Odpověď hned: Napadené počítače okamžitě odpojte od sítě — vytáhněte kabel, vypněte Wi-Fi. Stroj, na kterém šifrování právě probíhá, natvrdo vypněte; stroje, kde už je hotovo, nechte běžet odpojené, mohou obsahovat forenzní stopy. Nic nemažte, nereinstalujte a zálohy nepřipojujte, dokud neověříte, že jsou čisté a že je zavřená cesta, kterou se útočník dostal dovnitř. Výkupné neplaťte v panice první den — bez diagnostiky nevíte, co jde obnovit jinak. Zašifrovaná data bez zálohy patří do laboratoře, ne k pokusům.

Pondělí ráno, účetní nemůže otevřít faktury, soubory na serveru mají divnou příponu a v každé složce leží textový soubor s návodem, kam poslat platbu. Tohle není scénář pro korporace s bezpečnostním týmem — děje se to firmám o pěti, dvaceti, padesáti lidech. Následujících 24 hodin rozhodne, jestli vás incident bude stát dny práce, nebo existenci dat, na kterých firma stojí. Tenhle text je postup pro majitele a jednatele malé firmy, která žádného bezpečnostního specialistu nemá.

Proč se to týká i firmy s dvaceti zaměstnanci

Podle oborového magazínu Professional Computing se počet známých ransomwarových obětí v ČR meziročně zdvojnásobil: 12 firem v prvním čtvrtletí 2026 proti 6 ve stejném období 2025. A to jsou jen veřejně známé případy — incidenty malých firem se do statistik většinou vůbec nedostanou, protože je nikdo nemedializuje. Aktivní gangy jako Gentlemen, Akira nebo Qilin cílí na výrobu, technologické firmy a obchod, tedy přesně na segment, kde bezpečnost typicky drží jeden externí ajťák.

Vstupní cesta je přitom skoro vždy banální: ve 42 % případů uhádnuté slabé heslo, dále vzdálená plocha (RDP) otevřená do internetu a neaktualizované systémy.

Jak to vypadá v praxi, ukázal medializovaný brněnský případ: stavební firma s 25 zaměstnanci měla na serveru se vzdálenou plochou heslo „stavba123”. Výsledek — škoda přes 500 000 Kč, dva týdny obnovy provozu a nenávratná ztráta tří let projektové dokumentace. Žádný zero-day, žádný sofistikovaný útok. Jedno slabé heslo na službě vystavené do internetu.

Hodina 0–1: izolujte, ale nevypínejte všechno

První hodina má jediný cíl: zastavit šíření. Ransomware se z jednoho stroje rozlézá po sdílených složkách, mapovaných discích a přes doménové účty na další počítače a servery.

Odpojte napadené stroje od sítě. Vytáhněte síťový kabel, vypněte Wi-Fi. To je první a nejdůležitější krok — šifrování na jednom stroji je nepříjemnost, zašifrovaná celá síť je katastrofa.
Stroj, kde šifrování právě běží, natvrdo vypněte. Poznáte to podle rostoucího počtu souborů s cizí příponou a vytížených disků. Každá minuta běhu znamená další zašifrované a smazané originály.
Stroje, kde už je zašifrováno, nechte běžet — odpojené. V operační paměti mohou zůstat šifrovací klíče a stopy útočníka, které forenzní analýza dokáže využít. Vypnutím o ně přijdete.
Odpojte NAS a externí zálohovací disky. Pokud jsou zálohy připojené jako síťová složka, útočník je zašifroval nebo smazal jako první. Co je odpojené, to je v bezpečí — nepřipojujte to zpět „na kontrolu”.
Zvažte odpojení celé firmy od internetu. U menší sítě je nejjistější vytáhnout WAN kabel z routeru. Útočník tím ztratí vzdálený přístup.
Vyfoťte obrazovky s výzvou k platbě. Text, přípony souborů a kontaktní adresy útočníků budou potřeba pro identifikaci varianty i pro hlášení.
Sepište časovou osu. Kdy si kdo čeho všiml, co kdo od té doby udělal. Za dvě hodiny už si to nikdo pamatovat nebude a pro pojišťovnu i policii je to podstatné.

Hodina 1–4: zjistěte rozsah a variantu

Teprve když se nic dalšího nešifruje, má smysl zjišťovat, co se vlastně stalo.

Projděte stroj po stroji — včetně serverů, NAS a počítačů lidí na home office. Hledáte cizí přípony souborů, výzvy k platbě a stroje, které se chovají divně. Nepřihlašujte se přitom na podezřelé stroje doménovým administrátorem: pokud je útočník stále uvnitř, darujete mu nejcennější účet ve firmě.

