Po włamaniu lub ataku ransomware: odzyskiwanie bez ponownego zakażenia

Moduł 8: Gdy coś pójdzie nie tak · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili przeprowadzić fazę odzyskiwania po włamaniu lub ataku ransomware: ograniczyć skutki, ustalić, jak doszło do incydentu, bezpiecznie odtworzyć systemy, złożyć zawiadomienie, odpowiednio się komunikować i wyciągnąć wnioski.

Kluczowe pojęcia: ograniczenie skutków, izolacja, wstępny dostęp, persystencja, analiza powłamaniowa, czysta reinstalacja, kolejność odzyskiwania, zawiadomienie o przestępstwie, No More Ransom, okup, ubezpieczenie cybernetyczne, ewaluacja

Największy błąd: zbyt szybkie „przywrócenie wszystkiego”

Twórca stron internetowych otrzymuje we wtorek zgłoszenie: witryna WordPress klienta przekierowuje odwiedzających do fałszywego sklepu. Przywraca kopię zapasową sprzed tygodnia, strona znów działa, sprawa zamknięta. W czwartek dochodzi do ponownego ataku. Napastnik dostał się do systemu przez nieaktualną wtyczkę i pozostawił dodatkowe konto administratora oraz ukryty plik. Kopia zapasowa sprzed tygodnia zawierała już te elementy. Przywrócenie danych bez wiedzy, w jaki sposób ktoś się włamał, oznacza ponowne otwarcie tych samych drzwi.

To samo dzieje się w przypadku ransomware w sieci biurowej. Przestępcy często przebywają w systemie już od dni lub tygodni, zanim zaszyfrują dane. W tym czasie tworzą dodatkowe konta, instalują oprogramowanie do zdalnego dostępu i szukają kopii zapasowych. Osoba, która przywraca jedynie zaszyfrowane pliki, pozostawia napastnika w systemie.

Dlatego odzyskiwanie przebiega w pięciu krokach, w podanej kolejności.

Krok 1: ograniczenie skutków

Ograniczenie skutków oznacza: zadbanie, aby sytuacja się nie pogorszyła. Pierwsze minuty opisano na karcie postępowania w razie incydentu (lekcja 8.1).

• Należy odizolować zaatakowane urządzenia: odłączyć kabel sieciowy, wyłączyć wifi i sieć komórkową lub przełączyć w tryb samolotowy. Niderlandzkie NCSC zaleca, aby nie wyłączać zaatakowanych systemów, lecz je odłączać; tryb uśpienia jest dopuszczalny. Dzięki temu ślady w pamięci operacyjnej pozostają zachowane, a rozprzestrzenianie się ataku zostaje zatrzymane.
• Należy odłączyć zewnętrzne dyski i nośniki kopii zapasowych i nie podłączać ich do urządzenia, które może być zakażone.
• Jeśli izolacja systemu nie jest możliwa, należy przerwać połączenie z dyskiem sieciowym. Jeśli dotknięta jest cała sieć, trzeba odłączyć ją od internetu (na przykład wyłączając połączenie internetowe lub zaporę sieciową).
• Hasła należy zmieniać z czystego urządzenia, zaczynając od najważniejszych: kont administratora, poczty, menedżera haseł, banku. Należy wylogować wszystkie sesje wszędzie. Nie wolno robić tego z komputera, który może zawierać infostealera lub keyloggera (lekcja 1.4), ponieważ wówczas nowe hasło zostaje od razu przekazane napastnikowi.
• Należy zachować dowody: zdjęcie wiadomości z żądaniem okupu, maile, żądania płatności, adresy kryptowalutowe, znaczniki czasu. Niczego nie wolno wyrzucać.

W przypadku zaatakowanej strony internetowej ograniczenie skutków oznacza: tymczasowe wyłączenie strony lub przełączenie jej w tryb konserwacji, zmianę wszystkich haseł (panel administracyjny, FTP, baza danych, hosting) oraz skontaktowanie się z firmą hostingową.

Krok 2: ustalenie, co się wydarzyło

Należy ustalić trzy rzeczy:

1. Jak doszło do włamania? Wstępny dostęp: wiadomość phishingowa, skradzione hasło bez 2FA, nieaktualny serwer VPN lub wtyczka, otwarte połączenie do zdalnego zarządzania.
2. Co pozostawiono w systemie? Persystencja: dodatkowe konta, zaplanowane zadania, oprogramowanie do zdalnego zarządzania, reguły przekierowania w skrzynkach pocztowych, dodatkowe pliki na serwerze WWW.
3. Co zostało skopiowane? W przypadku nowoczesnego ransomware przestępcy często najpierw kopiują dane i grożą ich publikacją (podwójne wymuszenie, lekcja 1.3). W takim przypadku dochodzi również do naruszenia ochrony danych (lekcja 8.2).

