Incident Response pro jednotlivce: Plán reakce na kybernetický incident během prvních 48 hodin

Proč mít osobní „incident response“ plán a kdy ho použít

Incident response pro jednotlivce je soubor kroků, které minimalizují škody při narušení účtu, krádeži identity, napadení zařízení, ztrátě telefonu či úniku citlivých dat. Cílem je rychlá izolace (zastavit šíření), stabilizace (obnovit přístup k důležitým službám), forenzní minimum (zaznamenat důkazy) a obnova s následným posílením obrany. Tento 48hodinový plán je časově řízený a škálovatelný – přizpůsobte ho závažnosti situace a dostupným zdrojům.

Signály incidentu: co považujeme za „spouštěč“

• Neočekávaná oznámení o přihlášení, změnách hesel nebo 2FA, které jste neprovedli vy.
• Podivné zprávy od vašich kontaktů z vašich účtů, zablokované přístupy, prázdné cloudové složky.
• Náhlé zpomalení zařízení, vyskakovací okna, přesměrování, podezřelá rozšíření prohlížeče.
• Transakce, předplatné nebo objednávky, které jste neschválili.
• Informace o úniku dat z používaných služeb, které se vás mohou týkat (e-mail, hesla, karty).

Model hrozeb a priority: co chránit jako první

• Kritická komunikace: primární e-mail (obnova hesel), telefonní číslo (SIM swap), autentifikátory (2FA, passkeys).
• Finance: bankovní a platební účty, karty, kryptopeněženky.
• Identita a přístupy: občanský průkaz/pas (při ztrátě), účty do cloudu, sociální sítě (reputace).
• Zařízení a síť: mobil, notebook, domácí router (Wi-Fi), zálohy a úložiště.

0–2 hodiny: izolace, zastavení škod, deník incidentu

1. Zapněte „letecký režim“ na napadeném zařízení nebo jej odpojte z Wi-Fi; pokud potřebujete internet k obnově účtů, použijte jiné důvěryhodné zařízení.
2. Spusťte deník incidentu: zaznamenávejte čas, kdy jste incident zaznamenali, názvy služeb, e-maily/SMS (včetně čísel odesílatelů), screenshoty. Název například „IR-YYYYMMDD“.
3. Primární e-mail a telefon: na bezpečném zařízení zkontrolujte poslední přihlášení a okamžitě změňte heslo, odstraňte neznámé recovery e-maily a telefonní čísla, zkontrolujte app passwords, přesměrování a filtry.
4. Vypněte relace a odhlaste všechna zařízení ve svých účtech (Google, Apple, Microsoft, Facebook aj.).
5. Finance: zablokujte podezřelé karty v mobilní aplikaci banky; nastavte temporary freeze nebo denní limit; kontaktujte banku přes oficiální číslo.
6. SIM a operátor: pokud hrozí SIM swap, zavolejte operátorovi, aktivujte ochranné heslo k účtu a požádejte o zaznamenání podezřelé aktivity.

2–6 hodin: záchranná hesla, MFA a kontrola obnovy

1. Správce hesel: nastavte nové hlavní heslo (passphrase), aktivujte 2FA, exportujte/zálohujte emergency kit a uložte ho offline.
2. Rotace hesel podle kritičnosti: primární e-mail → banky → cloud → sociální sítě → e-shopy. Používejte unikátní náhodná hesla.
3. MFA/2FA: přepněte z SMS na autentifikační aplikaci nebo passkeys; odstraňte stará MFA zařízení a recovery kódy uložte offline.
4. Prohlížeč a rozšíření: odinstalujte podezřelá rozšíření, vymažte cookies a service workers; zkontrolujte domovskou stránku a nastavení proxy.
5. Cloud a sdílení: zrušte podezřelé sdílené složky/odkazy, zkontrolujte pravidla automatizací (IFTTT, Zapier), webhooky a API tokeny.

