Po hacku nebo ransomwaru: obnova bez opětovné nákazy

Modul 8: Když se něco pokazí · Doba čtení: 11 minut

Cíl lekce: Po této lekci zvládnete projít fází obnovy po hacku nebo ransomwaru: omezení škody, zjištění příčiny, čistou obnovu, nahlášení, komunikaci a poučení se z incidentu.

Klíčové pojmy: omezení škody, izolace, počáteční přístup, perzistence, forenzní šetření, čistá reinstalace, pořadí obnovy, trestní oznámení, No More Ransom, výkupné, kybernetické pojištění, vyhodnocení

Největší chyba: příliš rychlé "obnovit všechno ze zálohy"

Tvůrce webových stránek dostane v úterý hlášení: web klienta na WordPressu přesměrovává návštěvníky na podvodný obchod. Obnoví zálohu z minulého týdne, web znovu funguje, hotovo. Ve čtvrtek je problém zpět. Útočník se dostal dovnitř přes zastaralý plugin a zanechal navíc administrátorský účet a skrytý soubor. Záloha z minulého týdne je obsahovala už tehdy. Obnovení bez znalosti toho, jak se někdo dostal dovnitř, znovu otevírá i ty samé dveře.

Totéž se stává u ransomwaru v kancelářské síti. Zločinci jsou uvnitř často už dny nebo týdny, než zašifrují data. Během té doby si vytváří další účty, instalují software pro vzdálený přístup a hledají zálohy. Kdo obnoví pouze zašifrované soubory, nechává útočníka uvnitř.

Obnova proto probíhá v pěti krocích, v tomto pořadí.

Krok 1: omezení škody

Omezení škody znamená: zajistit, aby se situace nezhoršovala. První minuty máte popsané na Vaší kartě pro řešení incidentů (lekce 8.1).

• Izolujte postižená zařízení: vytáhněte síťový kabel, vypněte wifi a mobilní síť, nebo zapněte režim letadlo. Nizozemské NCSC doporučuje postižené systémy neodpojovat od napájení, ale pouze od sítě; režim spánku je v pořádku. Díky tomu zůstanou stopy v operační paměti zachovány a zastaví se šíření.
• Odpojte externí disky a záložní média a nepřipojujte je k zařízení, které může být nakažené.
• Pokud systém nelze izolovat, odpojte ho alespoň od síťového disku. Pokud je postižená celá síť, odpojte ji od internetu (například vypnutím internetového připojení nebo uzavřením firewallu).
• Měňte hesla z čistého zařízení, začněte těmi nejdůležitějšími: administrátorské účty, e-mail, správce hesel, banka. Odhlaste všude všechny relace. Nedělejte to z počítače, který může obsahovat infostealer nebo keylogger (lekce 1.4), protože v takovém případě nové heslo rovnou prozradíte útočníkovi.
• Uchovejte důkazy: fotografii zprávy s žádostí o výkupné, e-maily, platební požadavky, kryptoadresy, časové údaje. Nic nevyhazujte.

U hacknutého webu znamená omezení škody: dočasné vypnutí webu nebo přepnutí do režimu údržby, změnu všech hesel (administrace, FTP, databáze, hosting) a kontaktování Vašeho hostingového poskytovatele.

Krok 2: zjištění, co se stalo

Potřebujete zjistit tři věci:

1. Jak se dostali dovnitř? Počáteční přístup: phishingový e-mail, ukradené heslo bez 2FA, zastaralý VPN server nebo plugin, otevřené připojení pro vzdálenou správu.
2. Co po sobě zanechali? Perzistenci: další účty, naplánované úlohy, software pro vzdálenou správu, přesměrovací pravidla ve schránkách, další soubory na webovém serveru.
3. Co si odnesli? U moderního ransomwaru zločinci často nejprve zkopírují data a vyhrožují jejich zveřejněním (dvojité vydírání, lekce 1.3). V takovém případě máte na krku i únik osobních údajů (lekce 8.2).

Pro malou firmu je toto zřídka proveditelné vlastními silami. Zapojte svého IT dodavatele nebo specializovanou firmu na reakci na incidenty. Mnohá kybernetická pojištění mají pevnou linku na takový tým. U externí firmy se zeptejte, jaké má zkušenosti s Vaším typem incidentu, a předem si domluvte, co šetření zahrnuje.

U webu pomáhá přístupový a chybový log webového serveru, sken škodlivého kódu v souborech a porovnání s čistou kopií CMS a pluginů.

Krok 3: čistá obnova

Teprve když víte, jak se útočník dostal dovnitř, a tato cesta je uzavřená, začnete s obnovou.

Obnovujte v pořadí, které jste stanovili ve svém plánu (lekce 8.1 a 6.3): nejdřív to, co firma potřebuje k běžnému provozu. Obnovenou část udržujte oddělenou od té, která ještě nebyla zkontrolována.

Zde se ukáže, zda je Vaše záloha kvalitní. Záloha, která byla připojená k síti, je často také zašifrovaná nebo smazaná spolu se zbytkem. Offline nebo nezměnitelná záloha (lekce 6.2) a otestovaný postup obnovy (lekce 6.3) rozhodují o rozdílu mezi dny a týdny odstávky.

Krok 4: trestní oznámení, nahlášení a výkupné

Trestní oznámení. Podejte trestní oznámení u Policie České republiky (https://www.policie.gov.cz/). Vezměte s sebou důkazy (zprávu s žádostí o výkupné, e-maily, platební údaje). Trestní oznámení je nutné pro vyšetřování, pomáhá policii odhalit souvislosti a pojišťovny o něj často žádají.

