Ransomware — jak chronić firmę przed atakiem i co zrobić po

Ransomware to dzisiaj największe zagrożenie dla polskich firm — niezależnie od branży i wielkości. Cyberprzestępcy dawno przestali atakować tylko wielkie korporacje. Małe biuro rachunkowe w Szczecinie, sklep internetowy, gabinet lekarski, firma produkcyjna z 20 pracownikami — wszyscy są celem. Dlaczego? Bo małe firmy rzadko mają porządne zabezpieczenia i częściej decydują się zapłacić okup, by odzyskać dostęp do plików.

W tym artykule wyjaśniamy mechanizm działania ransomware krok po kroku, pokazujemy statystyki z roku, opisujemy skuteczne strategie ochrony i — co ważniejsze — plan działania po ataku. Przeczytaj przed incydentem, nie w trakcie.

Jak działa atak ransomware: 6 faz

Atak ransomware nie jest przypadkowym zdarzeniem — to zaplanowana operacja przeprowadzana według sprawdzonego schematu. Zrozumienie każdej fazy pozwala wdrożyć ochronę dokładnie w miejscach, gdzie jest ona najbardziej potrzebna.

1. Rekonesans (Reconnaissance)

   Przestępcy zbierają informacje o celu: publiczne adresy IP, używane oprogramowanie, adresy e-mail pracowników ze źródeł takich jak LinkedIn, wycieki baz danych, OSINT. Ta faza może trwać od kilku dni do kilku tygodni. Im lepsza wiedza, tym bardziej ukierunkowany atak.
2. Dostarczenie (Delivery)

   Złośliwe oprogramowanie trafia do środowiska ofiary najczęściej przez phishingowy e-mail z zainfekowanym załącznikiem lub linkiem, exploit podatności w oprogramowaniu dostępnym z internetu (VPN, RDP, firewall) lub przejęte poświadczenia do systemów zdalnych.
3. Exploitacja (Exploitation)

   Po uzyskaniu przyczółka atakujący eskaluje uprawnienia, próbując zdobyć dostęp administratora do jak największej liczby systemów. Używa do tego technik takich jak Pass-the-Hash, Kerberoasting, wykorzystanie niezałatanych podatności wewnętrznych.
4. Zakorzenienie (Persistence & Lateral Movement)

   Atakujący instaluje backdoory, rozszerza dostęp na kolejne maszyny w sieci (lateral movement), infekuje kontrolery domeny Active Directory. Złośliwe oprogramowanie przebywa w sieci przeciętnie 11–21 dni zanim uruchomi szyfrowanie — zbierając dane i mapując infrastrukturę.
5. Szyfrowanie (Encryption)

   W wybranym przez siebie momencie (często w nocy lub w weekend) ransomware uruchamia masowe szyfrowanie plików — dokumentów, baz danych, dysków sieciowych, kopii zapasowych dostępnych w sieci. Nowoczesne warianty potrafią zaszyfrować setki gigabajtów danych na godzinę.
6. Żądanie okupu (Ransom Demand)

   Na ekranach ofiar pojawia się wiadomość z żądaniem okupu — zazwyczaj w kryptowalucie — i instrukcją płatności. Współczesne gangi ransomware stosują „podwójne wymuszenie": nawet jeśli masz backup, grożą opublikowaniem skradzionych danych. Niektóre stosują potrójne wymuszenie — atakując też klientów ofiary.

Ransomware w liczbach

Dane statystyczne o ransomware są dramatyczne — i z roku na rok stają się coraz gorsze. Oto najważniejsze liczby, które powinieneś znać jako właściciel lub decydent w firmie.

Globalny obraz zagrożenia

Według raportu Cybersecurity Ventures i danych IBM Cost of a Data Breach 2025/2026, ransomware atakuje globalnie co 11 sekund — oznacza to ponad 2,8 miliona ataków rocznie. Średni koszt pojedynczego incydentu wyniósł 4,54 miliona dolarów — i to nie licząc kary regulacyjnej (RODO, NIS2), która może dojść na wierzch. Co istotne: firmy, które nie miały wdrożonego planu ciągłości działania (BCP), płaciły średnio 40% więcej niż te, które plan miały.

