Čo ransomvér urobí so správou dokumentov
Ransomvér zašifruje súbory, ku ktorým má prístup, a potom žiada výkupné za kľúč. V systéme správy dokumentov koná s právami účtu alebo počítača, ktorý infikoval. Škody zhoršujú tri mechanizmy:
- synchronizácia: infikovaný počítač zašifruje svoju lokálnu kópiu, synchronizačný klient potom pošle zašifrované súbory na server ako bežnú zmenu a odtiaľ do ostatných zariadení;
- história: každý zašifrovaný súbor sa stane novou verziou. Staršia verzia môže situáciu zachrániť, pokiaľ útočník nemá dostatočné práva na vymazanie histórie a koša;
- záloha: ANSSI pozoruje, že útočník sa často snaží zálohovaciu infraštruktúru zašifrovať, vymazať alebo znefunkčniť, aby zabránil obnove.
Niektoré útoky dáta pred zašifrovaním aj skopírujú. Obnova uvedie súbory do pôvodného stavu. Túto časť nerieši, tá patrí do krízového riadenia a pri osobných údajoch pod GDPR.
Obmedziť dosah
Nedá sa sľúbiť, že žiadny počítač nebude infikovaný. Dá sa obmedziť, kam sa infikovaný počítač alebo účet dostane.
Práva na zápis
Účet, ktorý môže priečinok len čítať, ho nemôže zašifrovať. Referenčné priečinky (šablóny, postupy, podpísané zmluvy) môžu byť pre väčšinu ľudí iba na čítanie. Práva sa nastavujú podľa skupiny a priečinka, nie systémom „každý upravuje všetko“.
Administrátorské účty
ANSSI odporúča obmedziť tieto účty na nevyhnutné minimum. Majú byť osobné, chránené dvojfaktorovým overením a nemajú sa používať na bežnú prácu.
Externé odkazy
Odkaz, ktorý dáva neznámej osobe právo na úpravu, je otvorená brána. Odkazy smerujúce von majú heslo, dátum skončenia platnosti a spravidla len právo na čítanie.
Synchronizované počítače
Na každom počítači synchronizujte iba potrebné priečinky. Citlivé priečinky nechajte v prehliadači. Aktualizácie inštalujte rýchlo: ANSSI pripomína, že je kľúčové robiť to v krátkej lehote a podľa riadeného postupu. Najčastejšou vstupnou bránou zostáva e-mail: pozrite prílohy, odkazy a ransomvér.
Prečo musí byť záloha mimo dosahu
Záloha dostupná pod tým istým účtom ako produkcia bude zašifrovaná spolu s ňou. Chránia ju tri druhy oddelenia:
- iné prihlasovacie údaje: ANSSI požaduje osobné a vyhradené administrátorské účty pre zálohovanie a infraštruktúru nezávislú od produkčných adresárov;
- nemennosť: zapísanú zálohu nemožno počas doby uchovávania zmeniť ani odstrániť;
- iná lokalita a podľa možnosti offline kópia: ANSSI ju považuje za nevyhnutnú a odolnejšiu ako nemennú zálohu, ktorá zostáva online.
Zostáva hĺbka histórie. Prienik môže zostať nenápadný niekoľko týždňov pred zašifrovaním. Ak je doba uchovávania kratšia ako táto lehota, všetky dostupné zálohy môžu obsahovať útočníka alebo už poškodené súbory.
Poradie obnovy
Obnova nie je tlačidlo. Je to sled krokov a na poradí záleží.
- Zastaviť šírenie. Odpojiť infikované počítače od siete, pozastaviť kompromitované účty, vypnúť synchronizáciu a externé odkazy v zasiahnutom rozsahu. ANSSI tiež radí viesť časovo označený denník udalostí, odpojiť zálohovacie médiá po overení, že sú zdravé, a nevypínať zariadenia z elektrickej siete, pretože by sa mohli vymazať užitočné stopy.
- Určiť začiatok. Identifikovať prvý zašifrovaný súbor, príslušný účet a počítač. To určuje bod obnovy.
- Zvoliť bod obnovy pred zašifrovaním, s rezervou, ak je dátum neistý.
- Obnoviť do zdravého prostredia. ANSSI odporúča preinštalovať systém zo známeho média a potom obnoviť dáta zo zálohy staršej ako kompromitácia. Ak to nástroj umožňuje, obnova iba zasiahnutého rozsahu zabráni prepísaniu práce, ktorá sa medzitým urobila inde.
- Overiť. Otvoriť náhodne vybrané súbory, skontrolovať, že nezostal žiadny zašifrovaný súbor, opraviť vstupnú zraniteľnosť, zmeniť heslá.
- Znovu otvoriť prístupy postupne. Počítače sa znovu synchronizujú z obnoveného servera, nikdy naopak. Nevyčistený počítač, ktorý sa znovu pripojí, pošle späť svoje zašifrované súbory.
Súbežne ANSSI odporúča výkupné nikdy neplatiť, zašifrované dáta uchovať (kľúč môže byť zverejnený neskôr), podať trestné oznámenie a pri porušení ochrany osobných údajov zabezpečiť, aby krízový tím podal oznámenie dozornému orgánu (vo Francúzsku CNIL).
