Proč ransomware dělá ze záloh cíl, a ne záchrannou síť
Zálohy byly léta výjimkou, díky které se dal ransomware přežít: zašifrovat produkci, obnovit ze zálohy, jít dál. Útočníci to dohnali. Zpráva společnosti Veeam 2025 Ransomware Trends report vychází z průzkumu mezi 1 300 organizacemi, z nichž 900 v předchozích 12 měsících utrpělo alespoň jeden ransomwarový útok. Veeam uvádí, že u 89 % organizací se útočník zaměřil na jejich zálohovací repozitáře a že v průměru bylo upraveno nebo smazáno 34 % zálohovacích repozitářů. Zničení nebo poškození záložní možnosti připraví oběť o vyjednávací pozici dřív, než vůbec dorazí požadavek na výkupné.
Výsledek je vidět v číslech o obnově. Průzkum společnosti Sophos State of Ransomware 2025 oslovil 3 400 vedoucích pracovníků IT a bezpečnosti, jejichž organizace byly v předchozím roce zasaženy ransomwarem. Mezi organizacemi, jejichž data byla zašifrována, je pomocí záloh obnovilo jen 54 %, což je nejnižší podíl za šest let, co Sophos průzkum provádí. Ze 151 organizací, které nakonec zaplatily víc, než činil počáteční požadavek útočníka, 38 % uvedlo, že jejich zálohy selhaly nebo nefungovaly správně (respondenti obvykle uváděli dva důvody). Záloha, která existuje na papíře, není totéž co záloha, která se pod tlakem čistě obnoví.
Tato mezera mezi „máme zálohy“ a „máme zálohy odolné proti ransomwaru“ se odvíjí od tří pilířů: neměnnosti, izolace a otestované obnovy. Nejde o nezávislé kontroly, které lze libovolně kombinovat. Chybí-li kterýkoli z nich, ostatní dva to nevyváží. Neměnná záloha, ke které se útočník nedostane, je užitečná jen tehdy, když se skutečně obnoví, a dobře otestovaný plán obnovy je bezcenný, pokud záloha, na které závisí, byla smazána ještě před začátkem cvičení.
Tři pilíře podrobně
1. Neměnnost: zálohy, na které útočník nesáhne
Neměnnost (immutability) znamená, že zálohu nelze během jejího retenčního okna upravit ani smazat: ani chybně nakonfigurovaným retenčním skriptem, ani kompromitovaným administrátorským účtem, ani útočníkem, který už drží přihlašovací údaje doménového administrátora. V praxi se vynucuje pomocí Object Lock na objektovém úložišti, hardwaru WORM (Write Once Read Many) nebo zabezpečeného (hardened) linuxového repozitáře s retencí vynucovanou na úrovni úložiště, nezávisle na řízení přístupu samotné zálohovací aplikace.
Na tom rozdílu záleží, protože operátoři ransomwaru hledají zálohy, ke kterým se dostanou s ukradenými přihlašovacími údaji. #StopRansomware Guide agentury CISA to říká přímo: „Ransomware actors often hunt for and collect credentials stored in the targeted environment and use those credentials to attempt to access backup solutions.“ (Aktéři ransomwaru často vyhledávají a shromažďují přihlašovací údaje uložené v napadeném prostředí a pomocí nich se pokoušejí získat přístup k zálohovacím řešením.) Pokud stejný administrátorský účet, který spravuje váš zálohovací software, dokáže smazat i body obnovy z minulého měsíce, neměnnost ve skutečnosti zavedena není. Je to nastavení, které dostatečně privilegovaný útočník vypne během několika minut.
Vlastní doporučení CISA k zálohování zní „maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario.“ (udržovat offline šifrované zálohy kritických dat a pravidelně testovat dostupnost a integritu záloh ve scénáři obnovy po havárii). Tatáž příručka je opatrná vůči samotnému neměnnému cloudovému úložišti: „Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost.“ (Neměnné úložiště používejte s opatrností, protože nesplňuje kritéria compliance některých předpisů a chybná konfigurace může způsobit značné náklady.) Neměnnost je silná kontrola. Nenahrazuje offline kopii ani otestovanou obnovu.
2. Izolace: oddělená rovina identit a kopie, ke které se útočník vůbec nedostane
Neměnnost chrání zálohu před změnou. Izolace ji chrání před tím, aby se k ní útočník vůbec dostal. Obojí se doplňuje, nikoli zastupuje, a podniky, které zavedou jen jedno z toho, obvykle odhalí mezeru až při skutečném incidentu, nikoli při revizi návrhu.
