Co dělat v první hodině

1. Zachovejte klid. Zatím nic nemažte, nepřeinstalovávejte ani neobnovujte.

   Předčasná obnova zničí stopy, které ukazují, jak se útočník dostal dovnitř, a ten se může hned vrátit. Nemažte ani podezřelé e-maily a soubory.

2. Izolujte, nevypínejte.

   Vytáhněte síťový kabel, vypněte Wi-Fi nebo zařízení izolujte v EDR, ale nechte ho zapnuté: v paměti jsou stopy, které vypnutí smaže. Pokud ransomware právě šifruje a izolovat nejde, je vypnutí menší zlo. Zablokujte útočníkovi vzdálený přístup (VPN, vzdálená plocha, vystavená administrace).

3. Zajistěte logy a důkazy.

   Hned exportujte logy z firewallu, VPN, e-mailu, Microsoft 365 / Google Workspace, správy identit a serverů, dřív než se přepíší. Vyfoťte výzvy k výkupnému a chybové obrazovky. Kopie uložte mimo zasaženou síť.

4. Změňte přístupové údaje z čistého zařízení.

   Ze zařízení, kterému věříte, změňte hesla administrátorů, e-mailu a vzdáleného přístupu, zneplatněte aktivní relace a tokeny a vyměňte API klíče. Začněte účty, které mohou měnit jiné účty. Zkontrolujte nová pravidla přeposílání a nové administrátory.

5. Zapisujte časovou osu.

   Co jste viděli, kdy, na kterém systému, kdo a každý krok, který jste udělali, včetně časů. Budou ji potřebovat vyšetřovatelé, pojišťovna i úřady.

6. Informujte správné lidi.

   • Interně: vedení, IT dodavatele a kybernetickou pojišťovnu (smlouvy často vyžadují rychlé oznámení a určují schválené specialisty).
   • Osobní údaje (GDPR): pokud mohou být zasaženy osobní údaje, správce musí porušení ohlásit ÚOOÚ bez zbytečného odkladu a pokud možno do 72 hodin od zjištění, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro lidi (čl. 33). Při vysokém riziku informujte i dotčené osoby (čl. 34). Porušení v každém případě zdokumentujte.
   • NIS2 / zákon o kybernetické bezpečnosti: pokud jste poskytovatelem regulované služby podle zákona č. 264/2025 Sb., hlaste významný kybernetický bezpečnostní incident NÚKIB: včasné varování do 24 hodin, hlášení do 72 hodin a závěrečnou zprávu do jednoho měsíce. Finanční instituce hlásí podle DORA České národní bance.
   • Banka: pokud mohou být dotčeny platby, přístup do bankovnictví nebo údaje na fakturách, hned volejte bance kvůli zastavení nebo vrácení plateb.
   • Policie: podejte trestní oznámení Policii ČR (158); pojišťovna ho obvykle vyžaduje.

7. Neplaťte výkupné bez porady.

   Zaplacení nezaručuje vrácení dat ani to, že nebudou zveřejněna, a může být právně rizikové. S útočníky nekomunikujte, dokud se neporadíte s odborníky a právníkem.

Tento postup je obecné doporučení, nikoli právní rada. Povinnosti hlášení závisí na vaší situaci.