W 2025 r. do CERT Polska wpłynęło 658 320 zgłoszeń, z których zarejestrowano 260 783 unikalne incydenty: o ponad 150% więcej niż rok wcześniej. Ataków ransomware było 179, najwięcej w historii pomiarów, czyli średnio jeden co drugi dzień. To nie są ataki na banki i ministerstwa. To w większości firmy, w których ktoś otworzył załącznik „faktura_korekta.pdf.exe" i rano nie dało się otworzyć żadnego pliku.

Liczby, które mają znaczenie dla małej firmy

Dwa wnioski. Pierwszy: 97% to oszustwa, czyli wejście przez człowieka, nie przez lukę w serwerze. Drugi: ransomware jest rzadszy, ale to on kończy się utratą wszystkich plików naraz. Obrona przed pierwszym to szkolenie i uwaga. Obrona przed drugim to plan B: miejsce, w którym pliki istnieją w wersji sprzed ataku i którego atak nie dosięga.

Co szyfruje ransomware, a co przetrwa

Współczesny ransomware nie szyfruje jednego komputera. Po uruchomieniu szuka wszystkiego, do czego ma dostęp zalogowany użytkownik:

Wiersz o folderze synchronizowanym jest ważny: sama synchronizacja z chmurą nie jest kopią zapasową. Jeżeli wirus zaszyfruje plik na komputerze, klient posłusznie wyśle zaszyfrowaną wersję do chmury. Ratuje historia wersji, która trzyma poprzednie wersje po stronie serwera, poza zasięgiem komputera. Jak to działa i jakie ma ograniczenia, opisaliśmy w tekście o historii wersji plików.

Plan B w sześciu punktach

1. Dokumenty firmy w jednym miejscu z historią wersji, a nie rozproszone po pulpitach. Przywracanie 20 tysięcy plików do wersji sprzed ataku to operacja na godzinę, jeśli są w jednym drzewie folderów, i na tydzień, jeśli trzeba ich szukać.
2. Uprawnienia ograniczające zasięg. Ransomware działa z prawami zalogowanej osoby. Jeśli pracownik działu sprzedaży ma prawo zapisu tylko do Klienci i Oferty, atak z jego komputera nie dotknie Kadr ani Finansów. To najtańszy mechanizm obronny, jaki istnieje, i najrzadziej stosowany. Model opisaliśmy w artykule o uprawnieniach do plików.
3. Kosz z retencją dłuższą niż czas, po którym ktoś zauważy szkodę. Część ataków najpierw kasuje, a szyfruje potem. Retencja 30 dni to minimum, bo incydent z piątku wychodzi czasem po urlopie.
4. Dwuskładnikowe logowanie do dysku i poczty. Wyłudzone hasło bez drugiego składnika jest bezużyteczne, a większość z 253 tysięcy oszustw z raportu to właśnie wyłudzanie haseł. Szczegóły w tekście o 2FA w firmie.
5. Kopia offline raz w miesiącu na dysk, który potem leży odłączony. Chmura z historią wersji chroni przed ransomware, dysk w szafie chroni przed wszystkim innym, łącznie z błędem człowieka i utratą dostępu do konta. Reguła 3-2-1 jest opisana w tekście o backupie w małej firmie.
6. Próba przywracania raz na kwartał: wybierasz losowy folder, przywracasz wersję sprzed tygodnia, sprawdzasz, czy się otwiera. Kopia, której nikt nie przywracał, jest hipotezą.

Pierwsze godziny po ataku

1. Odłącz zaatakowany komputer od sieci (kabel, Wi-Fi), nie wyłączaj go. Informatyk może potrzebować pamięci operacyjnej do analizy.
2. Nie płać. Zapłata nie gwarantuje klucza, a finansuje kolejne ataki. CERT Polska i policja odradzają to jednoznacznie.
3. Zgłoś incydent na incydent.cert.pl i na policję. Zgłoszenie jest bezpłatne i nie uruchamia kontroli.
4. Sprawdź, czy wyciekły dane osobowe. Jeżeli zaszyfrowano lub skopiowano pliki z danymi klientów albo pracowników, masz 72 godziny na zgłoszenie do UODO. Brak zgłoszenia jest osobnym naruszeniem.
5. Przywróć pliki z historii wersji lub kopii dopiero na czysty system. Przywracanie na zainfekowany komputer kończy się drugim szyfrowaniem.
6. Zmień hasła do wszystkiego, do czego logowano się z tego komputera, i przejrzyj, kto ma jakie uprawnienia.

97% to oszustwa: trzy rzeczy do powiedzenia zespołowi

• Faktura, którą trzeba „potwierdzić", nie przychodzi jako plik .exe, .js ani .iso. Załącznik z podwójnym rozszerzeniem albo archiwum z hasłem w treści maila to atak, nie faktura.
• Prośba o pilny przelew od „prezesa" na nowe konto wymaga telefonu na znany numer. Zawsze.
• Link do „dokumentu udostępnionego w chmurze", który prosi o hasło do poczty, to wyłudzenie. Prawdziwe udostępnienie z firmowego dysku otwiera się bez podawania hasła do poczty.

Zgłoszenia od pracowników są ważniejsze niż ich nieomylność. W firmie, w której za kliknięcie w zły link dostaje się reprymendę, incydenty wychodzą po tygodniu. Tam, gdzie kliknięcie zgłasza się bez konsekwencji, wychodzą po kwadransie.

Najczęstsze pytania

Czy pliki w chmurze mogą zostać zaszyfrowane?

Bieżąca wersja tak, jeśli wirus zaszyfruje plik na komputerze, a klient go zsynchronizuje. Dlatego liczy się historia wersji i kosz po stronie serwera. Sam serwer nie uruchamia plików, więc wirus nie „rozprzestrzenia się" w chmurze; on tylko nadpisuje to, do czego ma dostęp z zainfekowanego komputera.

Ile wersji trzeba trzymać?

Tyle, żeby cofnąć się przed atak, który wykryto z opóźnieniem. W praktyce kilkanaście wersji na plik lub 30 dni wstecz wystarcza w małej firmie; ważniejsze jest, żeby wersje były przechowywane po stronie serwera, a nie w tym samym folderze na komputerze.

Mam antywirus. To nie wystarczy?

Antywirus zatrzymuje znane zagrożenia; 3 500 incydentów ze złośliwym oprogramowaniem z raportu to w dużej części próbki, których antywirus jeszcze nie znał. Antywirus zmniejsza prawdopodobieństwo, plan B zmniejsza skutki. Potrzebne są oba.

Jednoosobowa firma też jest celem?

Ataki nie są wybierane ręcznie, tylko rozsyłane masowo; ransomware trafia tam, gdzie ktoś kliknie. Dla firmy jednoosobowej różnica polega na tym, że nie ma kto zauważyć problemu, gdy właściciel jest na urlopie. Historia wersji i kosz działają wtedy tak samo.