Identifikujte variantu ransomwaru. Podle přípony souborů a textu výzvy lze rodinu určit přes bezplatné služby typu ID Ransomware nebo No More Ransom. U části starších kampaní existují veřejné dešifrovací nástroje — vyplatí se to ověřit dřív, než začnete cokoli platit.

Ověřte stav záloh — na čistém, odpojeném počítači. Tohle je nejdůležitější zjištění celého dne: máte, nebo nemáte funkční zálohu? Pozor na tři pasti. Stínové kopie Windows ransomware před šifrováním typicky smaže, takže „obnovit předchozí verzi” nebude fungovat. Synchronizace do cloudu (OneDrive, Google Drive) poslušně přenesla i zašifrované verze — hledejte v ní historii verzí. A záloha na trvale připojeném disku nejspíš dopadla stejně jako originál; proč jedna kopie není záloha, rozebírá článek o externím HDD a pravidle 3-2-1.

Čeho se v prvních hodinách vyvarovat

Nemažte zašifrované soubory a nezkoušejte „vyčistit” systém antivirem. U řady variant jde část dat forenzně obnovit — každý zápis na disk tu šanci snižuje.
Nereinstalujte servery ani stanice, dokud není jasné, co jde z disků zachránit a co budete potřebovat jako důkaz.
Neobnovujte zálohy do napadené sítě. Dokud je otevřená cesta, kterou se útočník dostal dovnitř, přijdete i o zálohu.
Nekomunikujte s útočníky v panice. Odpověď první hodinu nic neurychlí a vyjednávat bez rozmyslu znamená vyjednávat špatně.
Neplaťte výkupné první den. K tomu se ještě vrátíme — ale rozhodnutí platit/neplatit má přijít až po diagnostice, ne z paniky.

Komu incident nahlásit

Ohlašovací povinnosti se u malé firmy často podceňují — a přitom jde o pokuty a pojistné plnění.

NÚKIB. Pokud vaše firma spadá pod nový zákon o kybernetické bezpečnosti (264/2025 Sb., účinný od 1. 11. 2025) jako poskytovatel regulované služby, máte povinnost významný incident ohlásit NÚKIB přes jeho portál. Ostatní firmy mohou incident nahlásit dobrovolně — NÚKIB data využívá pro varování dalších. Jestli pod zákon spadáte, si ověřte raději dřív než během incidentu.
ÚOOÚ. Pokud útok zasáhl osobní údaje (mzdy, zákazníci, uchazeči o práci — což je skoro vždy), jde o porušení zabezpečení podle GDPR. To se hlásí Úřadu pro ochranu osobních údajů do 72 hodin od zjištění, ledaže je riziko pro dotčené osoby nepravděpodobné. U dnešních útoků, které data nejdřív kradou a teprve pak šifrují, na výjimku nespoléhejte.
Policie ČR. Vydírání a neoprávněný přístup k počítačovému systému jsou trestné činy. Trestní oznámení je i podkladem pro pojišťovnu.
Pojišťovna. Máte-li kybernetické pojištění (nebo jen pojištění přerušení provozu), hlaste incident bez odkladu — pojistné podmínky často vyžadují nahlášení v řádu hodin a odsouhlasení dalšího postupu.

Hodina 4–24: obnova, ale ve správném pořadí

Největší chyba druhé fáze: rychle všechno obnovit a jet dál. Pokud neuzavřete vstupní cestu, útočník se vrátí — tentokrát i pro zálohy.

Najděte a zavřete vstupní vektor. Vystavené RDP, VPN bez dvoufaktoru, uhádnuté heslo, neaktualizovaný server. Bez tohoto kroku je každá obnova jen příprava na reprízu.
Změňte všechna hesla. Začněte doménovým administrátorem, servisními účty a VPN. Považujte za kompromitované všechno, co bylo v síti uloženo.
Obnovujte do čistého prostředí. Napadené stroje se přeinstalovávají ze čistých instalačních médií, ne „čistí”. Zálohy před nasazením zkontrolujte na izolovaném stroji.
Stanovte pořadí podle byznysu. Nejdřív to, co firmu živí: účetnictví, výroba, sklad, e-maily. Zbytek počká.
Prvních pár týdnů síť sledujte. Návraty útočníků do už jednou napadených sítí jsou běžné — dostat se podruhé do prostředí, které znají, je pro ně levné.

