Kdo má vaše data a co s nimi udělá, i když zaplatíte? Při útoku nepanikařte, radí expert na škodlivý software

Malé a střední firmy jsou obvykle méně zabezpečené a útok má větší dopad na jejich fungování, takže je u nich větší pravděpodobnost, že zaplatí výkupné. Dalším důvodem, který vede k častějším útokům na menší firmy, je metoda poskytování ransomwaru jako služby. Díky ní se do útoku zapojí strukturovaná skupina útočníků, která může zasáhnout větší množství obětí a zkomplikovat vyšetřování jednotlivých incidentů.

Jak se v rámci kyberkriminality rozvíjí ransomware? Je tato hrozba na vzestupu, nebo ustupuje jiným formám zločinecké činnosti na internetu?

Ransomware je stále velkou hrozbou, a to z jednoduchého důvodu: nepřestává se útočníkům vyplácet. Jestli někdy ustoupí, bude to až ve chvíli, kdy útočníci nebudou dostávat výkupné. Pak by za své úsilí neměli žádnou kompenzaci. V současné situaci se ale bohužel stále rozšiřuje a je určitě nejobávanější formou kyberkriminality.

Problém je také v tom, že prostředí ransomwarových skupin je poměrně dynamické. Někdy se během jednoho měsíce objeví klidně i deset nových gangů, které pak zmizí v řádu několika dní nebo týdnů. Při vyšetřování útoků pak není snadné se v tom zorientovat.

Společnost Eset v poslední době opakovaně varovala před gangem Gentlemen. Proč je právě tato skupina pro české firmy a uživatele rizikem?

Tento gang se objevil asi před rokem a zpočátku nic nenasvědčovalo tomu, že by se měl stát velkým hráčem. To se ale změnilo v lednu letošního roku, kdy začal prudce posilovat. Z jednotek útoků měsíčně se najednou staly vyšší desítky. V současné době už překračuje i stovku obětí za měsíc a v českém prostředí je rozhodně nejaktivnějším ransomwarovým gangem ze všech.

Co stojí za tak rychlým růstem jedné skupiny?

Pravděpodobně je to dáno rozvojem modelu Ransomware-as-a-Service (RaaS), ve kterém vývojáři pronajímají škodlivý software jiným kyberzločincům. Málokterý ransomwarový útok je dnes dílem jednoho útočníka nebo jedné skupiny. Obvykle v tom figuruje více subjektů. Na nejvyšší úrovni jsou takzvaní operátoři, kteří gang řídí, spravují jeho stránku na darknetu a sdílejí tam údaje napadených uživatelů. Operátoři ale neútočí. Útoky provádějí jejich partneři, kteří si od operátorů pronajímají malware, a ti také nejvíc profitují z výkupného, někdy u nich skončí až 90 procent vyplacené částky. Třetí skupinou jsou potom infiltrátoři, v angličtině se jim říká initial access brokers. To jsou entity, které zpravidla nejsou vůbec napojené na žádný gang a poskytují jen průnik do sítě oběti. Tyto přístupy pak prodávají útočníkům.

Jak takový přístup nejčastěji získají?

Ve více než devadesáti procentech případů se útočník přihlásí ukradenými přihlašovacími údaji přes nějaké koncové zařízení dostupné z internetu. Od covidu je velmi rozšířené používání virtuálních privátních sítí (VPN), přes které zaměstnanci pracují na dálku, a tyto přístupy útočníci rádi využívají k průniku do sítě. Často také zneužívají zranitelnosti, zejména v zařízeních dostupných z internetu, což se může odehrát klidně měsíce nebo i roky před samotným útokem. V těch nejkomplexnějších případech, o kterých se pak dočteme v novinách, se potom jedná o sociální inženýrství, kdy třeba někdo skutečně zavolá do dané firmy a snaží se přemluvit helpdesk, aby jim resetoval heslo.

Stává se i to, že se útočník nechá přímo zaměstnat ve firmě, kterou chce napadnout?

