Ransomware: jak se bránit a co dělat, když udeří

Ransomware zašifruje vaše data a útočník žádá výkupné za klíč. Nejúčinněji se z útoku zotavíte ze záloh, které útočník nedosáhne a které jste si už vyzkoušeli obnovit. CISA, FBI, NSA a MS-ISAC to ve společném průvodci říkají jasně: udržujte zálohy offline, šifrované, a pravidelně zkoušejte, že se z nich dá obnovit. Zbytek se opírá o aktualizace, MFA a uzavřený vzdálený přístup. A když útok přijde, rozhodují první minuty.

Cesty dovnitř jsou obyčejné: server bez aktualizací, uniklé heslo, vzdálený přístup vystavený na internet. Tenhle text ukazuje, kudy ransomware vchází, co zálohovat, co udělat první hodinu a komu to nahlásit.

Jak se ransomware dostane dovnitř

CISA ve svém průvodci z října 2023 řadí ochranu podle šesti vstupních cest: zranitelnosti a špatně nastavené systémy, které vidí celý internet, kompromitovaná hesla, phishing, předchozí škodlivý kód, pokročilý social engineering a dodavatelé či správci IT.

Útok navíc nezačíná zašifrovanými soubory. Microsoft v roce 2020 popsal, že ransomware se často spustí týdny nebo měsíce po tom, co útočníci v síti začali jednat. V té době kradou hesla, získávají vyšší práva a jedna skupina podle Microsoftu mazala lokální zálohy, aby ztížila obnovu. CISA proto upozorňuje, že ransomware může být stopou dřívějšího nevyřešeného průniku, a radí před obnovou hledat škodlivý kód, který ho připravil. Prvním krokem bývá často phishing.

Jak se bránit

Jedno tlačítko neexistuje. Funguje více vrstev za sebou, kde každá zachytí to, co propustí ta předchozí:

• Zálohy. Klasické pravidlo 3-2-1 z dokumentu CISA Data Backup Options říká: 3 kopie důležitého souboru (originál a 2 zálohy), na 2 různých typech médií, 1 kopie mimo budovu. Proti ransomwaru CISA chce navíc offline kopii a vysvětluje proč: většina útočníků hledá dostupné zálohy a maže nebo šifruje je. Zálohy do cloudu samy o sobě nemusí stačit, protože zašifrované soubory se mohou synchronizovat a přepsat ty zdravé.
• Zkouška obnovy. Záloha, kterou jste nikdy nenahráli zpět, je jen domněnka. CISA chce pravidelně zkoušet, že se záloha dá otevřít a že je celá.
• Aktualizace. Útočníci podle Microsoftu využívají zveřejněné zranitelnosti v systémech, které nikdo neopravil. CISA dodává, že to platí i pro software na zálohy.
• MFA na e-mailu, VPN a účtech s přístupem ke kritickým systémům. CISA doporučuje odolné MFA pro všechny služby.
• Žádný vzdálený přístup z internetu bez ochrany. CISA: nevystavujte na webu služby jako vzdálená plocha (RDP). Pokud musí zůstat, přidejte další pojistky.
• Oddělené účty a síť. CISA radí držet administrátorské účty zvlášť od uživatelských a dělit síť na části, aby se útok nerozšířil všude.
• Plán na papíře. CISA chce plán reakce na incident mít i vytištěný a offline.

Co udělá firma o 20 lidech

Je to náš návrh podle výše uvedených zdrojů, ne předpis. Pro firmu s jedním serverem a pár desítkami počítačů stačí pět kroků a každý z nich se dá udělat za odpoledne:

1. Sepište, co firma nemůže nechat bez provozu: účetnictví, objednávky, sdílené soubory, e-mail. Podle toho řadíte zálohy i obnovu.
2. Zálohujte na dvě média a jednu kopii odpojte od sítě, třeba disk, který se připojuje jen na dobu zálohy, nebo neměnné úložiště u poskytovatele. CISA k neměnnému úložišti dodává, že se s ním má zacházet opatrně, protože nesplňuje podmínky některých předpisů a špatně nastavené úložiště vyjde draho.
3. Jednou za čtvrt roku obnovte jeden důležitý systém na zkušebním stroji a změřte, jak dlouho to trvá. Délku pak znáte, ne odhadujete.
4. Zapněte MFA na e-mailu a VPN a zrušte přímý vzdálený přístup z internetu.
5. Napište jednu stránku: kdo koho volá, kdo vypíná síť, kde je kontakt na dodavatele IT a na NÚKIB. A vytiskněte ji.

