Ransomwarový útok patří mezi nejnebezpečnější typy kybernetických útoků. Útočník při něm získá přístup k počítači, serveru nebo celé síti a následně může zašifrovat soubory, zablokovat přístup k důležitým systémům nebo ukrást citlivá data. Oběť je potom často vyzvána k zaplacení výkupného výměnou za příslib obnovení přístupu. Ransomware přitom neohrožuje pouze velké firmy – terčem mohou být také domácnosti, menší podniky, školy nebo jednotliví uživatelé. V tomto článku se proto podíváme na to, jak ransomwarový útok probíhá, jakými způsoby se ransomware dostává do zařízení, co může způsobit a jak výrazně snížit riziko napadení.
🔵 Co je ransomwarový útok?
Ransomware je druh škodlivého softwaru, jehož cílem je znemožnit oběti přístup k datům nebo systémům a následně ji přimět k zaplacení výkupného. Nejčastěji ransomware zašifruje soubory tak, aby je nebylo možné běžným způsobem otevřít.
Po napadení se může na obrazovce objevit zpráva informující uživatele o tom, že jeho soubory byly zašifrovány. Útočníci mohou požadovat peníze za údajný dešifrovací klíč.
Moderní ransomwarové útoky ale často nekončí pouze šifrováním souborů. Útočníci mohou data nejprve odcizit a následně vyhrožovat jejich zveřejněním.
Ransomware tak může způsobit nejen ztrátu přístupu k datům, ale také únik citlivých informací.
1. Zašifrování souborů
Nejznámějším způsobem útoku je šifrování dat.
Ransomware může zašifrovat například:
- dokumenty,
- fotografie,
- databáze,
- účetní soubory,
- pracovní projekty,
- zálohy dostupné ze stejné sítě.
Soubor přitom může fyzicky zůstat uložený v počítači, ale bez odpovídajícího dešifrovacího klíče jej není možné běžně použít.
2. Zablokování systémů
Ransomware nemusí napadat pouze jednotlivé soubory. Ve firemním prostředí může zasáhnout také servery, databáze nebo další systémy.
Výsledkem může být například:
- nemožnost pracovat,
- nedostupnost firemních aplikací,
- výpadek interních systémů,
- zastavení výroby nebo služeb,
- dlouhodobý provozní výpadek.
3. Krádež dat
Někteří útočníci před samotným zašifrováním data zkopírují mimo napadenou síť.
Mohou tak získat například:
- osobní údaje,
- smlouvy,
- účetní dokumenty,
- interní komunikaci,
- zákaznické databáze,
- obchodní informace.
Oběť pak čelí dvěma problémům současně – nemá přístup k původním datům a zároveň hrozí jejich zveřejnění nebo zneužití.
🔵 Jak se ransomware dostane do počítače
Ransomware se do zařízení většinou nedostane náhodou. Útočníci využívají kombinaci technických zranitelností a lidských chyb.
1. Phishingový e-mail
Jedním z nejčastějších způsobů je podvodný e-mail.
Zpráva může například tvrdit, že:
- máte nezaplacenou fakturu,
- byla odeslána zásilka,
- musíte otevřít důležitý dokument,
- došlo k problému s účtem,
- je nutné potvrdit platbu.
Součástí zprávy může být škodlivá příloha nebo odkaz na podvodný web.
Pokud uživatel soubor otevře nebo povolí škodlivý obsah, může dojít ke spuštění malwaru.
2. Napadené nebo podvodné webové stránky
Další možností je stažení škodlivého programu z internetu.
Riziko představují například:
- falešné aktualizace,
- pirátský software,
- cracky a keygeny,
- podvodné instalátory,
- škodlivé reklamy,
- kompromitované webové stránky.
Uživatel může mít pocit, že instaluje běžný program, ale ve skutečnosti spouští malware.
3. Zneužití bezpečnostní chyby
Ransomware může využít také neopravenou chybu v operačním systému, aplikaci, serveru nebo síťovém zařízení.
Pokud výrobce již vydal bezpečnostní aktualizaci, ale zařízení ji stále nemá nainstalovanou, může být zranitelné vůči známému útoku.
Proto jsou aktualizace jedním z nejdůležitějších bezpečnostních opatření.
4. Ukradené přihlašovací údaje
Útočníci se mohou do systémů dostat také pomocí odcizených hesel.
Pokud například získají přístupové údaje k účtu vzdálené správy, mohou se pokusit proniknout přímo do firemní infrastruktury.
Riziko výrazně zvyšuje používání stejného hesla na více službách.
5. Vzdálený přístup
Velkým problémem mohou být také špatně zabezpečené služby dostupné z internetu.
Útočníci vyhledávají například:
- nezabezpečené vzdálené přístupy,
- slabě chráněné účty,
- zastaralé servery,
- špatně nastavené VPN,
- veřejně dostupná administrační rozhraní.
Jakmile získají počáteční přístup, mohou se pokusit proniknout dále do celé sítě.
