Ransomware as a service: małe firmy na celowniku

Ransomware as a service (RaaS) to model, w którym autor szyfratora wynajmuje narzędzie afiliantowi i dzieli z nim okup. Dla małej firmy zmienia się jedno: naprzeciwko nie stoi grupa, która tygodniami rozpoznawałaby twoją sieć, tylko ktoś, kto kupił gotowy dostęp. Mała firma jest celem, bo jest tania w zdobyciu — nie dlatego, że jest bogata.

Najważniejsze w skrócie

• Operator bierze 20–30% okupu, afiliant 70–80% — dlatego opłaca się działać wolumenowo.
• Dostęp do sieci sprzedają brokerzy, a phishing i szyfrator są produktami z katalogu.
• Wymuszenie rzadko kończy się na szyfrowaniu: dochodzi kradzież danych.
• Decyzję o odbudowie podejmuje się przed incydentem, na piśmie.

Trzy role i podział okupu

Operator utrzymuje szyfrator, panel ofiar i kanał płatności. Nie atakuje sam — bierze prowizję, zwykle 20–30% okupu, więc zależy mu na liczbie wymuszeń, nie na tym, kogo dotkną.

Afiliant to strona wykonawcza, często osoba bez głębokiej wiedzy technicznej: kupuje dostęp, rozsyła phishing albo wykorzystuje niezałatany VPN, a szyfrowanie uruchamia gotowym narzędziem. Zatrzymuje 70–80% okupu.

Broker dostępu włamuje się, ale nie szyfruje. Sprzedaje dostęp jako towar: branża, obrót, liczba stacji, uprawnienia, cena. Czyjś niezałatany Fortinet stoi na wystawie kilka dni.

Dlaczego „jesteśmy za mali” to założenie atakującego

Dlaczego ransomware as a service małe firmy dotyka częściej niż korporacje? Bo deklaracja „jesteśmy za mali” jest prawdziwa tylko wtedy, gdy atakujący wybiera cię świadomie — a w RaaS prawie nikt nie wybiera: skanowanie całej przestrzeni adresowej jest tanie i ciągłe, a lista celów powstaje z automatycznych zapytań.

• Wystawiony RDP. Port 3389 widoczny z internetu jest skanowany bez przerwy, a konta z hasłem sezonowym łamane w godzinach.
• Niezałatana brama VPN. Luki w urządzeniach brzegowych to najczęstsza droga wejścia w MŚP: łatka wymaga okna serwisowego, a okno się przesuwa.
• Poczta jako wektor. Zestaw phishingowy z poprawnym polskim i fakturą w PDF kosztuje mniej niż lunch.
• Ślad w internecie. Struktura firmy, nazwiska i systemy z ogłoszeń o pracę wystarczą do wiarygodnej wiadomości.

W programach RaaS większość ofiar to MŚP — są liczniejsze i słabiej chronione, nie ciekawsze.

Podwójne i potrójne wymuszenie

Dostępność. Serwery plików, ERP i poczta stają w kilka godzin. Firma bez faktury traci płynność szybciej niż reputację.

Dane. Przed szyfrowaniem dane są kopiowane: bazy klientów, akta pracownicze, umowy. Szyfrowanie cofniesz z backupu, wycieku nie. Dochodzi strona wyciekowa i drugie żądanie — za „usunięcie” kopii.

Presja zewnętrzna. Telefony do klientów, wiadomości do kontrahentów, groźba zawiadomienia organu nadzorczego — wymuszenie na reputacji, obliczone na to, że zapłacisz za ciszę.

Nie da się potwierdzić, że ktoś usunął wykradzione dane. „Zapłaciliśmy za usunięcie” to zdanie, którego nie obronisz przed klientem ani przed UODO.

