Odpověď hned: Napadené počítače okamžitě odpojte od sítě — vytáhněte kabel, vypněte Wi-Fi. Stroj, na kterém šifrování právě probíhá, natvrdo vypněte; stroje, kde už je hotovo, nechte běžet odpojené, mohou obsahovat forenzní stopy. Nic nemažte, nereinstalujte a zálohy nepřipojujte, dokud neověříte, že jsou čisté a že je zavřená cesta, kterou se útočník dostal dovnitř. Výkupné neplaťte v panice první den — bez diagnostiky nevíte, co jde obnovit jinak. Zašifrovaná data bez zálohy patří do laboratoře, ne k pokusům.
Pondělí ráno, účetní nemůže otevřít faktury, soubory na serveru mají divnou příponu a v každé složce leží textový soubor s návodem, kam poslat platbu. Tohle není scénář pro korporace s bezpečnostním týmem — děje se to firmám o pěti, dvaceti, padesáti lidech. Následujících 24 hodin rozhodne, jestli vás incident bude stát dny práce, nebo existenci dat, na kterých firma stojí. Tenhle text je postup pro majitele a jednatele malé firmy, která žádného bezpečnostního specialistu nemá.
Proč se to týká i firmy s dvaceti zaměstnanci
Podle oborového magazínu Professional Computing se počet známých ransomwarových obětí v ČR meziročně zdvojnásobil: 12 firem v prvním čtvrtletí 2026 proti 6 ve stejném období 2025. A to jsou jen veřejně známé případy — incidenty malých firem se do statistik většinou vůbec nedostanou, protože je nikdo nemedializuje. Aktivní gangy jako Gentlemen, Akira nebo Qilin cílí na výrobu, technologické firmy a obchod, tedy přesně na segment, kde bezpečnost typicky drží jeden externí ajťák.
Vstupní cesta je přitom skoro vždy banální: ve 42 % případů uhádnuté slabé heslo, dále vzdálená plocha (RDP) otevřená do internetu a neaktualizované systémy.
Jak to vypadá v praxi, ukázal medializovaný brněnský případ: stavební firma s 25 zaměstnanci měla na serveru se vzdálenou plochou heslo „stavba123”. Výsledek — škoda přes 500 000 Kč, dva týdny obnovy provozu a nenávratná ztráta tří let projektové dokumentace. Žádný zero-day, žádný sofistikovaný útok. Jedno slabé heslo na službě vystavené do internetu.
Hodina 0–1: izolujte, ale nevypínejte všechno
První hodina má jediný cíl: zastavit šíření. Ransomware se z jednoho stroje rozlézá po sdílených složkách, mapovaných discích a přes doménové účty na další počítače a servery.
- Odpojte napadené stroje od sítě. Vytáhněte síťový kabel, vypněte Wi-Fi. To je první a nejdůležitější krok — šifrování na jednom stroji je nepříjemnost, zašifrovaná celá síť je katastrofa.
- Stroj, kde šifrování právě běží, natvrdo vypněte. Poznáte to podle rostoucího počtu souborů s cizí příponou a vytížených disků. Každá minuta běhu znamená další zašifrované a smazané originály.
- Stroje, kde už je zašifrováno, nechte běžet — odpojené. V operační paměti mohou zůstat šifrovací klíče a stopy útočníka, které forenzní analýza dokáže využít. Vypnutím o ně přijdete.
- Odpojte NAS a externí zálohovací disky. Pokud jsou zálohy připojené jako síťová složka, útočník je zašifroval nebo smazal jako první. Co je odpojené, to je v bezpečí — nepřipojujte to zpět „na kontrolu”.
- Zvažte odpojení celé firmy od internetu. U menší sítě je nejjistější vytáhnout WAN kabel z routeru. Útočník tím ztratí vzdálený přístup.
- Vyfoťte obrazovky s výzvou k platbě. Text, přípony souborů a kontaktní adresy útočníků budou potřeba pro identifikaci varianty i pro hlášení.
- Sepište časovou osu. Kdy si kdo čeho všiml, co kdo od té doby udělal. Za dvě hodiny už si to nikdo pamatovat nebude a pro pojišťovnu i policii je to podstatné.
Hodina 1–4: zjistěte rozsah a variantu
Teprve když se nic dalšího nešifruje, má smysl zjišťovat, co se vlastně stalo.
Projděte stroj po stroji — včetně serverů, NAS a počítačů lidí na home office. Hledáte cizí přípony souborů, výzvy k platbě a stroje, které se chovají divně. Nepřihlašujte se přitom na podezřelé stroje doménovým administrátorem: pokud je útočník stále uvnitř, darujete mu nejcennější účet ve firmě.