Fyzicky zaměstnat myslím ne, ale v poslední době jsem zaznamenal hned několik článků o případech, kdy se někdo snažil rekrutovat zaměstnance příslušné firmy a sliboval mu slušnou provizi za přihlašovací údaje. Minulý rok takovou komunikaci zveřejnil i zaměstnanec BBC. Tento typ průniku ale rozhodně není dominantní, už proto, že při něm dochází k přímé komunikaci mezi útočníkem a někým ve firmě, což dává vyšetřovatelům velmi užitečné stopy k dopadení pachatele.

Když už se hacker dostane do systému, jak potom útok probíhá dál?

Dejme tomu, že útočník si tedy koupil přístup do systému od nějakého infiltrátora. V tu chvíli začne skenovat síť a zjišťovat, kde jsou zálohy a kde jsou citlivá data. Musí to dělat samozřejmě opatrně, protože taková aktivita je už sama o sobě podezřelá, ale někteří ostřílení útočníci jsou v tom tak dobří, že dokážou průměrnou síť zmapovat i v řádu minut. Když tato data identifikují, tak je ukradnou. Použijí k tomu legitimní zálohovací nástroje, kterými je zkopírují do svého cloudového úložiště a pak data u oběti zašifrují. Tady poprvé dochází k použití nějakého nástroje, který útočník získal od operátora a za který mu platí. Jsou to obvykle enkryptory šité na míru tomu, aby se dokázaly rychle rozšířit v síti a správně identifikovat, kde jsou zálohy. Ve finále pak různá data smažou, aby nebylo možné obnovovat ze záloh.

S jakou pravděpodobností hrozí, že útočník odcizená data zveřejní?

Když se mu podaří je ukrást a oběť nezaplatí, tak je zveřejní stoprocentně. Stránky na darknetu jsou takových dat plné. Každá konkrétní oběť tam má svůj archiv, kde se její data po skončení countdownu zpřístupní. Nicméně, z vydírání se stal už takový trend, že se to občas může dít i bez reálné krádeže dat. Setkáváme se i s gangy, které tvrdí, že ukradly všechna data, z naší telemetrie to ale tak nevypadá. U velkých skupin, jako je Qilin, Gentlemen nebo Akira, si ale můžete být téměř jistí, že vaše data mají.

Kyberútoky na české firmy sílí. Každý 128. e-mail je phishing

8. 9. 2026 ▪ 4 min. čtení

Co má firma udělat ve chvíli, kdy se o útoku dozví?

Určitě by měla incident nahlásit. Často je to spojené s obavami o reputaci firmy, ale stát se terčem ransomwarového útoku dnes není nic neobvyklého, jen za letošní rok se počet zveřejněných obětí blíží celosvětově k osmi tisícům. Transparentní komunikace je v takových případech důležitá, protože mezi daty, která útočníci získali, mohou být citlivé údaje o zákaznících a partnerech firmy a ty mohou být dále použity k sociálnímu inženýrství. V praxi se často setkáváme s tím, že buď firma nekomunikuje vůbec a chce si všechno vyřešit sama, nebo naopak překotně vysílá informace o tom, co ještě s jistotou neví. Rozumným kompromisem je podle mě oznámit, že k napadení došlo a že se případ vyšetřuje, bez zacházení do podrobností, dokud nejsou posbírány důkazy a celkový obraz není jasnější.

Samozřejmě chápu, že ve chvíli ohrožení a pod časovým tlakem vydírání je dost těžké dělat rozumná rozhodnutí. Proto je dobré mít dopředu připravený krizový plán, mít v něm stanoveno, kde jsou nejcitlivější data, co je nepostradatelné a bez čeho se firma může obejít, i jak bude v případě útoku postupovat.

V jakých situacích dává smysl zaplatit útočníkům výkupné?

Já musím pochopitelně doporučit, aby se útočníkům neplatilo. Jednak to podporuje systém, na kterém kyberkriminalita stojí, a jednak vám nikdo nemůže s jistotou slíbit, že za výkupné dostanete vše zpět a bude to bezchybně fungovat. I když u těch větších skupin, které jsem jmenoval, je to dost pravděpodobné.

