Ransomware w małej firmie: co zrobić w pierwszych godzinach

Ransomware szyfruje pliki w firmie i zostawia notatkę z żądaniem okupu. W takiej chwili liczy się kolejność działań, bo część pierwszych odruchów, jak wyłączenie komputera czy szybkie przywracanie danych, może utrudnić odzyskanie plików. Ten tekst zbiera zalecenia z poradnika CERT Polska dla małych organizacji, poradników opublikowanych na gov.pl i przewodnika CISA, a także obowiązki wynikające z RODO.

1. Skala problemu w Polsce

Według raportu CERT Polska za 2025 rok zespół odnotował 179 ataków ransomware, wobec 147 w 2024 i 161 w 2023 roku. 129 z nich zgłosiły podmioty prywatne. CERT Polska pisze, że w zdecydowanej większości przypadków, w których dało się ustalić wektor ataku, przestępcy weszli przez usługi dostępu zdalnego bez uwierzytelniania dwuskładnikowego. W 46 incydentach zaatakowana firma miała pulpit zdalny (RDP) dostępny z internetu, a CERT zaznacza, że ta liczba jest najpewniej zaniżona.

W skali UE ENISA ocenia ransomware jako zagrożenie o najbardziej bezpośrednich skutkach. W zbiorze incydentów przeanalizowanych przez agencję między lipcem 2024 a czerwcem 2025 stanowił 81,1% incydentów zaliczonych do cyberprzestępczości.

2. Pierwsza godzina

Zalecenia CERT Polska, Ministerstwa Cyfryzacji i CISA są w najważniejszych punktach zgodne. W kolejności:

1. Ustal, które komputery są zainfekowane, i odłącz je od sieci, zarówno kabla, jak i Wi-Fi. Przy wielu zainfekowanych maszynach CISA zaleca odcięcie sieci na poziomie przełącznika.
2. Nie wyłączaj komputerów. Poradnik Ministerstwa Cyfryzacji dopuszcza hibernację. Wyłączenie ma sens tylko wtedy, gdy nie da się odłączyć komputera od sieci.
3. Komputerów już wyłączonych nie uruchamiaj ponownie. Poradnik dla podmiotów publicznych na gov.pl ostrzega, że przy ponownym starcie ransomware zaszyfruje pliki, których nie zdążył wcześniej.
4. Zrób zdjęcie ekranu z komunikatem, a notatkę z żądaniem okupu i co najmniej 2 zaszyfrowane pliki skopiuj na czysty nośnik.
5. Zmień hasła, zwłaszcza administratorów, ale sprawdź, czy nie zablokujesz systemów potrzebnych do odzyskania danych.
6. O ataku rozmawiaj telefonicznie, nie firmową pocztą. CISA zwraca uwagę, że przestępcy mogą ją czytać.

Jeśli w firmie nie ma nikogo, kto zna się na obsłudze incydentów, Ministerstwo Cyfryzacji zaleca wezwanie specjalistów od reagowania na incydenty lub informatyki śledczej. To samo źródło ostrzega przed częścią „firm od odzyskiwania danych”, które w praktyce pośredniczą w płaceniu okupu i pobierają prowizję.

3. Czy płacić okup

CERT Polska, CISA i serwis No More Ransom odradzają płacenie. Przewodnik CISA wskazuje, że zapłata nie gwarantuje odszyfrowania danych, nie chroni przed kolejnym atakiem i nie daje pewności, że dane nie zostaną opublikowane.

Poradnik opublikowany na gov.pl dodaje ryzyko prawne. Zapłata może naruszać sankcje nałożone przez Unię Europejską na osoby i podmioty odpowiedzialne za cyberataki, a przepisy unijne zakazują udostępniania im funduszy. Dotyczy to także pośredników, którzy płacą w imieniu ofiary.

4. Gdzie zgłosić atak

Incydent zgłaszasz CERT Polska przez formularz incydent.cert.pl albo na adres cert@cert.pl. Dołącz co najmniej 2 zaszyfrowane pliki i notatkę z żądaniem okupu, a jeśli masz, także logi z zainfekowanych komputerów i próbkę złośliwego oprogramowania. Zawiadomienie o przestępstwie według CBZC możesz złożyć w każdej jednostce Policji.

