Ransomware to złośliwe oprogramowanie, które szyfruje pliki na komputerze i żąda zapłaty za ich odblokowanie. Współczesne kampanie robią jednak dwie rzeczy naraz: najpierw kopiują dane na zewnątrz, dopiero potem szyfrują to, co zostało. Zapłata za klucz nie cofa faktu, że dane już wyszły z firmy, i to właśnie ta różnica decyduje o tym, co robić dalej.
Skrót: odłącz zaatakowany komputer od sieci, ale go nie wyłączaj i niczego nie kasuj. Okupu nie płać: projekt No More Ransom, wspierany przez Europol i holenderską policję, ujmuje to jednym zdaniem, że nigdy nie powinieneś tego robić. Sprawdź, czy istnieje darmowe narzędzie deszyfrujące, zgłoś incydent do CERT Polska, a jeśli wyciekły dane osobowe, masz 72 godziny na zawiadomienie organu nadzorczego.
Co się właściwie stało
Na ekranie pojawia się komunikat z żądaniem okupu, a pliki mają zmienione rozszerzenia i nie dają się otworzyć. To widoczna część zdarzenia, ale zwykle nie pierwsza w kolejności. Napastnicy najczęściej są w sieci od dni albo tygodni, w tym czasie rozpoznają zasoby i wyprowadzają kopie najcenniejszych danych.
Rozróżnienie dwóch rodzajów szkody jest praktyczne, a nie akademickie. Zaszyfrowanie plików da się cofnąć kopią zapasową albo narzędziem deszyfrującym. Wyciek danych, które zostały wcześniej skopiowane, jest nieodwracalny i żadna zapłata tego nie zmienia, bo kopia leży już poza twoją infrastrukturą.
Pierwsza godzina po ataku
Kolejność ma tu znaczenie, bo najczęstsze odruchy niszczą dowody albo pogarszają sytuację.
- Odłącz urządzenie od sieci, wyciągając kabel i wyłączając łączność bezprzewodową. Ogranicza to rozprzestrzenianie się na kolejne komputery.
- Nie wyłączaj komputera. W pamięci operacyjnej mogą znajdować się klucze i ślady potrzebne później do analizy, a wyłączenie je kasuje.
- Nie kasuj plików z żądaniem okupu. Zawierają identyfikator odmiany, który pozwala ustalić, czy istnieje darmowe narzędzie deszyfrujące.
- Odłącz nośniki z kopiami zapasowymi, jeśli nadal są podpięte. Kopia podłączona na stałe zostaje zaszyfrowana razem z oryginałem.
- Zrób zdjęcie ekranu telefonem i zanotuj godzinę. To najprostszy sposób zabezpieczenia dowodu, gdy komputera nie wolno ruszać.
- Sprawdź pozostałe urządzenia w sieci, zanim uznasz, że problem dotyczy jednego komputera.
Czy płacić okup
Stanowisko projektu No More Ransom, prowadzonego przy wsparciu Europolu i holenderskiej policji krajowej, brzmi jednoznacznie: nigdy nie powinieneś tego robić. Argumenty są trzy i każdy ma praktyczne przełożenie.
Pierwszy: zapłata nie daje gwarancji odzyskania plików, bo dostajesz obietnicę od osoby, która właśnie dokonała przestępstwa. Narzędzie deszyfrujące dostarczone przez napastników bywa wadliwe i odtwarza część danych z błędami. Drugi: płacąc, potwierdzasz, że metoda działa, co finansuje kolejne ataki na innych. Trzeci, najczęściej pomijany: przy wycieku danych zapłata niczego nie naprawia, bo kopia już istnieje poza twoją siecią i nikt jej nie odda.
Osobną kwestią jest ryzyko prawne. Płatność trafia do zorganizowanej grupy przestępczej, a przy części z nich objętych sankcjami sam przelew może rodzić odpowiedzialność. Decyzję o zapłacie warto więc konsultować z prawnikiem, a nie podejmować w panice pierwszego dnia.
