveřejněním dat. Časové omezení je součástí nátlaku útočníka.

NÚKIB placení výkupného nedoporučuje. Ve starší verzi jsem uvedl, že Česko vstoupilo do mezinárodní iniciativy, která platby odmítá. Takové tvrzení bylo příliš široké. Společné prohlášení Counter Ransomware Initiative z roku 2023 uvádí, že příslušné instituce pod pravomocí národních vlád zapojených států by výkupné neměly platit. Nejde o závazek, který by se automaticky vztahoval na každou soukromou firmu.

Důvody, proč neplatit bez dalšího posouzení, jsou praktické:

• Zaplacení nezaručí obnovu. Dešifrovací klíč nemusí fungovat, může obnovovat data velmi pomalu nebo zachránit jen část souborů.
• Útočník zjistí, že jste ochotní platit. Přístup může prodat další skupině nebo se po čase vrátit.
• Data už mohla uniknout. Při moderních útocích útočníci často data nejdřív zkopírují a teprve potom zašifrují. Platba za dešifrování neodstraní kopii ze serveru útočníka.
• Platba může mít právní dopady. Příjemce může být na sankčním seznamu. Problémem může být i zjištění, komu peníze skutečně směřují.

Rozhodnutí o platbě není jen technickou otázkou. Patří vedení a mělo by přijít až po konzultaci se specialisty, právníkem, pojišťovnou a policií. Firma by neměla zahajovat samostatné vyjednávání z napadené e-mailové schránky.

Obnova ze záloh musí začít v čistém prostředí

Úspěšná obnova vyžaduje použitelné zálohy. Záloha, kterou útočník také zašifroval nebo smazal, data neobnoví.

Pravidlo 3-2-1 stále platí. Znamená 3 kopie dat na 2 různých typech úložiště a 1 kopii mimo hlavní lokalitu. Pro ochranu před ransomwarem se používá také rozšíření 3-2-1-1-0. Další 1 označuje offline nebo neměnitelnou kopii. Číslo 0 znamená 0 nevyřešených chyb při ověřené obnově.

1. Ověřte, že máte čistou zálohu. Najděte poslední zálohu, která vznikla před napadením. Neřiďte se jen okamžikem, kdy začalo šifrování. Útočník mohl být v prostředí delší dobu a záloha může obsahovat jeho nástroje nebo vytvořené účty.
2. Obnovujte do vyčištěného prostředí. Nevracejte data na zařízení, kde útočník pořád může být. Nejdřív systém znovu sestavte nebo přeinstalujte, opravte zneužitou vstupní cestu, změňte dotčené přihlašovací údaje z čistého zařízení a zrušte staré relace. Samotná výměna hesel nestačí, pokud si útočník udržuje přístup přes zranitelný server. Příklad zneužívané chyby v Microsoft Exchange ukazuje, proč je nutné odstranit původní cestu do systému.
3. Určete pořadí obnovy. Nejdřív stanovte, které systémy firma potřebuje k provozu. Může jít o fakturaci, objednávky, sklad nebo e-mail. Obnovujte podle důležitosti a vzájemných závislostí, nikoli podle abecedy.
4. Nespěchejte zpátky do sítě. Ověřte funkčnost systému, správnost dat a připravené sledování provozu. Pokud do sítě připojíte stále napadené zařízení, útočník může znovu zasáhnout obnovené systémy.

Záloha musí být ověřená. Samotná existence zálohy neznamená, že z ní firma dokáže obnovit provoz. Firmy, které si obnovu nikdy nevyzkoušely nanečisto, mohou uprostřed krize zjistit, že obnova trvá několik dní nebo že poslední použitelná záloha je stará 1 měsíc.

Co udělat předem, aby firma incident zvládla

Schopnost reagovat na ransomware vzniká ještě před útokem. Připravená firma má pro první hodiny stanovený postup, rozdělené pravomoci a dostupné kontakty.

• Mějte offline nebo neměnitelnou zálohu. Nastavte dobu uchování tak, aby správce produkčního prostředí nemohl zálohu běžným účtem smazat ani přepsat. Účty pro správu záloh oddělte a chraňte vícefaktorovým ověřením.
• Vyzkoušejte obnovu nanečisto. Alespoň 1× ročně obnovte klíčové systémy ze zálohy a změřte, jak dlouho to trvá. U rychle se měnících nebo zásadních systémů může být potřeba častější test.
• Sepište kontakty a postup mimo síť. Uveďte, kdo volá vedení, specialistům, pojišťovně a úřadům. Kopii uložte offline nebo vytiskněte. Dokument uložený pouze na zašifrovaném síťovém disku nebude během incidentu dostupný.
• Rozdělte role a nacvičte rozhodování. Technický seznam kroků nestačí, když nikdo neví, kdo smí odpojit výrobu nebo informovat zákazníky. Rozhodování lidí při bezpečnostních incidentech je proto vhodné procvičit na modelovém incidentu i s vedením.
• Segmentujte síť a omezte práva. Čím méně zařízení spolu volně komunikuje a čím méně účtů má oprávnění správce, tím menší prostor dostane útok. Vícefaktorové ověřování, správa hesel a pravidelné opravy dále omezují riziko. Stará hesla a zanedbané aktualizace mohou útočníkům usnadnit přístup do firmy.
• Zjistěte, zda spadáte pod nový zákon. Pokud začnete splňovat podmínky poskytovatele regulované služby, zákon č. 264/2025 Sb. stanoví lhůtu pro její ohlášení NÚKIB do 60 dnů ode dne, kdy jste tyto podmínky začali splňovat. Režim, rozsah incidentů k hlášení a odpovědné osoby si určete předem.

Ransomware neohrožuje jen banky a nemocnice. Může zastavit výrobní firmu s 50 lidmi, účetní kancelář i e-shop. Délku výpadku ovlivňuje stav záloh, dostupnost kontaktů a předem vyzkoušený postup obnovy.

Seznam telefonních čísel a základní pořadí kroků lze připravit předem. Ověření záloh, přístupových práv a skutečného postupu obnovy vyžaduje více práce. Bez těchto kontrol může firma zjistit až během incidentu, že uložená záloha není použitelná.