Ile żądają i dlaczego zapłata nie działa

Afiliant wycenia ofiarę pod jej możliwości: okup ma być bolesny, ale wykonalny w kilka dni. Mikroprzedsiębiorstwo bez własnego IT dostaje żądanie rzędu 20–80 tys. zł, firma z kilkudziesięcioma pracownikami 80–400 tys. zł, a spółka z obrotem kilkudziesięciu milionów 200 tys. – 2 mln zł, czyli od kilku do kilkuset tysięcy dolarów lub euro.

Zapłata nie trafia do „konsultanta”, który odblokuje pliki. Z 70–80% dla afilianta finansowana jest kolejna kampania, także przeciw firmom z twojej branży: utracona baza klientów jest listą kontaktów. Dochodzi ryzyko prawne — płatność do podmiotu objętego sankcjami, odmowa wypłaty przez ubezpieczyciela, wpis na listę płatników.

Co mieć gotowe, zanim zadzwoni pierwszy telefon

1. Kopie 3-2-1 z jedną offline lub niezmienną. Trzy kopie, dwa nośniki, jedna poza zasięgiem konta administratora. Storage WORM albo odłączona taśma to jedyna kopia, której ransomware nie usunie.
2. Test odtworzenia z zegarkiem. Raz na kwartał odtwórz serwer i zmierz czas. Backup, którego nie odtworzyłeś, jest hipotezą.
3. MFA na każdym dostępie zdalnym. VPN, RDP, panel poczty, panel hostingu, konta administratorów w chmurze.
4. EDR z alertem do człowieka. Antywirus szuka znanych plików, EDR szuka zachowania: masowego usuwania kopii, szyfrowania setek plików w minutę.
5. Polisa z aneksem ransomware. Sprawdź, czy obejmuje analizę forensyczną, odbudowę i OC, jaki jest podlimit i czy wypłata okupu jest dopuszczona.

Drzewo decyzji: odbudowa, negocjacja czy budowa od zera

Czy kopia jest zdrowa i kiedy powstała? Ostatnia dobra kopia z wczoraj i osiem godzin odtworzenia zamykają sprawę: wracasz z backupu i nie płacisz.

Czy dane wyszły? Bez eksfiltracji to problem dostępności. Z eksfiltracją — dostępności, RODO i relacji z klientami.

Ile kosztuje dzień przestoju? Trzy dni po 20 tys. zł to 60 tys. zł. Jeśli żądanie jest niższe, ktoś powie „zapłaćmy” — dlatego decyzję podejmuje się wcześniej.

• Kopia zdrowa, brak eksfiltracji → odbudowa w odizolowanym środowisku, rotacja poświadczeń, analiza logów.
• Kopia zdrowa, eksfiltracja potwierdzona → odbudowa plus prawnik, zgłoszenie do UODO, komunikacja do klientów.
• Brak użytecznej kopii → odbudowa od zera (dni lub tygodnie, utrata historii) albo negocjacja (szybciej, drożej, bez gwarancji klucza). Decyzja zarządu, zapisana z uzasadnieniem.

Negocjacja jest legalna i czasem racjonalna — przy danych, których nie da się odtworzyć, i gdy prowadzi ją prawnik z ubezpieczycielem.

