Po hacku alebo ransomvéri: obnova bez opätovnej nákazy

Modul 8: Keď sa niečo pokazí · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii zvládnete fázu obnovy po hacku alebo ransomvéri: obmedzenie škody, zistenie príčiny, čistú obnovu, nahlásenie, komunikáciu a poučenie sa z udalosti.

Kľúčové pojmy: obmedzenie škody, izolácia, počiatočný prístup, perzistencia, forenzné vyšetrovanie, čistá reinštalácia, poradie obnovy, trestné oznámenie, No More Ransom, výkupné, kybernetické poistenie, vyhodnotenie

Najväčšia chyba: príliš rýchle "obnoviť všetko"

Tvorca webových stránok dostane v utorok hlásenie: WordPress stránka klienta presmerováva návštevníkov na falošný obchod. Obnoví zálohu z minulého týždňa, stránka opäť funguje, hotovo. Vo štvrtok sa to stane znova. Útočník sa dostal dovnútra cez zastaraný plugin a zanechal tam ďalší administrátorský účet a skrytý súbor. Záloha z minulého týždňa to už obsahovala. Obnova bez toho, aby ste vedeli, ako sa niekto dostal dovnútra, vráti späť aj otvorené dvere.

To isté sa deje pri ransomvéri v kancelárskej sieti. Zločinci sú často vo vnútri už dni alebo týždne predtým, než spustia šifrovanie. Počas tej doby vytvárajú ďalšie účty, inštalujú softvér na vzdialený prístup a hľadajú zálohy. Kto obnoví len zašifrované súbory, necháva útočníka vo vnútri.

Obnova preto prebieha v piatich krokoch, v tomto poradí.

Krok 1: obmedzenie škody

Obmedzenie škody znamená: zabezpečiť, aby sa situácia nezhoršovala. Prvé minúty sú popísané na vašej kartičke pre prípad incidentu (lekcia 8.1).

• Izolujte zasiahnuté zariadenia: vytiahnite sieťový kábel, vypnite wifi aj mobilnú sieť, alebo zapnite letový režim. Holandský NBÚ (NCSC) odporúča zasiahnuté systémy nevypínať, ale odpojiť; režim spánku je v poriadku. Takto zostanú stopy v pracovnej pamäti zachované a šírenie sa zastaví.
• Odpojte externé disky a záložné médiá a nepripájajte ich k zariadeniu, ktoré je možno nakazené.
• Ak systém nemôžete izolovať, prerušte spojenie so sieťovým diskom. Ak je zasiahnutá celá sieť, odpojte ju od internetu (napríklad vypnutím internetového pripojenia alebo uzavretím firewallu).
• Zmeňte heslá z čistého zariadenia, začnite tými najdôležitejšími: administrátorské účty, e-mail, správca hesiel, banka. Odhláste všetky relácie všade. Nerobte to z počítača, ktorý môže obsahovať infostealer alebo keylogger (lekcia 1.4), pretože inak nové heslo rovno prezradíte útočníkovi.
• Uchovajte dôkazy: fotku správy s požiadavkou o výkupné, e-maily, žiadosti o platbu, krypto adresy, časy. Nič nevyhadzujte.

Pri hacknutej webovej stránke znamená obmedzenie škody: dočasné vypnutie stránky alebo prepnutie do režimu údržby, zmenu všetkých hesiel (administrácia, FTP, databáza, hosting) a zapojenie vašej hostingovej spoločnosti.

Krok 2: zistenie, čo sa stalo

Potrebujete zistiť tri veci:

1. Ako sa dostali dovnútra? Počiatočný prístup: phishingový e-mail, ukradnuté heslo bez 2FA, zastaraný VPN server alebo plugin, otvorené pripojenie na vzdialenú správu.
2. Čo tam zanechali? Perzistencia: ďalšie účty, naplánované úlohy, softvér na vzdialenú správu, presmerovacie pravidlá v poštových schránkach, ďalšie súbory na webovom serveri.
3. Čo si odniesli? Pri modernom ransomvéri zločinci často najprv skopírujú údaje a hrozia ich zverejnením (dvojité vydieranie, lekcia 1.3). Vtedy máte aj únik osobných údajov (lekcia 8.2).