6–12 hodin: zařízení, síť, zálohy a forenzní minimum

1. Antivirový/EDR sken na všech počítačích a mobilech; ověřte integritu systémových aktualizací a zapněte automatické aktualizace.
2. Domácí síť: přihlaste se do routeru, změňte admin heslo, aktualizujte firmware, vypněte WPS, přepněte na WPA3, změňte heslo k Wi-Fi.
3. Zálohy: připojujte pouze důvěryhodné zálohy, zkontrolujte datum a integritu; vytvořte čerstvou offline zálohu čistého stavu.
4. Forenzní konzervace: exportujte přihlášení (pokud platforma umožňuje), stahujte potvrzení transakcí, uložte logy a screenshoty do zabezpečeného archivu.

12–24 hodin: právní a provozní kroky, kontaktování třetích stran

• Banky a platby: formálně reklamujte neoprávněné transakce, požádejte o chargeback, zaznamenejte referenční čísla případů do deníku.
• Operátor: potvrďte blokování duplikátní SIM a nastavte port-out PIN.
• Platformy: nahlaste kompromitaci účtů (Facebook/Instagram/Twitter/Google/Apple) a požadujte uzamčení/odblokování dle potřeby.
• Policie/kyberkriminalita: při finanční škodě, vydírání (sextortion) nebo krádeži identity proveďte trestní oznámení; přiložte deník incidentu.
• Známým a kolegům pošlete upozornění, že z vašeho účtu mohly přijít podvodné zprávy; doporučte ignorovat a nahlásit je.

24–36 hodin: audit přístupů, relací a automatizací

1. Bezpečnostní přehledy účtů: zkontrolujte poslední přihlášení, ověřená zařízení, povolené aplikace třetích stran; odvolat všechno neznámé.
2. E-mailové filtry a přesměrování: odstraňte pravidla, která přesouvají/mažou zprávy od platforem (běžná taktika útočníků).
3. Obnova účtu: zkontrolujte recovery e-maily/telefony a bezpečnostní otázky; odstraňte ty, které jste nenastavili vy.
4. Cloudové fotky a dokumenty: zkontrolujte neobvyklé přesuny a smazání; podívejte se do „koše“ a historie verzí.

36–48 hodin: obnova důvěry a posílení

• Bezpečnostní baseline: všechny kritické účty s 2FA/passkeys, správce hesel s novým master heslem, sdílená tajemství (API, SSH, klíče) rotována.
• Segregace rizika: oddělené e-maily pro banky, sociální sítě a registrace; vyhraďte si „spalovací“ e-mail pro nízkodůvěryhodné služby.
• Ochrana identity: nastavte monitoring úniků (notifikace při zjištění e-mailu/hesla v dump files), aktivujte upozornění na kreditní zprávy, pokud jsou dostupná.
• Školení sebe a rodiny: projděte si zásady proti phishingu, falešným kurýrům, QR a „support call“ podvodům.

Specifické playbooky: kompromitovaný e-mail

1. Změňte heslo a ukončete relace; aktivujte 2FA.
2. Zkontrolujte přesměrování, filtry, delegace a propojené aliasy.
3. Projděte historii přihlášení a neznámé aplikace (OAuth) – odeberte přístup.
4. Upozorněte kontakty a nastavte auto-reply s krátkým varováním na 24–48 hodin (neuvádějte detaily, jen doporučení ignorovat podezřelé zprávy).

Specifické playbooky: SIM swap a telefon

• Okamžitě kontaktujte operátora, zablokujte současnou SIM a nastavte silné ověření na účtu.
• Převeďte 2FA z SMS na aplikaci nebo bezpečnostní klíč; aktualizujte recovery čísla ve všech službách.
• Pokud je telefon ztracený/ukradený: použijte „Find My“/„Find My Device“ k uzamčení/mazání; změňte hesla k aplikacím s přímým přístupem (banky, pošta, zprávy).

