Prvých šesťdesiat minút po zistení útoku rozhoduje o tom, koľko dôkazov a dát zostane zachovaných. Postihnuté zariadenie odpojte od siete – vytiahnite kábel, vypnite Wi-Fi. Nevypínajte ho úplne: vypnutím sa strácajú stopy v pamäti, ktoré bude potrebovať vyšetrenie útoku. O platbe výkupného nerozhodujte v prvej hodine unáhlene. A tento postup nemá zmysel čítať prvýkrát počas útoku – musí byť napísaný a nacvičený vopred.
Prvá hodina: čo robiť, keď vo firme beží ransomware
Pri bežnej poruche IT máte čas. Skúšate, reštartujete, voláte podporu. Pri útoku ransomware je to naopak. Kým riešite, škodlivý kód sa ďalej šíri po sieti. Zároveň každé unáhlené rozhodnutie môže zničiť dôkazy, ktoré by inak pomohli zistiť, ako sa útočník dostal dnu a čo stihol.
Preto uznávané bezpečnostné organizácie – napríklad americká agentúra CISA, ktorá vydáva jeden z najpoužívanejších postupov pre reakciu na ransomware – odporúčajú presný opak toho, čo je bežný reflex: zariadenie neodpájať od prúdu, iba od siete.
Najčastejšia chyba prvej hodiny nie je technická. Je to unáhlené rozhodnutie urobené v strese – reštart servera, vypnutie všetkého naraz, alebo naopak nečinnosť, kým si nie ste stopercentne istí, že je zle. Postup nižšie je presne na to, aby ste v tej chvíli nemuseli rozhodovať za pochodu.
Modelová situácia: pondelok, 9:14
Účtovníčka otvorí prílohu, ktorá vyzerá ako faktúra. O pár minút sa na zdieľanom disku začnú meniť prípony súborov a na obrazovke sa objaví text s požiadavkou na platbu. IT o tom vie o 9:14. To, čo sa stane v nasledujúcej hodine, rozhodne, či firma o týždeň funguje normálne, alebo ešte stále obnovuje dáta zo záloh – ak vôbec nejaké funkčné má.
Postup pre prvú hodinu
- Potvrďte, že ide o incident. Neznáme prípony súborov, správa s požiadavkou na výkupné alebo hlásenie o zablokovanom šifrovaní sú dosť silný signál na to, aby ste spustili postup nižšie.
- Izolujte postihnuté zariadenie od siete. Vytiahnite sieťový kábel, vypnite Wi-Fi. Zariadenie nechajte zapnuté.
- Nevypínajte ho a nereštartujte. Aj keď je to prvý reflex. Vypnutie príde do úvahy len vtedy, keď sa nákaza šíri rýchlejšie, než ju stíhate odpájať od siete – a aj vtedy je to krajná možnosť, nie prvá voľba.
- Zaznamenajte, čo vidíte. Odfoťte správu s výkupným, zapíšte si čas zistenia a názov podozrivého súboru. Zíde sa to polícii aj poisťovni.
- Spustite písomný plán reakcie na incidenty a zavolajte ľuďom, ktorí sú v ňom uvedení menovite – nie len podľa funkcie. Telefónne čísla nehľadajte za pochodu.
- Zavolajte externého špecialistu podľa vopred pripraveného zoznamu kontaktov. Pri podozrení na cielený útok príde na rad aj znalec na forenznú analýzu, ktorý dokáže z nedotknutého systému rekonštruovať, čo presne sa stalo.
- Zvážte nahlásenie polícii. Vydieranie je trestný čin bez ohľadu na to, či ste, alebo nie ste regulovaný subjekt.
- Odložte rozhodnutie o výkupnom. V prvej hodine naň nemáte dosť informácií. Počká, kým budete mať fakty aj odborníkov.
- Komunikáciu navonok zverte jednej osobe. Zamestnanci nech vedia, že sa niečo deje, a nech nezasahujú do zariadení – to v tejto chvíli stačí.
Izolovať áno, vypnúť nie
Bežiace zariadenie drží v operačnej pamäti veci, ktoré vypnutím nenávratne zmiznú: aktívne spojenia útočníka, procesy škodlivého kódu, stopy po spôsobe prieniku a niekedy aj časť šifrovacieho kľúča. Presne toto sa dá z bežiaceho systému zachytiť – napríklad obrazom pamäte – a použiť na zistenie rozsahu škody aj na prípadné dešifrovanie.
Vytiahnutím zo zásuvky alebo tlačidlom vypnutia to všetko zmizne skôr, než to niekto stihne zaznamenať. Preto je správny postup opačný, než inštinkt väčšiny ľudí: odpojiť od siete, nechať bežať a vypnúť len vtedy, keď sa izolácia inak nedá stihnúť.
To isté platí v menšom aj pre antivírusové skenovanie. Kým sa k zariadeniu nedostane niekto, kto vie, čo presne hľadá, skener môže prepísať tie isté stopy, ktoré by inak pomohli zistiť, čo sa stalo.