Pre malú firmu je toto zriedkavo možné zvládnuť svojpomocne. Zapojte svojho IT dodávateľa alebo špecializovanú firmu na reakciu na incidenty. Mnohé kybernetické poistenia majú pevné číslo na takýto tím. Pri externej firme sa opýtajte, aké má skúsenosti s vaším typom incidentu, a vopred si dohodnite, čo vyšetrovanie zahŕňa.

Pri webovej stránke pomôže prístupový log a log chýb webového servera, kontrola súborov na škodlivý softvér a porovnanie s čistou kópiou CMS a pluginov.

Krok 3: čistá obnova

Až keď viete, ako sa útočník dostal dovnútra, a tá cesta je uzavretá, začnite s obnovou.

Obnovujte v poradí, ktoré ste si stanovili vo svojom pláne (lekcia 8.1 a 6.3): najprv to, čo firma potrebuje na fungovanie. Obnovenú časť udržiavajte oddelenú od tej, ktorá ešte nebola preverená.

Tu sa ukáže, či vaša záloha stojí za to. Záloha, ktorá bola pripojená k sieti, je často tiež zašifrovaná alebo zmazaná. Offline alebo nemenná záloha (lekcia 6.2) a otestovaný postup obnovy (lekcia 6.3) robia rozdiel medzi dňami a týždňami výpadku.

Krok 4: trestné oznámenie, nahlásenie a výkupné

Trestné oznámenie. Podajte trestné oznámenie na polícii. Firmy si na to dohodnú termín cez Policajný zbor SR. Vezmite si so sebou dôkazy (správu s požiadavkou o výkupné, e-maily, platobné údaje). Trestné oznámenie je potrebné na vyšetrovanie, pomáha polícii vidieť súvislosti a poisťovne oň často žiadajú.

No More Ransom. Na https://www.nomoreransom.org (iniciatíva okrem iného Europolu a holandskej polície) môžete nechať rozpoznať zašifrovaný súbor alebo správu s požiadavkou o výkupné. Pre niektoré rodiny ransomvéru existuje bezplatný dešifrovací nástroj. Pre väčšinu nových variantov nie, no overenie nezaberie veľa času.

Nahlásenie. Overte si, ktoré nahlásenia sú potrebné: únik osobných údajov Úradu na ochranu osobných údajov SR do 72 hodín (lekcia 8.2), významný incident NBÚ, ak sa na vás vzťahuje zákon o kybernetickej bezpečnosti (lekcia 9.1), a to, čo máte dohodnuté s klientmi alebo objednávateľmi.

Výkupné. Holandský NCSC odporúča výkupné neplatiť, polícia hovorí "radšej neplaťte". Dôvody:

• Nemáte žiadnu záruku, že dostanete funkčný kľúč, ani že údaje nebudú aj tak zverejnené.
• Údaje, ktoré dostanete späť, môžu byť poškodené alebo zmenené.
• Kto zaplatí, je známy ako niekto, kto platí. Obete bývajú niekedy znova vydierané alebo neskôr opäť napadnuté.
• Financujete tým ďalší útok.

Ak aj napriek tomu zvažujete zaplatiť, alebo ste už zaplatili, vždy to nahláste polícii: platobné údaje môžu pomôcť vyšetrovaniu. Toto rozhodnutie patrí osobe s rozhodovacou právomocou z vášho plánu pre prípad incidentu, nie tomu, kto správu uvidí ako prvý.

