Ransomware to złośliwe oprogramowanie, które blokuje dostęp do urządzenia lub szyfruje pliki, a następnie żąda okupu za ich odblokowanie. Płacenie nie gwarantuje odzyskania danych. Najpewniejszą metodą przywrócenia plików jest aktualna kopia zapasowa przechowywana niezależnie od urządzenia.
Co to jest ransomware?
Nazwa ransomware powstała z połączenia angielskich słów ransom, czyli okup, oraz software, czyli oprogramowanie. Jest to rodzaj malware, a więc złośliwego oprogramowania, którego celem nie musi być kradzież danych. Ransomware ma przede wszystkim zablokować dostęp do plików, ekranu albo całego systemu, by wymusić płatność.
Atak może dotyczyć komputera, laptopa, smartfona lub tabletu. Po infekcji przestępcy zwykle wyświetlają instrukcję zapłaty, często w kryptowalucie, i obiecują przesłanie klucza deszyfrującego. Nie ma jednak pewności, że po otrzymaniu pieniędzy odblokują urządzenie lub zwrócą pliki. Dlatego okup nie jest bezpieczną metodą odzyskiwania danych, a jego zapłata finansuje kolejne ataki.
Jak ransomware dostaje się na urządzenie?
Najczęstszą drogą infekcji jest phishing, czyli podszywanie się pod bank, kuriera, urząd, pracodawcę albo znaną firmę. Wiadomość może zawierać link do fałszywej strony lub załącznik udający fakturę, potwierdzenie dostawy, dokument albo CV. Zagrożenie może też pojawić się w komunikatorze, reklamie, pobranym programie lub aplikacji spoza oficjalnego sklepu.
Na telefonach szczególne ryzyko wiąże się z instalowaniem aplikacji z nieznanych źródeł oraz klikaniem linków w SMS-ach. Na komputerach dodatkowym problemem są nieaktualne systemy, przeglądarki i programy, w których atakujący wykorzystują znane luki.
Po uruchomieniu ransomware może wyszukać dokumenty, zdjęcia, bazy danych i inne pliki na urządzeniu oraz w dostępnych zasobach sieciowych. Następnie szyfruje je, przez co bez właściwego klucza nie można ich normalnie otworzyć.
Jakie są rodzaje ransomware?
Poszczególne odmiany różnią się zakresem blokady i skutkami dla użytkownika:
| Typ | Działanie | Możliwość odzyskania |
|---|---|---|
| Screen-locker | Blokuje ekran lub dostęp do urządzenia, ale zwykle nie szyfruje plików. | Bywa możliwe usunięcie blokady przez specjalistę, narzędzie bezpieczeństwa albo przywrócenie urządzenia. |
| Crypto-ransomware | Szyfruje wybrane pliki, na przykład dokumenty, zdjęcia i bazy danych, czasem także zasoby chmurowe. | Bez kopii zapasowej odzyskanie może być niemożliwe. Czasem dostępny jest darmowy deszyfrator. |
| Disk-encryptor | Szyfruje cały dysk, dlatego system operacyjny nie uruchamia się prawidłowo. | Wymaga specjalistycznej analizy, narzędzia dla konkretnej odmiany albo odtworzenia systemu z czystej kopii. |
Nie każda infekcja wykorzystuje identyczny mechanizm. Niektóre ataki łączą szyfrowanie danych z groźbą ich ujawnienia. Z tego powodu nie należy usuwać pochopnie zaszyfrowanych plików ani komunikatu przestępców.
Jak rozpoznać atak ransomware?
Pojedynczy objaw nie zawsze przesądza o infekcji, ale kilka występujących jednocześnie powinno skłonić do natychmiastowego odłączenia urządzenia od sieci:
- Nagle nie możesz otworzyć dokumentów, zdjęć lub innych wcześniej dostępnych plików.
- Na pulpicie, ekranie blokady albo w folderach pojawia się komunikat z żądaniem okupu.
- Rozszerzenia wielu plików zmieniają się na nietypowe lub pliki otrzymują nowe nazwy.
- System wyraźnie zwalnia, a dysk lub procesor pracuje intensywnie bez oczywistej przyczyny.
- Nie możesz uruchomić systemu albo urządzenie wyświetla instrukcję płatności zamiast normalnego ekranu.
Co zrobić po wykryciu ransomware?
