Checklista reagowania na ransomware w MŚP
Zespół bezpieczeństwa CyberLord Profil autora
Pierwszym sygnałem rzadko bywa komunikat z żądaniem okupu. Znacznie częściej jest to księgowa, która nie potrafi otworzyć arkusza, albo drukarka, która nagle przestała widzieć serwer plików. Do chwili, w której na ekranie pojawia się notatka od napastnika, mija zwykle kilkanaście minut — i właśnie wtedy zapadają decyzje przesądzające o skali strat. Restart komputera, pośpieszne czyszczenie dysku, sprawdzanie „czy innych też to dotyczy” — każdy z tych odruchów potrafi rozprzestrzenić szyfrowanie albo zniszczyć dowody.
Poniższa checklista jest napisana dla firmy, która nie ma etatowego zespołu bezpieczeństwa. Uporządkowaliśmy ją według kolejności działań, a nie według kategorii technicznych, bo w pierwszej godzinie liczy się to, co trzeba zrobić teraz. Punktem odniesienia są NIST SP 800-61 oraz wytyczne CISA #StopRansomware, dopasowane do realiów organizacji z jednym administratorem i kilkudziesięcioma stacjami roboczymi.
Dlaczego MŚP potrzebują checklisty reagowania na ransomware
Dane z raportu Verizon DBIR 2025 są jednoznaczne: w firmach z sektora MŚP ransomware występował w 88% zgłoszonych naruszeń, podczas gdy w dużych organizacjach w 39%. Różnica nie wynika z tego, że małe firmy przechowują ciekawsze dane. Wynika z ekonomii — napastnik nie negocjuje z działem prawnym ani nie czeka na decyzję zarządu, a jedna płatność pokrywa koszt całej kampanii.
Do tego dochodzi struktura strat. Mediana żądania okupu spadła w 2025 roku do około 115 tysięcy dolarów, ale suma szkód rzadko zamyka się w tej kwocie. Dochodzi przestój, utracone faktury i zamówienia, koszt analizy forensycznej, ewentualna kara regulatora oraz czas zarządu pochłonięty przez kryzys. W tym samym badaniu 64% poszkodowanych odmówiło zapłaty — i to jest liczba, którą warto znać, zanim pojawi się presja na szybkie rozwiązanie.
Pierwsze 30 minut: zatrzymaj rozprzestrzenianie
Odłączaj, nie wyłączaj
Komputer odcięty od sieci przestaje być zagrożeniem dla sąsiadów w sieci lokalnej. Wyłączony traci pamięć operacyjną, w której mogą znajdować się klucze szyfrujące, nazwa wariantu i ślady narzędzi napastnika. Dlatego wyciągamy kabel Ethernet, wyłączamy Wi-Fi i Bluetooth, ale nie naciskamy przycisku zasilania. To jedna z tych decyzji, które w stresie podejmuje się odwrotnie niż podpowiada intuicja.
Kopie zapasowe odcinamy w tej samej minucie
Szyfrowanie obejmuje często zasoby sieciowe oraz foldery chmurowe zamapowane w systemie jako dodatkowe dyski. Jeśli synchronizacja OneDrive, Dropbox lub klient macierzy NAS działa w tle, kopia zapasowa stanie się kolejną ofiarą. Zatrzymaj synchronizację, odłącz macierz i nośniki USB, a potem sprawdź, czy kopie nie są podłączone do domeny.
Kolejność działań w pierwszych minutach:
- potwierdź, że to ransomware — notatka, zmienione rozszerzenia plików, zablokowany ekran;
- zadzwoń do osoby odpowiedzialnej za incydent, nie wysyłaj maila, bo skrzynka może być już przejęta;
- odizoluj zainfekowane maszyny od sieci, zachowując zasilanie;
- odetnij kopie zapasowe i synchronizację chmury;
- sfotografuj notatkę z żądaniem okupu, zanim ktokolwiek ją zamknie;
- rozpocznij dziennik zdarzeń z godzinami i nazwiskami osób podejmujących decyzje.
Ocena skali bez zgadywania
Po odizolowaniu maszyn trzeba ustalić, co zostało dotknięte. Serwer plików, baza danych, system finansowo-księgowy, poczta, kopie w chmurze — każdy z tych elementów ma inne znaczenie dla ciągłości działania i inne obowiązki informacyjne. W małej firmie wystarczy arkusz z listą systemów i trzema kolumnami: czy działa, czy zawiera dane osobowe, kto jest właścicielem.
