Atak ransomware Co zrobić w pierwszych godzinach.
Jeśli pliki w Twojej firmie właśnie zostały zaszyfrowane, a na ekranie widzisz żądanie okupu, pierwsze godziny decydują o tym, ile danych odzyskasz i jak długo firma będzie stała. Poniżej znajdziesz kroki zgodne z zaleceniami CERT Polska. Pomagamy także firmom, które nie są naszymi klientami.
Damian Waszczak, CBO, Senior Security AnalystZaktualizowano
Pierwsza godzina krok po kroku
- 1
Odłącz zainfekowane urządzenia od sieci
Wyciągnij kabel i wyłącz Wi-Fi. Jeśli zaszyfrowanych maszyn jest wiele, odetnij całe segmenty sieci na przełączniku albo firewallu. Ransomware szyfruje też udziały sieciowe i kopie dostępne online.
- 2
Nie wyłączaj komputerów
W pamięci operacyjnej mogą być klucze szyfrujące i ślady ataku. Odcinaj zasilanie tylko wtedy, gdy nie da się odłączyć urządzenia od sieci. Hibernacja jest bezpieczniejsza niż wyłączenie.
- 3
Zabezpiecz kopie zapasowe
Odłącz kopie od sieci, zanim dotrze do nich atakujący. Przestępcy celowo kasują kopie na serwerach NAS i szyfrują hypervisory.
- 4
Zachowaj dowody
Nie usuwaj notatki z żądaniem okupu ani zaszyfrowanych plików. Zrób zdjęcia ekranów i zachowaj logi. Kopie zaszyfrowanych plików przydadzą się, jeśli później pojawi się narzędzie do ich odszyfrowania.
- 5
Zmień hasła z czystego urządzenia
Atakujący zwykle ma już dane logowania. Zmieniaj hasła, zwłaszcza administratorów i dostępów zdalnych, z komputera, który nie był w zainfekowanej sieci.
- 6
Rozmawiajcie poza firmową siecią
Atakujący może czytać firmową pocztę i komunikator. Korzystajcie z telefonów i kanałów spoza firmowej infrastruktury, a izolację prowadźcie po cichu.
Czego nie robić
Nie płać okupu
Zapłata nie gwarantuje odzyskania danych i finansuje przestępców, a według Ministerstwa Finansów okup nie jest kosztem uzyskania przychodu. Zanim w ogóle rozważysz rozmowę z atakującym, porozmawiaj z prawnikiem i zespołem reagowania.
Nie przywracaj danych na ślepo
Odtworzenie kopii bez usunięcia drogi, którą wszedł atakujący, kończy się zwykle ponownym zaszyfrowaniem. Najpierw ustal, jak doszło do ataku.
Nie formatuj dysków
Formatowanie niszczy dowody i szansę na późniejsze odszyfrowanie plików.
Nie uruchamiaj przypadkowych dekryptorów
Narzędzia z niepewnych źródeł mogą uszkodzić pliki albo okazać się kolejnym malware. Korzystaj z No More Ransom, projektu, który w Polsce współtworzą CERT Polska i CBZC.
Komu zgłosić atak
CERT Polska
Każda firma może zgłosić incydent przez incydent.cert.pl. Dołącz notatkę z żądaniem okupu i co najmniej dwa zaszyfrowane pliki, a jeśli masz, także próbkę złośliwego oprogramowania i logi.
UODO w 72 godziny
Jeśli dane osobowe mogły zostać zaszyfrowane albo wykradzione, zgłaszasz naruszenie Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, chyba że ryzyko dla osób jest mało prawdopodobne. Przy wysokim ryzyku informujesz też osoby, których dane dotyczą.
CSIRT w 24 godziny, jeśli podlegasz KSC
Podmiot kluczowy albo ważny składa wczesne ostrzeżenie o poważnym incydencie w ciągu 24 godzin od wykrycia, przez system S46.
Policja
Atak ransomware to przestępstwo. Zawiadomienie możesz złożyć na policji, a sprawami cyberprzestępczości zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości.
Ubezpieczyciel
Jeśli masz polisę cyber, zgłoś szkodę jak najszybciej i sprawdź warunki, bo polisy często określają, kto może prowadzić reagowanie na incydent.
Ransomware w Polsce w liczbach
W 2025 roku CERT Polska obsłużył 179 incydentów ransomware, najwięcej w historii i o 21% więcej niż rok wcześniej. 129 z nich dotyczyło firm prywatnych.
Najczęstszą drogą wejścia był zdalny dostęp bez uwierzytelniania dwuskładnikowego. U 46 ofiar pulpit zdalny (RDP) był wystawiony do internetu, a w dwóch przypadkach do włamania doszło w niecałe dwa tygodnie od jego wystawienia.
Źródło: raport roczny CERT Polska za 2025 rok.
Jak pomagamy przy ataku
Pomagamy także firmom, które nie są naszymi klientami.
Izolacja i ograniczenie szkód
Pomagamy zatrzymać rozprzestrzenianie się ataku i zabezpieczyć kopie zapasowe.
Analiza ataku
Ustalamy drogę wejścia, zakres i oś czasu oraz rodzinę ransomware.
Bezpieczne odtworzenie
Pomagamy przywrócić systemy tak, żeby atakujący nie wrócił tą samą drogą.
Materiał do zgłoszeń
Przygotowujemy opis incydentu, oś czasu i wskaźniki naruszenia (IOC) do zgłoszeń do CERT Polska, CSIRT i UODO.
Monitoring po incydencie
Atakujący często wracają. Po incydencie możemy objąć środowisko monitoringiem 24/7.
Najczęstsze pytania o atak ransomware
Czy płacenie okupu jest w Polsce legalne?
Polskie przepisy nie zakazują wprost zapłaty okupu, ale CERT Polska i administracja publiczna zdecydowanie ją odradzają. Zapłata nie gwarantuje odzyskania danych ani tego, że wykradzione dane nie zostaną opublikowane. Taką decyzję zawsze konsultuj z prawnikiem.
Czy da się odszyfrować pliki bez okupu?
Czasem tak. Dla części rodzin ransomware istnieją darmowe dekryptory, zebrane w projekcie No More Ransom. Dlatego warto zachować kopie zaszyfrowanych plików, nawet jeśli dziś takiego narzędzia nie ma.
Czy trzeba zgłaszać atak do UODO, jeśli mamy kopie zapasowe?
Nie zawsze. Jeśli dane odtworzono z kopii, a analiza potwierdza, że nic nie wyciekło, naruszenie może wymagać tylko wpisu do wewnętrznego rejestru. Gdy nie da się wykluczyć wycieku, zgłoszenie jest zwykle konieczne.
Pomagacie firmom, które nie są Waszymi klientami?
Tak. Zadzwoń albo napisz, co widzisz, ile urządzeń jest zaszyfrowanych i czy masz kopie zapasowe. Analityk odezwie się z propozycją dalszych kroków.
Jak zabezpieczyć się przed kolejnym atakiem?
Uwierzytelnianie wieloskładnikowe na każdym dostępie zdalnym, żadnego RDP wystawionego do internetu, kopie zapasowe offline, aktualizacje i monitoring, który zauważy atak, zanim dojdzie do szyfrowania.
Potrzebujesz pomocy przy ataku?
Zadzwoń albo napisz: co widzisz, ile urządzeń jest zaszyfrowanych i czy masz kopie zapasowe. Pomagamy także firmom spoza grona naszych klientów.
Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com