Ransomware w małej firmie: jak się zabezpieczyć i co robić

Jak ransomware wchodzi do małej firmy

Ataki są zwykle zautomatyzowane i nie wybierają firm po wielkości. Najczęstsze drogi wejścia wyglądają tak:

Wiadomość z załącznikiem lub linkiem, która wygląda jak faktura albo przesyłka.
Pulpit zdalny wystawiony do internetu i słabe hasło do konta, które prowadzi do sieci biura.
Nieaktualne oprogramowanie na komputerze, serwerze lub urządzeniu sieciowym.
Pobrany program z niepewnego źródła albo zainfekowany pendrive.

Pierwsze kroki po wykryciu ataku

Odłącz zainfekowany komputer od sieci, wyciągając kabel i wyłączając Wi-Fi. Niczego nie kasuj i nie instaluj programów „do leczenia”.
Odłącz też serwer plików, NAS i dyski zewnętrzne, jeśli nie zostały jeszcze zaszyfrowane.
Zrób zdjęcie ekranu z żądaniem okupu i zapisz nazwy lub rozszerzenia zaszyfrowanych plików. To ułatwia rozpoznanie szkodnika.
Zabezpiecz kopie. Sprawdź, czy kopia nie została zaszyfrowana, i odłącz ją od sieci.
Zmień hasła z innego, czystego urządzenia, zaczynając od poczty, banku i kont administracyjnych.
Poproś o pomoc i nie podejmuj decyzji o okupie, zanim ktoś nie oceni sytuacji.

Najczęstsze błędy po ataku

Zapłata okupu pod presją. Nie daje pewności, że dostaniesz klucz, i nie usuwa szkodnika z sieci.
Odtwarzanie danych z kopii na komputer, który nie został oczyszczony, przez co pliki zostają zaszyfrowane ponownie.
Powrót do pracy po „naprawieniu” jednego komputera, zanim ktoś sprawdzi resztę sieci.
Łamanie szyfrowania programami z internetu. Część z nich to kolejne szkodliwe oprogramowanie.

Lista kontrolna zabezpieczeń

istnieje kopia, której nie widać z komputerów, i ktoś próbował ją odtworzyć, o czym w tekście kopie zapasowe dla firmy i serwer NAS,
poczta, dostęp zdalny i konta administratorów mają uwierzytelnianie dwuskładnikowe,
żaden pulpit zdalny ani router nie jest dostępny z internetu bez VPN, tak jak opisuje strona VPN i zdalny dostęp dla firmy,
pracownicy nie mają praw administratora na komputerach, bo szkodnik ma tyle uprawnień, ile użytkownik, który go uruchomił,
system i urządzenia sieciowe mają włączone aktualizacje,
zespół wie, do kogo dzwonić i co odłączyć, a numer jest zapisany poza komputerami.

Zgłoszenia i dane osobowe

Jeśli w zaszyfrowanych plikach były dane osobowe klientów lub pracowników, może pojawić się obowiązek zgłoszenia naruszenia i poinformowania osób. Zasady i terminy ocenia inspektor ochrony danych lub prawnik, a policję można powiadomić niezależnie. Ogólny przegląd zabezpieczeń znajdziesz w poradniku o bezpieczeństwie danych w małej firmie.

To opis ogólny i nie stanowi porady prawnej. Konkretne obowiązki zależą od sytuacji firmy.

Najczęstsze pytania

Czy da się odzyskać pliki bez płacenia okupu?

Czasem tak: z kopii zapasowej, z poprzednich wersji plików w chmurze albo dzięki publicznym narzędziom do niektórych odmian szkodnika. Powodzenia nie obiecuję, bo zależy od rodzaju ataku i stanu kopii.

Czy antywirus chroni przed ransomware?

Pomaga, ale nie wystarcza. Nowe odmiany bywają wykrywane z opóźnieniem, a atak często zaczyna się od kliknięcia użytkownika albo przejętego hasła. Dlatego równie ważne są kopie, aktualizacje i uprawnienia.

Czy małe firmy naprawdę są celem?

Tak, bo ataki są zautomatyzowane i nie wybierają firm po wielkości. Mała firma ma zwykle mniej zabezpieczeń i mniejsze zasoby na odtwarzanie, więc skutki bywają dotkliwe.

Czy mogę zadzwonić po ataku, a nie przed?

Tak. Pomagam również po fakcie: oceniam zakres, odcinam zainfekowane urządzenia, sprawdzam kopie i porządkuję sieć. Pracuję zdalnie w całej Polsce, a na Śląsku także u klienta na miejscu.

Ransomware w małej firmie: zabezpieczenie i pierwsze kroki po ataku