Pomoc při kybernetickém útoku a ransomwaru

PRVNÍ KROKY

První kroky ve vaší organizaci

Nejdřív omezte šíření, chraňte zálohy a uchovejte stopy. Tyto obecné kroky vycházejí z doporučení NÚKIB a CISA. Koordinujte je se svým IT a přizpůsobte je bezpečnosti a potřebám provozu.

Odpojte zasažená zařízení od sítě

Vytáhněte síťový kabel, vypněte Wi-Fi nebo zařízení oddělte na přepínači či firewallu. Pokud je odpojit lze, nevypínejte je: v operační paměti mohou být stopy důležité pro vyšetřování.

Zabezpečte zálohy

Zjistěte, které zálohy jsou nedotčené, a odpojte je od sítě. Útočníci se zálohy snaží smazat nebo zašifrovat.

Nic nemažte a zatím nic nepřeinstalovávejte

Zasažené systémy, soubory i zprávu od útočníka ponechte beze změny. Reinstalace by zničila stopy, podle kterých se zjistí, kudy útočník přišel.

Další kroky: logy, přístupy a komunikace

Uchovejte logy a zapisujte si postup

Zajistěte logy z firewallu, serverů, e-mailu a cloudových služeb dřív, než se přepíšou. Zapisujte si, co jste zjistili a udělali, a kdy.

Změňte zneužité přístupy z čistého zařízení

Zablokujte nebo změňte hesla k účtům, o kterých víte, že jsou zneužité, a to ze zařízení, které útok nezasáhl. Plošnou změnu hesel naplánujte až po vyčištění prostředí, aby ji útočník nezachytil.

Komunikujte mimo napadené systémy

Útočník může číst firemní e-mail i chat. O incidentu se domlouvejte telefonem nebo jiným kanálem mimo napadené prostředí.

Informujte pojišťovnu a zavolejte nám

Máte-li kybernetické pojištění, ozvěte se pojišťovně co nejdříve; může vyžadovat určitý postup nebo dodavatele. Zavolejte APPSEC a domluvíme další postup.

JAK POMŮŽEME

Jak vám může APPSEC pomoci

Zapojení, přístupy i rozsah práce nejprve domluvíme s odpovědnou osobou ve vaší organizaci. Podle zjištění může pomoc zahrnovat následující oblasti.

První reakce a koordinace

Probereme, co vaše organizace pozoruje, které služby jsou důležité a kdo za ně odpovídá. Pomůžeme stanovit priority a sladit práci vašeho IT, dodavatelů a vedení.

Úvodní posouzení situace a rozsahu útoku.
Plán prvních kroků s jasnými odpovědnostmi.
Pravidelné shrnutí stavu pro vedení.

Omezení šíření a izolace

Pomůžeme oddělit zasažená zařízení a účty a omezit podezřelá spojení. Konkrétní zásahy domluvíme s vaším IT s ohledem na provoz a zachování stop. Podle potřeby využijeme dostupné bezpečnostní nástroje.

Izolace zařízení, částí sítě a zneužitých účtů.
Uzavření vzdáleného přístupu a známých škodlivých spojení.
Volitelně rychlé nasazení EDR; izolaci zařízení a karanténu škodlivých souborů podle výrobců umožňují obě platformy.

Forenzní analýza a vstupní bod útoku

Zajistíme dostupné stopy a budeme hledat vstupní bod, průběh útoku a jeho rozsah. Zjištění oddělíme od neověřených předpokladů, abyste měli podklad pro další rozhodnutí.

Obrazy disků a operační paměti, zajištění logů.
Časová osa útoku a seznam dotčených systémů.
Vstupní bod a případné skryté přístupy útočníka.

Obnova dat a systémů

Spolu s vaším IT ověříme stav záloh a stanovíme pořadí obnovy podle důležitosti služeb. Pomůžeme obnovit systémy z ověřených podkladů nebo je postavit z čistého základu.

Ověření, že zálohy jsou úplné a čisté.
Obnova podle priorit vašeho provozu.
Čistá instalace a bezpečné nastavení klíčových systémů.

Možnosti dešifrování

Prověříme typ ransomwaru a dostupné veřejné dešifrovací nástroje, například z projektu No More Ransom. Posoudíme také zálohy, stínové kopie a částečně zachované soubory. Možnost obnovy závisí na konkrétním případu.

Identifikace ransomwaru podle vzorku a zprávy útočníka.
Ověření dostupných veřejných dešifrovacích nástrojů.
Obnova ze stínových kopií a částečně zašifrovaných souborů, pokud to jde.

Rada ke komunikaci s útočníkem

Vedení vaší organizace potřebuje vědět, co útočník skutečně má a která jeho tvrzení jsou doložená. Připravíme technická zjištění pro jednání s vašimi právníky, pojišťovnou a příslušnými orgány.

Ověření, co útočník skutečně má a zda jeho tvrzení odpovídají zjištění.
Koordinace případného kontaktu s vedením, právníky a pojišťovnou.
Úřady platbu nedoporučují: nezaručuje dešifrování ani smazání dat a může financovat další útoky.

Komunikace a hlášení

Dodáme technická zjištění pro případná hlášení a komunikaci se zákazníky, partnery či zaměstnanci. Povinnosti a konečné znění posoudí vaše odpovědné osoby a právníci.

Technické podklady pro hlášení NÚKIB, ÚOOÚ a Policii ČR.
Šablony sdělení pro zákazníky, partnery a zaměstnance.
Fakta pro vaše právníky a pojišťovnu.

Po incidentu: zabezpečení a prevence

Po zvládnutí incidentu pomůžeme určit příčiny a priority nápravy. Podle dohody může navázat úprava přístupů a konfigurace, ověření oprav testem nebo doplnění ochrany.