Izolace má dvě složky. První je oddělená rovina identit: zálohovací infrastruktura by neměla důvěřovat stejné doméně Active Directory, stejným administrátorským přihlašovacím údajům ani stejnému plochému síťovému segmentu jako produkce. Kompromitovaný doménový řadič by neměl automaticky znamenat kompromitované zálohovací prostředí; pokud to tak je, útočník musel kompromitovat jen jednu věc, ne dvě. Druhou složkou je skutečně offline nebo air-gapped kopie: nejméně jedna kopie kritických dat, ke které z produkce nevede vůbec žádná trvalá síťová cesta. Může jít o rotaci offline pásek, odpojený replikační cíl, který je online jen krátce kvůli příjmu dat, nebo o cloudovou vrstvu bez trvalých přihlašovacích údajů uložených kdekoli, kam se lze z produkčního prostředí dostat.
Zpráva Veeam za rok 2025 uvádí, že organizace, které upřednostňují odolnost dat, „can recover from attacks up to seven times faster and experience significantly lower data loss rates.“ (se dokážou z útoků zotavit až sedmkrát rychleji a mají výrazně nižší míru ztráty dat). Veeam to připisuje odolnosti dat jako celku (zálohování a obnově, proaktivní bezpečnosti, reakci na incidenty), nikoli samotné izolaci. Izolace je přesto velkou částí obrazu: je to rozdíl mezi útočníkem, který musí vynaložit skutečnou práci navíc, aby se dostal k vašemu bodu obnovy, a útočníkem, který k němu už má otevřenou relaci, protože sdílí rovinu identit se systémy, které právě kompromitoval.
3. Otestovaná obnova: prokázat obnovitelnost dřív, než ji budete potřebovat
Nejméně okázalý ze tří pilířů je zároveň ten, který se nejsnáze nechá napůl hotový. Ve zprávě Veeam za rok 2025 mělo 98 % respondentů playbook pro ransomware, ale jen 44 % do něj zahrnulo ověřování záloh a jeho četnost. Zpráva Veeam 2024 Ransomware Trends report, založená na 1 200 organizacích zasažených v roce 2023 alespoň jedním útokem, zjistila, že 63 % organizací hrozilo, že při obnově znovu zavlečou infekci, protože týmy pod tlakem na rychlou obnovu vynechávají kroky, jako je opětovné skenování dat v karanténě.
Neotestované obnovy selhávají způsoby, které zůstávají neviditelné až do chvíle, kdy na nich nejvíc záleží: přerušené řetězce záloh, chybějící závislosti pro aplikační konzistenci, přihlašovací údaje servisních účtů, jejichž platnost vypršela už před měsíci, nebo runbooky napsané pro topologii infrastruktury, která už neexistuje. Vynechání kontroly integrity a skenování malwaru nese ostřejší riziko než výpadek: obnovení téhož payloadu, který výpadek původně způsobil.
Skutečný program otestované obnovy znamená plánovaná úplná cvičení obnovy do izolovaného prostředí pro obnovu, nikoli jen notifikace „zálohovací úloha proběhla úspěšně“. Tato cvičení měřte proti RTO, která firma skutečně potřebuje, nikoli proti číslům, která jen působí uklidňujícím dojmem v prezentaci.
Co čísla o obnově skutečně říkají
Data společnosti Sophos za rok 2025 mají uklidňující titulní číslo: 97 % organizací, jejichž data byla zašifrována, je dokázalo obnovit. Rozpad je méně povzbudivý. Něco málo přes polovinu (54 %) obnovilo ze záloh, 49 % zaplatilo výkupné a data získalo zpět a 29 % použilo jiné prostředky; mnohé využily více než jednu cestu. Získat data zpět a získat je zpět z vlastních záloh jsou odlišné výsledky. Ve vzdálenosti mezi nimi se projevují slabé pilíře: retenční zámek, který mohla přepsat nesprávná role, „oddělená“ zálohovací síť, která stále důvěřovala stejné doméně, nebo obnova, která nikdy nebyla nacvičena od začátku do konce.
Cena chyby
Tři pilíře nejsou abstraktním checklistem osvědčených postupů. Přímo se promítají do toho, kolik ransomwarový incident stojí a jak dlouho trvá. Zpráva společnosti Sophos za rok 2025 uvádí průměrné náklady na zotavení z ransomwarového útoku bez jakéhokoli zaplaceného výkupného ve výši 1,53 mil. USD, oproti 2,73 mil. USD v roce 2024. 53 % obětí se plně zotavilo do týdne, oproti 35 % o rok dříve. Ostatní strávily víc než sedm dní v určitém stavu narušeného provozu, přičemž výpadky, ztracená produktivita a práce na reakci na incident se každý den sčítaly.
