Ransomware — atak szyfrujący dane

Czym jest ransomware?

Ransomware to złośliwe oprogramowanie, które szyfruje pliki na komputerach i serwerach ofiary, a następnie żąda okupu (ransom) za klucz deszyfrujący. Nowoczesne warianty stosują podwójne wymuszenie — oprócz szyfrowania, wykradają dane i grożą ich publicznym ujawnieniem.

Ransomware to najkosztowniejszy typ cyberataku dla firm. Średni koszt incydentu (okup + przestoje + odzyskiwanie + kary) to ponad 4,5 mln USD.

Jak działa atak?

1. Dostęp początkowy — najczęściej przez phishing, podatny RDP lub exploit w niezałatanym systemie
2. Rekonesans — atakujący eksploruje sieć, identyfikuje krytyczne systemy i backupy
3. Eskalacja uprawnień — przejmuje konta administratorów domeny (AD)
4. Exfiltracja danych — kopiuje poufne dane na zewnętrzny serwer (double extortion)
5. Szyfrowanie — uruchamia ransomware na wszystkich dostępnych systemach, zwykle w nocy lub w weekend
6. Żądanie okupu — wyświetla notatkę z instrukcjami płatności (Bitcoin/Monero) i deadline

Cały proces od włamania do szyfrowania trwa średnio 5-14 dni — dlatego wczesne wykrycie (SOC) jest kluczowe.

Kogo dotyczy w Polsce?

Ransomware w Polsce atakuje każdy sektor:

• Samorządy — szpitale, urzędy miast, szkoły (często słaba infrastruktura IT)
• MŚP — firmy produkcyjne, logistyczne, handlowe (brak SOC, przestarzałe systemy)
• Duże firmy — ataki na łańcuch dostaw, dostawców usług IT
• Infrastruktura krytyczna — pod NIS2 obowiązkowe raportowanie w 24h

W 2025 roku CERT Polska zaraportował ponad 300 poważnych incydentów ransomware w polskich organizacjach.

Jak się chronić?

1. Backup 3-2-1 — 3 kopie, 2 nośniki, 1 offsite (odłączony od sieci!)
2. Segmentacja sieci — ogranicza rozprzestrzenianie się ransomware
3. EDR/XDR — Microsoft Defender for Endpoint wykrywa zachowania ransomware
4. Patch management — regularne aktualizacje, szczególnie RDP i VPN
5. MFA na wszystkich kontach — szczególnie administratorskich
6. Plan reagowania — testowany scenariusz: kto dzwoni, co wyłączamy, jak odzyskujemy

Jak SecIQ pomaga?

• SecIQ SOC monitoruje 24/7 i wykrywa zachowania pre-ransomware (lateral movement, privilege escalation)
• Microsoft Defender for Endpoint z zaawansowaną detekcją ransomware
• Audyt bezpieczeństwa — identyfikacja luk przed atakiem
• Plan reagowania na incydenty — gotowy playbook ransomware
• Zgodność NIS2 — spełnienie wymogów raportowania incydentów

Nie czekaj na atak. Umów audyt bezpieczeństwa.