Ransomware: co to je a jak se chránit před vyděračským virem

Ransomware je typ škodlivého softwaru, který zašifruje soubory na počítači nebo v celé firemní síti a za jejich odemčení požaduje výkupné – obvykle v kryptoměně. Jde o jednu z nejvýdělečnějších forem kyberkriminality současnosti a podle Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) patří Česko mezi evropské země, které tento typ útoků v posledních letech zasáhl nejvíc. Tento článek vysvětluje, jak ransomware funguje, jak se šíří, co dělat, pokud k útoku dojde, a jak se mu dá předejít.

Aktualizováno: listopad 2026.

Co je to ransomware a jak funguje

Ransomware (z anglického "ransom" – výkupné) je malware, který po nákaze zařízení zašifruje data – dokumenty, fotky, databáze, celé firemní souborové servery – pomocí silného šifrovacího algoritmu. Uživatel pak najde buď zamčenou obrazovku, nebo textový soubor s instrukcemi, jak zaplatit výkupné za dešifrovací klíč. Bez tohoto klíče jsou data prakticky nenávratně ztracena, pokud neexistuje záloha.

Moderní ransomwarové skupiny navíc používají tzv. dvojí vydírání (double extortion): před zašifrováním dat je nejprve zkopírují a odešlou na své servery. Pokud oběť odmítne zaplatit, útočníci hrozí zveřejněním citlivých dat (osobní údaje klientů, smlouvy, zdravotní záznamy) na veřejně dostupných "leak" webech. Někdy se přidává i třetí vrstva – DDoS útok na web firmy, aby se zvýšil tlak na zaplacení.

Ransomware jako služba (RaaS)

Velká část dnešních útoků se neprovádí "na vlastní triko" jedním hackerem, ale přes model Ransomware-as-a-Service. Skupiny jako Akira, Qilin nebo další si vyvinou šifrovací nástroj a infrastrukturu a pronajímají ji méně zkušeným útočníkům (tzv. afiliátům) za podíl na výkupném. Podle analýz bezpečnostní firmy ESET patřilo Česko mezi cíle několika z nejobávanějších ransomwarových gangů světa – útoky se zaměřují jak na firmy, tak na veřejné instituce.

Jak se ransomware do zařízení dostane

Nejčastější cesty nákazy jsou:

• Phishingový e-mail s přílohou nebo odkazem – falešná faktura, dodací list nebo "upozornění na nedoručenou zásilku", které po otevření spustí škodlivý kód.

• Zneužití neopravené zranitelnosti – útočníci skenují internet a hledají servery se zastaralým softwarem (VPN brány, RDP vzdálená plocha, e-mailové servery), kde chybí bezpečnostní aktualizace.

• Odhadnutá nebo odkoupená hesla – slabé nebo znovu použité heslo k vzdálenému přístupu, které uniklo při jiném úniku dat.

• Škodlivé reklamy a falešné instalátory – stažení "crack" verze placeného programu nebo falešného aktualizačního okna.

• Zavlečení přes dodavatele (supply chain) – napadení menší firmy, která má vzdálený přístup do sítě většího partnera nebo klienta.

Koho ransomware nejčastěji ohrožuje

Podle NÚKIB patří mezi nejohroženější sektory v Česku zdravotnictví – nemocnice mají často zastaralé systémy, které nelze snadno odstavit pro aktualizaci, a zároveň si nemohou dovolit dlouhý výpadek, což z nich dělá atraktivní cíl. Dále jsou ohroženy veřejná správa, výrobní podniky a menší a střední firmy, které nemají vlastní IT bezpečnostní oddělení.

Běžní domácí uživatelé se stávají cílem méně často přímo, ale mohou se nakazit skrz phishing stejně jako firmy – a ztráta rodinných fotek nebo dokumentů bez zálohy je stejně bolestivá jako firemní škoda.

Co dělat, pokud vás ransomware napadne

1. Okamžitě odpojte zařízení od sítě

Vypněte Wi-Fi, vytáhněte ethernetový kabel. Cílem je zabránit šíření na další zařízení ve stejné síti (sdílené disky, NAS, další počítače).

2. Nezapojujte počítač zpět, než zjistíte rozsah útoku

Pokud máte podezření na nákazu v firemní síti, nechte zařízení vypnuté a kontaktujte IT bezpečnostní tým nebo externí specialistu – restart může v některých případech zhoršit možnost obnovy dat.

