What is double extortion ransomware?

Double extortion is when attackers steal sensitive data before encrypting files, then demand payment to prevent the data from being published or sold. The theft itself becomes the leverage, even if the victim can restore systems from backups.

Why don't backups protect against double extortion?

Backups solve the availability problem by restoring encrypted systems, but they do nothing to stop attackers from publishing stolen files. Since the ransom demand is about preventing a data leak, restoring from backup doesn't remove the pressure to pay.

What kinds of data do double extortion attackers steal?

Attackers copy customer records, financial documents, employee data, and intellectual property before encrypting systems. This stolen data is then used as leverage to demand payment.

Are some ransomware groups abandoning encryption entirely?

Yes, some groups have concluded that stealing data and threatening exposure is more profitable and less risky than deploying encryption malware across a network. Double extortion sits in the middle of that evolution, with attackers still encrypting but relying on data theft as the primary pressure point.

How common are ransomware attacks?

Kaspersky blocked 250,000 ransomware attacks across the Asia Pacific region in the first half of 2026. This volume shows how routine these attacks have become for organizations of every size.

Ransomware kdysi následoval jednoduchý scénář: útočníci zašifrovali vaše soubory, vy jste zaplatili za jejich vrácení a tím to skončilo. Nově zveřejněný průvodce prevencí ransomwaru vysvětluje, proč je tento model zastaralý...

Co dvojité vydírání pomocí ransomwaru vlastně krade

Ransomware kdysi následoval jednoduchý scénář: útočníci zašifrovali vaše soubory, vy jste zaplatili za jejich vrácení a tím to skončilo. Nově zveřejněný průvodce prevencí ransomwaru vysvětluje, proč je tento model zastaralý. Moderní ransomware skupiny nyní praktikují dvojité vydírání, což znamená, že ukradnou citlivá data ještě předtím, než zašifrují jediný soubor. Teprve poté, co zkopírují záznamy o zákaznících, finanční dokumenty, data zaměstnanců nebo duševní vlastnictví, uzamknou systémy a požadují platbu.

Samotná krádež je pákou. Pokud oběť odmítne zaplatit, útočníci hrozí, že ukradená data zveřejní nebo prodají jiným zločincům. Tato hrozba platí bez ohledu na to, zda organizace dokáže obnovit své systémy ze záloh. Rámec průvodce je přímý: dvojité vydírání neutralizuje starou radu „prostě obnovte ze zálohy", protože požadavek na výkupné už není pouze o vrácení souborů. Jde o zabránění úniku dat, který by mohl vyvolat regulační pokuty, soudní spory a poškození reputace přetrvávající dlouho poté, co jsou systémy zpět online.

Tento posun se vyvíjel už nějakou dobu. Jak bylo popsáno v nedávném pohledu na to, jak ransomware gangy opouštějí šifrování ve prospěch vydírání úplně, některé skupiny dospěly k závěru, že krádež dat a hrozba jejich zveřejnění je výnosnější a méně riziková než technická práce spojená s nasazením šifrovacího malwaru do celé sítě. Dvojité vydírání stojí uprostřed tohoto vývoje: útočníci stále šifrují, ale krádež dat se stala primárním tlakovým bodem.

Proč zálohy už nezaručují bezpečí

Po léta byla standardní obrana proti ransomwaru přímočará: udržujte solidní zálohy, a pokud útočníci zašifrují vaše systémy, obnovte je z čisté kopie a odmítněte zaplatit. Tato rada stále platí pro operační obnovu, ale už neřeší plnou hrozbu. Dokonalá záloha obnoví vaše servery. Neudělá nic pro to, aby zabránila útočníkům zveřejnit ukradené soubory, pokud nezaplatíte.

To je důležité, protože finanční a právní expozice z úniku dat může převýšit náklady na výpadek samotný. Organizace zpracovávající zdravotní záznamy, finanční data nebo osobní údaje čelí požadavkům na oznámení a potenciálním sankcím ve chvíli, kdy je ukradená data potvrzena, bez ohledu na to, zda je výkupné někdy zaplaceno. Zálohy řeší problém dostupnosti. Neřeší problém důvěrnosti a dvojité vydírání je postaveno speciálně tak, aby tuto mezeru zneužilo.

Rozsah hrozby podtrhuje, proč na tomto rozlišení záleží. Bezpečnostní výzkumníci sledující region Asie a Tichomoří uvedli, že Kaspersky zablokoval 250 000 útoků ransomwaru v regionu APAC v první polovině roku 2026, což je objem, který odráží, jak rutinní se tyto útoky staly pro organizace všech velikostí, nejen pro velké podniky s vyhrazenými bezpečnostními týmy.

Vrstvená obrana: VPN, segmentace a řízení přístupu

Protože ke krádeži dat dochází před šifrováním, prevence se musí zaměřit na zastavení útočníků v přístupu k citlivým datům na prvním místě, ne jen na obnovu po faktu. Průvodce ukazuje na vrstvený přístup namísto jednoho řešení.