Specifické playbooky: sociální sítě a reputace

• Zabezpečte účet (heslo, 2FA), odstraňte podezřelé administrátory/editor stránky, zkontrolujte propojené aplikace.
• Projděte publikace posledních dní; skryjte/smažte nežádoucí obsah; zvažte dočasné uzamčení profilu.
• Komunikace: krátký status, že účet byl kompromitován a je zabezpečen; požádejte o nahlášení falešných profilů.

Specifické playbooky: finance a kryptoměny

• Bankovní účty: dočasná blokace, reklamace transakcí, změna přístupů, nové karty.
• Krypto: přesuňte prostředky z hot wallet do nové peněženky s novou seed větou; seed uchovávejte offline; zapněte whitelisting výběrových adres a zpožděné výběry, pokud burza podporuje.

Komunikační šablony: stručně a účinně

• Bance: „Nahlasuji neoprávněné transakce na účtu č. … ze dne … v částce … Můj účet byl kompromitován. Žádám okamžitou blokaci karty, dočasné zmrazení a zahájení reklamace.“
• Operátorovi: „Žádám prověřit a zablokovat neautorizovanou výměnu SIM/port-out. Nastavte, prosím, port-out PIN a poznámku o nutnosti osobního ověření.“
• Platformě: „Můj účet byl kompromitován (ID: …). Žádám reset relací, kontrolu neautorizovaných změn a obnovení přístupu.“
• Kontaktům: „Pokud jste obdrželi zvláštní zprávy z mého účtu, prosím ignorujte je a smažte. Účet jsem zabezpečil(a).“

Forenzní minimum pro jednotlivce: co uložit

• Screenshoty upozornění, transakcí, bezpečnostních panelů.
• Časovou osu kroků, s kým jste komunikovali (jméno, čas, referenční číslo).
• Exporty přihlášení a logy (pokud jsou dostupné), potvrzení o změnách hesel/2FA.

Prevence po incidentu: nové standardy

• Passkeys a FIDO2 pro klíčové účty; minimalizace SMS 2FA.
• Správce hesel s politikou unikátního hesla na účet a pravidelnou rotací pouze při signálech rizika.
• Sandbox pro rizikové aktivity: samostatný prohlížeč/profil pro experimenty a nákupy; privacy kontejnery.
• Zálohovací strategie 3-2-1: tři kopie, na dvou médiích, jedna offline/immutable.

Checklist „hotovo“ po 48 hodinách

• Primární e-mail, telefon a správce hesel jsou zabezpečeny (nové heslo, 2FA/passkeys).
• Všechny kritické účty mají rotovaná hesla, relace jsou zrušené, OAuth aplikace prověřené.
• Banky a operátor kontaktováni, reklamace/podání žádostí vyřízeny, karty a SIM zabezpečeny.
• Router a Wi-Fi obnoveny s novými hesly a aktuálním firmwarem.
• Forenzní materiály uloženy a incident zdokumentován.
• Zálohy ověřeny, rizikové návyky upraveny, školení absolvováno.

Kdy eskalovat nad rámec 48 hodin

Pokud škoda přesahuje vaše možnosti (významné finanční ztráty, systematické pronásledování, vydírání, únik dokladů totožnosti), pokračujte právními kroky, aktivujte podporu od banky/pojišťovny (pojištění kybernetických rizik, pokud existuje) a zvažte konzultaci s odborníkem na digitální forenziku. Při krádeži dokladů sledujte pokyny příslušných úřadů k zneplatnění a vydání nových dokladů.

Shrnutí: rychlost, pořadí, důkazy

Úspěšný osobní incident response stojí na třech pilířích: rychlá izolace (zastavit krvácení), správné pořadí (chránit primární e-mail, telefon a finance jako první) a dokumentace (deník a důkazy). Po 48 hodinách by měly být klíčové účty a zařízení stabilizovány, škody omezeny a obrana posílena tak, aby se podobný incident obtížněji zopakoval.