Jeśli właśnie widzisz notatkę z żądaniem okupu albo pracownicy dzwonią, że „nic się nie otwiera”, to masz dwie wiadomości. Dobra: da się zapanować nad sytuacją, jeśli działasz metodycznie. Zła: improwizacja w stylu „wyłączmy wszystko i zobaczymy” potrafi dorobić drugi incydent do pierwszego.
Ten tekst to praktyczny plan działań rozpisany na czas: pierwsze 15 minut, pierwszą godzinę, pierwsze 24 godziny i kolejne dni. To podejście jest spójne z tym, co zalecają CISA i NCSC: izolacja, uruchomienie procedur IR, zabezpieczenie dowodów, ocena zasięgu, kontakt z właściwymi zespołami, dopiero potem decyzje o odtwarzaniu.
W praktyce wiele osób googluje hasło „firma zaatakowana ransomware co robić” albo „komputer zaatakowany ransomware co robić”. To jest dokładnie ten moment.
Pierwsze kroki po ataku ransomware
Zanim przejdziemy do minut i godzin, trzy reguły, które trzymają ten chaos w ryzach:
- Priorytet 1: zatrzymać rozprzestrzenianie. CISA wprost rekomenduje natychmiastową izolację dotkniętych systemów.
- Priorytet 2: zachować dowody i kontekst. Bez tego łatwo odbudować systemy, ale zostawić napastnika w środku. Microsoft IR (DART) opisuje to jako typowy błąd w ransomware: odtwarzanie bez usunięcia przyczyny.
- Priorytet 3: nie podejmować „decyzji ostatecznych” w panice. Najpierw rozpoznanie i zasięg, potem recovery. CISA podkreśla sekwencję działań w checklistach.
Procedura po ataku ransomware: pierwsze 15 minut
To czas na działania twarde, krótkie, bez dyskusji.
Jak zatrzymać ransomware w 15 minut
- Zidentyfikuj najbardziej podejrzane urządzenia:
- komputery z zaszyfrowanymi plikami
- serwery plików, kontrolery domeny, serwer backupu (jeśli masz sygnały, że coś je dotknęło)
- urządzenia, na których pojawiła się notatka z żądaniem
- Natychmiast izoluj:
- odłącz kabel sieciowy, wyłącz Wi-Fi
- odetnij VPN i zdalne dostępy, jeśli podejrzewasz przejęte konta
- CISA rekomenduje izolację systemów jako pierwszy krok.
Jak odłączyć komputer po ransomware
Najbezpieczniej jest odłączyć sieć, a nie od razu wyłączać komputer. Wyłączenie może utrudnić zebranie dowodów (np. volatile data), a w części przypadków utrudnia analizę. CISA dopuszcza wyłączenie zasilania jako opcję, gdy nie da się skutecznie odłączyć urządzenia od sieci i trzeba zatrzymać rozprzestrzenianie.
- Zablokuj konta, które mogły zostać przejęte:
- w pierwszej kolejności konta adminów, konta VPN, konta serwisowe używane do zdalnego zarządzania
- wymuś reset haseł i sesji (tam gdzie to możliwe)
- Przełącz komunikację na tryb out-of-band:
- nie używaj firmowego komunikatora i poczty, jeśli podejrzewasz kompromitację
- użyj telefonu, prywatnych kanałów, tymczasowej grupy awaryjnej
- To jest standardowa dobra praktyka w IR, bo atakujący często monitorują sieć ofiary.
Chcesz dowiedzieć się więcej na czym polega ten atak? Sprawdź – Czym jest ransomware?
Jak reagować na ransomware w pierwszą godzinę
W tej godzinie budujesz „obraz sytuacji” i zabezpieczasz materiał do analizy. NCSC opisuje kroki dla organizacji, które są już zainfekowane malware, w tym ransomware, oraz nacisk na kontrolę rozprzestrzeniania i powrót do bezpiecznego stanu.
- Ustal, co zostało dotknięte:
- które segmenty sieci
- które systemy krytyczne
- czy to tylko stacje robocze, czy też serwery
- CISA sugeruje rozpoczęcie od określenia, które systemy zostały naruszone, i izolacji.
- Zabezpiecz dowody:
- zrób zdjęcia notatki okupu, nazw plików, rozszerzeń, komunikatów
- zbierz logi z EDR, firewalli, VPN, AD, serwerów plików
- jeśli masz zasoby, wykonaj obrazy dysków lub przynajmniej kopie wybranych artefaktów
- Microsoft IR opisuje ten etap jako kluczowy, zanim zacznie się masowe odtwarzanie.
- Sprawdź status backupów:
- czy backupy są osiągalne z sieci produkcyjnej
- czy ktoś próbował kasować shadow copies
- czy repozytoria backupu są odseparowane
- NCSC w zasadach „ransomware-resistant backups” kładzie nacisk na możliwość izolacji backupów, bo atakujący lubią „wyczyścić plan B” zanim poproszą o okup.
Co zrobić gdy pliki są zaszyfrowane w pierwsze 24 godziny
To etap, w którym łatwo popełnić najdroższy błąd: zacząć odtwarzać bez upewnienia się, że atakujący nie ma już dostępu.
- Potwierdź typ incydentu:
- czy to tylko szyfrowanie, czy też eksfiltracja danych (podwójne wymuszenie)
- czy są oznaki wycieku: nietypowy transfer danych, użycie narzędzi typu archiwizacja, połączenia do chmur
- CISA w #StopRansomware Guide opisuje ransomware szeroko, jako incydent często połączony z kradzieżą danych, a nie wyłącznie „wirus szyfrujący”.
