W poniedziałek o 7:40 pliki na serwerze mają dziwne rozszerzenie, a na pulpicie leży notatka z żądaniem okupu. Od tego, co zrobisz w ciągu następnej godziny, zależy, czy firma wróci do pracy w kilka dni, czy w kilka tygodni. Najwięcej zależy jednak od tego, czy backup danych firmowych przeżył atak. W tym artykule nie będę powtarzał zasad tworzenia kopii zapasowych. Przejdę przez jeden atak od pierwszej minuty do ostatniego odtworzonego pliku i pokażę, jakie decyzje trzeba po drodze podjąć.
Historia jest hipotetyczna. Nie opisuję konkretnej firmy, a scenariusz złożyłem z mechanizmów, które CERT Polska i producenci zabezpieczeń opisują w swoich raportach jako typowe. Każdy krok, który robi bohater, możesz jednak powtórzyć u siebie.
1. Poniedziałek, 7:40. Pliki mają dziwne rozszerzenie
Wyobraź sobie biuro rachunkowe zatrudniające dwanaście osób. Jest jeden serwer z Windows, na nim baza programu księgowego na SQL Serverze i udział z dokumentami klientów. Obok stoi serwer NAS, na który co noc kopiują się dane. Część plików leży w SharePoincie w Microsoft 365. Szef od roku pozwala też na zdalne łączenie się z serwerem przez pulpit zdalny (RDP), bo w sezonie rozliczeń księgowe pracują wieczorami z domu.
W poniedziałek pierwsza osoba w biurze nie może otworzyć programu księgowego. Faktury w PDF mają doklejone obce rozszerzenie i nie otwierają się w żadnym programie. W każdym folderze leży plik tekstowy z instrukcją, gdzie zapłacić i w jakim terminie.
To nie jest scenariusz z filmu. Według raportu rocznego CERT Polska za 2025 rok zespół obsłużył 179 ataków ransomware, wobec 147 rok wcześniej, a 129 z nich zgłosiły podmioty prywatne. W 46 incydentach ofiara miała wystawiony do internetu właśnie RDP. Termin też nie jest przypadkowy. Według Sophos Active Adversary Report 2026 88% ładunków ransomware uruchomiono poza godzinami pracy. Piątkowy wieczór daje atakującemu cały weekend, w którym nikt nie patrzy.
2. Pierwsza godzina. Odetnij, nie wyłączaj, nie kasuj
Pierwszy odruch to wyłączyć wszystko z prądu. Drugi to zacząć kasować zaszyfrowane pliki i przywracać je z kopii. Oba są złe.
Poradnik CERT Polska dotyczący ransomware zaleca, żeby zainfekowane maszyny odłączyć od sieci przewodowej i bezprzewodowej, a wyłączać je tylko wtedy, gdy odłączenie jest niemożliwe. Powód jest praktyczny. W pamięci działającego komputera mogą zostać ślady pomocne w analizie, a czasem także w odzyskaniu plików. Podobnie pisze amerykańska agencja CISA w #StopRansomware Guide. Jeśli zainfekowanych maszyn jest wiele, odcina się sieć na poziomie przełącznika. Ustalenia warto prowadzić telefonicznie, a nie mailem z zaatakowanej sieci, żeby nie zaalarmować atakującego.
W naszym biurze wygląda to tak. Wyciągasz kabel sieciowy z serwera i z NAS, odłączasz router od internetu, prosisz wszystkich, żeby nie uruchamiali komputerów i nie podłączali laptopów do sieci. Zaszyfrowanych plików nie kasujesz. CERT Polska radzi zachować ich kopię razem z notatką o okupie, bo dla niektórych rodzin ransomware po czasie pojawiają się darmowe dekryptory. Zrób też zdjęcie ekranu z żądaniem okupu telefonem.
Ostatnia rzecz z pierwszej godziny to telefon do osoby, która zajmuje się twoim IT. Jeśli takiej osoby nie ma, to jest moment, w którym trzeba ją znaleźć. Brytyjskie NCSC ostrzega wprost przed pośpiesznym odtwarzaniem systemów, zanim incydent zostanie zbadany.