Stav zálohování je jednou z mála proměnných v této rovnici, kterou má organizace plně pod kontrolou. Zda úvodní tah útočníka proti vašemu zálohovacímu repozitáři uspěje, nebo selže, rozhodují z velké části volby učiněné o měsíce dříve, nikoli během samotného incidentu. Ve chvíli, kdy má útočník přihlašovací údaje doménového administrátora a sonduje vaši zálohovací platformu, neměnnost, izolace a otestovaná obnova buď už zavedeny jsou, nebo nejsou; dodatečně je pod tlakem zavést nelze.
Běžné chyby, které nenápadně podkopávají všechny tři pilíře
V poincidentních revizích se opakovaně objevuje několik vzorců:
- Záměna snapshotů za zálohy. Snapshot VMware je záznam změn (change log) původního virtuálního disku, nikoli nezávislá kopie. Článek společnosti Broadcom o osvědčených postupech pro snapshoty je nekompromisní: „Do not use VMware snapshots as backups.“ (Nepoužívejte snapshoty VMware jako zálohy.) Soubor snapshotu roste tím víc, čím déle je uchováván, což může zaplnit datastore a zhoršit výkon, a pokud dojde ke ztrátě základních disků, „the snapshot files alone are not sufficient to restore a virtual machine.“ (samotné soubory snapshotu k obnovení virtuálního počítače nestačí). Snapshoty jsou pohodlná funkce pro krátkodobý rollback (Broadcom doporučuje ponechávat jeden snapshot nejvýše 72 hodin), nikoli strategie obnovy.
- Chápání „neměnnosti“ jako zaškrtávacího políčka místo ověřené vlastnosti. Object Lock a retenční politiky je nutné testovat proti přesně té administrátorské roli, která spravuje zálohovací platformu, nikoli je jen zdokumentovat v konfigurační příručce.
- Označování druhé kopie ve stejné doméně identit za „izolovanou“. Pokud se přihlašovacími údaji, které byly kompromitovány v produkci, lze autentizovat i k zálohovacímu repozitáři, geografické nebo platformní oddělení skutečnou izolaci neposkytuje.
- Měření úspěchu dokončením zálohy, nikoli ověřením obnovy. Zelená fajfka u včerejší úlohy vám říká, že data byla někam zapsána. Neříká vám, že jsou data dohledatelná, aplikačně konzistentní a bez malwaru, kvůli kterému byla obnova vůbec potřeba.
Kde přichází na řadu BackupSec
BackupSec vaši zálohovací platformu nenahrazuje. Tři z našich služeb odpovídají výše uvedeným pilířům:
- ZeroMON monitoruje Veeam Backup & Replication. Běží on-premises jako OVA, připojuje se pomocí účtu jen pro čtení a nic neodesílá společnosti BackupSec ani žádné třetí straně. Sleduje stav úloh, zaznamenává změny konfigurace ve svém modulu Forensic & Audit (kdo co změnil a kdy), provádí checklist Security Analyzer, vytváří reporty a upozorňuje e-mailem a notifikací v aplikaci. Zobrazuje stav neměnnosti každého repozitáře tak, jak ho uvádí vlastní nastavení repozitářů ve Veeamu, a upozorní, když se toto nastavení změní. Čte konfiguraci Veeamu; neověřuje zámky na úrovni objektů v samotném úložišti.
- ZeroTAM je vyhrazený poradce pro bezpečnost záloh, nikoli software: návrh architektury a izolace, plánování kapacity, plánování obnovy po ransomwaru a prioritní podpora během krize.
- ZeroPEN je penetrační test řízený hrozbami (threat-led) pro Veeam Backup & Replication, Veeam ONE a Enterprise Manager. Simuluje ransomwarový kill chain namapovaný na MITRE ATT&CK v osmi fázích: počáteční přístup, průzkum a inventarizace, zneužití přihlašovacích údajů, kompromitace serveru Veeam, přístup k repozitářům, neutralizace záloh, simulace exfiltrace a prokázání schopnosti šifrovat. Nikdy nemaže skutečné zálohy, neprovádí skutečné šifrování ani nezastavuje produkční nebo zálohovací služby. Získáte důkazy připravené pro audit a kritické nálezy jsou znovu otestovány. Součástí zakázky je také ověření integrity obnovy a neměnnosti. Jde o jednorázový test k určitému okamžiku, takže pravidelná cvičení obnovy z pilíře 3 je stále nutné provádět.
Promluvte si s BackupSec o bezpečnostní úrovni vašich záloh →
Chcete vidět, jak by obstály vaše vlastní zálohy? Bezplatné Backup Security Assessment klade 28 otázek v sedmi oblastech, od strategie zálohování a řízení přístupu po testování obnovy.