Plán zabezpečení podle zjištěných příčin.
Penetrační test k ověření nápravy.
Vyhodnocení incidentu a ochrana SentinelOne nebo Heimdal podle nabídky.

POSTUP

Jak spolupráce probíhá

Nejprve si potvrdíme dostupnost a dohodneme zapojení APPSEC. V průběhu řešení budete vědět, co jsme zjistili, jaký je další krok a která rozhodnutí potřebujeme od vás.

01
První kontakt
Stručně popíšete, co se děje ve vaší organizaci. Ověříme dostupnost a domluvíme, zda a v jakém rozsahu se můžeme zapojit. Zároveň určíme bezpečný způsob další komunikace.
02
Posouzení a rozsah
Zjistíme, co je zasažené a co je v ohrožení. Domluvíme rozsah práce, oprávnění, přístupy a kontaktní osoby.
03
Omezení útoku
Izolujeme zasažené systémy a účty a bráníme dalšímu šíření. Kroky koordinujeme s vaším provozem, aby zbytečně nezastavily to, co ještě funguje.
04
Vyšetřování
Zajistíme stopy a zjistíme, kudy útočník přišel, co dělal a co mohl odnést. Výsledky slouží pro obnovu, hlášení i rozhodování vedení.
05
Obnova
Systémy a data obnovíme podle priorit provozu, z ověřených záloh nebo čistou instalací. Před návratem do provozu ověříme, že známé cesty útočníka jsou uzavřené.
06
Následná opatření
Předáme závěrečnou zprávu, poučení a doporučení. Podle dohody navážeme zabezpečením, penetračním testem nebo nasazením ochrany.

KDO ZA CO ODPOVÍDÁ

Kdo za co odpovídá

APPSEC

Technická pomoc, koordinace a podklady pro vaše rozhodování v dohodnutém rozsahu. Zásahy s dopadem na provoz provádíme podle sjednaných oprávnění a schváleného postupu.

Vaše organizace

Rozhoduje o krocích s dopadem na provoz, uděluje oprávnění a přístupy a schvaluje komunikaci navenek. Rozhodnutí o případném kontaktu s útočníkem patří vedení.

Výrobci a pojišťovna

Wayfinder MDR od SentinelOne a MXDR od Heimdalu jsou služby výrobců, pokud je máte sjednané. Kybernetická pojišťovna může vyžadovat vlastní postup nebo dodavatele, proto ji kontaktujte včas.

Úřady a policie

Trestný čin můžete oznámit Policii ČR. Únik osobních údajů může být nutné ohlásit ÚOOÚ a organizace v režimu zákona o kybernetické bezpečnosti mohou mít povinnost hlásit incident NÚKIB.

KONTAKT PŘI INCIDENTU

Popište nám svou situaci

Napište, co u vás pozorujete, kdy jste potíže zjistili, které systémy jsou dotčené a co už vaše IT udělalo. Přidejte telefon pro zpětný kontakt. Hesla, přístupy, logy a vzorky malwaru sem nevkládejte; případné předání domluvíme bezpečně.

Spojte se s APPSEC

Pro první kontakt dejte přednost telefonu. Stručně popište potíže ve své organizaci a domluvíme dostupnost i další postup. Pokud může být vaše pošta napadená, použijte jiný bezpečný komunikační kanál.

Telefon: +420 226 289 400
E-mail: info@appsec.cz

Časté otázky

Na co se ptáte v první chvíli

Jak domluvíme rozsah a cenu pomoci?

Cenu nelze určit bez znalosti situace. Rozsah, způsob účtování a podmínky domluvíme pro konkrétní incident a před zahájením prací je potvrdíte. Pokud se situace změní, rozsah s vámi znovu projednáme.

Máme zaplatit výkupné?

Rozhodnutí patří vedení spolu s právníky, pojišťovnou a úřady. NÚKIB, americká CISA i projekt No More Ransom platbu nedoporučují: nezaručuje dešifrování ani smazání ukradených dat, může financovat další útoky a může nést právní rizika, například kvůli sankcím. Pomůžeme vám zjistit fakta, ze kterých můžete vycházet.

Lze obnovit zašifrované soubory?

Záleží na konkrétním ransomwaru. Pro některé rodiny existují veřejné dešifrovací nástroje, pro mnoho dalších zatím ne. Proto vždy prověříme i jiné cesty: zálohy, stínové kopie a částečně zašifrované soubory. Úspěch zaručit nelze.

Máme kybernetické pojištění. Co s tím?

Kontaktujte pojišťovnu co nejdříve a projděte podmínky pojistky. Může vyžadovat oznámení v určité lhůtě, konkrétní postup nebo dodavatele určeného pojišťovnou. Postup s ní sladíme a podle dohody dodáme technické podklady.

Musíme incident někam hlásit?

Jde o obecnou informaci, ne o právní radu. Porušení zabezpečení osobních údajů je podle GDPR nutné ohlásit Úřadu pro ochranu osobních údajů (ÚOOÚ) bez zbytečného odkladu a pokud možno do 72 hodin od zjištění, ledaže je nepravděpodobné, že by vedlo k riziku pro dotčené osoby. Organizace v režimu zákona č. 264/2025 Sb. o kybernetické bezpečnosti mohou mít povinnost hlásit incident NÚKIB, primárně přes Portál NÚKIB; ověřte si svůj režim. Trestný čin můžete oznámit Policii ČR.

Kdy se může APPSEC zapojit? Je možný výjezd?

Nepřetržitou incidentní pohotovost standardně nenabízíme. Dostupnost, práci mimo běžnou pracovní dobu i výjezd na místo domluvíme podle situace a rozsahu zakázky. Řadu kroků lze provést i vzdáleně přes bezpečně nastavený přístup.