3. Ustal, co dokładnie się stało
Zanim cokolwiek przywrócisz, musisz wiedzieć trzy rzeczy. Jaka rodzina ransomware cię zaatakowała, które maszyny są zainfekowane i jak atakujący dostał się do środka.
Rodzinę rozpoznasz po notatce z żądaniem okupu i rozszerzeniu plików. CERT Polska wskazuje dwa narzędzia. ID Ransomware po wgraniu notatki i przykładowego pliku rozpoznaje jedną z ponad tysiąca rodzin. Autor zastrzega przy tym, że nie gwarantuje pełnej poufności przesłanych plików, więc nie wysyłaj tam dokumentów z danymi klientów. Drugie to No More Ransom, wspólny projekt policji i firm zajmujących się bezpieczeństwem, w którym CERT Polska jest partnerem. Jeśli dla twojej rodziny istnieje darmowy dekryptor, znajdziesz go właśnie tam. Projekt zaznacza, że najpierw trzeba usunąć złośliwe oprogramowanie, bo inaczej system zostanie zaszyfrowany ponownie.
W naszym scenariuszu dekryptora nie ma. Za to przegląd logów serwera pokazuje coś znacznie ważniejszego. Pierwsze udane logowanie przez RDP na konto jednej z księgowych miało miejsce dziewięć dni przed szyfrowaniem. To typowe. CERT Polska w raporcie za 2025 rok pisze, że ataki bardzo często są rozłożone w czasie, nawet na kilka tygodni. M-Trends 2026 od Mandiant podaje medianę 14 dni od włamania do wykrycia. Ta informacja zmieni za chwilę sposób odtwarzania.
4. Czy zapłacić okup?
To pytanie pada zawsze i zawsze z tego samego powodu. Kwota wydaje się mniejsza niż koszt przestoju. Zanim podejmiesz decyzję, zobacz, co mówią liczby.
Według raportu Sophos State of Ransomware 2026 48% organizacji, których dane zostały zaszyfrowane, zapłaciło okup, a 66% odtworzyło dane z kopii zapasowych. W firmach z przychodem poniżej 50 mln dolarów mediana zapłaconego okupu wyniosła 50 tysięcy dolarów. To ankieta wśród firm zatrudniających od 100 do 5000 osób, więc dla dwunastoosobowego biura kwoty będą inne, ale proporcje dobrze pokazują, że kopia zapasowa to dziś najczęstsza droga wyjścia.
Zapłata też niczego nie gwarantuje. CERT Polska pisze, że okup nie zawsze gwarantuje odzyskanie danych, a CISA nie zaleca płacenia, bo nie ma pewności ani odszyfrowania, ani tego, że dane nie wyciekną. Firma Coveware, która zawodowo negocjuje z przestępcami, opisała w 2026 roku ransomware Nitrogen, w którym błąd w kodzie sprawia, że plików nie potrafi odszyfrować nawet sam atakujący. W raporcie za IV kwartał 2024 ta sama firma pisze, że wadliwe dekryptory zniechęcają ofiary do negocjacji.
Mówiąc wprost, płacenie to zakład z przestępcą. Rozsądnie podejść do niego można dopiero wtedy, gdy wiesz na pewno, że z kopii nie odzyskasz niczego. Dlatego najważniejszy krok jest następny.
5. Czy backup przeżył atak? Moment prawdy
Nasze biuro ma dwie kopie. Pierwsza to NAS w tej samej sieci. Po zalogowaniu się do niego okazuje się, że udział z kopiami jest pusty, a dyski zostały sformatowane. To nie jest pech, tylko metoda. CERT Polska opisuje w raporcie za 2025 rok, że operatorzy ransomware zwyczajowo próbują zniszczyć kopie zapasowe, szukają serwerów kopii, a dyski NAS zwykle wymazują, zamiast je szyfrować. Sophos w analizie wpływu przejętych kopii zapasowych na podstawie ankiety z 2024 roku podaje, że 94% ofiar zgłosiło próbę przejęcia kopii, a 57% tych prób się udało. Firmy z przejętymi kopiami płaciły okup prawie dwa razy częściej, a mediana kosztu odtworzenia była u nich ośmiokrotnie wyższa.
