Komunikat o zaszyfrowanych plikach pojawia się zwykle w najgorszym możliwym momencie: przed wysyłką zamówienia, zamknięciem miesiąca albo rozpoczęciem pracy przez cały zespół. Wtedy liczą się pierwsze minuty, a nie improwizacja. Jeśli zastanawiasz się, co zrobić po ataku ransomware, podstawowa zasada brzmi: zatrzymać rozprzestrzenianie się zagrożenia, zabezpieczyć dowody i odzyskiwać działalność w kontrolowany sposób.
Ransomware to nie tylko problem jednego komputera. Przestępcy często uzyskują dostęp do kont administracyjnych, serwerów plików, poczty, kopii zapasowych i środowisk chmurowych. Coraz częściej najpierw wykradają dane, a dopiero potem je szyfrują. Oznacza to, że firma może jednocześnie stracić dostęp do dokumentów, stanąć przed ryzykiem ujawnienia danych osobowych oraz nie móc realizować bieżących zleceń.
Co zrobić po ataku ransomware w pierwszej godzinie
Pierwszą decyzją powinno być odizolowanie podejrzanych urządzeń od sieci. Odłącz kabel sieciowy, wyłącz Wi-Fi i rozłącz sesję VPN na komputerze, na którym zauważono komunikat okupu, nietypowe rozszerzenia plików albo nagłe problemy z otwieraniem dokumentów. Nie podłączaj zainfekowanego urządzenia do innej sieci i nie kopiuj z niego plików na prywatny pendrive.
Nie należy jednak automatycznie wyłączać komputera przyciskiem zasilania. Czasem pamięć urządzenia zawiera informacje potrzebne do ustalenia skali incydentu, wykrycia aktywnego procesu lub odzyskania danych. Gdy szyfrowanie trwa i obejmuje kolejne zasoby, priorytetem jest przerwanie połączenia z siecią. Decyzję o wyłączeniu urządzenia warto pozostawić osobie technicznej, która oceni sytuację.
Następnie trzeba ograniczyć dostęp napastnika. Jeśli jest dostępny administrator IT lub zewnętrzny partner, powinien niezwłocznie zablokować podejrzane konta, aktywne sesje zdalne, dostęp VPN oraz konta uprzywilejowane, które mogły zostać przejęte. W praktyce często konieczna jest również zmiana haseł, ale nie róbmy tego chaotycznie z potencjalnie zainfekowanego komputera. Hasła należy zmieniać z bezpiecznego urządzenia, zgodnie z ustaloną kolejnością, zaczynając od kont administracyjnych i poczty firmowej.
Równolegle wyznacz jedną osobę odpowiedzialną za koordynację komunikacji. Pracownicy powinni dostać prosty komunikat: nie uruchamiać ponownie komputerów, nie otwierać podejrzanych wiadomości, nie usuwać plików i nie kontaktować się samodzielnie z przestępcami. W kryzysie kilka równoległych, niespójnych działań potrafi pogorszyć sytuację szybciej niż sam wirus.
Zabezpiecz ślady, zanim zaczniesz sprzątanie
Zrób zdjęcia komunikatu z żądaniem okupu i zapisz jego treść. Zanotuj godzinę wykrycia problemu, nazwy urządzeń, kont użytkowników oraz katalogów, w których pojawiły się zaszyfrowane pliki. Zachowaj podejrzane wiadomości e-mail wraz z nagłówkami, jeśli to one mogły być drogą wejścia.
Nie usuwaj notatki okupu, podejrzanych plików ani logów systemowych. Tego typu materiały mogą pomóc specjalistom określić rodzinę ransomware, odtworzyć przebieg ataku i ocenić, czy istnieje dostępny deszyfrator. Są też istotne przy zgłoszeniu sprawy organom ścigania, ubezpieczycielowi lub przy analizie obowiązków wynikających z RODO.
Najpierw diagnoza, potem odtwarzanie
Naturalnym odruchem jest przywrócenie plików z backupu jak najszybciej. To zrozumiałe, ale przed rozpoczęciem odtwarzania trzeba odpowiedzieć na kilka ważnych pytań: jak napastnik dostał się do środowiska, czy nadal ma dostęp, które systemy zostały objęte atakiem i czy kopie zapasowe są bezpieczne.
Jeśli przywrócimy dane do nieoczyszczonej sieci, przestępca może zaszyfrować je ponownie. Jeśli odtworzymy serwer z kopii wykonanej po infekcji, możemy wrócić do punktu, w którym zagrożenie już było obecne. Dlatego analiza powinna objąć stacje robocze, serwery, konta w usłudze Microsoft 365 lub innej poczcie firmowej, urządzenia sieciowe, zdalny dostęp oraz systemy kopii zapasowych.
Warto też ustalić, jakie dane mogły zostać wykradzione. Grupy ransomware stosują dziś model podwójnego wymuszenia: żądają pieniędzy za klucz deszyfrujący, a dodatkowo grożą publikacją dokumentów, umów, baz klientów czy danych pracowników. Brak widocznych oznak wycieku nie oznacza jeszcze, że dane nie opuściły firmy.
