tbhost.eu / Heslá a prihlasovanie · Aktualizované 16. októbra 2026

Ransomware: ako sa šíri, čo robiť po infekcii a ako sa pripraviť

Ransomware (po slovensky aj ransomvér) je škodlivý program, ktorý zašifruje súbory v počítači alebo v celej sieti a za ich odomknutie žiada výkupné, spravidla v kryptomene. Po infekcii treba zariadenie odpojiť od siete, nevypínať ho naslepo, nepodliehať tlaku na zaplatenie a incident nahlásiť. Na obnovu pomáha najviac záloha, ktorú útočník nedosiahne, pred infekciou aktualizácie a dvojfaktorové overenie.

Slovenské Národné centrum kybernetickej bezpečnosti (SK-CERT) opisuje ransomware ako malvér, ktorý získa prístup k súborom obete, zašifruje ich a potom žiada výkupné. Pre časť rodín ransomware však existuje bezplatný dešifrovací nástroj a tieto nástroje zbiera web projektu No More Ransom, ktorý vznikol z iniciatívy holandskej polície, Europolu a dvoch bezpečnostných firiem. Spoliehať sa treba na zálohy, nie na to, že nástroj pre vašu infekciu existuje.

Ako sa ransomware dostane do počítača

Americký úrad CISA v príručke #StopRansomware (september 2023) radí prevenciu podľa bežných vstupných ciest. Pre bežného používateľa a malú firmu sú dôležité tieto.

CISA k tomu pridáva ešte predchádzajúcu infekciu iným malvérom, pokročilé podvody a dodávateľov, ktorí spravujú cudzie systémy. Chyba používateľa pritom nie je podmienkou: podľa SK-CERT môže útočník zneužiť zraniteľnosť aj bez toho, aby mal akúkoľvek interakciu so zamestnancami. Cieľom sa môže stať prakticky ktokoľvek.

Čo robiť po infekcii

Poradie krokov vychádza z príručiek CISA, SK-CERT a NCSC.

1. Odpojte zariadenie od siete. Vytiahnite sieťový kábel a vypnite Wi-Fi. SK-CERT radí odpojiť zasiahnuté počítače od lokálnej siete, drôtovej aj bezdrôtovej. Odpojte aj externý disk so zálohou, ak je pripojený, lebo podľa NCSC útočníci cielia práve na pripojené zálohy.
2. Nevypínajte ho naslepo. SK-CERT v pokynoch pre organizácie žiada počas izolácie zasiahnuté systémy nevypínať, nič neinštalovať a nespúšťať ani nezatvárať aplikácie, aby sa nestratili stopy potrebné na obnovu, napríklad šifrovacie kľúče. CISA pripúšťa vypnutie len vtedy, keď zariadenie od siete odpojiť nejde, a upozorňuje, že tým prídete o stopy uložené v pamäti.
3. Nepodliehajte tlaku na platbu. NCSC a polícia Spojeného kráľovstva platenie výkupného neodporúčajú, nepodporujú ani netolerujú. NCSC uvádza štyri riziká: žiadna záruka prístupu k dátam, počítač zostane infikovaný, platíte zločineckým skupinám a ste pravdepodobnejším cieľom aj nabudúce. No More Ransom pridáva, že chyba v malvéri môže dáta znefunkčniť aj s pravým kľúčom.
4. Nahláste incident. SK-CERT radí obetiam kybernetického útoku použiť formulár na nahlásenie incidentu, prípadne napísať na incident@nbu.gov.sk. Zbierajte podklady, aby ste mohli podať trestné oznámenie.
5. Obnovujte až na čistom zariadení. Ransomware sa mohol do záloh dostať ešte pred objavením, preto ich NCSC radí pred obnovou skontrolovať na malvér a pripájať len k overene čistým zariadeniam.

Ako zistiť, či existuje dešifrovací nástroj

No More Ransom uvádza, že nie každý typ ransomware má riešenie a nové kľúče a aplikácie pribúdajú postupne. CISA dodáva, že výskumníci môžu pri niektorých variantoch objaviť chybu v šifrovaní a vydať nástroj na odomknutie. Overenie má štyri kroky.

1. Nahrajte vzorku do Crypto Sheriff. Služba si pýta dva šifrované súbory, každý do 1 MB, a údaje z výkupného odkazu: e-mailovú alebo webovú adresu či adresu bitcoinovej peňaženky. Dá sa nahrať aj samotný súbor s odkazom vo formáte .txt alebo .html.
2. Ak riešenie existuje, služba dá odkaz na stiahnutie. Zoznam rodín je aj v sekcii Decryption Tools. K 15. 10. 2026 sa na úvodnej strane uvádzajú napríklad Phobos/8base, Rhysida, Akira, LockBit 3.0 a BianLian.
3. Najprv odstráňte škodlivý program. Inak podľa No More Ransom bude systém znova zamykať alebo šifrovať súbory. Zvládne to podľa nich akýkoľvek spoľahlivý antivírus. Pred spustením nástroja si prečítajte priložený návod.
4. Ak nástroj nie je, skúste to neskôr. Kľúče pribúdajú aj dodatočne, napríklad keď polícia zaistí server s kľúčmi, a preto šifrované súbory nemažte.

Ako sa pripraviť: zálohy, aktualizácie, prístupy

CISA upozorňuje, že mnohé varianty ransomware sa pokúšajú nájsť dostupné zálohy a zmazať ich alebo zašifrovať. SK-CERT preto odporúča pravidlo 3-2-1, aspoň jednu kópiu uchovávať určite offline a zálohy šifrovať.

Samotný cloud nestačí. NCSC upozorňuje, že sa netreba spoliehať ani na dve kópie na jednom výmennom disku, ani na viac kópií v jednej cloudovej službe. Cloud sa navyše často synchronizuje hneď po tom, ako ransomware súbory nahradí šifrovanými, takže treba službu, ktorá chráni staršie verzie. Externý disk nemá byť pripojený stále: SK-CERT radí pripájať ho len počas zálohovania. Obnovu zo zálohy si treba overiť vopred.

• Aktualizácie. SK-CERT radí zapnúť automatické aktualizácie, najmä na zariadeniach používateľov, a NCSC to isté pri systémoch, programoch aj firmvéri.
• Dvojfaktorové overenie. CISA odporúča overenie odolné voči phishingu pre všetky služby, najmä pre e-mail a VPN. Rozdiel medzi SMS, aplikáciou a kľúčom opisuje článok Dvojfaktorové overenie.
• Heslá. CISA žiada unikátne heslá s dĺžkou aspoň 15 znakov.
• Oprávnenia. CISA zdôrazňuje najmenšie potrebné oprávnenia, lebo útočníci často využívajú privilegované účty na útok v celej sieti. NCSC radí, aby správcovia nepoužívali svoje účty na e-mail a prehliadanie webu.

Čo mať pripravené vopred

SK-CERT upozorňuje, že pri ransomvérovom útoku často ide o veľmi krátke obdobie, v ktorom sa dajú následky zmenšiť. Postup na incident preto odporúča mať aj vytlačený, lebo verejne zdieľaný priečinok býva prvým miestom, ktoré ransomvér zašifruje. CISA píše o tlačenej alebo offline verzii plánu. Základom môže byť jedna vytlačená strana:

• kde sú zálohy a ktorá z nich je offline,
• kto vie obnovu urobiť,
• adresa na nahlásenie incidentu, teda incident@nbu.gov.sk,
• poradie krokov zo sekcie o infekcii: odpojiť, nevypínať, neplatiť pod tlakom.