Ransomware doma: když vám někdo zašifruje fotky a chce výkupné

Zapnete počítač a fotky z posledních deseti let mají zvláštní příponu. Nejdou otevřít. Na ploše je textový soubor s pokyny: když zaplatíte, dostanete klíč. Když ne, soubory zmizí nebo skončí na internetu. Takhle vypadá ransomware, vyděračský program, který nemíří jen na nemocnice a úřady. Stejně dobře si poradí s rodinným notebookem nebo s počítačem živnostníka, na kterém je celé účetnictví. Chybí málo a přijdete o všechno, co nemáte zálohované jinde. Pořád ale jde hodně zachránit, když v první hodině neuděláte chybu.

Modelová situace: jeden klik v pátek večer

Modelová situace: Pan Tomáš (smyšlená postava) vede malou truhlářskou dílnu. V pátek večer mu přijde e-mail, který vypadá jako upomínka k neuhrazené faktuře. V příloze je dokument, který po otevření chce „povolit obsah“. Pan Tomáš klikne, nic zvláštního se nestane, a jde spát.

V pondělí nejdou otevřít nabídky, výkresy ani fotky vnoučat. Externí disk, který má pan Tomáš trvale zapojený jako „zálohu“, je zašifrovaný také. Ve složce synchronizované s cloudem jsou místo dokumentů soubory s neznámou příponou. Na obrazovce visí výzva k zaplacení v kryptoměně s odpočtem času.

Na tomhle příběhu není nic výjimečného. Upomínka, faktura nebo zpráva „z úřadu“ patří k nejčastějším návnadám. Podobné triky rozebíráme v článcích o falešných fakturách a podvodu „e-mail od šéfa“ a o zprávách, které se tváří jako datová schránka nebo úřad.

Co je ransomware a co přesně dělá

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) popisuje ransomware jako druh škodlivého kódu, který zašifrováním zabrání uživateli v přístupu k datům. Útočník pak obvykle chce zaplatit za jejich obnovení. Motivací jsou hlavně peníze, NÚKIB ale upozorňuje i na případy, kdy útočník data prostě zničí a výkupné vůbec nepožaduje.

Šifrování je matematický zámek. Soubory na disku zůstanou, jen bez správného klíče nedávají smysl. Proto nepomůže je přejmenovat, přesunout ani otevřít v jiném programu.

Nejen šifrování, ale i krádež dat

NÚKIB ve svém doporučení uvádí, že některé typy ransomwaru dokážou před zašifrováním ukrást osobní data z napadeného počítače. Stále častější je vydírání zveřejněním, hlavně u firem, které uchovávají údaje o zákaznících. Pro živnostníka to znamená dvojí problém: nemá přístup k vlastním dokumentům a zároveň mu hrozí únik údajů o klientech.

Restart ani antivirus soubory nevrátí

V části s častými dotazy NÚKIB vysvětluje dvě věci, které lidé často zkoušejí jako první. Antivirus může mnoha typům ransomwaru zabránit ve spuštění, ale zašifrované soubory opravit nedokáže. Pouhý restart ransomware obvykle neodstraní, jen přeruší šifrování, a po zapnutí se program spustí znovu.

Jak se ransomware dostane do počítače

NÚKIB uvádí pět hlavních cest. Některé se týkají spíš firem, ale doma se setkáte se všemi.

U phishingu nejde jen o e-maily. Stejný princip používají falešné SMS od dopravce, které vás pošlou na stránku ke stažení „aplikace pro sledování zásilky“. A kdo používá stejné heslo na více místech, měl by si zjistit, jestli nebylo součástí nějakého úniku. Postup najdete v článku Únik hesla: jak zjistit a co dělat.

NÚKIB k aktualizacím dodává, že staré nebo zranitelné verze bývají častým terčem útočníků. Proč se vyplatí nechat zapnuté automatické aktualizace i na telefonu a routeru, vysvětlujeme v článku Proč aktualizovat telefon a počítač.

Co mohlo následovat

Když nemáte oddělenou zálohu, ztráta je trvalá. U rodiny jde o fotky, videa, dokumenty ke stavbě nebo škole. U živnostníka o faktury, smlouvy, podklady pro daňové přiznání a kontakty na zákazníky.

Horší scénáře ukazuje NÚKIB na útocích proti organizacím. Útočníci se v síti někdy pohybují dny až týdny, nejdřív ukradnou citlivá data a zálohy, pak dostupné zálohy smažou a teprve nakonec spustí šifrování. NÚKIB z toho vyvozuje, že špatně nastavené zálohování může mít stejné následky, jako kdyby žádná záloha neexistovala. Doma to typicky znamená zapojený externí disk nebo synchronizovanou složku, kterou ransomware vidí stejně jako vy.

K tomu se přidávají další rizika: zneužití ukradených údajů, vydírání zveřejněním a opakovaný útok, pokud se škodlivý program z počítače neodstraní.

Co udělat hned: první hodina

Postup vychází z doporučení NÚKIB pro reakci na ransomwarový útok, zjednodušeného pro domácnost a malou firmu.