Polskie firmy w szczególnym ryzyku

Polska jest jednym z najczęściej atakowanych krajów w Europie Środkowej — nie dlatego, że jest szczególnie zamożna, ale dlatego, że polskie MŚP historycznie inwestowały mało w cyberbezpieczeństwo. CERT Polska odnotował w 2025 roku ponad 80 000 incydentów bezpieczeństwa — wzrost o 34% rok do roku. Sektor MŚP odpowiada za większość ofiar. Wśród polskich firm dotkniętych atakami ransomware 40% przyznaje, że nie miało aktualnej kopii zapasowej w momencie incydentu.

Koszty przestoju

Niezależnie od tego, czy firma zapłaci okup, czy nie, koszt przestoju operacyjnego bywa wyższy niż sam okup. Przy 21-dniowym przywracaniu środowiska IT firma traci przychody, klientów i reputację. Dla firmy generującej 100 000 zł miesięcznych przychodów, 21 dni to 70 000 zł utraconych przychodów — plus koszty odbudowy infrastruktury, wykupienia specjalistów od incident response i ewentualna kara regulacyjna.

Wektory ataków — skąd przychodzi zagrożenie

Wiedzieć, czym ransomware szyfruje pliki, to za mało. Kluczowe jest zrozumienie, jak dostaje się do Twojej sieci. Poniższa tabela pokazuje najczęstsze wektory infekcji i ich statystyczny udział w atakach na firmy.

Zauważ, że suma procentów przekracza 100% — to dlatego, że atakujący często łączą kilka wektorów. Typowy scenariusz: phishing → przejęcie poświadczeń → lateral movement przez RDP → atak na kontroler domeny → szyfrowanie całej infrastruktury.

Ochrona warstwowa: 7 warstw defense in depth

Ochrona przed ransomware nie jest pojedynczym produktem — to strategia warstwowa, w której każda warstwa zatrzymuje inny wektor ataku. Jeśli jedna warstwa zawiedzie, następna powinna powstrzymać atak. To podejście nazywane jest defense in depth (obrona w głąb).

Warstwa 1: Bezpieczeństwo poczty e-mail (Email Security)

Skoro 91% ataków zaczyna się od phishingu, pierwsza warstwa ochrony musi być przy bramie e-mail. Obejmuje to filtry antyspamowe z analizą linków i załączników w sandboxie, wdrożenie protokołów DMARC, SPF i DKIM (zapobiegają spoofingowi domeny), blokadę makr w dokumentach Office oraz regularne szkolenia antyphishingowe dla pracowników z symulowanymi atakami.

Warstwa 2: Ochrona endpointów (EDR)

Klasyczny antywirus nie wystarczy — ransomware jest pisane specjalnie z myślą o obchodzeniu sygnaturowych silników AV. Nowoczesny EDR (Endpoint Detection and Response) analizuje zachowanie procesów, a nie sygnatury. Wykrywa anomalie: masowe operacje na plikach, nieoczekiwane szyfrowanie, podejrzane wywołania API. Dobry EDR może zatrzymać atak w fazie zakorzenienia — zanim dojdzie do szyfrowania.

Warstwa 3: Backup i odtwarzanie (Disaster Recovery)

Nawet jeśli poprzednie warstwy zawiodą, dobrze skonfigurowany backup pozwala przywrócić dane bez płacenia okupu. Szczegółowo opisujemy to w sekcji poniżej — backup jest tak ważny, że poświęcamy mu osobny rozdział.

Warstwa 4: Segmentacja sieci (Network Segmentation)

Ransomware rozprzestrzenia się przez sieć — segmentacja ogranicza zasięg ataku. Zamiast sieci płaskiej (flat network), gdzie każde urządzenie widzi każde inne, wdrożyć należy VLANy oddzielające serwery produkcyjne, stacje robocze, urządzenia IoT i sieci gości. Kluczowe serwery (pliki, backup, AD) powinny być dostępne tylko przez formalnie autoryzowane połączenia.

Warstwa 5: Uwierzytelnianie wieloskładnikowe (MFA)

MFA (Multi-Factor Authentication) to jedno z najtańszych i najskuteczniejszych zabezpieczeń. Nawet jeśli atakujący zdobędzie hasło pracownika, bez drugiego czynnika (aplikacja mobilna, klucz sprzętowy FIDO2) nie uzyska dostępu. MFA należy wdrożyć dla wszystkich kont — szczególnie poczty e-mail, VPN, zdalnego dostępu i kont administratorów.