Když zálohy nejsou: co jde ještě zachránit

Scénář brněnské stavební firmy — záloha neexistovala nebo dopadla stejně jako originál — neznamená automaticky konec. Ransomware soubory typicky šifruje do nové kopie a originál maže, nikoli přepisuje. Na úrovni souborového systému tak část původních dat fyzicky zůstává, dokud ji něco nepřepíše. U NAS navíc mohly přežít snapshoty, pokud je útočník cíleně nesmazal — celý mechanismus popisujeme v článku o ransomwaru na NAS, postupy pro firemní servery v textu o záchraně dat ze serveru.

Prakticky to znamená: zašifrované disky odstavte, nic na ně nezapisujte a nechte je projít diagnostikou. V naší brněnské laboratoři je diagnostika zdarma a nezávazná — dozvíte se, co je z disků reálně obnovitelné, ještě než se rozhodnete, jestli vůbec má smysl bavit se o výkupném. Platí no recovery – no fee.

Proč výkupné neplatit hned

Neříkáme dogmaticky „nikdy” — říkáme „ne první den a ne bez informací”. Důvody:

Nemáte záruku. Platíte zločincům; funkční dešifrovací klíč není jistý a u části variant dešifrování data poškozuje.
Krádež dat platba neodčiní. Většina současných kampaní data nejdřív odcizí a teprve pak šifruje (tzv. double extortion). Zaplacením šifrování nezmizí povinnosti vůči ÚOOÚ ani riziko, že data stejně uniknou.
Možná to jde bez placení. Přeživší zálohy, snapshoty, forenzní obnova smazaných originálů nebo veřejný dešifrátor — to všechno zjistíte diagnostikou během dnů.
Kdo zaplatí, je označen jako platící cíl. A částky nejsou náhodné — útočníci je kalibrují tak, aby se malé firmě zaplacení „vyplatilo”.

Racionální postup: nejdřív diagnostika a právní konzultace, teprve pak případné rozhodnutí o platbě jako poslední možnosti.

Dalších 30 dní: aby se to neopakovalo

Incident je nejsilnější argument pro pořádek, který měl existovat předtím. Minimum po obnově:

RDP a administrační rozhraní nikdy přímo do internetu — jen přes VPN s dvoufaktorovým ověřením.
Zálohy podle pravidla 3-2-1 s alespoň jednou kopií offline nebo neměnnou (immutable) — tedy takovou, kterou útočník s admin právy nesmaže.
Aktualizace a přehled o síti. Neaktualizovaný server a zapomenuté zařízení jsou dvě nejčastější díry; co všechno takový přehled odhalí, popisuje článek o auditu počítačové sítě.
Testovací obnova. Záloha, ze které jste nikdy nic neobnovili, je jen doufání.

A hlavně: tohle všechno musí někdo soustavně držet. Pokud nemáte vlastního ajťáka, přesně tohle je náplň naší služby IT bezpečnost pro firmy — od uzavření vstupních vektorů přes hlídané zálohy až po plán, co dělat, když se něco stane. Levnější varianta než druhý incident to je vždycky.

Často se ptáte

Ransomware — co dělat jako první?

Odpojit napadené stroje od sítě (kabel ven, Wi-Fi vypnout), zastavit probíhající šifrování tvrdým vypnutím daného stroje a odpojit NAS i zálohovací disky. Pak teprve zjišťovat rozsah. Nic nemazat, nereinstalovat, neplatit.

Musíme incident hlásit, když jsme malá firma?

NÚKIB povinně jen pokud spadáte pod zákon o kybernetické bezpečnosti (264/2025 Sb.). Únik osobních údajů se ale hlásí ÚOOÚ do 72 hodin bez ohledu na velikost firmy — a osobní údaje (mzdy, zákazníci) má prakticky každá firma.

Jde zašifrovaná data obnovit bez zaplacení?

Často zčásti ano: z přeživších záloh a snapshotů, forenzní obnovou smazaných originálů, u starších kampaní veřejným dešifrátorem. Rozsah nelze slíbit předem — proto se dělá diagnostika, u nás zdarma a nezávazně.

Kolik takový útok malou firmu stojí?

Z veřejně popsaných českých případů: brněnská stavební firma přes 500 000 Kč a dva týdny výpadku, k tomu nenávratná ztráta tří let projektové dokumentace. Náklady tvoří hlavně prostoje a obnova, ne výkupné.

Vrátí se útočníci?

Riziko je reálné, pokud neuzavřete cestu, kterou se dostali dovnitř, a nezměníte hesla. Proto se obnova dělá do čistého prostředí a síť se po incidentu několik týdnů sleduje.

Ransomware ve firmě: prvních 24 hodin krok za krokem