VPN je jednou užitečnou vrstvou, zejména pro zabezpečení vzdáleného přístupu do interních systémů, aby přihlašovací údaje a provoz mezi vzdálenými zaměstnanci a firemními sítěmi nebyly vystaveny na veřejných nebo nezabezpečených připojeních. Ale VPN sama o sobě nezabrání útočníkovi, který už získal platné přihlašovací údaje prostřednictvím phishingu nebo uniklého hesla, v volném pohybu po vstupu do sítě. Tam se stává nezbytnou segmentace sítě: rozdělení systémů do izolovaných zón tak, aby kompromitované zařízení nebo účet nemohlo dosáhnout na každý server a databázi, kterou organizace vlastní. Pokud se útočníci nemohou pohybovat laterálně, nemohou ani po počátečním průniku provést hromadnou krádež dat.

Řízení přístupu doplňuje tuto vrstvu. Omezení toho, kteří zaměstnanci a systémy mohou dosáhnout na citlivá data, vyžadování vícefaktorové autentizace a monitorování neobvyklých přenosů dat – to vše snižuje okno, které útočníci mají k exfiltraci informací, než si někdo všimne. Žádné z těchto opatření nefunguje samo o sobě jako zázračné řešení. Společně výrazně zvyšují náklady a obtížnost úspěšného útoku dvojitého vydírání.

Vytvoření plánu reakce na incidenty nad rámec obnovy dat

Plán reakce na incidenty postavený pouze na obnově systémů ze zálohy je pro éru dvojitého vydírání neúplný. Organizace potřebují plán, který také řeší, co se stane, pokud je ukradená data potvrzena: kdo určuje právní a regulační oznamovací povinnosti, jak je zvládnuta komunikace se zákazníky a partnery a jak se organizace rozhoduje, zda vůbec vyjednávat. Tato rozhodnutí je mnohem těžší učinit dobře pod tlakem během aktivního incidentu, než na ně plánovat předem.

Co to znamená pro vás

Ať už provozujete malou firmu nebo spravujete IT pro větší organizaci, praktický závěr je stejný: strategie obrany proti dvojitému vydírání pomocí ransomwaru se nemůže zastavit u záloh. Prevence krádeže dat si zaslouží stejnou pozornost jako obnova dat. To znamená zabezpečit vzdálený přístup, segmentovat sítě tak, aby jediný kompromitovaný účet neodhalil vše, a mít plán reakce, který pokrývá scénáře úniku dat, nejen výpadku.

Klíčové poznatky

Předpokládejte, že jakýkoli incident ransomwaru může zahrnovat krádež dat, nejen šifrování, a plánujte podle toho.
Považujte zálohy za jednu vrstvu obrany pro obnovu systému, ne za kompletní řešení proti vydírání.
Používejte VPN pro zabezpečení vzdáleného přístupu, ale spojte ji se segmentací sítě a silnými kontrolami přístupu pro omezení laterálního pohybu.
Vytvořte plán reakce na incidenty, který řeší vystavení dat a oznamovací povinnosti, nejen obnovu systému.
Zůstaňte informováni o tom, jak se taktiky ransomwaru nadále mění, protože útočníci pravidelně upravují své metody, jak se obrany zlepšují.

FAQ: Q1: Co je dvojité vydírání pomocí ransomwaru? A1: Dvojité vydírání je, když útočníci ukradnou citlivá data před šifrováním souborů a poté požadují platbu, aby zabránili zveřejnění nebo prodeji dat. Samotná krádež se stává pákou, i když oběť dokáže obnovit systémy ze záloh. Q2: Proč zálohy nechrání před dvojitým vydíráním? A2: Zálohy řeší problém dostupnosti obnovením zašifrovaných systémů, ale neudělají nic pro to, aby zabránily útočníkům zveřejnit ukradené soubory. Protože požadavek na výkupné je o zabránění úniku dat, obnovení ze zálohy neodstraní tlak na zaplacení. Q3: Jaká data útočníci při dvojitém vydírání kradou? A3: Útočníci kopírují záznamy o zákaznících, finanční dokumenty, data zaměstnanců a duševní vlastnictví před šifrováním systémů. Tato ukradená data jsou pak použita jako páka pro požadování platby. Q4: Opouštějí některé ransomware skupiny šifrování úplně? A4: Ano, některé skupiny dospěly k závěru, že krádež dat a hrozba jejich zveřejnění je výnosnější a méně riziková než nasazení šifrovacího malwaru do celé sítě. Dvojité vydírání stojí uprostřed tohoto vývoje, přičemž útočníci stále šifrují, ale spoléhají na krádež dat jako primární tlakový bod. Q5: Jak časté jsou útoky ransomwaru? A5: Kaspersky zablokoval 250 000 útoků ransomwaru v regionu Asie a Tichomoří v první polovině roku 2026. Tento objem ukazuje, jak rutinní se tyto útoky staly pro organizace všech velikostí. ---END---