10 sygnałów, że twoja firma ma intruza w sieci
Zespół bezpieczeństwa CyberLord Profil autora
Większość firm dowiaduje się o włamaniu nie z alertu, tylko z rozmowy: klient pyta o fakturę, której nikt nie wystawił, pracownik nie może zalogować się drugi raz tego samego dnia, a na dysku pojawiają się pliki z obcym rozszerzeniem.
Pojedynczy sygnał rzadko oznacza atak. Kilka naraz — prawie zawsze. Średni czas między wejściem intruza a wykryciem liczy się w miesiącach, a nie dniach: ktoś mapuje wtedy sieć, podnosi uprawnienia i szykuje wywóz danych.
Lista poniżej to zestaw kontrolny na jedno popołudnie z administratorem.
Dziesięć sygnałów, które widać dopiero po fakcie
1. Konto administratora, którego nikt nie zakładał
Co widać: w katalogu pojawia się admin_temp, support_user lub sys_test, a IT nie potwierdza utworzenia.
Co to znaczy: intruz buduje trwały dostęp. Zamknięcie pierwotnej luki nic nie da, dopóki konto istnieje.
2. Ruch wychodzący w środku nocy
Co widać: monitoring pokazuje gigabajty danych opuszczających sieć o 2:00, choć nie było kopii ani migracji.
Co to znaczy: eksfiltracja — dane klientów i skrzynki wychodzą przed atakiem, bo po zaszyfrowaniu byłyby mniej warte.
3. Narzędzia administracyjne w złych miejscach
Co widać: PowerShell, PsExec lub zdalny pulpit działają na laptopie z HR albo księgowości.
Co to znaczy: living off the land — atakujący używa tego, co już masz, więc antywirus milczy. Więcej w tekście o TTP.
4. Antywirus lub EDR wyłącza się sam
Co widać: ochrona endpointów gaśnie bez polecenia administratora, alerty znikają z konsoli.
Co to znaczy: ktoś ma uprawnienia, które pozwalają mu oślepić obronę przed głównym etapem. Jeden z najpoważniejszych sygnałów.
5. Fala blokad kont
Co widać: kilkanaście osób traci dostęp w godzinę, logi pokazują setki nieudanych prób.
Co to znaczy: atak słownikowy lub password spraying. Chodzi o jedno konto z prostym hasłem i dostępem do poczty.
6. Zmiany w przeglądarkach
Co widać: pracownicy zgłaszają nową stronę startową, paski narzędzi i wtyczki, których nie instalowali.
Co to znaczy: adware lub spyware, zwykle lekceważone, ale w firmie bywa etapem kradzieży ciasteczek sesyjnych — po nich intruz wchodzi do chmury bez hasła.
7. Sieć zwalnia, choć dostawca widzi sprawność
Co widać: połączenia są wolne, testy łącza wypadają źle, operator nie widzi awarii.
Co to znaczy: łącze może pracować dla kogoś innego jako część botnetu, a ta infrastruktura bywa potem skierowana przeciwko tobie.
8. Pliki z rozszerzeniem .locked lub .enc
Co widać: dokumenty na dysku współdzielonym zmieniają nazwy na faktury.xlsx.locked.
Co to znaczy: ransomware w ostatniej fazie. Szyfrowanie trwa, liczy się odcięcie hostów, nie negocjacje.
9. Restarty bez harmonogramu
Co widać: serwer wstaje o nietypowej godzinie, choć nie było okna serwisowego.
Co to znaczy: restart bywa potrzebny do instalacji rootkitu albo wyczyszczenia logów, które ujawniłyby intruza.
10. Maile z twojej domeny, których nie napisałeś
Co widać: kontrahenci odpowiadają na „fakturę", której nie wysłałeś, i dziwią się prośbie o zmianę konta.
Co to znaczy: przejęta skrzynka, czyli business email compromise: zaufana domena pracuje przeciw partnerom. Więcej w tekście o phishingu z AI.
Widzę u siebie kilka sygnałów. Co robić od razu?
Jeśli potwierdzasz więcej niż jeden punkt, przyjmij, że doszło do naruszenia. Na pełną prawdę przyjdzie czas z ludźmi, którzy mają metody i uprawnienia.
Odetnij hosta, ale go nie wyłączaj
Odłącz maszynę od sieci: kabel, Wi-Fi, port przełącznika. Nie wyłączaj jej jednak — restart kasuje pamięć ze śladami procesów i sesji, a dla późniejszej analizy forensycznej to różnica między raportem a domysłem.
Odbierz poświadczenia z czystego urządzenia
Hasła administracyjne zmieniaj z komputera, którego incydent nie dotyczy. Sama zmiana hasła nie wystarczy: unieważnij sesje i tokeny odświeżania, inaczej skradzione ciasteczka nadal działają.
Pierwsze 24 godziny: kolejność ważniejsza niż tempo
Zespoły, które w pierwszej godzinie zaczynają odbudowę, rutynowo niszczą logi pokazujące zasięg intruza. Zapisuj czas, decyzję i osobę, która ją zatwierdziła — ten dziennik bywa potem podstawą raportu dla ubezpieczyciela.
Trzy role przed odłączeniem pierwszego kabla
- Kierownik incydentu — prowadzi oś czasu, zatwierdza działania zakłócające, mówi w imieniu firmy.
- Opiekun dowodów — decyduje, kto dotyka maszyny, i prowadzi kartę łańcucha dowodowego.
- Właściciel biznesowy — przyjmuje koszt przestoju i podpisuje decyzję o wyłączeniu usługi.
Godziny 0–2: zatrzymać krwawienie
- Izoluj hosty przez wyłączenie portów lub przeniesienie ich do kwarantannowej sieci VLAN.
