Ransomware je druh škodlivého softvéru, ktorý zašifruje súbory, servery alebo celé systémy a útočník potom požaduje výkupné za dešifrovací kľúč. Moderné skupiny dáta zvyčajne pred zašifrovaním aj ukradnú a vyhrážajú sa ich zverejnením – hovorí sa o dvojitom vydieraní.

Ransomware dnes nie je náhodný vírus, ale organizovaný „biznis“. Útočníci často najprv získajú prístup, dlhší čas mapujú prostredie a úder spustia naraz, keď majú kontrolu nad čo najväčšou časťou siete. Výsledkom môže byť zastavenie výroby, fakturácie či zákazníckych služieb na dni až týždne.

Ako útok typicky prebieha

  1. Prvotný prístup – phishing, ukradnuté heslo, nezáplatovaná zraniteľnosť na serveri dostupnom z internetu alebo slabo chránený vzdialený prístup.
  2. Laterálny pohyb – útočník sa presúva po sieti a hľadá privilegované účty, najmä v Active Directory.
  3. Vyradenie obrany a záloh – mazanie alebo šifrovanie dostupných záloh a vypínanie ochranných nástrojov.
  4. Exfiltrácia a šifrovanie – odcudzenie dát a hromadné zašifrovanie systémov.

Ako znížiť riziko

Najúčinnejšie je zablokovať útočníkovi cestu skôr, než sa dostane k doménovým administrátorom. PosAm v článku o posilňovaní kybernetickej odolnosti opisuje opatrenia, ktoré tomu pomáhajú: pravidelné skeny a patch management, posúdenie Active Directory a Entra ID vrátane útočných ciest (attack paths) a privilegovaných účtov, hardening serverov a zásady Zero Trust ako MFA, minimálne oprávnenia a segmentácia siete.

Druhou polovicou obrany je obnova. Zálohy musia byť oddelené od produkčného prostredia, chránené pred zmazaním a pravidelne testované. Kľúčová otázka neznie „máme zálohy?“, ale „za koľko hodín vieme z nich obnoviť kritické systémy?“. S návrhom ochrany dát pomôžu Storage professional services.

Typické chyby

  • Zálohy dostupné z rovnakej domény a s rovnakými prihlasovacími údajmi ako produkcia.
  • Obnova nikdy nevyskúšaná na reálnom scenári.
  • Administrátorské účty používané na bežnú prácu, napríklad na čítanie pošty.
  • Chýbajúci plán, kto rozhoduje a komunikuje počas incidentu.

Časté otázky

Máme zaplatiť výkupné?

Zaplatenie nezaručuje obnovu dát ani to, že ukradnuté údaje nebudú zverejnené. Rozhodnutie má zohľadniť právne aspekty a odporúča sa ho konzultovať s odborníkmi a príslušnými orgánmi.

Musíme ransomwarový útok hlásiť?

Regulované subjekty majú podľa zákona o kybernetickej bezpečnosti povinnosť hlásiť závažné incidenty; ak útok zasiahol osobné údaje, môžu vzniknúť aj povinnosti podľa GDPR. Konkrétne povinnosti si overte s odborníkom.

Chcete vedieť, ako ďaleko by sa útočník vo vašom prostredí dostal? Kontaktujte PosAm kvôli posúdeniu infraštruktúry a Active Directory.