Jak sprawdzić, czy istnieje darmowe narzędzie
Zanim uznasz dane za stracone, sprawdź, czy twoja odmiana ransomware została już złamana. Służy do tego narzędzie Crypto Sheriff w projekcie No More Ransom: wgrywasz przykładowy zaszyfrowany plik oraz treść żądania okupu, a system rozpoznaje odmianę i wskazuje pasujące narzędzie deszyfrujące, jeśli takie powstało.
Projekt ma polską wersję językową, więc nie trzeba przedzierać się przez obcojęzyczną dokumentację. Ta droga bywa skuteczna szczególnie przy starszych odmianach, których klucze trafiły w ręce służb po zatrzymaniach albo przejęciu serwerów.
Nawet negatywna odpowiedź ma wartość, bo nie musi być ostateczna. Narzędzia deszyfrujące pojawiają się później niż same ataki, czasem po miesiącach, gdy służby przejmą infrastrukturę danej grupy. Dlatego zaszyfrowane pliki warto zachować na osobnym nośniku zamiast je kasować, nawet jeśli dziś nic się z nimi nie da zrobić. Odzyskanie ich za pół roku kosztuje wtedy tyle, co ponowne uruchomienie narzędzia.
Gdzie zgłosić atak ransomware
| Kanał | Kiedy używać |
|---|---|
| Formularz na incydent.cert.pl | podstawowa droga zgłoszenia incydentu do CERT Polska |
| Skrzynka ePUAP /NASK-Instytut/SkrytkaESP | gdy zgłoszenie wymaga formy urzędowej |
| Przekazanie wiadomości na numer 8080 | gdy atak zaczął się od podejrzanego SMS-a ze złośliwym odnośnikiem |
| Zawiadomienie policji | przy stratach finansowych i przy szantażu ujawnieniem danych |
Zgłoszenie do zespołu reagowania nie służy odzyskaniu pieniędzy, tylko zablokowaniu infrastruktury napastników i ostrzeżeniu kolejnych ofiar. Ta sama logika obowiązuje przy innych oszustwach, co opisuje tekst o tym, gdzie zgłosić numer telefonu oszusta.
Obowiązek zgłoszenia wycieku danych osobowych
Jeśli zaszyfrowane albo skopiowane dane obejmowały dane osobowe, wchodzi osobny obowiązek wynikający z przepisów o ochronie danych. Naruszenie zgłasza się organowi nadzorczemu bez zbędnej zwłoki, a termin graniczny wynosi 72 godziny od stwierdzenia naruszenia.
Ten termin zaskakuje najczęściej, bo biegnie równolegle do gaszenia pożaru technicznego. Warto o nim pamiętać już pierwszego dnia, zwłaszcza że samo zaszyfrowanie danych, bez żadnego wycieku, również bywa naruszeniem, skoro odbiera dostęp do informacji o osobach. Przy poważniejszych naruszeniach dochodzi obowiązek powiadomienia samych zainteresowanych.
Odtwarzanie z kopii zapasowej i gdzie to zwykle zawodzi
Kopia zapasowa jest jedyną drogą, która nie zależy od dobrej woli napastnika. Zawodzi jednak zaskakująco często i zwykle z tego samego powodu: była podłączona.
Dysk zewnętrzny wpięty na stałe do komputera albo folder synchronizowany z chmurą zostaje zaszyfrowany razem z resztą, bo dla oprogramowania szyfrującego jest po prostu kolejnym miejscem z plikami. Kopia odporna na taki atak musi być odłączona fizycznie albo przechowywana w wersjonowanej usłudze, która pozwala cofnąć się do stanu sprzed zdarzenia. Różnice między usługami pod tym kątem rozkłada porównanie dysków w chmurze.