No More Ransom. Na https://www.nomoreransom.org (iniciativa mimo jiné Europolu a nizozemské policie) můžete nechat rozpoznat zašifrovaný soubor nebo zprávu s žádostí o výkupné. Pro některé rodiny ransomwaru existuje bezplatný dešifrovací nástroj. Pro většinu nových variant ne, ale ověření nezabere mnoho času.

Nahlášení. Zjistěte, jaká nahlášení jsou potřeba: únik osobních údajů u Úřadu pro ochranu osobních údajů (ÚOOÚ) do 72 hodin (lekce 8.2), významný incident přes Portál NÚKIB, pokud se na Vás vztahuje zákon č. 264/2025 Sb., o kybernetické bezpečnosti (lekce 9.1), a to, co máte domluvené se zákazníky nebo objednateli.

Výkupné. Nizozemské NCSC doporučuje výkupné neplatit, policie říká "raději neplaťte". Důvody:

• Nemáte žádnou záruku, že dostanete funkční klíč, ani že data přesto nebudou zveřejněna.
• Data, která dostanete zpět, mohou být poškozená nebo pozměněná.
• Kdo zaplatí, je označen za toho, kdo platí. Oběti bývají někdy vydírány znovu nebo později znovu napadeny.
• Financujete tím další útok.

Pokud přesto zvažujete zaplatit, nebo jste již zaplatili, vždy to nahlaste Policii ČR: platební údaje mohou pomoci vyšetřování. Toto rozhodnutí patří osobě, která rozhoduje podle Vašeho plánu pro řešení incidentů, ne tomu, kdo zprávu uvidí jako první.

Kybernetické pojištění. Kybernetické pojištění může pokrýt náklady na šetření, obnovu a škody na provozu a často poskytuje přístup k týmu pro řešení incidentů. Přečtěte si podmínky: mnohé pojistky vyžadují základní opatření jako 2FA a zálohy a požadují rychlé nahlášení. Nizozemské NCSC napsalo v dubnu 2025, na základě šetření více než 500 incidentů s ransomwarem u malých a středních podniků, že útočníci po proniknutí dovnitř hledají soubory s názvy jako "pojištění" nebo "polis", aby posílili svou vyjednávací pozici. Zkontrolujte tedy, jak snadno vetřelec najde Vaši pojistku, a uchovávejte ji raději ne na sdíleném disku.

Krok 5: komunikace a poučení se

Nechte osobu určenou pro komunikaci z Vašeho plánu vyprávět zaměstnancům, zákazníkům a dodavatelům jeden jasný příběh: co se stalo, co to pro ně znamená, co mají dělat (například: dávejte si pozor na e-maily, které zdánlivě přicházejí od nás), a kdy se jim znovu ozvete. Upřímnost a včasnost fungují lépe než mlčení, dokud se to neprovalí.

Naplánujte během několika týdnů vyhodnocení: co se povedlo, co se nepovedlo, co změníte? Téměř vždy vyplynou stejné body: někde chybělo 2FA, systém nebyl aktualizovaný, záloha nebyla otestovaná, nebo nikdo nevěděl, kdo smí rozhodovat. Tyto body zapracujte do svého plánu z lekce 9.3, s odpovědnou osobou a termínem.

V praxi: jak to vypadá

U hacknutého webu na hostingovém balíčku pracujete často s nástroji svého hostingového poskytovatele. U WebOké jsou to například sken škodlivého kódu (Imunify360), logy v DirectAdmin, obnovení zálohy z WebOké Backups a postup popsaný v návodu k DirectAdmin. U jiných hostingových poskytovatelů existují podobné nástroje; zeptejte se svého poskytovatele, co nabízí a jak daleko do minulosti sahají zálohy, dříve než to budete potřebovat.

Shrnutí

• Obnova probíhá v pěti krocích: omezení škody, zjištění příčiny, čistá obnova, trestní oznámení a nahlášení, komunikace a poučení se.
• Izolujte, nevypínejte a měňte hesla pouze z čistého zařízení.
• Nic neobnovujte, dokud nevíte, jak se útočník dostal dovnitř; jinak znovu otevřete stejné dveře.
• Nakažená zařízení znovu nainstalujte a obnovte ze zálohy z doby před vniknutím.
• Podejte trestní oznámení, podívejte se na No More Ransom a výkupné raději neplaťte.

Kvíz

Úkol

Úkol A8.3: Seřaďte obnovu do správného pořadí. Dostanete případovou studii a deset jednotlivých kroků (například "obnovit zálohu", "vytáhnout síťový kabel", "zjistit, jak se útočník dostal dovnitř", "podat trestní oznámení"). Seřaďte je do správného pořadí. Program zkontroluje, zda souhlasí pevná pravidla pro pořadí (například: izolace před obnovou, příčina před obnovou, opětovná instalace před obnovou dat) a u každé chyby vysvětlí proč.

Doporučená literatura

Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.

• Příručka k DirectAdmin 18.2: Moje webová stránka byla napadena: postup krok za krokem
• Pomoc! Můj web byl napaden. Jak to vyřešit nebo tomu předejít?
• Skener Imunify360
• WebOké Zálohy: zobrazení, obnovení nebo stažení zálohy
• Nizozemské NCSC, Co dělat při útoku ransomwarem?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nizozemské NCSC, Ransomware u malých a středních podniků: kyberzločinci zvyšují výkupné u kybernetického pojištění: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org