Druga kopia to backup w chmurze robiony przez R-Backup, narzędzie, które zbudowałem w Ralkom i które dokładniej opisałem we wpisie o konfiguracji kopii zapasowej w chmurze. Tu sytuacja wygląda inaczej. Repozytorium nie jest dyskiem widocznym w sieci biura, tylko osobnym miejscem w centrum danych w Unii Europejskiej. Dane są szyfrowane na komputerze, zanim wyjdą do internetu, hasłem znanym tylko firmie. Najważniejsza jest jednak historia wersji. Najnowsze kopie z weekendu zawierają już zaszyfrowane pliki, bo backup posłusznie skopiował to, co zastał na dysku. Domyślna retencja w R-Backup to jednak 7 kopii dziennych, 4 tygodniowe i 6 miesięcznych, więc w repozytorium leżą też czyste wersje sprzed tygodni.
Tu wraca informacja z logów. Skoro atakujący był w sieci od dziewięciu dni, kopia z czwartku jest co prawda wolna od zaszyfrowanych plików, ale może zawierać zostawione przez niego narzędzia. Dlatego wybierasz kopię sprzed pierwszego podejrzanego logowania i godzisz się na utratę kilku dni pracy, którą później odtworzysz z innych źródeł, na przykład z wysłanych maili i wyciągów bankowych.
Jeśli chcesz, żeby w twojej firmie ktoś pilnował, czy taka kopia w ogóle istnieje i czy da się z niej odtworzyć dane, to jest dokładnie część pracy, którą biorę na siebie w ramach szyfrowanego backupu danych firmowych w outsourcingu IT.
6. Odtwarzanie krok po kroku
Odtwarzanie nie zaczyna się od kliknięcia „przywróć” na zainfekowanym serwerze. Zarówno CISA, jak i NCSC mówią to samo. Odtwarza się na czystym systemie, w czystej sieci, a przed przywróceniem danych trzeba mieć pewność, że kopia jest wolna od złośliwego oprogramowania. W naszym biurze kolejność wygląda tak.
- Czysty system. Dysk serwera zostaje zabezpieczony do analizy albo sformatowany, a Windows instalowany od zera z oficjalnego nośnika. Żadnego „posprzątania” starego systemu.
- Zamknięcie drogi wejścia. RDP przestaje być dostępny z internetu. Zdalna praca idzie przez VPN z uwierzytelnianiem dwuskładnikowym.
- Podłączenie do repozytorium. Instalujesz R-Backup na nowym serwerze, w kreatorze wybierasz połączenie z istniejącym repozytorium i podajesz hasło. Masz dostęp do całej historii kopii. Właśnie dlatego hasło repozytorium musi leżeć poza serwerem, na przykład w menedżerze haseł.
- Baza programu księgowego. Najpierw instalujesz SQL Server i program księgowy, potem odtwarzasz bazę z wybranej kopii pod inną nazwą. Otwierasz ją w programie i sprawdzasz, czy są w niej dokumenty z ostatniego dnia przed wybraną kopią. Dopiero wtedy przełączasz program na odtworzoną bazę.
- Dokumenty i SharePoint. Foldery z dokumentami klientów przywracasz z tej samej chwili w czasie. Biblioteki SharePoint z kopii R-Backup, jeśli zaszyfrowane pliki zdążyły się zsynchronizować do Microsoft 365.
- Hasła. Na końcu resetujesz hasła wszystkich kont, a zwłaszcza kont administratorów. CISA zaleca robić to dopiero po pełnym oczyszczeniu środowiska, bo inaczej atakujący przejmie także nowe.
- Stanowiska pracy. Komputery pracowników sprawdzasz po kolei, a każdy podejrzany instalujesz od nowa, zanim wróci do sieci.
Ile to trwa? W raporcie Sophos 2026 55% organizacji wróciło do pełnego działania w ciągu tygodnia, a 83% w ciągu miesiąca. Przy małym biurze z działającą kopią w chmurze sam transfer danych jest najczęściej najkrótszą częścią pracy. Najwięcej czasu zajmuje czysta instalacja i sprawdzenie, czy wszystko działa. Jeśli w firmie działa program księgowy na SQL Serverze, zobacz, jak wyglądała migracja 78 baz Optima z zabezpieczeniem kopii, bo przy odtwarzaniu ważne są te same szczegóły.