Praktyczną miarą odporności jest tu stara zasada trzech kopii. Trzymasz trzy egzemplarze danych, na dwóch różnych rodzajach nośnika, a jeden z nich poza lokalizacją, w której pracujesz. Przy ransomware najważniejszy jest ten ostatni warunek, bo kopia leżąca w tym samym pomieszczeniu i wpięta do tej samej sieci dzieli los oryginału.
Drugi typowy zawód to kopia, której nikt nigdy nie próbował odtworzyć. Sam fakt, że zadanie kopiowania kończyło się bez błędu, nic nie mówi o tym, czy z tych plików da się odbudować działający system. Próbne odtworzenie raz na kwartał zamienia nadzieję w wiedzę.
Jak nie dopuścić do powtórki
Po odzyskaniu danych zostaje pytanie o drogę wejścia, bo bez jej zamknięcia atak wraca. W praktyce dominują trzy: załącznik albo odnośnik w wiadomości, przejęte hasło do zdalnego pulpitu oraz niezałatana usługa wystawiona do internetu.
Zamknięcie drogi wejścia wymaga ustalenia, którą z nich wykorzystano, a to zwykle widać w dziennikach zdarzeń. Jeśli logi zostały skasowane razem z resztą, sam ten fakt jest informacją: napastnik miał uprawnienia administratora i trzeba założyć, że dotarł wszędzie tam, gdzie one sięgały.
Na to nakładają się środki, które warto mieć niezależnie od skali działalności: aktualny system i aplikacje, uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest dostępne, ograniczenie uprawnień administratora do zadań, które ich naprawdę wymagają, oraz działająca ochrona antywirusowa, którą zestawia porównanie darmowych antywirusów. Domową sieć porządkuje z kolei tekst o tym, jak zabezpieczyć sieć Wi-Fi w domu.
Najczęstsze pytania
Czy po zapłaceniu okupu odzyskam pliki?
Nie ma na to żadnej gwarancji, bo dostajesz obietnicę od osoby, która dokonała przestępstwa. Narzędzia dostarczane przez napastników bywają wadliwe i odtwarzają część danych z błędami. Projekt No More Ransom, wspierany przez Europol, odradza płacenie bez wyjątków.
Czy wyłączyć zaatakowany komputer?
Nie. Odłącz go od sieci, ale zostaw włączony. W pamięci operacyjnej mogą znajdować się klucze i ślady przydatne przy analizie, a wyłączenie zasilania trwale je usuwa.
Gdzie zgłosić atak ransomware w Polsce?
Podstawowym kanałem jest formularz na incydent.cert.pl, a przy formie urzędowej skrzynka ePUAP o adresie /NASK-Instytut/SkrytkaESP. Jeśli atak zaczął się od podejrzanego SMS-a, przekaż wiadomość na numer 8080. Przy stratach finansowych złóż też zawiadomienie na policję.
Ile mam czasu na zgłoszenie wycieku danych osobowych?
Naruszenie zgłasza się bez zbędnej zwłoki, a termin graniczny to 72 godziny od jego stwierdzenia. Obowiązek dotyczy również sytuacji, w której dane zostały wyłącznie zaszyfrowane, bez wycieku, bo także wtedy tracisz nad nimi kontrolę.
Czy istnieją darmowe narzędzia do odszyfrowania plików?
Dla części odmian tak. Narzędzie Crypto Sheriff w projekcie No More Ransom rozpoznaje odmianę na podstawie przykładowego pliku i treści żądania okupu, a następnie wskazuje pasujące narzędzie, jeśli powstało. Projekt ma polską wersję językową.
Dlaczego kopia zapasowa nie uratowała moich danych?
Najczęściej dlatego, że była podłączona w chwili ataku. Dysk wpięty na stałe albo folder synchronizowany z chmurą zostaje zaszyfrowany razem z oryginałem. Odporna kopia musi być odłączona fizycznie albo przechowywana w usłudze z wersjonowaniem.