Identifikujte variantu ransomwaru. Podle přípony souborů a textu výzvy lze rodinu určit přes bezplatné služby typu ID Ransomware nebo No More Ransom. U části starších kampaní existují veřejné dešifrovací nástroje — vyplatí se to ověřit dřív, než začnete cokoli platit.
Ověřte stav záloh — na čistém, odpojeném počítači. Tohle je nejdůležitější zjištění celého dne: máte, nebo nemáte funkční zálohu? Pozor na tři pasti. Stínové kopie Windows ransomware před šifrováním typicky smaže, takže „obnovit předchozí verzi” nebude fungovat. Synchronizace do cloudu (OneDrive, Google Drive) poslušně přenesla i zašifrované verze — hledejte v ní historii verzí. A záloha na trvale připojeném disku nejspíš dopadla stejně jako originál; proč jedna kopie není záloha, rozebírá článek o externím HDD a pravidle 3-2-1.
Čeho se v prvních hodinách vyvarovat
- Nemažte zašifrované soubory a nezkoušejte „vyčistit” systém antivirem. U řady variant jde část dat forenzně obnovit — každý zápis na disk tu šanci snižuje.
- Nereinstalujte servery ani stanice, dokud není jasné, co jde z disků zachránit a co budete potřebovat jako důkaz.
- Neobnovujte zálohy do napadené sítě. Dokud je otevřená cesta, kterou se útočník dostal dovnitř, přijdete i o zálohu.
- Nekomunikujte s útočníky v panice. Odpověď první hodinu nic neurychlí a vyjednávat bez rozmyslu znamená vyjednávat špatně.
- Neplaťte výkupné první den. K tomu se ještě vrátíme — ale rozhodnutí platit/neplatit má přijít až po diagnostice, ne z paniky.
Komu incident nahlásit
Ohlašovací povinnosti se u malé firmy často podceňují — a přitom jde o pokuty a pojistné plnění.
- NÚKIB. Pokud vaše firma spadá pod nový zákon o kybernetické bezpečnosti (264/2025 Sb., účinný od 1. 11. 2025) jako poskytovatel regulované služby, máte povinnost významný incident ohlásit NÚKIB přes jeho portál. Ostatní firmy mohou incident nahlásit dobrovolně — NÚKIB data využívá pro varování dalších. Jestli pod zákon spadáte, si ověřte raději dřív než během incidentu.
- ÚOOÚ. Pokud útok zasáhl osobní údaje (mzdy, zákazníci, uchazeči o práci — což je skoro vždy), jde o porušení zabezpečení podle GDPR. To se hlásí Úřadu pro ochranu osobních údajů do 72 hodin od zjištění, ledaže je riziko pro dotčené osoby nepravděpodobné. U dnešních útoků, které data nejdřív kradou a teprve pak šifrují, na výjimku nespoléhejte.
- Policie ČR. Vydírání a neoprávněný přístup k počítačovému systému jsou trestné činy. Trestní oznámení je i podkladem pro pojišťovnu.
- Pojišťovna. Máte-li kybernetické pojištění (nebo jen pojištění přerušení provozu), hlaste incident bez odkladu — pojistné podmínky často vyžadují nahlášení v řádu hodin a odsouhlasení dalšího postupu.
Hodina 4–24: obnova, ale ve správném pořadí
Největší chyba druhé fáze: rychle všechno obnovit a jet dál. Pokud neuzavřete vstupní cestu, útočník se vrátí — tentokrát i pro zálohy.
- Najděte a zavřete vstupní vektor. Vystavené RDP, VPN bez dvoufaktoru, uhádnuté heslo, neaktualizovaný server. Bez tohoto kroku je každá obnova jen příprava na reprízu.
- Změňte všechna hesla. Začněte doménovým administrátorem, servisními účty a VPN. Považujte za kompromitované všechno, co bylo v síti uloženo.
- Obnovujte do čistého prostředí. Napadené stroje se přeinstalovávají ze čistých instalačních médií, ne „čistí”. Zálohy před nasazením zkontrolujte na izolovaném stroji.
- Stanovte pořadí podle byznysu. Nejdřív to, co firmu živí: účetnictví, výroba, sklad, e-maily. Zbytek počká.
- Prvních pár týdnů síť sledujte. Návraty útočníků do už jednou napadených sítí jsou běžné — dostat se podruhé do prostředí, které znají, je pro ně levné.