1. Odpojte počítač od sítě. Vytáhněte síťový kabel a vypněte Wi-Fi. NÚKIB radí odpojovat zařízení na úrovni sítě a vypínat je jen tehdy, když odpojit nejdou. Vypnutím by se mohly ztratit stopy uložené v operační paměti.
2. Odpojte zálohy. Externí disky a síťová úložiště vytáhněte, pokud ještě nejsou zasažené. NÚKIB u organizací uvádí jako první krok odpojení zálohovacího serveru od sítě.
3. Zkontrolujte ostatní zařízení. Ransomware se může šířit i přes Wi-Fi, jak uvádí NÚKIB. Podívejte se, jestli se problém netýká dalších počítačů v domácnosti nebo kanceláři.
4. Nic nemažte a nepřeinstalovávejte. Vyfoťte obrazovku s výzvou, uložte si text výhružné zprávy a zapište čas, kdy jste problém zjistili. Zašifrované soubory si nechte, i když se teď nedají otevřít. Dešifrovací nástroj se může objevit později.
5. Z jiného zařízení změňte důležitá hesla. Hlavně k e-mailu, bankovnictví a cloudovému úložišti. Pokud program ukradl uložená hesla z prohlížeče, útočník se může přihlásit jinde. Kde to jde, zapněte dvoufázové ověření.
6. Zjistěte, o jaký ransomware jde. Na webu projektu No More Ransom slouží k identifikaci nástroj Crypto Sheriff. Podrobněji níže.
7. Nahlaste to. Útok je trestný čin. Oznámení přijme jakákoli služebna policie nebo státní zastupitelství. Firmy a organizace mohou incident nahlásit také národnímu týmu CSIRT.cz.

Když máte firmu nebo živnost

Kromě výše uvedeného si ujasněte, jestli ransomware mohl vynést osobní údaje zákazníků nebo zaměstnanců. Pokud ano, řešte s odborníkem na IT bezpečnost a ochranu osobních údajů, jaké povinnosti z toho plynou. NÚKIB firmám doporučuje mít dopředu krizový plán uložený mimo počítače, včetně kontaktů na dodavatele, a počítat s tím, že nějakou dobu budete fungovat „offline“, třeba na papíře.

Co si připravit pro policii

• fotografii nebo snímek obrazovky s výhružnou zprávou a textový soubor s pokyny;
• adresu kryptoměnové peněženky nebo kontakt, který útočník uvádí;
• e-mail nebo zprávu, přes kterou se program pravděpodobně dostal dovnitř, bez dalšího otevírání přílohy;
• časovou osu: kdy jste co otevřeli, kdy jste si problému všimli, co jste od té doby udělali;
• seznam zasažených zařízení a odhad ztrát.

Platit, nebo neplatit?

Pod tlakem odpočtu to vypadá jako nejrychlejší řešení. NÚKIB ale výslovně doporučuje: pokud je požadováno výkupné, neplaťte ho. V dokumentu uvádí, že se na tom shoduje i světová bezpečnostní komunita, a vyjmenovává čtyři důvody:

1. zaplacení utvrdí útočníka v tom, že se mu jednání vyplácí, a motivuje ho k dalším útokům;
2. neexistuje záruka, že útočník data skutečně odblokuje, případně ukradená data smaže;
3. odblokování dat neodstraní samotný ransomware ani další škodlivé programy, takže se situace může rychle opakovat;
4. u firem může zaplacení výkupného z právního hlediska představovat porušení péče řádného hospodáře.

Stejně to vidí projekt No More Ransom. Na české verzi webu upozorňuje, že zaplacením jen potvrdíte, že ransomware funguje, a že není žádná záruka, že dešifrovací klíč dostanete.

Česká republika se 3. listopadu 2023 spolu s více než čtyřiceti dalšími státy připojila ke společnému prohlášení proti platbám výkupného při ransomwarových útocích. NÚKIB k tomu připomněl, že neplacení doporučuje opakovaně.

No More Ransom: bezplatné dešifrovací nástroje

No More Ransom je společný projekt policejních složek, včetně evropské policejní agentury Europol, a bezpečnostních firem. Web je dostupný i v češtině. Nabízí tři věci:

• Crypto Sheriff. Nástroj, který podle ukázky zašifrovaných souborů a výhružné zprávy pomůže určit typ ransomwaru a zjistit, jestli pro něj existuje dešifrovací nástroj.
• Seznam dešifrovacích nástrojů. Bezplatné programy pro konkrétní rodiny ransomwaru. Seznam se průběžně rozšiřuje.
• Odkaz na nahlášení trestného činu. Projekt vyzývá oběti, aby útok ohlásily policii.

Europol k šestému výročí projektu v roce 2022 uvedl, že web nabízel 136 bezplatných nástrojů a že dešifrovací nástroje si stáhlo přes 10 milionů lidí. Aktuální počty se od té doby změnily.

Realisticky: na nejnovější varianty ransomwaru nástroj často neexistuje. Pokud Crypto Sheriff nic nenajde, zašifrované soubory si uschovejte na samostatném disku. Nástroj může vyjít později, třeba po zásahu policie proti skupině, která ransomware provozuje.