7. Zgłoszenia. CERT, UODO i policja
Kiedy dane wracają, łatwo zapomnieć o formalnościach. A zegar tyka od momentu, w którym stwierdziłeś atak.
Najpilniejszy jest UODO. Zgodnie z art. 33 RODO naruszenie ochrony danych osobowych zgłasza się bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin. Zaszyfrowanie danych przez ransomware to naruszenie ich dostępności, a często także poufności. Wytyczne EDPB 01/2021 rozbierają to na przykładach. Jeśli firma miała dobrą kopię i nic nie wskazuje na wyciek danych, wystarczy wewnętrzna dokumentacja incydentu. Jeśli kopii nie było, trzeba zgłosić naruszenie do organu. Jeśli dane wyciekły, trzeba też zawiadomić osoby, których dotyczą. W biurze rachunkowym, gdzie atakujący siedział dziewięć dni w sieci pełnej danych klientów, wykluczenie wycieku jest bardzo trudne. Decyzję warto podjąć z prawnikiem albo inspektorem ochrony danych, a nie na wyczucie.
Drugie zgłoszenie to CERT Polska, przez formularz na incydent.cert.pl. Dla małej firmy jest ono dobrowolne, ale warto je zrobić. Poradnik CERT prosi o dołączenie co najmniej dwóch zaszyfrowanych plików i notatki z żądaniem okupu. Trzecie to zawiadomienie o przestępstwie. Centralne Biuro Zwalczania Cyberprzestępczości przypomina, że można je złożyć w każdej jednostce policji. Przyda się wtedy notatka o okupie, adres portfela kryptowalut z tej notatki i wyliczenie strat.
8. Co zmieniamy po incydencie
Po odtworzeniu kusi, żeby uznać temat za zamknięty. To błąd, bo atakujący wie już, jak wejść do twojej sieci, a CERT Polska w swoim poradniku ostrzega, że może wrócić, jeśli nie usuniesz źródła infekcji. W naszym biurze lista zmian wynika wprost z przebiegu ataku. Wejście przez RDP zamyka VPN z dwuskładnikowym logowaniem. Wymazany NAS przestaje być jedyną kopią, a dostęp do niego mają tylko konta służące do backupu, nie konta pracowników. Kopia w chmurze zostaje, ale co kwartał ktoś robi próbne odtworzenie bazy księgowej pod inną nazwą. Hasła trafiają do menedżera haseł.
Tożsamość jest tu kluczowa. Według raportu Sophos 2026 aż 79% ataków zaczęło się od tożsamości, czyli od złośliwej wiadomości, phishingu albo przejętych danych logowania. Wykorzystane podatności w oprogramowaniu stanowiły 18%. Dlatego najwięcej daje praca nad kontami i logowaniem, nie kolejny program zabezpieczający.
Jeśli nie wiesz, które z tych luk są w twojej firmie, zacznij od audytu bezpieczeństwa IT. Pokaże, czy masz wystawiony do internetu RDP, czy kopia zapasowa jest oddzielona od reszty sieci i czy da się ją odtworzyć. Ogólny plan zabezpieczenia małej firmy opisałem też we wpisie o cyberbezpieczeństwie dla małych firm.
9. Podsumowanie
Atak ransomware rozgrywa się w dwóch etapach. Pierwszy to kilka minut paniki, w których łatwo popełnić błąd, czyli wyłączyć wszystko, skasować pliki albo od razu zapłacić. Drugi to kilka dni spokojnej, metodycznej pracy. Trzeba odciąć sieć, ustalić, jak atakujący wszedł, wybrać kopię sprzed włamania, odtworzyć dane na czystym systemie i zgłosić incydent. O tym, czy ten drugi etap w ogóle jest możliwy, decyduje to, co zrobiłeś miesiące wcześniej. Kopia musi leżeć poza zasięgiem atakującego, sięgać daleko wstecz i być sprawdzona.
R-Backup jest w cenie dla firm, którymi opiekuję się w ramach outsourcingu IT, możesz też korzystać z niego jako z osobnej usługi. Jeśli chcesz sprawdzić, czy twoja firma przeszłaby taki poniedziałek, napisz do mnie. Zrobimy razem próbne odtworzenie, zanim będzie musiało zadziałać naprawdę.