Bezpečnostná firma Bitdefender zverejnila 3. novembra 2026 podrobný rozbor útoku ransomvéru 3AM (známeho aj ako ThreeAM) na skupinu škôl vo Veľkej Británii. Obeť nie je menovaná, no priebeh útoku je zmapovaný takmer po minútach. Z približne päťdesiatich počítačov, ku ktorým sa útočníci dostali, ich skončilo zašifrovaných asi 37. Pozornosť médií pútalo najmä podozrenie, že pri útoku pomáhala umelá inteligencia. Pre každého, kto spravuje firemné alebo školské dáta, je však dôležitejšie iné zistenie: útočníci sa celý týždeň sústredili hlavne na zálohy.

Čo sa stalo

Podľa Bitdefenderu útok prebiehal v septembri 2026 približne deväť dní. Prostredie obete tvorilo niekoľko samostatných domén Active Directory, ktoré spolu pôvodne neboli prepojené, a zoznam strojov obsahoval 47 systémov. Ako sa útočníci dostali dnu, sa zistiť nepodarilo.

Prvé zaznamenané kroky z 10. a 11. septembra smerovali k zálohovacej infraštruktúre. Útočníci spustili skript, ktorý z troch zálohovacích serverov prečítal uložené prihlasovacie údaje a pomocou mechanizmu Windows DPAPI ich dešifroval. Potom kopírovali heslá uložené v prehliadači, nasadili nástroj Mimikatz premenovaný tak, aby vyzeral ako legitímny monitorovací program, a vytvorili dva vlastné účty s právami doménového administrátora.

V ďalších dňoch z finančného zdieľaného priečinka zhromaždili 40 súborov, zabalili ich a odoslali na nespravovaný počítač vo vnútri siete, ktorý im slúžil ako riadiaci server. Následne prepojili oddelené domény vzájomnými dôverami, a tak si otvorili cestu aj tam, kam pôvodne nemali prístup. Pokus o odinštalovanie antivírusových riešení zablokovala ochrana proti manipulácii. Ráno 19. septembra spustili šifrovací program napísaný v jazyku Rust a hneď nato príkazom wbadmin zmazali všetky zálohy stavu systému.

Pomáhala útočníkom umelá inteligencia?

Bitdefender opisuje útok ako „hybridný“. Niektoré časti vyzerajú ako práca človeka za klávesnicou, iné sa správajú ako takzvaná agentická slučka: výsledok príkazu sa vráti jazykovému modelu, ten navrhne ďalší krok a pokus sa zopakuje. Výskumníci si všimli, že neúspešné pokusy sa opakovali v intervaloch približne 40 až 100 sekúnd, často bez zmeny alebo len s drobnou úpravou. Príkazy podľa nich nesú typické znaky textu generovaného modelom.

Je však dôležité zdôrazniť, že ide o nepotvrdené podozrenie. Bitdefender sám uvádza, že nevie určiť, či slučku poháňal model automaticky, alebo či človek ručne kopíroval príkazy medzi terminálom a nástrojom AI. Tvrdenie, že útok prebehol úplne bez ľudského zásahu, považuje za nepodložené. Firma tiež upozorňuje, že útok nepotreboval žiadne nové nástroje, stačili bežné súčasti Windows a verejne dostupné programy.

Prečo útočníci idú najprv po zálohách

Tento prípad dobre ukazuje, ako dnes funguje ransomvér. Zašifrovanie dát je až posledný krok. Predtým útočník urobí všetko pre to, aby obeť nemala z čoho dáta obnoviť, lebo len vtedy má výkupné zmysel. Ukradnuté prihlasovacie údaje k zálohovacím serverom a zmazané zálohy stavu systému sú presne tie kroky, ktoré z bežnej nepríjemnosti robia katastrofu.

Ak je záloha dostupná z rovnakej siete a s rovnakými heslami ako produkčné systémy, útočník ju zvyčajne nájde skôr, ako ju budete potrebovať. Navyše šifrovaniu predchádzala krádež finančných dokumentov, takže aj úspešná obnova zo zálohy rieši len polovicu problému.

Čo to znamená pre bezpečnosť a obnovu dát

Z rozboru a odporúčaní Bitdefenderu vyplýva niekoľko praktických krokov, ktoré platia pre školy, firmy aj menšie kancelárie:

• Považujte zálohy za cieľ útoku. Zálohovacie servery oddeľte od bežnej siete a používajte pre ne samostatné účty, nie doménové heslá, ktoré sa dajú ukradnúť z iného počítača.
• Majte nemennú alebo offline kópiu. Aspoň jedna kópia dát by mala byť nemenná (immutable) alebo fyzicky odpojená, aby ju nedokázal zmazať žiadny účet v doméne – ani administrátorský.
• Neukladajte administrátorské heslá na jedno miesto. Privilegované účty pre rôzne domény a systémy držte oddelene a sledujte vznik nových administrátorských účtov či dôvier medzi doménami.
• Chráňte každý počítač. V tomto prípade útočníkom pomohol nespravovaný stroj bez ochrany. Bezpečnostný softvér s ochranou proti vypnutiu by mal byť na všetkých zariadeniach.
• Pravidelne skúšajte obnovu. Záloha, z ktorej ste nikdy nič neobnovili, je len predpoklad, nie istota.

Varovné príznaky, ktoré netreba prehliadať

Zmazané alebo neúspešné zálohy, nové administrátorské účty, ktoré nikto nezakladal, vypínanie antivírusu, nezvyčajná aktivita v noci či náhle pomalé zdieľané disky môžu byť znakom, že útok už prebieha. Útočníci sa v sieti často pohybujú dni až týždne, takže včasné odhalenie môže zabrániť najhoršiemu.

Čo nerobiť, keď už sú dáta zašifrované

Nevypínajte a nepreinštalovávajte postihnuté systémy bez rozmyslu, nemažte zašifrované súbory a nespúšťajte na diskoch nástroje na „obnovu“ stiahnuté z internetu. Každý zápis na disk môže prepísať zvyšky pôvodných dát, ktoré by sa inak dali zachrániť. Postihnuté zariadenia odpojte od siete, zdokumentujte stav a obráťte sa na odborníkov. Ransomvér niekedy nezašifruje všetko dokonale a časť dát sa dá obnoviť aj bez zaplatenia výkupného.

Záver

Prípad britských škôl ukazuje, že útočníkom nejde len o šifrovanie, ale predovšetkým o to, aby obeť nemala inú možnosť ako zaplatiť. Či im pri tom pomáha umelá inteligencia, zatiaľ nie je isté. Isté je, že kvalitná, oddelená a otestovaná záloha zostáva najlepšou obranou. Ak ste prišli o dáta po útoku ransomvéru alebo inej poruche, kontaktujte odborníkov na www.zachranaudajov.sk a neskúšajte svojpomocné opravy, ktoré môžu poškodenie ešte zhoršiť.

Zdroj: Bitdefender – 3AM Hits European Schools: A Hybrid AI Ransomware Attack; Hackread