Koho volať a kedy
Postup by mal vopred obsahovať mená a telefónne čísla, nie len role. V praxi ide o tri okruhy:
- Interný tím – kto o incidente rozhoduje, kto komunikuje so zamestnancami, kto s vedením.
- Externý špecialista – dodávateľ IT alebo bezpečnostná firma, ktorá vie zastaviť šírenie a posúdiť rozsah. Pri väčšom podozrení na cielený útok firma spravidla prizve aj znalca na forenznú analýzu.
- Orgány – polícia (vydieranie je trestný čin), pri regulovaných subjektoch aj NBÚ v zákonných lehotách, pri úniku osobných údajov Úrad na ochranu osobných údajov.
Postup musí počítať aj s večerom a víkendom. Útoky sa spúšťajú práve vtedy, keď je v kancelárii najmenej ľudí a najviac času do rána. Kto má vtedy komu zavolať, musí byť napísané vopred – nie odhadované za pochodu v noci o tretej.
Veďte si časový záznam
Od prvej minúty si píšte jednoduchý denník udalostí: čas, čo sa stalo, kto čo urobil. Stačí poznámkový blok alebo telefón – nie krásna tabuľka, len fakty v poradí, ako nastali.
Tento záznam sa neskôr zíde na tri veci naraz: pri hlásení na NBÚ do 24 hodín, pri komunikácii s poisťovňou a pri záverečnej správe, ktorá príde až o mesiac. Bez neho si o týždeň nikto presne nespomenie, kedy bol server odpojený od siete, kto o tom rozhodol a kedy presne dorazil externý špecialista.
Máte platiť výkupné?
Bežné odporúčanie bezpečnostných zložiek aj polície je neplatiť. Platba negarantuje, že dáta dostanete späť – dešifrovací nástroj od útočníka nemusí fungovať alebo nemusí prísť vôbec. Zároveň platba financuje ďalšiu trestnú činnosť a firmu, ktorá raz zaplatila, si útočníci pamätajú ako ochotného platcu. Toto odporúčanie je východiskový postoj, nie unáhlené rozhodnutie urobené raz navždy bez odborníkov.
Skôr než sa o platbe vôbec začne uvažovať, oplatí sa overiť, či pre daný typ ransomware už neexistuje voľne dostupný dešifrovací nástroj. Databázu takých nástrojov vedie európsky projekt No More Ransom, ktorý beží pod Europolom a políciami viacerých krajín.
Rozhodnutie o platbe nepatrí jednému človeku v panike. Patrí do rúk vedenia, prizvaných odborníkov a polície – a aj vtedy je to voľba medzi zlým a horším, nie riešenie.
Ak ste regulovaný subjekt
Zákon o kybernetickej bezpečnosti (č. 366/2024 Z. z.) ukladá regulovaným subjektom presné lehoty na hlásenie podľa vyhlášky NBÚ č. 226/2025. Ak k tomu pridá aj únik osobných údajov zákazníkov, beží súbežne samostatná lehota podľa GDPR.
| Situácia | Komu | Lehota |
|---|---|---|
| Regulovaný subjekt | NBÚ | včasné varovanie do 24 h, oznámenie do 72 h, záverečná správa do 1 mesiaca |
| Únik osobných údajov (ktorákoľvek firma) | Úrad na ochranu osobných údajov | do 72 hodín |
| Nie ste regulovaný subjekt, nejde o osobné údaje | zákonná povinnosť voči štátu nie je | odporúčame nahlásiť polícii |
Lehota 24 hodín beží od zistenia incidentu, nie od chvíle, keď sa rozhodnete, že je dosť vážny. Preto sa prvý krok postupu vyššie – potvrdiť, že ide o incident – nedá odkladať.
Právna povinnosť hlásiť štátu teda nie je univerzálna. Izolácia, zachovanie dôkazov a neunáhlené rozhodovanie o výkupnom – postup z prvej časti článku – platia rovnako, aj keď vás zákon k ničomu nezaväzuje.
Pripravte si to skôr, než to budete potrebovať
Nejde o to, či sa útok niekedy stane – môže sa stať komukoľvek, bez ohľadu na to, koľko sa do zabezpečenia investuje. Ide o to, či naň budete mať pripravenú odpoveď.
Postup na prvú hodinu sa nedá vymýšľať v momente, keď horí. Preto ho zákon pre regulované subjekty vyžaduje ako písomný dokument – plán reakcie na incidenty podľa § 28 vyhlášky NBÚ č. 227/2025 – a z toho istého dôvodu dáva zmysel mať ho aj vo firme, ktorú zákon nezaväzuje.
Prechodné obdobie končí 31. decembra 2026. Od dnešného dňa je to necelé tri mesiace, nie štyri. Firma, ktorá si postup napíše a raz precvičí teraz, ho má hotový, keď ho bude potrebovať. Firma, ktorá to odloží, ho bude prvýkrát čítať v momente, keď na čítanie nebude čas.
Ak si nie ste istí, či sa vás zákonné lehoty týkajú, overte si to vopred – nie až počas incidentu.