Nie warto zgadywać wariantu na podstawie wyglądu notatki. Rozszerzenie plików i adres portfela kryptowalutowego to materiał dowodowy, który powinien trafić do analizy, a nie do wyszukiwarki. Jeśli firma ma umowę z dostawcą usług forensycznych, ten krok wykonuje się raz, z zachowaniem kopii obrazu dysku i logów.
Kogo zawiadomić i w jakiej kolejności
Kolejność zależy od tego, jakie dane wyciekły, a nie od tego, jak poważnie wygląda sytuacja na ekranie. Współczesne ataki ransomware prawie zawsze obejmują kradzież danych przed szyfrowaniem, więc incydent jest zwykle jednocześnie naruszeniem ochrony danych osobowych.
| Obowiązek | Adresat | Termin |
|---|---|---|
| Zgłoszenie naruszenia ochrony danych | Prezes UODO | do 72 godzin od stwierdzenia |
| Zgłoszenie incydentu | CERT Polska lub właściwy CSIRT | niezwłocznie, gdy firma podlega ustawie o KSC |
| Powiadomienie ubezpieczyciela | towarzystwo cyber | zgodnie z polisą, zwykle 24-48 godzin |
| Informacja dla osób, których dane dotyczą | klienci i pracownicy | bez zbędnej zwłoki, gdy ryzyko jest wysokie |
| Zawiadomienie organów ścigania | policja lub prokuratura | po zabezpieczeniu dowodów |
Zgłoszenie do regulatora nie jest przyznaniem się do winy, a brak zgłoszenia w terminie bywa droższy niż sam incydent. Warto przygotować szkic zawiadomienia wcześniej — wieczorem, w trakcie kryzysu, nikt nie pisze go od zera.
Odtwarzanie: kolejność ma znaczenie
Kopia sprzed kompromisu, nie najnowsza
Jeśli napastnik przebywał w sieci dwa tygodnie przed uruchomieniem szyfrowania, najnowsza kopia zawiera jego narzędzia i konta. Odtwarzanie warto oprzeć na kopii z okresu sprzed pierwszego śladu obecności, a nie na tej z ostatniej nocy, która jest po prostu najświeższa. W praktyce oznacza to, że organizacja musi wiedzieć, kiedy zaczęła się obecność napastnika, i mieć kopie z kilku punktów w czasie.
Wymiana poświadczeń w całości
Zmiana hasła administratora to za mało. Napastnicy zakładają własne konta, dodają reguły przekazywania poczty i pobierają poświadczenia z pamięci wielu maszyn. Po odtworzeniu systemów wymień hasła wszystkich kont, unieważnij sesje i tokeny, wdróż MFA, a następnie usuń konta, których nikt nie potrafi wyjaśnić.
Czego nie robić w trakcie incydentu
- Nie restartuj zainfekowanych maszyn — drugi ładunek szyfrujący i utrata pamięci to typowy skutek paniki.
- Nie płać bez konsultacji — decyzja o okupie nie jest decyzją techniczną, a płatność nie gwarantuje odzyskania danych.
- Nie komunikuj się firmową pocztą — jeśli napastnik jest w skrzynce, czyta Twoją strategię. Używaj telefonów i kanałów spoza organizacji.
- Nie kasuj artefaktów — notatka, próbki zaszyfrowanych plików i logi są dowodami, bez których analiza utknie.
- Nie przywracaj wyłącznie najnowszej kopii — patrz akapit wyżej.
- Nie odkładaj zgłoszeń — terminy ustawowe biegną od momentu stwierdzenia naruszenia, nie od zakończenia prac porządkowych.
Checklista w skrócie
| Faza | Czas | Najważniejsze działanie |
|---|---|---|
| Izolacja | 0-30 min | Odcięcie sieci, ochrona kopii, dziennik zdarzeń |
| Ocena | 30-120 min | Zakres systemów, dane osobowe, ubezpieczyciel |
| Zgłoszenia | do 24 h | UODO, CERT Polska, klienci, organy ścigania |
| Odtwarzanie | 24-72 h | Czysty obraz, kopia sprzed kompromisu, nowe poświadczenia |
| Monitoring | 30 dni | Wykrywanie tylnych furtek i ponownej infekcji |
| Przegląd | do 14 dni | Wnioski, aktualizacja planu, test odtwarzania |
Decyzja o okupie
Płatność nie jest transakcją, w której kupuje się dostęp do danych. To przelew do grupy przestępczej, po którym klucz może nie zadziałać, może działać częściowo albo może posłużyć do drugiego żądania. CISA i FBI rekomendują, by decyzję poprzedziła ocena możliwości odtworzenia z kopii oraz konsultacja z prawnikiem i ubezpieczycielem.