Incydent krok po kroku, z polskimi obowiązkami

1. Odizoluj, nie wyłączaj. Odłącz maszyny od sieci i zatrzymaj synchronizację kopii, ale nie wyłączaj serwerów — w pamięci zostają ślady procesów.
2. Powiadom właściciela, ubezpieczyciela i prawnika. Część polis wymaga zgłoszenia w określonym czasie, więc nie odkładaj tego do rana.
3. Zabezpiecz dowody. Obrazy dysków, logi, zrzut notatki z żądaniem, chronologia zdarzeń.
4. Ustal zakres. Co zaszyfrowane, co skopiowane, czy w zbiorach były dane osobowe — bez tego nie policzysz terminów RODO.
5. Odbuduj w izolacji. Nowe hasła, klucze API, unieważnione sesje. Odtworzenie serwera z tym samym kontem administratora kończy się zwykle drugim szyfrowaniem.
6. Zgłoś do UODO w 72 godziny, jeśli doszło do naruszenia ochrony danych osobowych. Obowiązek z art. 33 RODO dotyczy ryzyka dla osób, których dane dotyczą, nie samego ataku: zgłoszenie opisuje charakter naruszenia, kategorie danych i podjęte działania, a przy wysokim ryzyku dochodzi zawiadomienie osób z art. 34.
7. Zgłoś incydent do CERT Polska / CSIRT NASK. Zgłoszenie jest bezpłatne i daje wiedzę o kampanii; podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa mają dodatkowo terminy właściwego CSIRT.
8. Złóż zawiadomienie na Policję — wydział do walki z cyberprzestępczością przyjmie zgłoszenie czynu z art. 267, 268a lub 287 k.k. Numer sprawy przydaje się ubezpieczycielowi.

Ile to naprawdę kosztuje w złotych

Okup jest najmniejszą pozycją w rachunku. Przedziały dotyczą małej lub średniej firmy i są rzędami wielkości, nie ofertą.

Pozycja	Typowy zakres	Co decyduje
Przestój operacyjny	3 000–40 000 zł za dzień	czy stoją sprzedaż i fakturowanie
Odbudowa środowiska	15 000–150 000 zł	liczba serwerów, wiek kopii
Analiza forensyczna	20 000–120 000 zł	zakres, liczba hostów, raport dla UODO
Obsługa prawna i RODO	8 000–60 000 zł	zgłoszenia, komunikacja, roszczenia
Utrata klientów	5–30% obrotu rocznego	branża, długość przestoju, wyciek
Składka ubezpieczeniowa	+20–80% przy odnowieniu	historia szkód, zabezpieczenia
Okup, jeśli zapłacono	20 000–2 000 000 zł	przychód, polisa, negocjacje

MFA, EDR i test kopii to kilka tysięcy miesięcznie — mniej niż weekend przestoju. Pomoc z zewnątrz podpisz wcześniej: zakres, art. 28 RODO, polisa OC (jak bezpiecznie zatrudnić hakera, wymogi prawne). Sprawdź też wcześniej, czy któreś z sygnałów kompromitacji już u ciebie występują.

Najczęstsze pytania

Czy mała firma musi się bać ransomware as a service? Musi liczyć się z ryzykiem, nie żyć w lęku. RaaS obniżył koszt ataku do poziomu, na którym opłaca się uderzać w firmy bez działu IT.

Czy zapłacenie okupu kończy sprawę? Nie. Płatność nie gwarantuje klucza, nie usuwa wykradzionych danych i oznacza firmę jako skłonną do zapłaty.

W jakim terminie zgłosić incydent do UODO? W ciągu 72 godzin od stwierdzenia naruszenia, zgodnie z art. 33 RODO — nie od zakończenia odbudowy.

Czy trzeba zawiadamiać Policję? Nie jest to warunek odbudowy, ale daje numer sprawy dla ubezpieczyciela i uruchamia postępowanie.

Podsumowanie

Ransomware as a service to dojrzały rynek z prowizjami i podziałem ról, w którym mała firma pełni funkcję taniej jednostki produkcyjnej. Nie wygrywa się z nim deklaracją, że „nas to nie dotyczy”, tylko trzema decyzjami z spokojnego tygodnia: kopią, którą potrafisz odtworzyć, dostępem zdalnym bez słabego hasła oraz planem, w którym wiadomo, kto decyduje i kogo zawiadamia w pierwszej godzinie.

Materiał ma charakter informacyjny i nie stanowi porady prawnej. Zakres obowiązków zgłoszeniowych zależy od charakteru naruszenia i rodzaju działalności — w konkretnej sprawie skonsultuj się z radcą prawnym lub doradcą ds. ochrony danych.