Warstwa 6: Zarządzanie podatnościami (Patch Management)

Niezałatane systemy to zaproszenie dla atakujących. Według danych Ponemon Institute, 60% naruszeń bezpieczeństwa wykorzystywało znane podatności, dla których patch był dostępny od ponad 2 miesięcy. Regularne zarządzanie aktualizacjami — z priorytetem dla systemów edge (VPN, firewall, poczta) i kontrolerów domeny — jest kluczowe.

Warstwa 7: Monitoring bezpieczeństwa (SIEM/SOC)

Nawet najlepsza ochrona może zostać pokonana — dlatego ostatnia warstwa to wykrywanie i reagowanie. SIEM (Security Information and Event Management) zbiera logi z całej infrastruktury i wykrywa podejrzane wzorce. Dla firm MŚP dostępne są zarządzane usługi SOC (Managed SOC), gdzie zewnętrzny zespół monitoruje środowisko 24/7 za ułamek kosztów własnego centrum bezpieczeństwa.

Backup jako jedyna skuteczna ochrona po ataku

Warstwowa ochrona powinna uniemożliwić atak lub go wykryć we wczesnej fazie. Ale statystyki są bezlitosne — część ataków i tak się udaje. W tym momencie jedyną kartą przetargową, która pozwala uniknąć zapłaty okupu i przywrócić działalność, jest dobrze skonfigurowany backup.

Reguła 3-2-1-1-0

Klasyczna reguła 3-2-1 (3 kopie, 2 różne nośniki, 1 kopia off-site) nie wystarczy już w erze ransomware. Nowoczesnym standardem jest 3-2-1-1-0:

• 3 — trzy kopie danych (oryginał + dwie kopie zapasowe)
• 2 — dwa różne typy nośników (np. dysk NAS + chmura)
• 1 — jedna kopia off-site (poza główną lokalizacją firmy)
• 1 — jedna kopia offline/immutable (niedostępna przez sieć lub niemożliwa do modyfikacji)
• 0 — zero błędów w backupie — regularnie testowane i weryfikowane przywracanie

Backup immutable — dlaczego jest krytyczny

Backup immutable (niezmienny) to kopia, której ransomware nie może zaszyfrować ani usunąć, ponieważ przez zdefiniowany okres (np. 30, 60 lub 90 dni) nie może zostać zmodyfikowana — nawet przez administratora z uprawnieniami root. Można to osiągnąć przez:

• Object Lock w chmurze — np. Wasabi Object Lock, Amazon S3 Object Lock, Azure Immutable Blob Storage
• Nośniki WORM (Write Once Read Many) — taśmy LTO lub dedykowane urządzenia NAS z funkcją immutable
• Air-gap backup — kopia fizycznie odizolowana od sieci (np. dysk zewnętrzny trzymany off-site)

Backup air-gap — ostatnia linia obrony

Air-gap to dosłownie "przerwa powietrzna" — nośnik kopii zapasowej nie jest fizycznie podłączony do żadnej sieci. Ransomware, nawet z uprawnieniami administratora, nie może dosięgnąć danych na nośniku, który nie jest podłączony. To najprostsza i najskuteczniejsza ochrona kopii zapasowej, choć wymaga proceduralnej dyscypliny (regularne rotacje nośników, bezpieczne przechowywanie poza biurem).

Testuj backup regularnie

Backup, którego nigdy nie testujesz, to iluzja bezpieczeństwa. Dane ENISA pokazują, że w momencie ataku 34% firm odkrywa, że ich backup jest uszkodzony lub niekompletny. Regularne testy przywracania (restore test) powinny być częścią polityki bezpieczeństwa — co najmniej raz na kwartał dla kluczowych systemów.

Plan reakcji na atak ransomware: 8 kroków

Atak ransomware to kryzys. W stanie paniki firmy podejmują błędne decyzje — jak zapłacenie okupu lub nieumyślne zniszczenie dowodów przez pochopne formatowanie dysków. Poniższy plan działa jak protokół ratunkowy — postępuj krok po kroku.

