Tenhle článek si přečti dřív, než ho budeš potřebovat. Ve chvíli, kdy se to stane, nebude čas hledat postup — a první hodina rozhoduje o tom, jestli přijdete o den práce, nebo o všechno.
Jak to poznáte
Typické příznaky, obvykle ráno:
- Soubory mají divnou příponu a nejdou otevřít.
- V adresářích přibyl textový soubor s výzvou k zaplacení.
- Síťové disky jsou nepřístupné nebo prázdné.
- Někdo hlásí, že mu „počítač zpomalil" — šifrování běží na pozadí.
Prvních 60 minut
1. Odpojit, nevypínat (0–5 minut)
Postižené počítače odpoj od sítě — vytáhni kabel, vypni Wi-Fi. Tím zastavíš šíření na další stroje a disky.
Nevypínej je. V paměti můžou být klíče a stopy, které se vypnutím ztratí. Vypnutý počítač někdy znamená, že se data už nedají zachránit ani odborně.
2. Odpojit zálohy (5–10 minut)
Když je zálohovací disk připojený, šifruje se taky. Fyzicky ho odpoj. Pokud zálohujete na síťové úložiště, odpoj ho ze sítě.
Tenhle krok se nejčastěji vynechá — a je to ten, kvůli kterému firmy platí výkupné.
3. Zjistit rozsah (10–30 minut)
Než začneš cokoliv obnovovat, potřebuješ vědět:
- Kolik počítačů je zasažených.
- Jestli je zasažený server, nebo jen stanice.
- Odkdy to běží — podle času změny souborů.
- Jestli jsou zálohy z doby před nákazou.
4. Zavolat lidi, ne dodavatele softwaru (30–60 minut)
Komu volat:
- Svému IT — hned na začátku, ne až po vlastních pokusech.
- Vedení firmy. Tohle není technická věc, je to provozní krize.
- Pojišťovně, pokud máte kybernetické pojištění. Některé smlouvy vyžadují hlášení do 24 nebo 72 hodin, jinak plnění krátí.
- Právníkovi nebo pověřenci, když mohla uniknout osobní data. Ohlašovací lhůta úřadu je 72 hodin.
Co nedělat
Neplatit. Nemáte záruku, že dostanete klíč, a platba z vás dělá cíl pro příště. Podle veřejných statistik se zaplacení vrátí kompletními daty jen zhruba v polovině případů.
Nemazat, nepřeinstalovávat. Dokud neznáte cestu, kterou se to dostalo dovnitř, hrozí, že si ji necháte otevřenou i po obnově.
Nezkoušet dešifrovací nástroje z internetu. Většina „decryptorů" ve výsledcích hledání je další malware.
Neobnovovat na tentýž stroj, dokud není jistota, že je čistý.
Co rozhoduje o tom, jak to dopadne
Není to antivirus. Jsou to tři věci, které se dělají předem:
Záloha, na kterou útočník nedosáhl. Offline kopie, nebo taková, kterou nejde přepsat.
Rozdělená síť. Když jsou účetnictví, výroba a kamery ve stejné síti, šifruje se všechno naráz.
Účty bez zbytečných práv. Když každý pracuje pod administrátorem, malware taky.
Střízlivý odhad
Firma s otestovanou zálohou a rozdělenou sítí bývá zpátky v provozu za jeden až dva dny. Firma bez toho řeší týdny a část dat nedostane nikdy.
Rozdíl mezi těmi dvěma stavy stojí pár desítek tisíc a jedno odpoledne přípravy.
Líbil se ti článek? Napiš mi, co bys chtěl číst dál — info@ajtak.it.