🔵 Jak ransomwarový útok obvykle probíhá
Ransomwarový útok nemusí začít okamžitým zašifrováním souborů. U rozsáhlejších útoků mohou útočníci nejprve několik dní nebo týdnů zjišťovat, jak je napadená síť postavena.
1. Proniknutí do systému
Prvním krokem je získání počátečního přístupu.
Může k němu dojít prostřednictvím:
- phishingu,
- ukradeného hesla,
- zranitelného systému,
- škodlivého souboru,
- napadené vzdálené služby.
2. Pohyb v síti
Po získání přístupu se útočník nemusí okamžitě pokusit zašifrovat počítač.
Může nejprve hledat další zařízení a účty.
Cílem může být například:
- získání administrátorských oprávnění,
- nalezení serverů,
- vyhledání databází,
- nalezení síťových disků,
- zjištění umístění záloh.
Čím větší kontrolu útočník získá, tím rozsáhlejší může být následný útok.
3. Příprava útoku
Útočníci se mohou pokusit vypnout nebo obejít bezpečnostní mechanismy a zároveň hledat způsoby, jak zasáhnout co největší množství zařízení.
Důležitým cílem bývají také zálohy.
Pokud jsou zálohy přístupné ze stejné sítě a nejsou dostatečně chráněné, mohou být rovněž zašifrovány nebo smazány.
4. Šifrování dat
Následuje samotný útok.
Ransomware může začít hromadně šifrovat soubory na napadených počítačích, serverech nebo síťových úložištích.
Během krátké doby tak mohou být nedostupná data, která byla používána každý den.
5. Výkupné
Po dokončení útoku se zobrazí zpráva s požadavkem na zaplacení výkupného.
Útočníci mohou tvrdit, že po zaplacení poskytnou dešifrovací klíč nebo smažou ukradená data.
Samotné zaplacení ale není zárukou, že budou data skutečně obnovena nebo že útočníci své sliby dodrží.
🔵 Co může ransomwarový útok způsobit
Následky mohou být velmi rozsáhlé. Nejde pouze o několik souborů, které nejdou otevřít.
1. Ztráta přístupu k datům
Pokud nejsou k dispozici funkční zálohy, může být obnovení dat velmi obtížné.
U důležitých pracovních dokumentů může jít o zásadní problém.
2. Výpadek provozu
Firma nemusí být schopna používat své počítače, servery, databáze nebo další systémy.
To může vést k:
- přerušení práce,
- zpoždění objednávek,
- nedostupnosti služeb,
- finančním ztrátám,
- poškození pověsti.
3. Únik citlivých informací
Pokud útočníci data před zašifrováním odcizili, může následovat vydírání.
Hrozba zveřejnění ukradených informací může být pro organizaci stejně závažná jako samotné zašifrování.
4. Náklady na obnovu
Obnova po ransomwarovém útoku může být časově i finančně náročná.
Je nutné například:
- odstranit malware,
- zabezpečit účty,
- obnovit systémy,
- zkontrolovat zálohy,
- přeinstalovat napadená zařízení,
- prověřit celou síť.
🔵 Jak poznat, že může být počítač napaden ransomwarem
Některé příznaky mohou být poměrně výrazné.
Pozornost si zaslouží například:
- náhlá změna názvů nebo přípon souborů,
- nemožnost otevřít dokumenty,
- velké množství souborů se změněným obsahem,
- neznámé výkupné zprávy,
- neobvyklá aktivita disku,
- podezřelé procesy běžící na pozadí,
- náhlé problémy se sdílenými složkami,
- nedostupnost síťových disků.
Pokud se objeví více těchto příznaků současně, není vhodné situaci ignorovat.
🔵 Co dělat při ransomwarovém útoku
Pokud máte podezření, že počítač nebo síť napadl ransomware, je důležité jednat rychle a především zabránit dalšímu šíření.
1. Odpojte napadené zařízení od sítě
Pokud je to možné, odpojte počítač od internetu a lokální sítě.
Cílem je zabránit ransomwaru v komunikaci a případnému šíření na další zařízení.
2. Nevypínejte bez rozmyslu celou infrastrukturu
Ve firemním prostředí je vhodné postup konzultovat s IT specialistou nebo bezpečnostním týmem.
Nekontrolované vypnutí serverů může v některých situacích zkomplikovat následnou analýzu incidentu.
3. Neodstraňujte důkazy
Výkupné zprávy, podezřelé soubory, logy nebo další informace mohou být důležité při vyšetřování útoku.
Pokud je to možné, zachovejte informace o průběhu incidentu.
4. Zkontrolujte zálohy
Jedním z nejdůležitějších kroků je zjistit, zda existují nekompromitované zálohy.
Pokud jsou zálohy oddělené od běžné sítě a útočník k nim neměl přístup, mohou být klíčem k obnově.
5. Zvažte odbornou pomoc
U rozsáhlejšího útoku je vhodné kontaktovat odborníky na kybernetickou bezpečnost.