Ransomware udeřil: první hodina

Postup vychází z kontrolního seznamu CISA. Kroky jedna až tři jdou za sebou.

1. Izolujte. Zjistěte, které systémy jsou zasažené, a odpojte je. Když je zasaženo víc strojů nebo podsítí, vypněte síť na přepínači. Útočníci mohou sledovat, jestli jste je odhalili, proto volejte telefonem, ne e-mailem uvnitř zasažené sítě.
2. Nevypínejte stroje hned. Odpojte je od sítě a nechte zapnuté. CISA radí stroj vypnout jen tehdy, když ho nejde odpojit, protože vypnutím se ztratí důkazy uložené v paměti. No More Ransom radí stejně: odpojit, ne vypnout.
3. Určete pořadí obnovy. Nejdřív to, bez čeho firma nevydělává, podle seznamu, který jste si připravili.
4. Hledejte příčinu. Projděte logy a hledejte předchozí škodlivý kód. Obnovíte-li ze zálohy do stále napadené sítě, útočník se vrátí.
5. Zjistěte, jestli existuje nástroj, který data odemkne. Pro některé varianty je zdarma na nomoreransom.org.
6. Obnovte z offline záloh. Napřed zjistěte, že záloha neobsahuje škodlivý kód, stroje znovu nainstalujte a teprve potom je připojte.

Pak přijde na řadu hlášení. Pokud vaše služba spadá pod zákon č. 264/2025 Sb., podejte NÚKIB prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu, přes Portál úřadu. Při významném dopadu přibude do 72 hodin oznámení a do 30 dnů od něj závěrečná zpráva. Firmy v nižším režimu hlásí Národnímu CERT jen incidenty s významným dopadem. Víc o tom, koho se zákon týká, je v článku o NIS2 a novém zákonu.

Když útok zasáhl osobní údaje, ohlaste to Úřadu pro ochranu osobních údajů, pokud možno do 72 hodin od chvíle, kdy jste se o něm dověděli. Lidem, jejichž údaje unikly, to musíte sdělit, když jim hrozí vysoké riziko pro práva a svobody. No More Ransom radí nahlásit útok i policii.

Platit, nebo ne

CISA, FBI, NSA a MS-ISAC výkupné nedoporučují. Podle průvodce platba nezaručí, že data dešifrujete, že útočník ze sítě zmizí ani že data nezveřejní. No More Ransom, projekt Europolu a partnerů, píše: všeobecná rada zní neplatit. O platbě rozhodne vedení firmy, my ji ale nedoporučujeme.

Chyby, které se opakují

• Záloha na stejném disku nebo ve stejné síti. Ransomware ji najde a zašifruje.
• Záloha bez zkoušky obnovy. Poznáte to, až když ji potřebujete.
• Vypnutí všeho hned. Ztratí se stopy v paměti, ze kterých se pozná, kudy útočník přišel.
• Obnova bez hledání příčiny. Stejná zranitelnost zůstane otevřená.
• Plán, který leží na serveru. Když server nejede, nikdo ho nepřečte.

Zdroje

• CISA, FBI, NSA, MS-ISAC, #StopRansomware Guide, říjen 2023: https://www.cisa.gov/sites/default/files/2025-03/StopRansomware-Guide%20508.pdf
• CISA, Data Backup Options (Ruggiero a Heckathorn): https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf
• Microsoft Threat Intelligence, Human-operated ransomware attacks: A preventable disaster, 5. 3. 2020: https://www.microsoft.com/en-us/security/blog/2020/03/05/human-operated-ransomware-attacks-a-preventable-disaster/
• No More Ransom, Prevention advice for businesses, zobrazeno 25. 10. 2026: https://www.nomoreransom.org/en/prevention-advice-for-businesses.html
• Zákon č. 264/2025 Sb., § 15 a § 16, účinný od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-264
• ÚOOÚ, Porušení zabezpečení osobních údajů, zobrazeno 25. 10. 2026: https://uoou.gov.cz/profesional/poruseni-zabezpeceni-osobnich-udaju