Když se řekne „kybernetický útok“, většina majitelů malé firmy nebo živnostníků si představí bankovní gigant nebo velkou nemocnici v hlavních zprávách. Realita je jiná: hackeři si dnes systematicky vybírají malé a střední podniky. Ne proto, že by na nich bylo co ukořistit ve velkém, ale proto, že jsou snadným cílem. Útočníci dnes nepracují ručně a cíleně – pouštějí do internetu automatizované roboty, které během několika minut proskenují statisíce webů a hledají ty nejméně chráněné. Nezáleží jim na tom, jestli patří korporaci, nebo malé rodinné firmě z okresního města. A pokud si myslíte, že váš eshop, řemeslná firma nebo rodinná provozovna je „moc malá na to, aby to někoho zajímalo“, čísla z poslední doby říkají přesný opak.

Česko je nad evropským průměrem – a zhoršuje se to

Podle aktuálních dat čelí každá česká firma v průměru přibližně 2 180 kybernetickým útokům týdně – to je o 15 % víc než loni a výrazně nad evropským průměrem, který se pohybuje kolem 1 367 útoků na firmu týdně. Meziroční nárůst počtu útoků v ČR přitom přesahuje 30 %. Jinými slovy: útočníci nezahálejí, jejich nástroje jsou automatizované a levné, takže jim je jedno, jestli zaklepou na dveře korporace, nebo malého e-shopu s deseti zaměstnanci.

Proč je malá firma pro hackery vlastně výhodnější cíl

Zní to paradoxně, ale z pohledu útočníka dává útok na malou firmu často větší ekonomický smysl než na velký koncern. Důvody jsou prozaické:

• Slabší obrana. Velké firmy mají bezpečnostní týmy, firewally, pravidelné audity. Malé firmy často nemají ani aktualizovaný web nebo základní zálohování.
• Rychlejší kapitulace. Ransomwarové gangy se v Česku cíleně zaměřují na malé a střední podniky – právě proto, že mají omezené kapacity v kyberbezpečnosti a výpadek systémů je pro ně likvidační. Firma bez záložního plánu radši zaplatí výkupné, než aby čekala týdny na obnovu.
• Nízké riziko odhalení. Útok na malou firmu se zřídka dostane do médií, což útočníkům snižuje riziko postihu a zvyšuje „obrátkovost“ – během jednoho dne dokážou zaútočit na desítky cílů automatizovanými skripty.
• Cenný vedlejší produkt. I malá firma má zákaznická data, přístupy do e-shopu, platební brány nebo napojení na větší dodavatele – to všechno má na černém trhu hodnotu.

Když se to stane: reálná čísla, ne strašení

Toto není hypotetické riziko. Podle dostupných analýz už každý čtvrtý podnik v Česku zažil kybernetický útok – a pro některé z nich to znamenalo konec podnikání. Kyberútoky přitom stály českou ekonomiku v roce 2024 přes 8 miliard korun. Za těmito čísly nejsou jen ukradená hesla, ale reálné firmy, které musely na dny nebo týdny zastavit provoz, ztratily důvěru zákazníků, nebo musely řešit vyděračské požadavky za obnovení přístupu ke svým vlastním datům.

Co ztratíte, i když nezaplatíte výkupné

Škoda z útoku přitom nekončí u případného výkupného. Firma, jejíž web je pár dní nedostupný, ztrácí objednávky a poptávky přesně ve chvíli, kdy je zákazník nejvíc rozhodnutý koupit. Pokud se útočníkům podaří dostat k databázi zákazníků, hrozí navíc pokuta za porušení GDPR a povinnost incident nahlásit – což řadu drobných podnikatelů zaskočí, protože netuší, že se jich tato povinnost týká stejně jako velkých firem. A v neposlední řadě je tu reputace: zákazník, který se jednou setká s napadeným webem nebo podvodným e-mailem „od vaší firmy“, se často už nevrátí.

Na co si dát pozor

Řada varovných signálů je přitom viditelná i bez technického vzdělání – stačí se dívat na správná místa:

• Web běží na zastaralé verzi redakčního systému (WordPress, Shoptet a další pluginy bez aktualizací).
• Přihlašovací formuláře nemají žádnou ochranu proti automatickému zkoušení hesel.
• Firma nemá zálohy dat mimo hlavní server, nebo je nikdo netestoval.
• Web nemá platný a správně nasazený SSL certifikát (adresa nezačíná „https“, nebo prohlížeč hlásí problém).
• Nikdo ve firmě přesně neví, kdo má přístup k administraci webu a e-mailu.
• Firemní e-mail chybí v ochraně proti podvodným zprávám (chybějící SPF/DKIM/DMARC záznamy) – útočníci pak mohou snadno posílat falešné maily „od vás“.

Co s tím

Dobrá zpráva je, že drtivá většina útoků na malé firmy necílí na sofistikované zranitelnosti, ale na základní zanedbanou hygienu – tedy na věci, které se dají opravit řádově v hodinách, ne měsících, a bez velkého rozpočtu. Několik kroků, které zvládne i firma bez IT oddělení:

• Zjistěte skutečný stav webu. Nechte si udělat nezávislou kontrolu – co běží za technologie, jestli jsou aktuální a jestli web nemá veřejně viditelné slabiny.
• Zaveďte pravidelné zálohy na místo mimo hlavní server a alespoň jednou ověřte, že se z nich dá web skutečně obnovit.
• Zkontrolujte přístupy. Zrušte účty bývalých zaměstnanců a dodavatelů, zapněte dvoufaktorové přihlašování všude, kde to jde.
• Ověřte nastavení e-mailu (SPF, DKIM, DMARC) – nejde jen o bezpečnost, ale i o to, aby vaše maily nekončily ve spamu.
• Aktualizujte pravidelně redakční systém, pluginy a šablony – většina útoků cílí právě na známé, dávno opravené díry ve starých verzích.

Právě proto vznikla revize WebRevize – funguje jako technická STK pro váš web. Kontrola je čistě pasivní: díváme se jen na veřejně dostupné informace o vašem webu, nic do něj nezasahujeme, nic neinstalujeme. Výsledkem je přehledný report, díky kterému přesně víte, kde je vaše nejslabší místo – dřív, než ho najde někdo jiný.

Zdroje: BusinessInfo.cz – Firmy váhají s investicemi do kyberbezpečnosti, počet útoků v Česku dramaticky roste, Echo24 – Počet kyberútoků, výkupné se zdvojnásobilo, Finmag.cz – Každý čtvrtý podnik v Česku už zažil kyberútok.