Nie panikuj i nie płać od razu. Szybkie, uporządkowane działania mogą ograniczyć szkody i ułatwić identyfikację zagrożenia:
- Odłącz urządzenie od sieci – wyłącz Wi-Fi, odłącz kabel Ethernet i rozłącz inne połączenia sieciowe. Jeśli to sprzęt firmowy, odłącz także dostęp do wspólnych zasobów, zgodnie z procedurami organizacji.
- Nie uruchamiaj ponownie ani nie wyłączaj komputera, jeśli nie jest to konieczne – w niektórych sytuacjach może to utrudnić późniejszą analizę. Nie wykonuj jednak działań, których nie rozumiesz.
- Nie usuwaj komunikatu ani zaszyfrowanych plików – zachowaj informację o okupie, nazwy plików i inne oznaki infekcji. Mogą pomóc w rozpoznaniu odmiany ransomware.
- Nie płać okupu – przestępcy mogą nie przesłać klucza, przekazać niesprawne narzędzie albo zażądać kolejnej płatności. Zapłata nie cofa też ewentualnej kradzieży danych.
- Sprawdź NoMoreRansom – inicjatywa udostępnia informacje i darmowe deszyfratory dla wybranych odmian. Ich dostępność zależy od konkretnego wariantu i nie daje gwarancji odzyskania plików.
- Zgłoś incydent do CSIRT NASK – w Polsce można przekazać zgłoszenie przez oficjalny kanał zespołu reagowania na incydenty. Przy danych firmowych lub krytycznych skontaktuj się także ze specjalistą od reagowania na incydenty.
Po usunięciu zagrożenia dane należy odtworzyć z czystej kopii zapasowej. Backup jest jedyną metodą, która pozwala odzyskać pliki bez polegania na obietnicy atakującego, choć jego poprawność także trzeba wcześniej sprawdzić.
Jak chronić się przed ransomware?
Żadne pojedyncze narzędzie nie zapewnia pełnej ochrony. Najlepsze rezultaty daje połączenie kopii zapasowych, aktualizacji i ostrożnego korzystania z poczty oraz internetu. Zadbaj przede wszystkim o następujące działania:
- Twórz kopie zapasowe według zasady 3-2-1 – trzymaj co najmniej trzy kopie danych, na dwóch różnych nośnikach, w tym jedną kopię offline lub w sposób niedostępny dla stale używanego urządzenia. Regularnie sprawdzaj, czy da się ją odtworzyć.
- Aktualizuj system i programy – włącz automatyczne poprawki dla systemu operacyjnego, przeglądarki, aplikacji i narzędzi bezpieczeństwa. Aktualizacje zamykają znane luki wykorzystywane przez atakujących.
- Sprawdzaj wiadomości i załączniki – nie otwieraj pliku tylko dlatego, że wiadomość wygląda pilnie lub pochodzi rzekomo od znanej firmy. Zweryfikuj nadawcę innym kanałem, zanim klikniesz link albo włączysz makra.
- Instaluj oprogramowanie z zaufanych źródeł – unikaj pirackich programów, nieoficjalnych instalatorów i aplikacji pobieranych spoza sklepów. Na smartfonie ogranicz instalowanie aplikacji z nieznanych źródeł.
- Korzystaj z aktualnego programu ochronnego – antywirus i mechanizmy monitorowania zachowania mogą zatrzymać podejrzane szyfrowanie, ale nie zastępują kopii zapasowej ani ostrożności użytkownika.
W przypadku firmy potrzebne są także ograniczenia dostępu do folderów, oddzielenie kopii zapasowych od głównej sieci oraz szkolenie pracowników. Im mniej kont i urządzeń ma dostęp do wszystkich danych, tym mniejszy może być zasięg pojedynczej infekcji.
Ransomware – najważniejsza zasada
Ransomware wykorzystuje presję i strach, ale pochopna płatność nie rozwiązuje problemu. Aktualizuj urządzenia, traktuj podejrzane wiadomości z rezerwą i regularnie sprawdzaj kopie zapasowe. Gdy dojdzie do ataku, odłącz sprzęt, zachowaj dowody, skorzystaj z NoMoreRansom i zgłoś incydent zamiast podejmować decyzję pod wpływem presji.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady specjalisty ds. cyberbezpieczeństwa. W przypadku ataku na firmę lub utraty dostępu do krytycznych danych skontaktuj się z profesjonalnym zespołem reagowania na incydenty.
