Útok si väčšina ľudí predstavuje ako zamknutú obrazovku a výzvu na zaplatenie výkupného. V praxi to tak byť nemusí. Nikto nezavolá, nič sa nezasekne a útočník môže mať prístup k firemnému účtu celé dni či dlhšie bez toho, aby si to niekto všimol. Na tento problém upozornila bezpečnostná spoločnosť Bitdefender.
Pre malú firmu preto nie je nebezpečný iba samotný útok, ale aj to, že o ňom nevie. Čím dlhšie zostane útočník neodhalený, tým viac času má na prístup k údajom, sledovanie komunikácie, prevzatie ďalších účtov alebo spôsobenie finančnej škody. Otázka teda neznie iba, či máte ochranu, ale aj či by ste si narušenie vôbec všimli.
Viac než polovica firiem nevie potvrdiť rok bez incidentu
Čísla pochádzajú z prieskumu National Cybersecurity Alliance z roku 2026, ktorý vznikol v partnerstve s americkou agentúrou CISA a zahŕňal 1 000 lídrov malých a stredných podnikov. Bezpečnostný incident za predchádzajúcich dvanásť mesiacov nevedelo vylúčiť 56,1 % respondentov. Potvrdený alebo podozrivý incident uviedlo 50,5 % a ďalších 5,6 % si nebolo istých, či k narušeniu vôbec došlo.
V niektorých odvetviach boli čísla ešte vyššie. V technológiách, softvéri a telekomunikáciách uviedlo incident alebo neistotu 76,4 % respondentov, vo finančných službách a poisťovníctve 67,1 %, v zdravotníctve 58,2 % a vo výrobe, strojárstve a priemysle 58,1 %.
Zaujímavý je aj rozpor medzi vnímaným rizikom a sebadôverou. Zatiaľ čo 72,3 % lídrov uviedlo, že ich kybernetické riziko za posledný rok vzrástlo alebo zostalo rovnaké, 86,3 % deklarovalo strednú až veľmi vysokú dôveru vo vlastnú schopnosť toto riziko zvládať. Prieskum je americký, takže jeho percentá nemožno automaticky prenášať na slovenské firmy. Ukazuje však problém, ktorý stojí za pozornosť aj inde: pocit bezpečia nemusí zodpovedať tomu, čo sa v systémoch skutočne deje.
Prečo útok nemusí byť vidieť
Útočník, ktorý získa firemné heslo, nemá dôvod ho okamžite meniť. Zmenené heslo alebo zablokovaný účet by totiž majiteľa rýchlo upozornili. Kto prevezme e-mailovú schránku, môže namiesto toho čítať správy, hľadať citlivé informácie, sledovať faktúry alebo nenápadne meniť nastavenia. Aj škodlivý kód môže určitý čas pracovať na pozadí bez zjavného prejavu.
Prehľad o tom, čo sa vo firemných systémoch deje, je preto rovnako dôležitý ako prevencia. Ochrana účtov a zariadení je jedna vec, schopnosť rozpoznať podozrivú aktivitu v prípade, že ochrana zlyhá, je druhá. Zároveň platí, že jeden signál sám osebe ešte nemusí dokazovať útok. Prihlásenie z nového miesta môže byť napríklad iba zamestnanec na inom zariadení. Dôležitá je kombinácia udalostí a ich kontext.
Kde sa pozrieť
Začnite prihláseniami. V podnikovej pošte, cloudovom úložisku, na sociálnych sieťach aj v účtovnom či inom dôležitom softvéri si prezrite nedávnu aktivitu. Hľadajte neznáme zariadenia, nezvyčajné miesta, časy prihlásenia a relácie, ktoré by už nemali byť aktívne. Nemalo by ísť o jednorazovú kontrolu po incidente, ale o súčasť bežnej bezpečnostnej rutiny.