Co říká zákon

Ransomware je trestná činnost. Podle § 230 trestního zákoníku je trestné překonat bezpečnostní opatření a neoprávněně získat přístup k počítačovému systému, postihuje se i neoprávněný zásah do dat. Oznámení podáte ústně na kterékoli služebně policie, písemně, elektronicky se zaručeným podpisem nebo přes datovou schránku, případně na státním zastupitelství. Podat ho může kdokoli, nejen oběť. Policie připomíná, že v akutních případech, kdy jde o život, se volá 158 nebo 112.

NÚKIB v doporučení pro organizace uvádí, že data se po útoku nemají mazat bez svolení Policie ČR nebo NÚKIB. U domácnosti to v praxi znamená: zašifrovaný disk nepřeformátujte hned, pokud ho policie může potřebovat. Když si nejste jistí, zeptejte se při podání oznámení.

Nejčastější chyby

• Záloha trvale zapojená do počítače. Ransomware zašifruje všechno, k čemu má přístup, tedy i ji.
• Synchronizace považovaná za zálohu. Složka synchronizovaná s cloudem může převzít i zašifrované verze souborů. Zjistěte, jestli vaše služba umí obnovit starší verze a jak dlouho je uchovává.
• Okamžitá přeinstalace. Smažete stopy i zašifrované soubory, které by se daly jednou dešifrovat.
• Zaplacení. Bez záruky, že klíč přijde, a s rizikem, že se útok zopakuje.
• Stažení „dešifrovače“ z náhodného webu. Může jít o další škodlivý program.
• Stejné heslo všude. Po útoku může útočník vstoupit do e-mailu, banky i sociálních sítí. Pokud se to stalo, pomůže článek Hacknutý účet na Facebooku: co dělat.
• Stud to ohlásit. Útoky jsou automatizované a zasáhnou kohokoli. Včasné oznámení pomůže vám i ostatním.

Jak tomu příště zabránit

NÚKIB označuje za zásadní krok pravidelné bezpečné zálohování a jeho správné nastavení. Všechno ostatní snižuje pravděpodobnost útoku, jen záloha zaručí, že ho přečkáte bez ztrát.

Pravidlo 3-2-1

NÚKIB i americká agentura pro kybernetickou bezpečnost CISA doporučují stejné základní pravidlo: nejméně tři kopie důležitých dat, na dvou různých typech úložišť, z toho jedna mimo místo, kde data běžně máte. CISA jako příklad dvou typů uvádí pevný disk a cloud.

Aspoň jedna záloha offline

NÚKIB k pravidlu 3-2-1 přidává, že minimálně jedna záloha musí být v daném okamžiku neaktivní, tedy offline. Offline zálohu doporučuje dělat pravidelně, protože v nejhorším scénáři může být poslední záchranou. Doma to znamená disk, který po zálohování vytáhnete a necháte v šuplíku. Ransomware se k němu nedostane.

Pravidelnost a zkouška obnovy

Záloha stará půl roku zachrání fotky z dovolené, ale ne rozpracované zakázky. Nastavte si pevný termín, třeba každou neděli, nebo automatické zálohování. CISA doporučuje řešení, které běží automaticky a pravidelně, a firmám radí ověřit, že dokážou data obnovit, a mít možnost vrátit se nejméně o sedm dní zpět. NÚKIB zdůrazňuje, že zálohy musí být testované a použitelné k obnově. Jednou za čas proto zkuste ze zálohy obnovit pár souborů a otevřít je.

Fotky a videa z telefonu mají vlastní úskalí. Jak je zálohovat, aby nezůstaly jen v jednom zařízení, popisuje článek Záloha fotek v telefonu.

Méně příležitostí pro útočníka

• Aktualizace. Operační systém, prohlížeč, kancelářský balík i antivirus. NÚKIB u antiviru doporučuje automatické aktualizace.
• Běžný účet místo administrátorského. NÚKIB radí nepracovat s administrátorskými právy pro běžnou práci jako e-mail a prohlížeč. Doma si zřiďte obyčejný uživatelský účet a správcovský používejte jen na instalace.
• Makra a přílohy. Přílohy otevírejte, jen když jste si jistí původem a účelem zprávy. Makra v dokumentech nepovolujte, pokud nevíte přesně proč.
• Různá hesla pro různé služby. NÚKIB to označuje za nesmírně důležité a k zapamatování doporučuje správce hesel. Jak ho vybrat a nastavit, najdete v článku Správce hesel.
• Vzdálený přístup. Nenechávejte vzdálenou plochu dostupnou z internetu. Pokud ji potřebujete, používejte VPN.
• Opatrnost na cizích sítích. Na notebooku, se kterým pracujete mimo kancelář, mějte zapnutý firewall a aktuální systém. Víc v článku o rizicích veřejné Wi-Fi.

Obsah vytvořený s pomocí AI. Tento článek jsme připravili s pomocí umělé inteligence (AI) a před zveřejněním prošel redakční kontrolou. Za obsah odpovídá redakce webu.