3. Nahlaste útok

V Česku se ransomwarové útoky nahlašují Policii ČR (odbor kybernetické kriminality) a v případě firem a institucí také NÚKIB, pokud podléhají zákonu o kybernetické bezpečnosti. Nahlášení je důležité i proto, že pomáhá mapovat rozsah a metody útoků v ČR.

4. Neplaťte výkupné bez rozmyslu

NÚKIB dlouhodobě doporučuje výkupné neplatit. Důvody: zaplacení nezaručuje, že útočníci skutečně poskytnou funkční dešifrovací klíč, financuje to další kriminální aktivity a dělá z vás potenciální cíl pro opakovaný útok (jakmile je známo, že firma je ochotná platit).

5. Zkuste bezplatné dešifrovací nástroje

Pro některé starší nebo již "prolomené" varianty ransomwaru existují bezplatné dešifrovací nástroje, které vyvinuly bezpečnostní firmy nebo mezinárodní iniciativa No More Ransom (projekt Europolu a bezpečnostních firem). Před čímkoliv jiným je vhodné zjistit přesný název/varianty ransomwaru (často je uveden v textu výkupné zprávy nebo v přípravě souboru) a zkontrolovat, zda pro něj dešifrovací nástroj existuje.

6. Obnovte data ze zálohy

Pokud máte funkční a nedotčenou zálohu (ideálně offline nebo v cloudu s historií verzí), je to nejspolehlivější cesta k obnově bez placení výkupného. Po obnově je nutné kompletně přeinstalovat napadený systém, ne jen obnovit soubory na stejném infikovaném zařízení.

Jak se ransomwaru předcházet

• Pravidelné zálohování podle pravidla 3-2-1 – tři kopie dat, na dvou různých typech úložiště, z nichž alespoň jedna je mimo hlavní síť (offline nebo v odděleném cloudu). Je to jediná obrana, která funguje i při úspěšném útoku.

• Aktualizace operačního systému a veškerého softwaru – velká část útoků zneužívá zranitelnosti, pro které už existuje oprava, ale nebyla nainstalována.

• Silná a jedinečná hesla + vícefaktorové ověření na všech vzdálených přístupech (VPN, RDP, administrace serverů).

• Segmentace sítě – oddělení kritických systémů od běžné uživatelské sítě, aby se nákaza nemohla volně šířit mezi všemi zařízeními.

• Školení zaměstnanců v rozpoznávání phishingových e-mailů, protože lidský faktor je stále nejčastější vstupní branou útoku.

• Antivirový/EDR software s detekcí anomálií, který umí zachytit podezřelé masové šifrování souborů dřív, než postihne celou síť.

Nejznámější ransomwarové útoky a jejich dopad

Několik reálných případů dobře ukazuje, jak širokou škálu obětí ransomware zasahuje a jak vysoké mohou být škody:

• WannaCry (2017) – útok zneužívající zranitelnost Windows (EternalBlue) se během pár dní rozšířil do více než 150 zemí a postihl přes 200 000 počítačů, včetně britské zdravotnické služby NHS, kde museli zrušit tisíce operací a vyšetření. Celkové škody se odhadují na miliardy dolarů.

• Fakultní nemocnice Brno (březen 2020) – jeden z nejznámějších českých případů. Útok zasáhl nemocniční IT systémy přímo v době testování na COVID-19, nemocnice musela dočasně omezit provoz a odkládat operace. Případ výrazně zvýšil povědomí o tom, že zdravotnictví je v ČR citlivým cílem.

• Colonial Pipeline (USA, 2021) – útok skupiny DarkSide na provozovatele klíčového ropného potrubí ve Spojených státech vedl k několikadennímu přerušení dodávek paliva na východním pobřeží USA a panickému nakupování benzínu. Firma tehdy zaplatila výkupné ve výši přibližně 4,4 milionu dolarů, část prostředků se později podařilo americkým úřadům částečně vystopovat a zabavit.

• Operace Cronos (únor 2024) – mezinárodní policejní akce vedená britskou NCA, FBI a Europolem, která dočasně narušila infrastrukturu skupiny LockBit, tehdy jedné z nejaktivnějších ransomwarových skupin na světě. Akce ukázala, že i velké RaaS gangy jsou zranitelné vůči koordinovanému mezinárodnímu zásahu, byť se část infrastruktury skupiny později znovu objevila pod jiným názvem.