Zvláštnu pozornosť si zaslúžia požiadavky na viacfaktorové overenie, ktoré ste sami nevyvolali. Neschvaľujte ich. Namiesto kliknutia na odkaz v správe alebo upozornení otvorte danú službu samostatne a skontrolujte aktivitu účtu. Nečakané žiadosti o potvrdenie prihlásenia môžu znamenať, že niekto už pozná heslo a chýba mu iba druhý faktor.
V nastaveniach hľadajte neznáme obnovovacie e-mailové adresy a telefónne čísla, pridané bezpečnostné kľúče alebo autentifikátory, nových používateľov či správcov a zmenené oprávnenia. Skontrolujte tiež aplikácie a služby, ktorým bol udelený prístup k účtu. Heslo, ktoré zrazu prestane fungovať, je zjavný signál. Drobná zmena v nastaveniach sa prehliadne oveľa ľahšie.
Pri e-maile nestačí pozrieť si odoslanú poštu. Prezrite aj vymazané položky, pravidlá na automatické preposielanie, filtre, delegovaný prístup a pripojené aplikácie. Škodlivé pravidlo môže napríklad automaticky posielať kópie vybraných správ na inú adresu alebo ich skrývať pred používateľom. Samotná zmena hesla pritom takéto pravidlo nemusí odstrániť.
Nasledujú peniaze. Na firemných účtoch, kartách a v platobných či reklamných službách hľadajte prevody, nákupy, zmeny príjemcov a poplatky, ktoré nikto vo firme nepozná. Bitdefender odporúča nespoliehať sa iba na to, že banka upozorní sama. Neignorujte ani bezpečnostné hlásenia. Detekcia antivírusu, nečakané zablokovanie prihlásenia alebo oznámenie o kompromitovanom hesle môže byť prvým náznakom väčšieho problému.
Čo robiť, keď niečo nájdete
Začnite pri účte alebo zariadení, kde ste si podozrivú aktivitu všimli. Ak je to možné, prihlasovacie údaje meňte z dôveryhodného zariadenia, pri ktorom nemáte podozrenie na kompromitáciu. Zmeňte ohrozené heslá, odhláste neznáme alebo všetky ostatné relácie, skontrolujte obnovovacie údaje, viacfaktorové overenie, pripojené aplikácie a oprávnenia. Ak sa rovnaké alebo podobné heslo používalo aj inde, považujte za ohrozené aj tieto účty.
Samotná zmena hesla nemusí stačiť. Útočník mohol pridať vlastný spôsob obnovy účtu, vytvoriť nové pravidlo v e-maili, pripojiť aplikáciu alebo si ponechať aktívnu reláciu. Preto treba skontrolovať celý účet a podľa možností zrušiť prístupové tokeny a relácie, ktoré nepoznáte. Až potom má nové heslo zmysel.
Ak môže byť zariadenie napadnuté, jeho izolovanie od firemnej siete môže obmedziť ďalšie šírenie útoku, kým situáciu preveríte. Zariadenie však bezhlavo nemažte ani nepreinštalúvajte skôr, než zachováte potrebné podklady. Odložte bezpečnostné upozornenia, podozrivé e-maily, oznámenia o prihlásení, časy udalostí a údaje o transakciách. SK-CERT odporúča pri riešení incidentu zaistiť dôkazy aj pre ďalšie účely, napríklad prípadné trestné konanie.
Na Slovensku je dôležité správne rozlišovať, kto má zákonnú oznamovaciu povinnosť. Tá sa neodvíja jednoducho od toho, či ide o orgán verejnej moci alebo súkromnú firmu. Podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti je prevádzkovateľ základnej služby povinný hlásiť každý závažný kybernetický bezpečnostný incident. Po transpozícii smernice NIS2 od roku 2025 sa okruh regulovaných subjektov rozšíril, preto si firma musí overiť, či podľa svojej činnosti, sektora a veľkosti nespadá do pôsobnosti zákona.