Kybernetické poistenie. Kybernetické poistenie môže pokryť náklady na vyšetrovanie, obnovu a škody pre podnikanie a často poskytuje prístup k tímu pre riešenie incidentov. Prečítajte si podmienky: mnohé poistky vyžadujú základné opatrenia ako 2FA a zálohy a žiadajú rýchle nahlásenie. Holandský NCSC uviedol v apríli 2025, na základe prieskumu viac ako 500 incidentov s ransomvérom u malých a stredných podnikov, že útočníci po vniknutí hľadajú súbory s názvami ako "poistenie" alebo "polisa", aby si posilnili vyjednávaciu pozíciu. Zvážte teda, ako ľahko útočník nájde vašu poistku, a radšej ju neuchovávajte na zdieľanom disku. Poistenie nenahrádza opatrenia: uhradí škodu, ale nezabráni jej.

Krok 5: komunikácia a poučenie sa

Nechajte osobu zodpovednú za komunikáciu z vášho plánu, aby zamestnancom, klientom a dodávateľom povedala jeden jasný príbeh: čo sa stalo, čo to pre nich znamená, čo majú robiť (napríklad: dávajte si pozor na e-maily, ktoré vyzerajú, že sú od nás), a kedy sa vám znova ozvú. Úprimnosť a včasnosť fungujú lepšie než mlčanie, kým to nevyjde najavo samo.

Naplánujte si do pár týždňov vyhodnotenie: čo išlo dobre, čo zlyhalo, čo zmeníte? Takmer vždy vyjdú najavo tie isté body: niekde chýbalo 2FA, systém nebol aktualizovaný, záloha nebola otestovaná, alebo nikto nevedel, kto má rozhodovať. Tieto body zapíšte do svojho plánu z lekcie 9.3, spolu s osobou zodpovednou a termínom.

V praxi: ako to vyzerá

Pri hacknutej webovej stránke na hostingovom balíku väčšinou pracujete s nástrojmi vašej hostingovej spoločnosti. U WebOké sú to napríklad kontrola škodlivého softvéru (Imunify360), logy v DirectAdmin, obnovenie zálohy z WebOké Backups a postup v návode pre DirectAdmin. U iných hostingových spoločností existujú podobné nástroje; opýtajte sa svojho poskytovateľa, čo má k dispozícii a ako ďaleko do minulosti siahajú zálohy, ešte predtým, než to budete potrebovať.

Zhrnutie

• Obnova v piatich krokoch: obmedzenie škody, zistenie príčiny, čistá obnova, trestné oznámenie a nahlásenie, komunikácia a poučenie sa.
• Izolujte, nevypínajte a heslá meňte len z čistého zariadenia.
• Nič neobnovujte, kým neviete, ako sa útočník dostal dovnútra; inak vrátite späť aj otvorené dvere.
• Napadnuté zariadenia nainštalujte nanovo a obnovte zo zálohy spred vniknutia.
• Podajte trestné oznámenie, pozrite si No More Ransom a výkupné radšej neplaťte.

Kvíz

Úloha

Úloha A8.3: Zoraďte obnovu do správneho poradia. Dostanete prípadovú štúdiu a desať samostatných krokov (napríklad "obnoviť zálohu", "vytiahnuť sieťový kábel", "zistiť, ako sa útočník dostal dovnútra", "podať trestné oznámenie"). Zoraďte ich do správneho poradia. Program overí, či platia pevné pravidlá poradia (napríklad: izolácia pred obnovou, príčina pred obnovou, nová inštalácia pred obnovou údajov) a pri každej chybe vysvetlí prečo.

Ďalšie čítanie

Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Návod na DirectAdmin 18.2: Moja webová stránka je napadnutá: postup krok za krokom
• Pomoc! Moja stránka bola napadnutá. Ako to vyriešiť a ako tomu predísť?
• Skener Imunify360
• WebOké Backups: zobrazenie, obnovenie alebo stiahnutie zálohy
• Holandský NCSC, Čo robiť pri útoku ransomvérom?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Holandský NCSC, Ransomvér v malých a stredných podnikoch: kyberzločinci zvyšujú výkupné pri kybernetickom poistení: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org