Dla małej firmy samodzielne wykonanie tego zadania jest rzadko możliwe. Należy skontaktować się z dostawcą IT lub wyspecjalizowaną firmą zajmującą się reagowaniem na incydenty. Wiele ubezpieczeń cybernetycznych ma stały numer kontaktowy do takiego zespołu. Warto zapytać zewnętrzną firmę, jakie ma doświadczenie z danym rodzajem incydentu, oraz wcześniej ustalić zakres badania.

W przypadku strony internetowej pomocne są: dziennik dostępu i dziennik błędów serwera WWW, skanowanie plików pod kątem złośliwego oprogramowania oraz porównanie z czystą kopią CMS i wtyczek.

Krok 3: bezpieczne odzyskiwanie

Dopiero gdy wiadomo, jak napastnik dostał się do systemu i ta droga została zamknięta, można rozpocząć odzyskiwanie.

Odzyskiwanie należy przeprowadzić w kolejności ustalonej w planie (lekcja 8.1 i 6.3): najpierw to, co jest niezbędne, aby firma mogła działać dalej. Przywróconą część należy trzymać oddzielnie od tej, która nie została jeszcze sprawdzona.

Właśnie w tym momencie okazuje się, czy kopia zapasowa jest wiarygodna. Kopia zapasowa podłączona do sieci jest często również zaszyfrowana lub usunięta. Kopia zapasowa offline lub niemodyfikowalna (lekcja 6.2) oraz przetestowana procedura przywracania (lekcja 6.3) decydują o różnicy między przestojem trwającym kilka dni a przestojem trwającym kilka tygodni.

Krok 4: zawiadomienie, zgłoszenia i okup

Zawiadomienie o przestępstwie. Należy złożyć zawiadomienie na Policji (https://www.policja.pl/). Trzeba zabrać ze sobą dowody (wiadomość z żądaniem okupu, maile, dane dotyczące płatności). Zawiadomienie jest potrzebne do prowadzenia postępowania, pomaga Policji dostrzec powiązania, a ubezpieczyciele często o nie proszą.

No More Ransom. Na stronie https://www.nomoreransom.org (inicjatywa między innymi Europolu i niderlandzkiej policji) można sprawdzić zaszyfrowany plik lub wiadomość z żądaniem okupu. Dla niektórych rodzin ransomware istnieje bezpłatny dekryptor. Dla większości nowych odmian nie, ale sprawdzenie zajmuje niewiele czasu.

Zgłoszenia. Należy ustalić, jakie zgłoszenia są wymagane: naruszenie ochrony danych zgłaszane do UODO przez formularz elektroniczny w ciągu 72 godzin (lekcja 8.2), istotny incydent zgłaszany zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa (KSC), jeśli podmiot podlega tym przepisom (lekcja 9.1), oraz to, co zostało ustalone z klientami lub zleceniodawcami.

Okup. Niderlandzkie NCSC odradza płacenie okupu, a Policja zaleca „najlepiej nie płacić”. Powody są następujące:

• Nie ma gwarancji, że otrzymają Państwo działający klucz ani że dane i tak nie zostaną opublikowane.
• Odzyskane dane mogą być uszkodzone lub zmienione.
• Ten, kto zapłacił, jest postrzegany jako osoba skłonna płacić. Ofiary bywają ponownie wymuszane lub atakowane po raz kolejny w przyszłości.
• Płacąc, finansują Państwo kolejny atak.

Jeśli mimo wszystko rozważają Państwo zapłatę, lub jeśli zapłata już nastąpiła, należy zawsze zgłosić to Policji: dane dotyczące płatności mogą pomóc w prowadzonym postępowaniu. Ta decyzja należy do osoby decyzyjnej wskazanej w planie postępowania w razie incydentu, a nie do osoby, która jako pierwsza zobaczy wiadomość.