Pri povinnom hlásení závažného incidentu zákon počíta s včasným varovaním najneskôr do 24 hodín od jeho zistenia a s následným oznámením najneskôr do 72 hodín. Povinné subjekty ho podávajú prostredníctvom Jednotného informačného systému kybernetickej bezpečnosti. SK-CERT však prijíma aj dobrovoľné hlásenia od verejnosti a subjektov, ktoré prístup do systému nemajú. Samotné dobrovoľné hlásenie však nenahrádza zákonný postup tam, kde sa oznamovacia povinnosť uplatňuje.
Osobitne treba riešiť porušenie ochrany osobných údajov. Prevádzkovateľ ho podľa GDPR oznamuje Úradu na ochranu osobných údajov SR bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín od chvíle, keď sa o ňom dozvedel, ak je pravdepodobné, že porušenie povedie k riziku pre práva a slobody fyzických osôb. Pri vysokom riziku môže vzniknúť aj povinnosť informovať dotknuté osoby. Neplatí teda, že každý únik osobných údajov sa automaticky hlási rovnakým spôsobom.
Čo si prevziať z odporúčaní SK-CERT
Odporúčania SK-CERT sú často písané pre organizácie a regulované subjekty, veľká časť z nich sa však dá bez problémov preniesť aj do malej firmy. Prvým základom je zálohovanie. SK-CERT odporúča pravidlo 3-2-1: mať tri kópie dát, uložené na dvoch rôznych typoch médií, pričom aspoň jedna záloha je mimo hlavnej lokality a ideálne offline. Dôležité je tiež pravidelne skúšať, či sa zo zálohy dá skutočne obnoviť.
S tým súvisí poriadok v účtoch a oprávneniach. Staré a nepoužívané kontá treba odstrániť a používateľom ponechať iba prístupy, ktoré skutočne potrebujú. Účet bývalého zamestnanca alebo dávno nepoužívaného dodávateľa môže byť pre útočníka rovnako zaujímavý ako účet súčasného administrátora.
Druhým základom je heslová politika, ktorá nepovoľuje používanie rovnakého hesla vo viacerých službách, a to nielen na papieri, ale podľa možností aj technicky. SK-CERT odporúča viacfaktorové overenie vrátane e-mailových a VPN služieb a radí vyhýbať sa overovaniu cez SMS. Prednosť majú odolnejšie mechanizmy, napríklad autentifikačné aplikácie alebo fyzické bezpečnostné tokeny.
Tretím je sieťový perimeter. Služby vzdialeného prístupu ako RDP, SSH, VNC či telnet by nemali byť bez primeranej ochrany priamo dostupné z internetu. Nepotrebné porty a služby treba vypnúť a pri systémoch dostupných zvonka pravidelne preverovať účty, heslá a oprávnenia. Ak je vzdialený prístup nevyhnutný, SK-CERT odporúča jeho obmedzenie, monitorovanie a použitie viacfaktorového overenia.
Štvrtým sú aktualizácie. Operačný systém je len začiatok. Aktualizovať treba aj webové aplikácie, firemný softvér, prehliadače, doplnky, sieťové zariadenia a ich firmvér. Kritická bezpečnostná chyba v zariadení alebo službe dostupnej z internetu môže znehodnotiť aj veľmi dobré heslo.
Piatym sú ľudia. Vzdelávanie má byť prispôsobené pracovným rolám. Bežní používatelia sa majú naučiť rozpoznávať phishing, podvodné žiadosti o platbu a sociálne inžinierstvo, administrátori zase pravidlá bezpečnej prevádzky infraštruktúry. Jednorazové školenie nestačí. SK-CERT odporúča vzdelávanie pravidelne opakovať a dopĺňať praktickými testami.
Zostáva rada, ktorá je zo všetkých najlacnejšia a zároveň sa ľahko podceňuje: vedieť, ako vyzerá normálny stav. Keď viete, ktoré zariadenia sa bežne pripájajú k účtom, kto má správcovské práva, ktoré aplikácie sú autorizované, kam sa posielajú e-maily a aké platobné metódy firma používa, neočakávaná zmena je oveľa nápadnejšia. Bez takejto základnej predstavy je pri kontrole ťažké rozlíšiť, čo je bežná prevádzka a čo už môže byť stopa po útočníkovi.
