Stručně: Týká se to vás? Zavolejte nám. Pomůžeme. Po hackerském útoku na vaši firmu potřebujete jako vedení především kontaktní osobu, která převezme technickou část, abyste mohli rozhodovat. Pracujeme na dálku, zajišťujeme stopy, uzavíráme vstupní bránu, čistíme a dokumentujeme, dokud není incident uzavřen.
Nyní nic nemažte a nic znovu nenasazujte. Požádejte také své IT a svůj hosting, aby zatím nic neměnily. Úklid v návalu práce ničí důkazy, které potřebujete pro pojišťovnu, ochranu osobních údajů a policii. Nahlásit nouzi, přebíráme situaci od první zprávy.
Týká se to vás? Jak vedení útok zpozoruje
Hackerský útok málokdy začíná hlášením od IT. První upozornění často přichází zvenčí:
- Zákazník nebo obchodní partner nahlásí podivný e-mail, přesměrování nebo varování v prohlížeči.
- Hosting zablokuje web nebo napíše, že byl nalezen škodlivý kód.
- Web zobrazuje cizí obsah, spam nebo se chová jinak než obvykle.
- Vaše IT hlásí neznámé soubory, účty nebo procesy na webovém serveru.
- Přijde vydírání, nabídka dat na internetu nebo zpráva od úřadů.
Útok může probíhat i bez jednoznačného znamení. Od zveřejnění zranitelností PHP2Shell varuje německé BSI výstražným stupněm 3 / oranžová; pokusy o útok byly podle Cloudflare a Patchstack pozorovány. Zda se to týká vaší firmy, rádi ověříme, aniž byste museli podezření dokládat. Odborné příznaky najdete v článku Byl už můj server kompromitován?.
Co udělat hned
- Určit rozhodující osobu. Jedna osoba smí za firmu rozhodovat o vypnutí, restartech a změně hesel a je dosažitelná.
- Nenechat nic měnit. Žádné mazání, žádná nová instalace, žádné obnovování záloh před zajištěním stop.
- Stručně zapsat situaci. Co kdo kdy zpozoroval? Které systémy a data mohou být dotčeny?
- Informovat pověřence pro ochranu osobních údajů. Jsou-li dotčeny osobní údaje, může běžet lhůta. Přečtěte si k tomu oznamovací povinnost podle GDPR.
- Prověřit pojišťovnu. Pokud existuje kyberpojistka, často stanoví, kdy a jak je třeba škodu hlásit. Na čem záleží, popisuje stránka Kyberpojištění při škodní události.
- Dohodnout komunikaci navenek. Kdo bude mluvit se zákazníky, tiskem a zaměstnanci? Pomůže stránka Krizová komunikace po útoku.
- Ozvěte se hned. Zavolejte nebo napište přes WhatsApp.
Co musí vyjasnit vedení a co přebíráme my
Hackerský útok je technická i podnikatelská událost. Rozhodnutí zůstávají na vás, technickou práci můžeme nést my.
| Otázka | Odpovědnost |
|---|---|
| Bude web nebo e-shop dočasně vypnut? | Rozhodujete vy, my ukážeme následky a alternativy |
| Unikla data, a která? | My dodáme technická fakta z logů a souborů |
| Existuje oznamovací povinnost? | Pověřenec pro ochranu osobních údajů nebo právník, s naší zprávou |
| Podá se trestní oznámení? | Rozhodujete vy, my předtím zajistíme důkazy |
| Jak budou informováni zákazníci? | Vy, s odborníky na komunikaci; my dodáme faktický stav |
| Jak se server vrátí do čistého stavu? | My, po dohodě s vaším IT |
K odpovědnosti vedení za bezpečnostní zranitelnosti neposkytujeme právní poradenství; obecné informace najdete na stránce Odpovědnost jednatelů a vedení. Rozhodnutí o trestním oznámení usnadňuje stránka o centrálních kontaktních místech pro kybernetickou kriminalitu (ZAC).
Myslet společně na provoz firmy a incident
Vedle techniky v prvních hodinách naléhá otázka, jak firma poběží dál. Pokud na webu závisí zakázky, rezervace termínů nebo objednávky, potřebuje provoz dočasné řešení: stránku údržby s telefonním číslem, formulář na čistém systému nebo vyřizování telefonem a e-mailem. Podle zpráv médií úřady v souvislosti s PHP2Shell své weby preventivně odpojily od sítě a zůstaly dostupné telefonicky a e-mailem; to ukazuje, že vypnutí a dostupnost se dají sloučit.
