Pokutuje przekonanie, że ransomware to problem banków i wielkich korporacji. W rzeczywistości jest odwrotnie: małe firmy są atrakcyjniejszym celem, bo mają słabsze zabezpieczenia, rzadziej testują kopie i częściej zapłacą okup w panice. Atakującym nie zależy na prestiżu — zależy im na łatwym pieniądzu.
Nie chcemy straszyć. Chcemy pokazać, że ochrona przed ransomware to nie magia, tylko kilka konkretnych, w większości tanich działań. I że dobrze przygotowana firma traktuje atak jako poważny incydent, a nie jako koniec świata.
Jak ransomware najczęściej wchodzi do firmy
- Phishing — załącznik lub link w mailu, który wygląda wiarygodnie. To wciąż droga numer jeden.
- Wystawione usługi — pulpit zdalny (RDP) czy panele administracyjne dostępne z internetu, atakowane automatycznie.
- Niezałatane podatności — stare, nieaktualizowane systemy i aplikacje.
- Przejęte konta — wyciekłe lub słabe hasła bez drugiego składnika logowania.
Warstwa pierwsza: utrudnij wejście
- ✅ MFA wszędzie, gdzie się da — drugi składnik logowania zatrzymuje większość ataków na konta. To temat osobnego wpisu w naszym cyklu.
- ✅ Nie wystawiaj RDP ani paneli do internetu — dostęp tylko przez VPN. Pisaliśmy o tym przy konfiguracji i hardeningu Proxmoksa.
- ✅ Aktualizuj systemy — łatanie podatności to najtańsza ochrona, jaką masz.
- ✅ Szkol pracowników z phishingu — najlepsze zabezpieczenie to człowiek, który nie kliknie.
Warstwa druga: ogranicz zasięg
Zakładaj, że ktoś jednak wejdzie. Chodzi o to, by nie stracić wtedy wszystkiego:
- Segmentacja sieci — podział na VLAN-y i odseparowanie systemów sprawia, że infekcja jednej maszyny nie rozlewa się na całą firmę.
- Najmniejsze potrzebne uprawnienia — konto bez praw administratora wyrządzi mniej szkód.
- Monitoring — wczesne wykrycie nietypowej aktywności skraca czas reakcji. Przyda się Zabbix z Grafaną lub Uptime Kuma.
Warstwa trzecia: kopia, która przetrwa atak
To bohater tej historii. Współczesny ransomware celowo kasuje kopie zapasowe — dlatego liczy się kopia niezmienialna i odseparowana. Tu wprost wraca reguła 3-2-1 i Proxmox Backup Server: jeśli masz sprawdzoną kopię offsite, której atak nie dosięgnął, negocjacje z przestępcami przestają być potrzebne. Po prostu odtwarzasz dane.
Co robić, gdy atak już się wydarzył
Spokój i kolejność. Improwizacja w panice tylko pogarsza sprawę. Mając przygotowaną procedurę (opisaliśmy ją w zarządzaniu incydentami NIS2), działasz tak:
- Izoluj — odłącz zainfekowane maszyny od sieci, by zatrzymać rozprzestrzenianie. Nie wyłączaj ich pochopnie (możesz stracić ślady i dane z pamięci).
- Nie płać od razu — opłacenie okupu nie gwarantuje odzyskania danych i napędza przestępczy proceder.
- Oceń zakres — co zostało zaszyfrowane, jakie dane mogły wyciec.
- Zgłoś — jeśli podlegasz NIS2/KSC, obowiązują Cię terminy zgłoszenia do CSIRT. Przy danych osobowych dochodzi obowiązek wobec organu ochrony danych.
- Odtwórz z czystej kopii — po upewnieniu się, że środowisko jest oczyszczone.
- Wyciągnij wnioski — zaktualizuj analizę ryzyka i zabezpieczenia, by to się nie powtórzyło.
Najważniejsza myśl
Przed ransomware nie da się zabezpieczyć w 100% — ale da się sprawić, że atak będzie kosztownym kłopotem, a nie końcem firmy. Różnicę robi przygotowanie: warstwy ochrony plus sprawdzona kopia zapasowa.
Co dalej w tym cyklu
W kolejnych wpisach pokażemy MFA i menedżery haseł (najtańszy skok bezpieczeństwa) oraz bezpieczeństwo łańcucha dostaw. Warto też zacząć od checklisty NIS2, która porządkuje większość tych zabezpieczeń.
Chcesz sprawdzić, jak Twoja firma wypadłaby w starciu z ransomware — albo przygotować plan reakcji, zanim będzie potrzebny? Napisz do nas. Przeprowadzimy przegląd zabezpieczeń i pomożemy wdrożyć ochronę, która naprawdę działa.