Právní rovina – je ransomware v Česku trestný čin?

Ano, vytvoření a šíření ransomwaru i samotný útok jsou v ČR trestné podle trestního zákoníku. Relevantní jsou zejména:

• § 230 trestního zákoníku – neoprávněný přístup k počítačovému systému a nosiči informací.

• § 232 trestního zákoníku – poškození záznamu v počítačovém systému a na nosiči informací a zásah do vybavení počítače z nedbalosti.

• § 234 trestního zákoníku – opatření a přechovávání přístupového zařízení a hesla k počítačovému systému a jiných takových dat.

Podle závažnosti útoku (rozsah škody, zásah do kritické infrastruktury) hrozí pachatelům tresty odnětí svobody od jednoho roku až po několik let u nejzávažnějších případů. Vymahatelnost je ale v praxi složitá, protože útočníci často operují z jurisdikcí, se kterými ČR nemá efektivní policejní spolupráci.

Dá se ransomware pojistit?

Firmy si dnes mohou sjednat tzv. kybernetické pojištění (cyber insurance), které může krýt náklady na obnovu dat, forenzní vyšetřování, právní poradenství a v některých případech i samotné výkupné. Pojišťovny ale v posledních letech podmínky zpřísňují a často vyžadují doložení konkrétních bezpečnostních opatření (zálohování, MFA, segmentace sítě) už při sjednání pojistky – bez nich může být pojistné plnění omezené nebo pojišťovna smlouvu odmítne uzavřít vůbec.

Nejčastější dotazy k ransomwaru (FAQ)

Mám zaplatit výkupné, abych dostal data zpět?

NÚKIB i policie doporučují výkupné neplatit. Zaplacení nezaručuje funkční klíč a motivuje útočníky k dalším útokům. Lepší je zkusit dešifrovací nástroje a obnovu ze zálohy.

Může mě ransomware napadnout i na mobilu?

Ano, existují mobilní varianty ransomwaru, zejména pro Android po instalaci aplikací z neověřených zdrojů. Na iPhonu je riziko podstatně nižší díky uzavřenému ekosystému App Store, ale ne nulové.

Chrání mě běžný antivirus úplně?

Antivirus výrazně snižuje riziko, ale nejde o stoprocentní ochranu – nové varianty ransomwaru se objevují rychleji, než je stihnou detekovat všechny databáze virových signatur. Proto je záloha dat nenahraditelná i s kvalitním antivirem.

Jak dlouho trvá obnova po útoku ransomwaru?

Záleží na rozsahu a připravenosti – firma s funkční offline zálohou a plánem obnovy může provoz obnovit v řádu hodin až dnů, zatímco firma bez zálohy a s rozsáhlou nákazou se může potýkat s výpadkem v řádu týdnů.

Existuje bezplatná pomoc při napadení?

Mezinárodní projekt No More Ransom (nomoreransom.org), podporovaný Europolem a bezpečnostními firmami, nabízí bezplatné dešifrovací nástroje pro desítky variant ransomwaru. V Česku je také možné kontaktovat NÚKIB nebo Policii ČR.

Platí se ransomware vždy v kryptoměně?

Naprostá většina požadavků je v bitcoinu nebo jiné kryptoměně, protože je obtížněji sledovatelná než bankovní převod.

Mohou útočníci data zveřejnit, i když zaplatím?

Ano, i po zaplacení výkupného se stalo, že skupiny data stejně zveřejnily nebo je prodaly dál – dohoda s kriminální skupinou nemá žádnou právní vymahatelnost.

Jak poznám, že se jedná právě o ransomware, a ne o jiný druh malwaru?

Typickým znakem je, že soubory náhle nejde otevřít, mají změněnou přípo nu/název, a na ploše nebo v adresářích se objeví textový nebo HTML soubor s instrukcemi k zaplacení výkupného.

Je ransomware trestný čin v ČR?

Ano. Neoprávněný přístup k počítačovému systému a poškození dat jsou trestné podle § 230 a § 232 trestního zákoníku, u závažných útoků hrozí i víceleté tresty odnětí svobody.

Můžu si pojistit firmu proti ransomwaru?

Ano, existuje kybernetické pojištění, které může krýt náklady na obnovu i forenzní vyšetřování. Pojišťovny ale často vyžadují doložení konkrétních bezpečnostních opatření (zálohy, MFA) už při sjednání.

Interaktivní nástroj: jsem připraven na ransomware?