kolik ve skutečnosti stojí
incident ve skutečnosti stojí.
Na základě našich interních údajů o reakcích na incidenty a ověřených veřejných zpráv z let 2024–2025 – z různých odvětví a různých geografických oblastí.
než začnete panikařit,
zhodnoťte situaci.
Odpovězte na čtyři otázky. Vygenerujeme aktuální skóre závažnosti a první čtyři kroky, které by váš tým měl podniknout hned teď – než se někdo v hněvu dotkne klávesnice.
▸ První čtyři akce
- Odpojte postižené hosty od sítě — nevypínejte je.
- Zachovejte stínové kopie paměti a svazků alespoň na jednom hostiteli.
- Zrušte přihlašovací údaje použité v posledních 72 hodinách; obměňte účty služeb.
- Otevřete komunikační most s PWN•ALL, než se dotknete záloh.
čtyři fáze.
jeden most.
Každý incident zpracováváme na jediném, auditovaném mostu reakce – váš tým, naši analytici DFIR, sdílená časová osa a potvrzení o každém kroku.
Zastavení
Izolace na úrovni sítě bez zničení důkazů. Zastavíme laterální pohyb na přepínači, zablokujeme C2, zmrazíme privilegované účty a zachováme paměť na pivotních hostech.
Rozsah
Forenzní třídění všech zašifrovaných aktiv, vektorů počátečního přístupu, stop perzistence a exfiltrace. Identifikujeme kmen, TTP operátora a dobu setrvání.
Obnova
Obnova v čistém prostředí, kontrola integrity záloh, porovnání dešifrovacího klíče s naší interní knihovnou a – v případě existence klíčů – postupné dešifrování produkčních dat.
Zabezpečení
Odstranění příčin, vyčištění identit, zavedení EDR/MFA tam, kde chybí, a písemná zpráva, kterou vaše představenstvo, pojistitel a regulační orgán skutečně přečtou.
každý kmen má
slabé místo. My ho najdeme.
Naše knihovna výzkumu dešifrovacích nástrojů a informace o vyjednávání jsou aktualizovány na základě skutečných případů, které každý týden uzavíráme. Pokud existuje způsob, jak obnovit data bez placení, najdeme ho jako první.
LockBit • BlackCat • Play
- Cílování na řadič domény a Veeam
- Vymazání stínové kopie pomocí vssadmin/WMI
- Postupné exfiltrace přes MEGA/Rclone
- Obnova částečného klíče, kde je to možné
Akira • Royal • Rhysida
- Zastavení a šifrování ESXi na úrovni VMFS
- Ransomware Linux ELF na zařízeních
- Obnova svazků na úrovni datového úložiště
- Audit integrity na straně hypervizoru
Cl0p • Karakurt • RansomHub
- Čistá krádež dat, bez šifrování
- Monitorování a odstraňování stránek s úniky
- Koordinace právního zveřejnění
- Komunikace s operátory řízená námi
analytik už
sleduje čas.
V okamžiku, kdy zavoláte, se spustí sdílený most s akcemi opatřenými časovým razítkem, úschovou důkazů a živou tabulkou závažnosti. Vaše pojišťovna a právní tým se mohou připojit v režimu pouze pro čtení.
Žádná tajemství. Žádné mlčení.
Každý incident PWN-ALL probíhá na stejné šabloně mostu, kterou již akceptují vaše regulační orgány a kybernetický pojistitel. Vidíte to, co vidíme my. Schvalujete každou destruktivní akci. Nic není šifrováno, mazáno ani placeno bez vašeho souhlasu.
Po zvládnutí situace odejdete s reportem o řetězci důkazů, časovou osou mapovanou podle MITRE ATT&CK a plánem zabezpečení na 30/60/90 dní – ne s PDF plným screenshotů.
otázky
, které lidé kladou ve 3 hodiny ráno.
Měli bychom zaplatit výkupné?
Téměř nikdy to není správný první krok. Vyjednáváme pouze jako poslední možnost, zatímco se vyhodnocují možnosti obnovy, a pouze s právním a sankčním schválením. V ~94 % našich případů je úplná nebo částečná obnova možná bez platby.
Jak rychle můžete být na lince?
Naše SLA je do 60 minut od prvního hovoru s analytikem na sdíleném mostě s vaším týmem. Pokyny k omezení šíření obvykle začínají během prvních 15 minut, zatímco paralelně probíhá vymezení rozsahu.
Všechno jsme již vypnuli. Je to špatné?
Není to ideální – volatilní paměť obsahuje klíče, vložené procesy a stopy operátora –, ale je to obnovitelné. Nic nezapínejte, dokud nebudeme na lince. Máme postupy pro cold-triage.
Spolupracujete s naším pojistitelem kybernetických rizik?
Ano. PWN-ALL je strukturován tak, aby se zapojil do standardních panelů IR. Poskytujeme pojišťovně akce s časovým razítkem, kontrolu nákladů a závěrečnou zprávu ve formátu, který většina pojišťoven akceptuje.
Co když byla data nejen zašifrována, ale také odcizena?
Exfilaci posuzujeme samostatně: co bylo odcizeno, odkud a na jak dlouho. Poté koordinujeme zveřejnění, právní kroky a – v případě potřeby – monitorování stránek, kde došlo k úniku, a komunikaci s operátory.
nečekejte na
pondělní ráno.
S každou hodinou, o kterou se zpozdíte, se zálohy mažou, důkazy ztrácejí platnost a operátoři se dostávají hlouběji. PWN-ALL reaguje v pracovní dny, o víkendech i svátcích — čas se o to nestará a my také ne.
50 % útoků stále končí šifrováním. Nečekejte, až zjistíte, do které poloviny patříte.