Čo sa stratí: RPO v praxi
Hypotetický prípad. Kancelária s dvadsiatimi zamestnancami zálohuje dokumenty každú hodinu. V pondelok o 9:15 začne synchronizovaný počítač šifrovať priečinok „Klienti“. Poplach je vyhlásený o 10:05.
Posledným zdravým bodom je záloha z 9:00. Priečinok „Klienti“ sa vráti do stavu z 9:00. Zmeny vykonané v tomto priečinku medzi 9:00 a 9:15 sú stratené. Zmeny v ostatných priečinkoch stratené nie sú, ak sa obnova obmedzí na zasiahnutý priečinok. Asistentka, ktorá o 9:10 uložila tri listy, ich nájde vo svojom e-maile a vloží ich znova.
Práve to meria RPO, maximálna prípustná strata dát: odstup medzi bodom obnovy a incidentom. RTO, maximálna prípustná doba výpadku, meria niečo iné: čas, kým tímy znovu pracujú. Obe hodnoty sa rozhodujú pred incidentom, nie počas neho.
Časté chyby
- Obnovovať pred zastavením šírenia. Počítač, ktorý je stále pripojený, obnovené súbory znova zašifruje.
- Znovu synchronizovať z infikovaného počítača. Lokálna kópia je tá zašifrovaná.
- Spoliehať sa na kôš. Neobsahuje zmenené súbory, iba odstránené.
- Zistiť dobu uchovávania až v deň útoku. Ak prienik nastal pred šiestimi týždňami a doba uchovávania je tridsať dní, výber bodu obnovy sa komplikuje.
Časté otázky
Stačia verzie proti ransomvéru?
Pomôžu, ak je história neporušená. Nestačia, ak ju útočník mohol vymazať. Rozdiel vysvetľuje príručka verzie, replikácia a zálohovanie dokumentov.
Treba zaplatiť výkupné?
ANSSI odporúča nikdy ho neplatiť. Zaplatenie nezaručuje ani kľúč, ani to, že nepríde ďalší útok.
Ako obmedziť, kto môže upravovať priečinok?
Prostredníctvom práv podľa skupiny a priečinka. Pozrite ako nastaviť, kto vidí ktoré dokumenty.
Ako zabrániť, aby odkaz poslúžil ako vstupná brána?
Heslom, dátumom skončenia platnosti a právom iba na čítanie. Pozrite odkazy na zdieľanie, partneri a sťahovanie.
Kde stojí Klytic
Pri Klytic Docs prebiehajú zálohy každú hodinu. Sú šifrované, nemenné, replikované na viacerých lokalitách, monitorované, uchovávané 30 dní a obnovy sa testujú každý mesiac. Cieľom je RPO pod 2 hodiny pre dokumenty a RTO pod 4 hodiny. O obnovu sa žiada cez podporu Klytic s uvedením rozsahu a približného dátumu. Je v cene, ak strata vznikla poruchou služby Klytic. Po ransomvéri alebo napadnutom účte u vás je obnova tiež v cene, ak boli vaše počítače správne chránené: aktualizácie nainštalované, antivírus aktívny. Ak chránené dostatočne neboli, rieši sa spoplatneným tiketom podpory, rovnako ako obnova po chybnej manipulácii. Podrobnosti nájdete na stránke bezpečnosť a zálohovanie.
V oblasti prevencie poskytuje Klytic Docs práva podľa osoby, skupiny a priečinka, dvojfaktorové overenie, záznam prístupov a odkazy chránené heslom s dátumom skončenia platnosti. Na strane Klytic sú technické prístupy obmedzené na prevádzkové úkony a podporu, sú osobné a zaznamenávané.
Obmedzenia: tridsať dní uchovávania nepokrýva kompromitáciu odhalenú neskôr. Klytic obnovuje svoje služby; vyčistenie vašich počítačov, siete a adresára je úlohou vášho IT tímu alebo dodávateľa. Klytic nie je ponuka s kvalifikáciou SecNumCloud.
Táto stránka opisuje všeobecný rámec. Pri incidente postupujte podľa svojho plánu obnovy a pokynov príslušných orgánov.
Zdroje
Overené v októbri 2026.
- ANSSI a francúzske ministerstvo spravodlivosti (DACG), Attaques par rançongiciels, tous concernés, 2020: odpojené zálohy, obmedzenie administrátorských účtov, rýchle aktualizácie; pri incidente denník udalostí, izolácia, nevypínať z elektrickej siete, uchovať zašifrované dáta, neplatiť, trestné oznámenie, obnova zo zálohy staršej ako kompromitácia. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, príručka ANSSI-BP-100, v1.1: útočník často cieli na zálohovaciu infraštruktúru; vyhradené účty; offline odolnejšie ako online WORM; RPO a RTO. messervices.cyber.gouv.fr
- Klytic, Bezpečnosť a zálohovanie: nemenné, šifrované, replikované zálohy, 30 dní, obnovy testované každý mesiac, RTO pod 4 h, RPO pod 2 h. klytic.com
- Klytic, Hosting a suverenita: technické prístupy obmedzené na prevádzku a podporu, osobné a zaznamenávané. klytic.com