Warto pamiętać także o sankcjach. W niektórych przypadkach zapłata okupu grupie objętej restrykcjami może naruszać przepisy, a ubezpieczyciel może odmówić wypłaty. Decyzję podejmuje zarząd, ale powinien ją podejmować na podstawie dokumentu przygotowanego wcześniej, a nie w czwartek o trzeciej nad ranem.
Kopia zapasowa: zasada 3-2-1 i jej słabe punkty
Zasada 3-2-1 jest nadal aktualna: trzy kopie danych, dwa różne nośniki, jedna kopia poza siedzibą lub całkowicie offline. Jej najsłabszy punkt to codzienna praktyka — kopia podłączona do sieci przestaje być kopią, gdy ransomware ma do niej dostęp. Dlatego warto dodać dwa elementy: niezmienność zapisu (WORM) oraz test odtwarzania raz na kwartał, z mierzeniem czasu, a nie tylko z odhaczeniem pozycji w tabeli.
Plan odtworzenia powinien też odpowiadać na pytanie o RTO i RPO — jak długo firma wytrzyma bez systemu i ile godzin danych może stracić. Bez tych dwóch liczb rozmowa o budżecie na kopie zapasowe sprowadza się do wymiany opinii.
Po incydencie: przegląd w ciągu dwóch tygodni
Po przywróceniu usług zaczyna się etap, który najczęściej jest pomijany. Pisemny przegląd powinien zawierać chronologię zdarzeń, listę decyzji wraz z osobami odpowiedzialnymi, ocenę tego, co zadziałało, oraz wykaz luk — w komunikacji, w kopiach, w wykrywaniu. Na tej podstawie aktualizuje się plan i checklistę, a nie odwrotnie.
Warto też zaplanować ćwiczenie stołowe z udziałem zarządu. Godzina rozmowy o scenariuszu „serwer plików zaszyfrowany o 8:10” ujawnia więcej niż kilkadziesiąt stron procedur, bo pokazuje, kto faktycznie odbiera telefon i kto ma uprawnienia do odtworzenia kopii.
Jak przygotować się przed atakiem
Trzy działania zmniejszają ryzyko powtórki najbardziej: MFA na wszystkich dostępie zdalnym i administracyjnym, wyłączenie publicznie wystawionego RDP oraz terminowe łatanie systemów widocznych z internetu. Dalej: segmentacja sieci, wykrywanie na stacjach końcowych i uporządkowany offboarding, bo konta byłych pracowników to klasyczna droga wejścia.
Przed atakiem warto też ustalić, kto ma prawo odtworzyć kopie i czy potrafi to zrobić bez obecności dostawcy. To pytanie brzmi banalnie do momentu, w którym okazuje się, że hasło do konsoli zna jedna osoba, akurat przebywająca na urlopie.
Najczęściej zadawane pytania
Od czego zacząć, jeśli właśnie widzę zaszyfrowane pliki?
Od odcięcia maszyn od sieci i odłączenia kopii zapasowych. Potem zadzwoń do osoby odpowiedzialnej za incydent, sfotografuj notatkę i zacznij prowadzić dziennik. Nie restartuj komputerów i nie próbuj naprawiać plików na własną rękę.
Czy mamy obowiązek zgłosić atak do UODO?
Jeśli doszło do naruszenia ochrony danych osobowych, co przy ransomware jest bardziej prawdopodobne niż nie, zgłoszenie do Prezesa UODO jest wymagane w ciągu 72 godzin od stwierdzenia naruszenia. Zakres zgłoszenia zależy od kategorii danych i ryzyka dla osób, których dane dotyczą.
Ile trwa odtworzenie firmy po ataku?
To zależy od kompletności kopii i od tego, czy są czyste. Organizacja z przetestowanymi kopiami offline wraca do pracy w ciągu dwóch, trzech dni. Bez kopii odtwarzanie ciągnie się tygodniami, a część danych często nie wraca wcale.
Czy warto zapłacić okup?
CISA i FBI rekomendują, by tego nie robić. Płatność nie gwarantuje klucza, finansuje kolejne kampanie i bywa niezgodna z przepisami o sankcjach. Decyzję powinien poprzedzić przegląd kopii oraz konsultacja z prawnikiem i ubezpieczycielem.
Jak często testować plan reagowania?
Przegląd dokumentu raz na pół roku i jedno ćwiczenie stołowe w roku to minimum dla firmy do pięćdziesięciu osób. Po każdym incydencie, nawet niewielkim, plan wymaga aktualizacji — inaczej następny kryzys odbędzie się według starej wersji.
Chcesz sprawdzić, czy Twój zespół poradziłby sobie w pierwszych trzydziestu minutach? Porozmawiaj z zespołem.