- Unieważnij sesje i tokeny podejrzanych kont.
- Zatrzymaj skrypty porządkowe i rotację kopii zapasowych, zanim nadpiszą ślady.
- Wydaj jedną instrukcję: podejrzaną wiadomość zgłoś, nie usuwaj.
Godziny 2–12: dowody przed odbudową
Formatowanie dysku wygląda jak postęp i często nim nie jest.
- Stan ulotny — procesy, połączenia, sesje i zrzuty pamięci z najbardziej objawowych hostów.
- Tożsamość — logi uwierzytelniania, nowe konta, zmiany w grupach i przypisania ról.
- Trwałość — zadania harmonogramu, usługi, wpisy startowe, zdalne narzędzia bez zgłoszenia zmianowego.
- Poczta — reguły, przekierowania i wysłane wiadomości z przejętych skrzynek.
Atak celowany rzadko odsłania pełny zakres pierwszego dnia. To, co zbierzesz teraz, mówi potem, jakie rekordy odczytano i które poświadczenia są zaufane.
Atak celowany czy malware masowy?
Odpowiedź zmienia budżet i harmonogram, więc postaw ją wcześnie.
- Malware masowy — jeden hash na wielu endpointach, ogólna notatka o okupie, atak na wszystkie konta w katalogu.
- Wtargnięcie kierowane — kilka maszyn w przemyślanej kolejności, rozpoznanie po godzinach, ruch boczny legalnymi narzędziami.
Zegar powiadomień po potwierdzonym naruszeniu
Obowiązki informacyjne startują z chwilą potwierdzenia ekspozycji, nie z końcem sprzątania.
- RODO — naruszenie danych osobowych mogące powodować ryzyko dla praw osób zgłasza się organowi nadzorczemu w ciągu 72 godzin od stwierdzenia naruszenia.
- Umowy — bywają surowsze niż ustawa: kontrakty i polisy cyberubezpieczenia mogą wymagać zgłoszenia w godzinach.
- Odbiorcy — osoby poszkodowane, regulator, organy ścigania i czasem opinia publiczna mają odrębne terminy.
Moment powzięcia wiedzy ustalaj na podstawie dowodu, nie wspomnienia.
Kogo wezwać i ile to kosztuje
Nie próbuj „odhaczać" intruza własnymi siłami ani nie podejmuj działań odwetowych — to drugie jest w większości jurysdykcji nielegalne, a pierwsze prowokuje zniszczenie danych przed przybyciem specjalistów.
Potrzebny jest zespół reagowania na incydenty, zatrudniony umową i w granicach zgody właściciela systemów. Widełki znaj przed kryzysem:
- Retainer — niewielka roczna opłata za priorytetowy dostęp; kupujesz zobowiązanie, nie pakiet godzin.
- Reakcja kryzysowa — stawki dzienne w dolnym przedziale czterocyfrowym, jeden host zamyka się w kilka dni.
- Dochodzenie i odbudowa — wieloserwerowe wtargnięcie z wyciekiem to dziesiątki tysięcy, z kosztami prawnymi i przestojem — sześć cyfr.
- Okup — żądania sięgają setek tysięcy, bez gwarancji, że deszyfrator zadziała. To decyzja biznesowa i prawna.
Nie kupuj obietnic „gwarantowanego odzyskania danych" — rzetelny wykonawca mówi o zakresie i prawdopodobieństwie. Koszty planowanego audytu opisuje cennik testów penetracyjnych.
Czego nie robić w pierwszych godzinach
- Nie usuwaj podejrzanego pliku na oślep — bywa jedynym nośnikiem wiedzy o wejściu.
- Nie przywracaj kopii bez sprawdzenia daty — backdoor w kopii cofa cię do punktu wyjścia.
- Nie informuj zespołu kanałem, który czyta intruz — plan trafia w ręce atakującego.
- Nie płać bez prawnika — skutki regulacyjne zostają nawet po nieudanej transakcji.
Profilaktyka jest tańsza niż odbudowa
Monitoring ruchu wychodzącego, alerty na tworzenie kont uprzywilejowanych, wymuszony MFA, kopie offline i test odtwarzania raz na kwartał wychwytują większość tych sygnałów wcześniej. Reszta to ćwiczenie decyzji, zanim zabrzmi alarm.
Najczęściej zadawane pytania
Czy jeden sygnał z listy oznacza, że firma została zhakowana? Nie. Każdy z tych objawów ma niewinne wyjaśnienie — od błędnej aktualizacji po literówkę w skrypcie. Znaczenie ma korelacja i brak wyjaśnienia ze strony IT.
Czy powinienem natychmiast wyłączyć zainfekowany komputer? Lepiej odłączyć go od sieci i zostawić włączony. Wyłączenie niszczy pamięć, która pozwala ustalić, co intruz uruchamiał.
Czy wolno samodzielnie usunąć malware i wrócić do pracy? Można, ale bez analizy ryzykujesz, że backdoor zostanie. Odbudowa bez ustalenia wektora wejścia kończy się powtórnym włamaniem.
Kiedy zgłosić naruszenie do UODO? Przy ryzyku dla praw osób termin wynosi 72 godziny od stwierdzenia naruszenia. Decyzję podejmij z prawnikiem, nie odkładając jej do końca dochodzenia.
Czy firmie wystarczy odzyskać kopie zapasowe po ransomware? Często tak — jeśli kopie leżą poza zasięgiem intruza i nie zostały zainfekowane. Gwarancji nie ma, dlatego plan odtwarzania testuje się przed incydentem.
Jeśli któryś z opisanych sygnałów brzmi znajomo, nie czekaj na pewność. Porozmawiaj z zespołem i ustalcie razem, czy potrzebna jest analiza środowiska, czy pełne postępowanie powypadkowe.