Jeśli atak objął dane osobowe klientów lub pracowników, art. 33 RODO wymaga zgłoszenia do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, chyba że ryzyko dla osób jest mało prawdopodobne. UODO wyjaśnia, że gdy nie masz jeszcze wszystkich informacji, w tym terminie wysyłasz zgłoszenie wstępne i uzupełniasz je później.

5. Kiedy zgłoszenie do UODO jest konieczne

Europejska Rada Ochrony Danych opisuje w wytycznych 01/2021 przykłady ataków ransomware. Gdy firma ma sprawną kopię zapasową, szybko przywraca dane i nic nie wyciekło, po ocenie ryzyka zgłoszenie do organu może nie być konieczne. Gdy sprawnej kopii nie ma, zgłoszenie EROD uznaje za konieczne. Gdy dodatkowo dane wyciekły, trzeba też zawiadomić osoby, których dotyczą (art. 34 RODO).

Każde naruszenie trzeba udokumentować, także niezgłoszone (art. 33 ust. 5). Nie zakładaj też, że danych nikt nie wykradł. CERT Polska pisze, że większość notatek grozi publikacją danych nawet wtedy, gdy do ich wykradzenia nie doszło, ale ogólna treść notatki nie dowodzi, że wycieku nie było.

6. Darmowe dekryptory

Serwis No More Ransom powstał w 2016 roku z inicjatywy holenderskiej policji, Europolu i firm bezpieczeństwa. W 2022 roku Europol informował o 136 bezpłatnych narzędziach i ponad 10 mln pobrań. Na stronie sprawdzisz, czy dla rodziny ransomware z twojej notatki istnieje dekryptor.

Dla wielu rodzin dekryptora nie ma. Dlatego CERT Polska zaleca zachowanie kopii zaszyfrowanych plików. Jeśli dekryptor pojawi się później, odzyskasz dane bez płacenia.

7. Odtwarzanie z kopii

Zanim przywrócisz dane, usuń źródło infekcji. CERT Polska zaznacza, że atakujący mogą uderzyć ponownie, jeśli zostawią sobie dostęp. Systemy odtwarzaj z czystych obrazów, a kopię zapasową sprawdź, zanim z niej skorzystasz, bo mogła zostać zainfekowana.

Raport CERT Polska za 2025 rok pokazuje, że przestępcy celowo niszczą kopie zapasowe. Na serwerach NAS zwykle nie szyfrowali kopii, tylko reinicjalizowali całą przestrzeń dyskową, a na serwerach wirtualizacji usuwali migawki. Kopia podłączona do firmowej sieci może więc zniknąć razem z danymi.

8. Tanie zapobieganie

Większość skutecznych zabezpieczeń nie wymaga dużych wydatków. Według CERT Polska i CISA:

• Trzymaj co najmniej 3 kopie danych na 2 różnych nośnikach, z czego jedną odizolowaną od sieci, i regularnie testuj odtwarzanie. CISA ostrzega, że sama synchronizacja z chmurą nie wystarcza, bo zaszyfrowane pliki mogą nadpisać dobre wersje.
• Nie wystawiaj pulpitu zdalnego do internetu. CERT Polska zaleca dostęp tylko przez firmowy VPN z uwierzytelnianiem dwuskładnikowym.
• Włącz drugi składnik logowania w poczcie, VPN i kontach administratorów, jak opisujemy w tekście o weryfikacji dwuetapowej.
• Aktualizuj systemy i usługi dostępne z internetu, blokuj makra w dokumentach z poczty i przechowuj logi z serwerów co najmniej 14 dni.

Jak zrobić kopię z izolowanym nośnikiem, opisujemy w poradniku o kopii zapasowej komputera.

9. Podsumowanie

Po ataku odłącz komputery od sieci, nie wyłączaj ich, zabezpiecz notatkę i próbki plików, a potem zgłoś incydent do CERT Polska i na Policję. Jeśli atak objął dane osobowe, w 72 godziny oceń, czy zgłosić go do UODO, i w każdym przypadku go udokumentuj. Najtańszą ochroną jest kopia odizolowana od sieci i zamknięty dostęp zdalny.