Ransomware to dziś najbardziej dochodowy model przestępczości komputerowej — i dlatego celem nie są już korporacje, tylko firmy średnie i małe: mają pieniądze, dane klientów i słabsze zabezpieczenia. Typowy scenariusz nie wygląda jak film o hakerach. Wygląda jak poniedziałek, w którym księgowość nie może otworzyć plików, a na ekranie widnieje instrukcja zapłaty.
Poniżej rozbieramy atak na etapy, pokazujemy pięć warstw ochrony w kolejności opłacalności i podajemy plan reakcji na pierwsze 24 godziny incydentu.
Jak naprawdę wygląda atak
Współczesny ransomware to proces, nie pojedyncze kliknięcie. Typowy łańcuch: wejście (phishing, przejęte hasło bez MFA, dziura w niezałatanym systemie) → ciche rozpoznanie (dni, czasem tygodnie poruszania się po sieci i przejmowania kolejnych uprawnień) → kradzież danych (wyprowadzenie plików przed szyfrowaniem) → szyfrowanie w najmniej dogodnym momencie, często w nocy z piątku na sobotę. Kluczowy wniosek: między wejściem a szyfrowaniem mija zwykle sporo czasu — dobrze skonfigurowany monitoring wykrywa atak na etapie rozpoznania, zanim cokolwiek zostanie zaszyfrowane.
Pięć warstw ochrony — w kolejności opłacalności
- MFA na wszystkich kontach — bez wyjątków dla zarządu (to najczęściej atakowane konta). Najlepszy stosunek efektu do kosztu w całym cyberbezpieczeństwie; odcina większość ataków opartych na wykradzionych hasłach.
- EDR zamiast klasycznego antywirusa — wykrywa zachowania (masowe szyfrowanie plików, podejrzane ruchy w sieci), a nie tylko znane sygnatury. To EDR łapie atak na etapie rozpoznania.
- Aktualizacje w rygorze — krytyczne łatki systemów i urządzeń brzegowych (firewall, VPN) w ciągu 14 dni od wydania. Duża część włamań wykorzystuje dziury załatane wiele miesięcy wcześniej.
- Minimalne uprawnienia i segmentacja — pracownik nie potrzebuje praw administratora do pracy, a księgowość nie musi „widzieć” serwera produkcji. Segmentacja zamienia pożar całej sieci w pożar jednego pomieszczenia.
- Szkolenia z symulacjami phishingu — minimum raz na kwartał. Nie po to, by karać klikających, ale by skrócić czas zgłoszenia podejrzanego maila z dni do minut.
Rachunek jest brutalnie prosty: koszt tych pięciu warstw dla firmy 30-osobowej to ułamek kosztu jednego skutecznego ataku — a w koszt ataku trzeba wliczyć przestój (średnio 2–3 tygodnie do pełnej sprawności), odtwarzanie środowiska, obsługę prawną RODO i utracone zaufanie klientów.
Backup — ostatnia linia obrony, jeśli zbudowany poprawnie
Nowoczesny ransomware najpierw szuka kopii zapasowych i szyfruje je lub kasuje, a dopiero potem resztę. Backup podłączony do tej samej sieci, na tym samym NAS-ie i z dostępem na te same konta administracyjne — dla atakującego to po prostu kolejny folder. Warunki minimalne: kopie danych w kilku lokalizacjach, co najmniej jedna niemodyfikowalna (immutable) lub offline oraz regularne testy odtworzeniowe.
Plan reakcji: pierwsze 24 godziny
- Izoluj, nie wyłączaj — odłącz zainfekowane maszyny od sieci (kabel, Wi-Fi), ale nie wyłączaj zasilania: w pamięci mogą być ślady i klucze przydatne śledczym.
- Zawiadom zespół IT / dostawcę — natychmiast, także w nocy. Każda godzina zwłoki to kolejne zaszyfrowane zasoby.
- Odetnij dostępy — reset haseł kont administracyjnych i VPN z czystego urządzenia, blokada kont serwisowych, wylogowanie sesji.
- Zgłoś incydent — CSIRT NASK (incydent.cert.pl) oraz, przy danych osobowych, UODO w ciągu 72 godzin. Zgłoszenie to obowiązek, ale też dostęp do wsparcia.
- Zabezpiecz dowody i oceń zakres — co zaszyfrowano, co mogło wyciec, która kopia zapasowa jest czysta. Dopiero na tej podstawie decyzja o ścieżce odtworzenia.
- Komunikuj świadomie — jedna osoba odpowiedzialna za komunikację z zespołem, klientami i ewentualnie mediami; żadnych negocjacji z przestępcami na własną rękę.
Czy płacić okup
Krótka odpowiedź: to ostateczność, która zwykle zawodzi. Zapłata nie gwarantuje niczego: część firm po opłaceniu okupu nie odzyskuje wszystkich danych (deszyfratory bywają wadliwe), a wykradzione dane i tak pozostają w rękach przestępców. Płacący trafiają też na listy „klientów, którzy płacą” — ryzyko powtórnego ataku rośnie. Do tego dochodzi ryzyko prawne: przelew na rzecz grupy objętej sankcjami może sam w sobie być naruszeniem prawa. Jedyna sytuacja, w której temat w ogóle wraca na stół, to brak jakiejkolwiek czystej kopii danych krytycznych dla przetrwania firmy — i właśnie dlatego cała strategia obrony sprowadza się do tego, by nigdy nie znaleźć się w tym miejscu.
Najważniejsze wnioski
- Między włamaniem a szyfrowaniem mijają zwykle dni lub tygodnie — EDR i monitoring wykrywają atak na etapie rozpoznania, zanim powstaną szkody.
- MFA wszędzie, EDR, patching, minimalne uprawnienia i szkolenia — pięć warstw, których łączny koszt to ułamek kosztu jednego skutecznego ataku.
- Backup chroni tylko wtedy, gdy ma kopię immutable/offline i przechodzi testy odtworzeniowe — ransomware szyfruje kopie zapasowe w pierwszej kolejności.
Najczęściej zadawane pytania
Sprawdź odporność swojej firmy, zanim zrobi to ktoś inny
Bezpłatna konsultacja bezpieczeństwa: przejdziemy checklistę kluczowych obszarów (MFA, EDR, backup, segmentacja, szkolenia) i wskażemy priorytety na najbliższy kwartał.