Když zálohy nejsou: co jde ještě zachránit
Scénář brněnské stavební firmy — záloha neexistovala nebo dopadla stejně jako originál — neznamená automaticky konec. Ransomware soubory typicky šifruje do nové kopie a originál maže, nikoli přepisuje. Na úrovni souborového systému tak část původních dat fyzicky zůstává, dokud ji něco nepřepíše. U NAS navíc mohly přežít snapshoty, pokud je útočník cíleně nesmazal — celý mechanismus popisujeme v článku o ransomwaru na NAS, postupy pro firemní servery v textu o záchraně dat ze serveru.
Prakticky to znamená: zašifrované disky odstavte, nic na ně nezapisujte a nechte je projít diagnostikou. V naší brněnské laboratoři je diagnostika zdarma a nezávazná — dozvíte se, co je z disků reálně obnovitelné, ještě než se rozhodnete, jestli vůbec má smysl bavit se o výkupném. Platí no recovery – no fee.
Proč výkupné neplatit hned
Neříkáme dogmaticky „nikdy” — říkáme „ne první den a ne bez informací”. Důvody:
- Nemáte záruku. Platíte zločincům; funkční dešifrovací klíč není jistý a u části variant dešifrování data poškozuje.
- Krádež dat platba neodčiní. Většina současných kampaní data nejdřív odcizí a teprve pak šifruje (tzv. double extortion). Zaplacením šifrování nezmizí povinnosti vůči ÚOOÚ ani riziko, že data stejně uniknou.
- Možná to jde bez placení. Přeživší zálohy, snapshoty, forenzní obnova smazaných originálů nebo veřejný dešifrátor — to všechno zjistíte diagnostikou během dnů.
- Kdo zaplatí, je označen jako platící cíl. A částky nejsou náhodné — útočníci je kalibrují tak, aby se malé firmě zaplacení „vyplatilo”.
Racionální postup: nejdřív diagnostika a právní konzultace, teprve pak případné rozhodnutí o platbě jako poslední možnosti.
Dalších 30 dní: aby se to neopakovalo
Incident je nejsilnější argument pro pořádek, který měl existovat předtím. Minimum po obnově:
- RDP a administrační rozhraní nikdy přímo do internetu — jen přes VPN s dvoufaktorovým ověřením.
- Zálohy podle pravidla 3-2-1 s alespoň jednou kopií offline nebo neměnnou (immutable) — tedy takovou, kterou útočník s admin právy nesmaže.
- Aktualizace a přehled o síti. Neaktualizovaný server a zapomenuté zařízení jsou dvě nejčastější díry; co všechno takový přehled odhalí, popisuje článek o auditu počítačové sítě.
- Testovací obnova. Záloha, ze které jste nikdy nic neobnovili, je jen doufání.
A hlavně: tohle všechno musí někdo soustavně držet. Pokud nemáte vlastního ajťáka, přesně tohle je náplň naší služby IT bezpečnost pro firmy — od uzavření vstupních vektorů přes hlídané zálohy až po plán, co dělat, když se něco stane. Levnější varianta než druhý incident to je vždycky.
Často se ptáte
Ransomware — co dělat jako první?
Odpojit napadené stroje od sítě (kabel ven, Wi-Fi vypnout), zastavit probíhající šifrování tvrdým vypnutím daného stroje a odpojit NAS i zálohovací disky. Pak teprve zjišťovat rozsah. Nic nemazat, nereinstalovat, neplatit.
Musíme incident hlásit, když jsme malá firma?
NÚKIB povinně jen pokud spadáte pod zákon o kybernetické bezpečnosti (264/2025 Sb.). Únik osobních údajů se ale hlásí ÚOOÚ do 72 hodin bez ohledu na velikost firmy — a osobní údaje (mzdy, zákazníci) má prakticky každá firma.
Jde zašifrovaná data obnovit bez zaplacení?
Často zčásti ano: z přeživších záloh a snapshotů, forenzní obnovou smazaných originálů, u starších kampaní veřejným dešifrátorem. Rozsah nelze slíbit předem — proto se dělá diagnostika, u nás zdarma a nezávazně.
Kolik takový útok malou firmu stojí?
Z veřejně popsaných českých případů: brněnská stavební firma přes 500 000 Kč a dva týdny výpadku, k tomu nenávratná ztráta tří let projektové dokumentace. Náklady tvoří hlavně prostoje a obnova, ne výkupné.
Vrátí se útočníci?
Riziko je reálné, pokud neuzavřete cestu, kterou se dostali dovnitř, a nezměníte hesla. Proto se obnova dělá do čistého prostředí a síť se po incidentu několik týdnů sleduje.