Rozumím ale i tomu, že v některých situacích – jako je například fungování kritické infrastruktury – je výpadek mnohonásobně dražší než cena výkupného a že v takových případech k vyplacení dojde. I tady bych ale nedoporučoval zbrkle poslat peníze, ať je vše rychle vyřešené. Firma se tím vystavuje do budoucna dalším rizikům a za pár měsíců může být napadena někým jiným. Měla by útok především vyšetřit, ideálně najít vektor průniku a nalezené slabiny adresovat. Tím posílí do budoucna své zabezpečení.

A pak je možná ještě dobré říci, že když už jste donuceni k nějakému vyjednávání a placení, nemusíte přistoupit na požadovanou výši výkupného. S útočníky se dá obvykle dojednat nižší cena. V zahraničí na to fungují i zprostředkovatelské firmy, které mají za úkol vyjednat napadenému subjektu nižší cenu a zajistit s větší pravděpodobností spolehlivé dešifrování dat. V Česku tahle praxe není ještě rozšířená.

Za dobré slovo, že útočník po zaplacení výkupného smaže moje ukradená data, bych rozhodně neplatil.

Co se po zaplacení výkupného stane s daty, která si útočník zálohoval na svém cloudu?

To je dobrá otázka. Útočník samozřejmě tvrdí, že data smazal, ale proč by to dělal? Odcizená data mají svou hodnotu a logicky se dá očekávat, že útočník se je bude snažit zpeněžit. U několika případů se nám už prokázalo, že útočník sliboval smazání dat a později při policejním zátahu se data našla na jeho disku. Je to další silný argument, proč výkupné neplatit. Pokud mě někdo napadl, je pro mě nepochopitelné dávat mu peníze za dobré slovo, že data po zaplacení smaže.

Jak probíhá vyšetřování ransomwarových útoků a co všechno při něm dokážete zjistit?

Vyšetřování probíhá na více úrovních a velmi záleží na tom, jak je napadená firma nastavená. Když nemá logování aktivity a útočník po sobě vymazal logy na stanicích s operačním systémem Windows, tak vlastně nemáme k dispozici nic. To už ale není časté. Většinou nějaké stopy po jeho aktivitě najdeme a z nich se snažíme sestavit obrázek o tom, co se v síti stalo. Zajímavé je, že identifikovat škodlivý software zpravidla není ten největší problém. Antivirové společnosti jsou schopné tyto nástroje detekovat. Útočník obvykle vyvolá v průběhu své aktivity nějaké alarmy a problém je spíše v tom, že na ně na straně oběti nikdo nereagoval. Při vyšetřování se tedy postupně dotazujeme různých systémů, kde jsou nějaké záznamy o pohybu útočníka, a snažíme se ho dotrasovat co nejdál.

Co je výsledkem takové práce?

Velmi často se podaří dohledat vstupní vektor a posílit zabezpečení tam, kde jsou jeho slabá místa. Často se jedná například o to, že firma nemá nainstalovaný bezpečnostní software na všech svých zařízeních. Ideální samozřejmě je, když aktivitu útočníka identifikujeme ještě předtím, než k incidentu dojde, a můžeme dát firmám proaktivní varování.

Které zásady kyberbezpečnosti mají podle vás největší vliv na snížení rizika ransomwarových útoků ve firmách?

Když se zeptáte umělé inteligence na základní kybernetickou hygienu, dostanete vždycky stejný seznam doporučení. Silná hesla, dvoufázová ověřování, správně nastavené zálohování online i offline včetně pravidelného testování záloh… A s tím je nutné souhlasit. Mnoho firem by možná překvapilo, jak efektivní mohou tato opatření být obecně proti kybernetickým útokům.

Já bych možná zdůraznil už zmíněnou přípravu krizového plánu. To opravdu pomůže. Nejen v komunikaci s médii, zaměstnanci, partnery či zákazníky ve chvíli, kdy k útoku dojde, ale také v samotném postupu, jak situaci řešit. Potom je také velmi důležitá segmentace sítě. Každý ve firmě by měl mít přístup jen k systémům, které potřebuje ke své práci. Útočníka to zastaví jen v určité části sítě a zabrání mu to ovládnout celý systém. A pokud jde o ta silná hesla, velmi bych doporučil používání správce hesel, protože bez něj lidé používají jen zapamatovatelná hesla, která obvykle dost silná nebývají.

Text vznikl ve spolupráci se společností Eset.