Ransomware je škodlivý program, který zašifruje data a za jejich „vrácení“ chce výkupné. Na malé firmy útočí stejně jako na velké, protože útočníci většinou nevybírají konkrétní oběť. Hledají slabá místa hromadně: nezabezpečenou vzdálenou plochu, uniklá hesla, neaktualizovaný server nebo neopatrné kliknutí na přílohu.
Tento článek je obecný postup pro menší firmy. Při skutečném incidentu se řiďte pokyny svého správce IT a případně Policie ČR.
Prvních 15 minut: zastavit šíření
- Odpojte napadený počítač od sítě. Vytáhněte síťový kabel a vypněte Wi-Fi. Počítač zatím nevypínejte a nic nemažte. Stopy v paměti a na disku mohou pomoct zjistit, kudy útočník přišel.
- Zjistěte, jestli nejsou zasažené další počítače nebo server. Pokud ano, odpojte i je. Při podezření, že je zasažený server nebo celá síť, odpojte firmu od internetu.
- Odpojte zálohy. Pokud máte zálohovací disk nebo NAS připojený do sítě, okamžitě ho odpojte, ať se nezašifruje také.
- Zavolejte svému správci IT. Popište, co vidíte. Vyfoťte obrazovku s výzvou k výkupnému, budete ji potřebovat.
Co nedělat
- Nezačínejte hned obnovovat ze zálohy. Dokud není jasné, jak se útočník dostal dovnitř, obnovená data se mohou znovu zašifrovat.
- Nepřeinstalovávejte počítače narychlo. Přijdete o stopy a útočník může mít v síti další přístup.
- Nekomunikujte s útočníky a neplaťte, dokud situaci neposoudí odborník. Zaplacení nezaručuje, že data dostanete zpět, a financuje další útoky.
- Nezatajujte to. Zaměstnanci musí vědět, co se děje, aby nepřipojovali další zařízení a neotevírali podezřelé soubory.
Prvních pár hodin: zjistit rozsah
Správce IT zjišťuje, které systémy jsou zasažené, jestli jsou v pořádku zálohy a jestli útočník data jen nezašifroval, ale také neodnesl. Moderní ransomware často data nejdřív zkopíruje a pak vyhrožuje jejich zveřejněním. Někdy pomůže i projekt No More Ransom, který nabízí zdarma dešifrovací nástroje pro některé starší typy ransomwaru.
Komu incident hlásit
- Policie ČR: útok je trestný čin. Oznámení pomůže i při jednání s pojišťovnou.
- Pojišťovna: pokud máte kybernetické pojištění, ozvěte se jí hned. Pojistky obvykle vyžadují rychlé nahlášení a někdy i spolupráci s konkrétní firmou na řešení incidentů.
- Úřad pro ochranu osobních údajů: pokud útok zasáhl osobní údaje zákazníků nebo zaměstnanců a hrozí jim riziko, GDPR vyžaduje ohlášení do 72 hodin od zjištění.
- NÚKIB: pokud jste firma regulovaná zákonem o kybernetické bezpečnosti, máte povinnost hlásit významné incidenty. První hlášení se podává do 24 hodin.
- Odběratelé: pokud jste se ve smlouvě nebo v bezpečnostním dotazníku zavázali incidenty hlásit, udělejte to.
Jak se připravit dřív, než se to stane
Většina firem, které ransomware zasáhne těžce, má stejné slabiny: zálohy jsou ve stejné síti jako ostatní data, obnova nebyla nikdy vyzkoušená, vzdálená plocha je dostupná z internetu a chybí dvoufázové přihlášení. Proti tomu pomáhá několik věcí:
- Záloha mimo dosah sítě, tedy offline nebo neměnná, a pravidelně vyzkoušená obnova.
- Dvoufázové přihlášení do e-mailu a vzdáleného přístupu.
- Žádná vzdálená plocha přímo z internetu, jen přes VPN.
- Aktualizace a ochrana počítačů (EDR), která umí podezřelé šifrování zastavit.
- Jednostránkový krizový plán: koho volat, co odpojit, kde jsou zálohy a hesla. Vytištěný, protože při útoku nemusí fungovat ani počítač, ani e-mail.
Jestli máte zálohy a vzdálený přístup nastavené dobře, zjistíte při revizi IT. Co je o vás vidět z internetu, ukáže bezplatná prověrka.