Promluvte si také se zaměstnanci. Kdo o incidentu ví, nenaletí phishingovým e-mailům, které se nyní často objevují, a nepodává navenek informace, které by později působily rozporuplně. Prohlášení k incidentu držte stručná a doložitelná. Domněnky do e-mailu zákazníkům nepatří; co jistě víme, co předpokládáme a co zůstává otevřené, výslovně oddělujeme v naší zprávě.
Jak PHP SOS konkrétně pomáhá?
- Zmapování situace: V prvním rozhovoru ujasníme, co je známo, které systémy mohou být dotčeny a co na nich leží. Dostanete stručné zhodnocení s dalšími kroky.
- Zajištění a uzavření: Soubory, databáze a logy se zajistí dříve, než se cokoli změní. Poté útok zadržíme a uzavřeme vstup, u PHP2Shell záplatou a restartem všech procesů.
- Kontrola a vyčištění: Hledáme zadní vrátka, cizí přístupy a manipulované soubory a uklízíme. Kde je to nutné, sestavíme systém znovu z důvěryhodných zdrojů.
- Hardening a zpráva: Dostanete zprávu srozumitelnou pro ochranu osobních údajů, pojišťovnu a obchodní partnery a doporučení pro období potom.
Pokud incident přesáhne jeden server, přecházíme do strukturované reakce na incidenty (Incident Response). Je-li potřeba objasnění použitelné u soudu, přizveme specializované partnery pro IT forenzní analýzu.
Co nám poslat
- jméno a dostupnost rozhodující osoby ve firmě
- stručné vylíčení: co se objevilo, kdy a kým?
- údaje o dotčeném systému a o hostingu nebo dodavateli
- informace o existujícím kyberpojištění a o příslušném pracovišti pro ochranu osobních údajů
- přístup k serveru nebo svolení jednat přímo s vaším hostingem
Proč PHP SOS
Pracujeme v duchu „Made in Germany“ a spolu s naší partnerskou sítí odborníků na kybernetickou bezpečnost se již více než 25 let specializujeme na IT bezpečnost. Máte jeden kontaktní bod místo čekání ve frontě. Pracujeme na dálku, bez cestování, v celém Německu i v Evropě. Každý krok se dokumentuje, také proto, abyste mohli vůči pojišťovně, ochraně osobních údajů a obchodním partnerům doložit, co se stalo. Otevřeně vám řekneme, co je doloženo a co jen pravděpodobné, a neslibujeme nic, co nikdo nemůže splnit. Kolik může incident stát, popisuje stránka Nákladové položky hackerského útoku.
Týká se to vás? Zavolejte nám. Pomůžeme.
Čím dříve se stopy zajistí, tím více lze později doložit. Přebíráme situaci od první zprávy a zůstáváme u ní, dokud není incident uzavřen a zdokumentován. Nahlásit nouzi hned.
Časté dotazy
Hackerský útok na firmu: co má udělat vedení jako první?
Určit jednu osobu jako rozhodující a kontaktní, nic nemazat ani znovu nenasazovat a vyhledat technickou pomoc. Souběžně je třeba informovat pověřence pro ochranu osobních údajů a, pokud existuje, kyberpojišťovnu. Technickou situaci s vámi vyjasníme.
Kdy je nutné hackerský útok nahlásit?
Pokud jsou dotčeny osobní údaje, může být nutné hlášení dozorovému úřadu pro ochranu osobních údajů do 72 hodin. Zda se povinnost uplatní, posuzují pověřenec pro ochranu osobních údajů nebo právníci. Technická fakta k tomu dodáme my.
Mám po hackerském útoku podat trestní oznámení?
Mnoho firem to dělá, mimo jiné proto, že to očekávají pojišťovny nebo obchodní partneři. Německá policie má pro to Zentrale Ansprechstellen Cybercrime (centrální kontaktní místa pro kybernetickou kriminalitu). Aby zůstaly důkazy použitelné, měly by být stopy předtím zajištěny.
Potřebujeme jako firma dodavatele, i když máme vlastní IT?
Často ano. Interní IT zná běžný provoz, ale méně často zajištění stop a čištění po průniku. Spolupracujeme s vaším IT a přebíráme tu část, na kterou ve firmě chybí zkušenost nebo čas.
Kolik stojí hackerský útok firmu?
Záleží na délce, na datech a na přerušení provozu. Typické nákladové položky uvádíme na naší stránce o nákladech hackerského útoku. Částku neuvádíme, dokud neznáme vaši situaci.