Ti mohou pomoci určit rozsah kompromitace, odstranit škodlivý software a bezpečně obnovit systémy.
🔵 Jak se proti ransomwaru chránit
Nejúčinnější ochrana nespočívá v jednom programu. Důležitá je kombinace více bezpečnostních opatření.
ZÁKLADNÍ OPATŘENÍ:
1. Pravidelně zálohujte důležitá data
Zálohy patří mezi nejdůležitější obranu proti ransomwaru.
Důležité soubory by měly existovat na více místech a alespoň některá záloha by měla být oddělená od běžně připojených zařízení.
Nestačí přitom zálohy pouze vytvářet.
Je důležité také pravidelně ověřovat, zda je možné data skutečně obnovit.
2. Aktualizujte operační systém a software
Bezpečnostní aktualizace opravují zranitelnosti, které mohou útočníci zneužít.
Aktualizujte především:
- operační systém,
- webový prohlížeč,
- kancelářské programy,
- antivirový software,
- serverové aplikace,
- firmware síťových zařízení.
3. Používejte silná a unikátní hesla
Slabé nebo opakovaně používané heslo může útočníkovi výrazně usnadnit práci.
Pro důležité účty používejte dlouhá a unikátní hesla a pokud je služba podporuje, aktivujte vícefaktorové ověřování.
4. Buďte opatrní u e-mailových příloh
Neotevírejte automaticky každý dokument, který vám přijde e-mailem.
Pozornost věnujte především:
- nečekaným přílohám,
- naléhavým požadavkům,
- podezřelým odkazům,
- neobvyklým fakturám,
- zprávám od neznámých odesílatelů.
5. Používejte bezpečnostní software
Moderní operační systémy obsahují ochranné mechanismy, které mohou některé útoky zachytit.
Bezpečnostní software ale není náhradou za aktualizace, zálohy a opatrnost uživatele.
POKROČILÁ OCHRANA:
1. Oddělení zařízení v síti
Segmentace sítě může omezit rozsah útoku.
Počítače, servery, IoT zařízení a další systémy nemusí být umístěny v jedné společné síti.
Pokud dojde ke kompromitaci jednoho zařízení, útočník tak nemusí automaticky získat přístup ke všem ostatním systémům.
2. Omezte administrátorská oprávnění
Běžný uživatel by neměl mít zbytečně rozsáhlá oprávnění.
Pokud malware běží pouze pod omezeným účtem, může být jeho schopnost zasáhnout celý systém výrazně menší.
3. Chraňte zálohy před útokem
Zálohovací systém by neměl být jednoduše dostupný ze všech počítačů v síti.
Vhodné je používat například oddělené úložiště, omezená oprávnění a více vrstev zálohování.
4. Monitorujte síť a systémy
Ve firemním prostředí může monitoring odhalit podezřelou aktivitu ještě před samotným šifrováním dat.
Sledovat lze například:
- neobvyklé přihlašování,
- podezřelé síťové spojení,
- hromadné změny souborů,
- neobvyklou aktivitu účtů,
- pokusy o přístup k velkému množství zařízení.
5. Připravte si plán pro případ útoku
Organizace by měla předem vědět, co bude dělat v případě bezpečnostního incidentu.
Mělo by být jasné:
- kdo incident řeší,
- koho kontaktovat,
- kde jsou zálohy,
- jak izolovat napadené zařízení,
- jak obnovit klíčové systémy,
- jak informovat zaměstnance nebo zákazníky.
Ransomwarový útok není problém, který začíná až ve chvíli, kdy se na obrazovce objeví výkupné. Skutečný útok může začít mnohem dříve – například krádeží hesla, otevřením škodlivé přílohy nebo zneužitím neaktualizovaného systému. Čím dříve je útok odhalen, tím větší je šance omezit jeho následky.
🔵 Závěr
Ransomware představuje vážnou hrozbu právě proto, že může během relativně krátké doby ochromit počítač, server nebo celou síť. Útočníci navíc stále častěji nekončí pouze u šifrování souborů, ale snaží se získat také citlivá data a následně oběť vydírat jejich zveřejněním.
Základem ochrany jsou především pravidelné a oddělené zálohy, aktualizovaný software, silná hesla, vícefaktorové ověřování a opatrnost při práci s e-maily a přílohami. Ve firmách je potom důležitá také segmentace sítě, omezení administrátorských oprávnění, monitoring a připravený plán reakce na incident.
Nejdůležitější je nespoléhat na jedinou bezpečnostní vrstvu. Antivir může zachytit část škodlivého softwaru, ale nedokáže nahradit zálohy. Silné heslo zase nepomůže proti phishingu, pokud uživatel své údaje zadá na podvodné stránce.
Nejlepší obranou proti ransomwaru je proto kombinace technických opatření, kvalitních záloh a správných bezpečnostních návyků. Čím méně prostoru útočníkovi poskytnete, tím obtížnější bude celý útok provést a tím menší mohou být jeho následky.