Ubezpieczenie cybernetyczne. Ubezpieczenie cybernetyczne może pokryć koszty badania, odzyskiwania i szkód operacyjnych, a często zapewnia także dostęp do zespołu reagowania na incydenty. Warto przeczytać warunki: wiele polis wymaga podstawowych zabezpieczeń, takich jak 2FA i kopie zapasowe, oraz szybkiego zgłaszania incydentów. Niderlandzkie NCSC napisało w kwietniu 2025 roku, na podstawie badania ponad 500 incydentów ransomware w sektorze MŚP, że napastnicy po uzyskaniu dostępu szukają plików o nazwach takich jak „ubezpieczenie” lub „polisa”, aby wzmocnić swoją pozycję negocjacyjną. Warto więc sprawdzić, jak łatwo intruz może znaleźć polisę, i najlepiej nie przechowywać jej na dysku współdzielonym. Ubezpieczenie nie zastępuje środków zabezpieczających: pokrywa szkodę, ale jej nie zapobiega.

Krok 5: komunikacja i wnioski

Osoba odpowiedzialna za komunikację, wskazana w planie, powinna przekazać pracownikom, klientom i dostawcom jedną jasną historię: co się wydarzyło, co to dla nich oznacza, co powinni zrobić (na przykład: zwracać uwagę na maile, które wyglądają, jakby pochodziły od Państwa firmy), oraz kiedy otrzymają kolejne informacje. Uczciwa i terminowa komunikacja działa lepiej niż milczenie do momentu wycieku informacji.

W ciągu kilku tygodni należy zaplanować ewaluację: co poszło dobrze, co poszło źle, co należy zmienić? Niemal zawsze pojawiają się te same wnioski: gdzieś brakowało 2FA, jakiś system nie był zaktualizowany, kopia zapasowa nie była przetestowana, albo nikt nie wiedział, kto ma podejmować decyzje. Te punkty należy ująć w planie z lekcji 9.3, wraz z osobą odpowiedzialną i terminem.

W praktyce: jak to wygląda

W przypadku zaatakowanej strony internetowej na pakiecie hostingowym zwykle korzysta się z narzędzi dostawcy hostingu. W WebOké są to na przykład skaner złośliwego oprogramowania (Imunify360), pliki dziennika w DirectAdmin, przywracanie kopii zapasowej z WebOké Backups oraz instrukcje krok po kroku w podręczniku DirectAdmin. U innych dostawców hostingu dostępne są podobne narzędzia; warto zapytać swojego dostawcę, co oferuje i jak daleko wstecz sięgają kopie zapasowe, zanim będzie to potrzebne.

Podsumowanie

• Odzyskiwanie w pięciu krokach: ograniczenie skutków, ustalenie przyczyny, bezpieczne odzyskiwanie, zawiadomienie i zgłoszenia, komunikacja i wnioski.
• Należy izolować, nie wyłączać, a hasła zmieniać wyłącznie z czystego urządzenia.
• Niczego nie wolno przywracać, zanim nie wiadomo, jak napastnik dostał się do systemu; w przeciwnym razie otwierają Państwo te same drzwi ponownie.
• Zainfekowane urządzenia należy zainstalować od nowa i odzyskać dane z kopii zapasowej sprzed włamania.
• Należy złożyć zawiadomienie, sprawdzić No More Ransom i najlepiej nie płacić okupu.

Quiz

Zadanie

Zadanie A8.3: Ułóż etapy przywracania we właściwej kolejności. Otrzymają Państwo przykładowy przypadek oraz dziesięć osobnych kroków (na przykład „przywrócić kopię zapasową”, „odłączyć kabel sieciowy”, „ustalić, jak napastnik dostał się do systemu”, „złożyć zawiadomienie o przestępstwie”). Należy ułożyć je we właściwej kolejności. Program sprawdza, czy zachowane są stałe zasady kolejności (na przykład: izolacja przed przywróceniem, ustalenie przyczyny przed przywróceniem, ponowna instalacja przed przywróceniem danych) i przy każdym błędzie wyjaśnia dlaczego.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.

• Instrukcja DirectAdmin 18.2: Moja strona została zhakowana: plan działania
• Pomocy! Moja strona została zhakowana. Jak to naprawić lub temu zapobiec?
• Skaner Imunify360
• Kopie zapasowe WebOké: przeglądanie, przywracanie lub pobieranie kopii zapasowej
• Niderlandzkie NCSC, Co robić w przypadku ataku ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Niderlandzkie NCSC, Ransomware w sektorze MŚP: cyberprzestępcy podnoszą okup w przypadku ubezpieczenia cybernetycznego: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org