1. NIE płać okupu (decyzja strategiczna)

   Zapłata nie gwarantuje odszyfrowania danych. Finansujesz przestępców i sygnalizujesz, że jesteś gotowy płacić. 32% firm doświadcza ponownego ataku w ciągu miesiąca po zapłacie. Jedynym uzasadnionym wyjątkiem jest sytuacja, gdy backup jest niedostępny, a dane są absolutnie niezbędne — ale nawet wtedy skonsultuj się z prawnikiem i organami ścigania.
2. Odizoluj zainfekowane systemy

   Natychmiast odłącz od sieci zainfekowane urządzenia — wyciągnij kabel sieciowy lub wyłącz port switcha. Wyłącz Wi-Fi na zainfekowanych maszynach. NIE wyłączaj zasilania — zachowaj stan pamięci RAM do analizy forensycznej. Powiadom administratorów o skali infekcji.
3. Zidentyfikuj zakres infekcji

   Ustal, które systemy zostały zainfekowane, a które są czyste. Sprawdź logi systemowe, alarmy EDR, zdarzenia w SIEM. Zidentyfikuj tzw. "patient zero" — pierwszą zainfekowaną maszynę. To pomoże ustalić wektor ataku i zakres danych, które przestępcy mogli skopiować.
4. Powiadom odpowiednie organy

   Zgłoś incydent do CERT Polska (cert.pl) — to bezpłatne i pomaga innym firmom. Jeśli nastąpił wyciek danych osobowych, zgłoś to do Prezesa UODO w ciągu 72 godzin (wymóg RODO). Firmy objęte NIS2 mają obowiązek raportowania do CSIRT NASK w ciągu 24 godzin.
5. Zabezpiecz dowody (forensics)

   Przed przystąpieniem do czyszczenia systemu wykonaj kopię forensyczną dysków (obraz binarny). Zachowaj logi systemowe, zdarzenia bezpieczeństwa, pliki ransom note. Te dowody będą potrzebne dla organów ścigania, ubezpieczyciela i analizy post-mortem.
6. Zidentyfikuj kopię zapasową i czas RTO/RPO

   Ustal, jakie kopie zapasowe masz do dyspozycji i z jakiego momentu. Sprawdź, czy kopie nie zostały zainfekowane (skanuj przed przywróceniem). Ustal RTO (Recovery Time Objective — ile czasu zajmie przywrócenie) i RPO (Recovery Point Objective — ile danych utracisz).
7. Przywróć systemy z kopii zapasowej

   Przywracaj systemy w kolejności: najpierw krytyczne (AD, poczta, ERP/CRM), potem drugorzędne. Przed podłączeniem do sieci zweryfikuj, czy system jest czysty — skanuj środowiskiem offline. Nie przywracaj systemu operacyjnego do stanu sprzed ataku bez upewnienia się, że backdoor został usunięty.
8. Analiza post-mortem i wzmocnienie ochrony

   Po przywróceniu działalności przeprowadź szczegółową analizę: jak doszło do ataku, co zawiodło, co zadziałało. Wdroż środki, które by go zapobiegły. Poinformuj pracowników. Zaktualizuj politykę bezpieczeństwa. Rozważ testy penetracyjne i audyt bezpieczeństwa, żeby znaleźć inne słabe punkty.

"Pytanie nie brzmi, CZY zostaniesz zaatakowany — ale KIEDY. Firmy, które to rozumieją, inwestują w backup i plan reakcji zanim dojdzie do incydentu. Firmy, które tego nie rozumieją, płacą okup albo zamykają działalność." — Ekspert DSX.PL ds. cyberbezpieczeństwa, Szczecin

Podsumowanie

Ransomware to realne i narastające zagrożenie dla każdej firmy — niezależnie od branży i wielkości. Atak przebiega według powtarzalnego schematu sześciu faz, a przestępcy najczęściej wchodzą przez phishingowy e-mail, niezabezpieczony RDP lub niezałatane podatności. Ochrona warstwowa — email security, EDR, backup 3-2-1-1-0, segmentacja sieci, MFA, patch management i monitoring — to standard, który eliminuje większość ryzyka.

Pamiętaj: nigdy nie płać okupu. Jedyną prawdziwą polisą ubezpieczeniową jest dobrze przetestowany backup immutable i udokumentowany plan reakcji na incydent. Jeśli chcesz wiedzieć, jak chroniona jest Twoja firma — umów bezpłatny audyt bezpieczeństwa z DSX.PL. Działamy w Szczecinie i całym województwie zachodniopomorskim.