- Ustal wektor wejścia i usuń możliwość ponownego wejścia:
- podatność w VPN, RDP, skradzione poświadczenia, phishing
- reset haseł, MFA, zamknięcie wystawionych usług, aktualizacje krytycznych systemów
- Microsoft DART w podejściu do ransomware mocno podkreśla: najpierw odcięcie atakującego i zrozumienie, jak wszedł, potem odbudowa.
- Zdecyduj, co można przywracać, a co wymaga odtworzenia od zera:
- systemy krytyczne w pierwszej kolejności
- stacje robocze dopiero po zabezpieczeniu tożsamości i segmentacji
- Nie uruchamiaj „czyszczenia” na ślepo:
- formatowanie i reinstalacje bez analizy mogą zniszczyć ślady
- jeśli masz cyber-ubezpieczenie lub wymagania regulacyjne, dokumentacja i dowody są kluczowe
Ransomware plan reakcji na kolejne dni: eradication, recovery i powrót do biznesu
To moment, kiedy zmęczenie wygrywa z dyscypliną. A właśnie wtedy trzeba trzymać proces.
- Eradication – usuń obecność atakującego:
- przegląd kont uprzywilejowanych i nowych kont
- rotacja kluczy, tokenów, certyfikatów
- pełne skany EDR, threat hunting, przegląd harmonogramów zadań i narzędzi zdalnego zarządzania
- Microsoft IR opisuje to jako etap konieczny, by nie „odtworzyć się prosto w kolejny atak”.
- Recovery – odtwarzanie:
- przywracaj z backupów, które są odseparowane i zweryfikowane
- testuj integralność i działanie aplikacji
- odtwarzaj segmentami, a nie „wszystko na raz”
- NCSC rekomenduje projektowanie backupów tak, by dało się je izolować i chronić jak inne krytyczne systemy.
- Hardening – wzmacnianie po incydencie:
- MFA wszędzie, gdzie jest zdalny dostęp
- segmentacja sieci, ograniczenie uprawnień
- blokada nieużywanych usług
- aktualizacje i przegląd reguł firewalli
Kogo powiadomić po ataku ransomware i jak utrzymać komunikację
To bywa trudniejsze niż techniczne odtwarzanie, bo w grę wchodzą interesy, reputacja i prawo.
Lista zależy od organizacji, ale zwykle obejmuje:
- wewnętrznie: kierownictwo, IT, bezpieczeństwo, prawny, HR, komunikacja
- zewnętrznie: dostawcy IR, dostawcy chmury, operatorzy usług krytycznych, cyber-ubezpieczyciel
- w razie wycieku danych: właściwe obowiązki notyfikacji według Twoich procedur i wymagań
- CISA i NCSC konsekwentnie wskazują, że koordynacja i uruchomienie procedur IR są kluczowe, zanim podejmiesz decyzje o odtwarzaniu i komunikacji.
W praktyce wiele osób pyta: incydent ransomware co robić. Jedna z najlepszych odpowiedzi brzmi: wyznacz jedną osobę do koordynacji i prowadź dziennik działań. Bez tego po dwóch dniach nikt nie pamięta, co zostało odcięte, a co już wróciło.
Jakie scenariusze dla małej firmy i dla pojedynczego komputera
Tu warto rozdzielić dwa przypadki, bo działania są podobne, ale skala inna.
- Dla firmy: firma zaatakowana ransomware co robić – izolacja segmentów, blokada kont, weryfikacja domeny, backupów, komunikacja kryzysowa.
- Dla pojedynczego urządzenia: komputer zaatakowany ransomware co robić – odłączenie od sieci, zabezpieczenie dowodów, sprawdzenie, czy dyski sieciowe i chmury nie są zaszyfrowywane, konsultacja z kimś od IR, potem odtwarzanie.
Jak ograniczyć skutki ransomware, zanim wrócisz do normalności
Kilka decyzji, które realnie zmniejszają szkody:
- nie podłączaj z powrotem odizolowanych maszyn, dopóki nie masz pewności, że tożsamość i dostęp zdalny są zabezpieczone
- traktuj backup jak system krytyczny, z możliwością izolacji i ograniczonym dostępem
- zachowuj logi i historię zdarzeń, bo to paliwo dla analizy przyczyny i ubezpieczyciela
- testuj odtworzenie, zanim ogłosisz „wróciliśmy”, bo ransomware lubi wracać w najmniej wygodnym momencie
Jeśli szukasz hasła jak zatrzymać ransomware, to ta część jest odpowiedzią: odcięcie, identyfikacja, usunięcie dostępu, dopiero potem odbudowa.
Checklista na jedną stronę: co zrobić po ataku ransomware
Żeby to było użyteczne w stresie, skrót:
- izoluj dotknięte systemy natychmiast
- uruchom ransomware plan reakcji i komunikację out-of-band
- zabezpiecz dowody i logi
- ustal zasięg i wektor wejścia
- sprawdź backupy i możliwość izolacji
- usuń obecność atakującego, dopiero potem odtwarzaj
- zaplanuj komunikację i kogo powiadomić po ataku ransomware
To jest procedura po ataku ransomware w wersji, którą da się wykonać nawet wtedy, gdy w tle dzwoni telefon, a Teams nie działa.
Trzymaj się planu i nie panikuj
Największa pułapka po incydencie to myślenie, że „wystarczy odszyfrować pliki”. Ransomware to proces. CISA i NCSC nie bez powodu kładą nacisk na izolację, IR, dowody i analizę zasięgu, zanim zacznie się odtwarzanie.
Jeśli trzymasz się minut, godzin i dni, a nie emocji, masz realną szansę ograniczyć straty i wrócić do działania bez powtórki z rozrywki… a tego nikt nie chce.