Sprawdź kopie zapasowe bez ryzykownego pośpiechu
Dobra kopia zapasowa nie jest tylko wpisem w panelu administracyjnym. Musi być kompletna, aktualna, odseparowana od środowiska produkcyjnego i możliwa do rzeczywistego odtworzenia. Najpierw sprawdza się, z jakiej daty pochodzi ostatnia zdrowa kopia, czy nie nosi śladów szyfrowania oraz czy można ją przywrócić w odizolowanym środowisku testowym.
W firmie warto stosować zasadę 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, w tym jedna poza główną lokalizacją. W przypadku ransomware szczególne znaczenie ma kopia niezmienialna lub odłączona od codziennej sieci. Backup widoczny dla przejętego konta administratora bywa dla napastników równie łatwym celem jak serwer plików.
Odtwarzanie powinno odbywać się według priorytetów biznesowych. Najpierw systemy niezbędne do obsługi klientów, fakturowania, produkcji lub kontaktu z zespołem, później pozostałe zasoby. Czasem bezpieczniej jest uruchomić tymczasowy, ograniczony tryb pracy niż długo czekać na pełne przywrócenie wszystkiego naraz.
Czy płacić okup po ransomware?
Zapłata okupu nie daje gwarancji odzyskania danych ani zakończenia problemu. Przestępcy mogą przekazać nieskuteczny klucz, żądać kolejnej płatności albo zachować skradzione informacje mimo wcześniejszych obietnic. Płatność może też wiązać się z ryzykiem prawnym i sankcyjnym, zależnie od tego, kto stoi za atakiem i jakie przepisy mają zastosowanie.
Nie warto podejmować tej decyzji pod presją licznika wyświetlanego na ekranie. Powinna ona być poprzedzona oceną techniczną, prawną i biznesową, a także analizą możliwości odtworzenia danych. W większości przypadków właściwszą drogą jest opanowanie incydentu, odzyskanie działania z bezpiecznych kopii i ograniczenie skutków wycieku.
Zgłoszenie incydentu i obowiązki wobec klientów
Jeżeli atak mógł naruszyć poufność, dostępność lub integralność danych osobowych, trzeba ocenić obowiązki wynikające z RODO. W określonych sytuacjach naruszenie należy zgłosić do Prezesa Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od stwierdzenia naruszenia. To nie znaczy, że każdy incydent automatycznie wymaga zgłoszenia, ale każdy wymaga udokumentowanej oceny ryzyka.
Jeśli ryzyko dla osób, których dane dotyczą, jest wysokie, może być konieczne poinformowanie ich o zdarzeniu. Komunikat powinien być rzeczowy: co się stało, jakie dane mogły zostać objęte incydentem, jakie działania podjęła firma i co odbiorca może zrobić, aby zmniejszyć ryzyko. Ukrywanie problemu zwykle pogarsza zarówno sytuację prawną, jak i relacje z klientami.
Należy także rozważyć zgłoszenie przestępstwa odpowiednim służbom oraz kontakt z ubezpieczycielem, jeśli firma ma polisę cyber. Polisy często wymagają szybkiego zawiadomienia i współpracy z wskazanymi ekspertami. Warto sprawdzić warunki umowy zanim ktokolwiek zacznie samodzielnie negocjować z napastnikami albo przywracać systemy bez dokumentacji.
Po opanowaniu ataku: usuń przyczynę, nie tylko skutki
Przywrócenie plików nie kończy obsługi incydentu. Firma powinna ustalić pierwotną drogę wejścia: phishing, słabe hasło, brak wieloskładnikowego uwierzytelniania, niezałatana usługa zdalnego dostępu, przejęta skrzynka e-mail czy niewłaściwie zabezpieczony serwer. Dopiero wtedy można realnie zmniejszyć ryzyko powtórki.
Najczęściej potrzebne są równocześnie działania techniczne i organizacyjne. Należą do nich aktualizacje systemów, wdrożenie MFA, przegląd uprawnień, segmentacja sieci, ograniczenie dostępu administracyjnego, monitoring zdarzeń oraz testy odtwarzania kopii. Równie ważne jest krótkie, praktyczne szkolenie pracowników. To osoba, która zauważy fałszywy załącznik lub nietypowe logowanie, często zatrzymuje incydent przed jego eskalacją.
Dla małej i średniej firmy rozsądnym rozwiązaniem jest przygotowany wcześniej plan reagowania: lista kontaktów, zasady izolacji urządzeń, odpowiedzialności decyzyjne i sposób komunikacji z pracownikami oraz klientami. Ceprobi pomaga firmom porządkować takie procedury razem z zabezpieczeniami, backupem i bieżącym nadzorem nad środowiskiem IT.
Atak ransomware jest momentem, w którym technologia spotyka się z ciągłością biznesu. Najlepszy plan nie polega na tym, by nigdy nie mieć problemu, lecz by w chwili problemu wiedzieć dokładnie, kto podejmuje decyzje, gdzie są bezpieczne dane i jak przywrócić pracę bez narażania firmy na drugi cios.