Żądanie okupu pojawiło się w poniedziałek rano. IT zostało powiadomione o 6:12. Do 9:00 było jasne: serwery zaszyfrowane, kopie zapasowe niedostępne, atakujący żądają 450 000 euro w kryptowalucie. Zespół śledczy ustalił datę pierwszego dostępu: 19 dni wcześniej. Atakujący spędzili trzy tygodnie na mapowaniu systemów, identyfikowaniu kopii zapasowych i ustanawianiu trwałości — zanim uruchomili szyfrowanie.
Firma miała kopie zapasowe, plan odzyskiwania po awarii i ubezpieczenie cybernetyczne. Nie miała natomiast przetestowanego planu reagowania na incydenty, czystych kopii offline ani jakichkolwiek możliwości detekcji. Odzyskiwanie zajęło 11 tygodni. Całkowity koszt: ponad 2 miliony euro.
Dlaczego większość planów reagowania na ransomware zawodzi
Plan nigdy nie został przetestowany. Plan, który istnieje tylko w dokumencie, jest hipotezą, a nie planem.
Strategia kopii zapasowych zakłada czyste kopie. Nowoczesny ransomware celowo atakuje infrastrukturę kopii zapasowych — kopie cienia VSS, katalogi kopii, konsole administracyjne kopii zapasowych.
Wyzwalacze powstrzymywania są niezdefiniowane. Kto ma uprawnienia do odłączenia systemów? Bez jasno określonej władzy decyzyjnej organizacje tracą godziny na wewnętrzne dyskusje, podczas gdy atak postępuje.
Brak planu komunikacji. NIS2 wymaga powiadomienia w ciągu 24 godzin w przypadku istotnych incydentów. Większość organizacji nie dotrzymałaby tego terminu bez wcześniej przygotowanych ram.
Pierwsze 72 godziny
Godziny 0–4: Potwierdź incydent. Aktywuj zespół reagowania. Rozpocznij segmentację sieci. Wykonaj obrazy śledcze przed naprawą. Skontaktuj się z ubezpieczycielem cybernetycznym — wymagane w większości polis.
Godziny 4–24: Uzyskaj powstrzymanie w sieci. Oceń integralność kopii zapasowych — czy kopie są naprawdę czyste i offline? Rozpocznij ocenę zakresu. Zaangażuj zewnętrzną firmę reagowania na incydenty. Zachowaj dzienniki na potrzeby analizy śledczej i postępowań regulacyjnych.
Godziny 24–72: Zdecyduj: negocjować, odtwarzać czy odbudowywać. Zweryfikuj integralność kopii zapasowych przed odtworzeniem. Rozpocznij ocenę obowiązku powiadomienia regulacyjnego (NIS2, RODO). Rozpocznij analizę przyczyny źródłowej.
Strategia kopii zapasowych, która naprawdę działa
Zasada 3-2-1-1: trzy kopie, dwa rodzaje nośników, jedna poza siedzibą, jedna offline/odizolowana (air-gapped). Kopia offline jest kluczowa — ransomware nie może zaszyfrować tego, do czego nie ma dostępu. Dodatkowo: niezmienne kopie zapasowe, dane uwierzytelniające odrębne od domeny oraz regularne testy odtwarzania (a nie tylko alerty o powodzeniu zadań kopii).
Czego nie robić
Nie płać bez porady prawnej. Płatność może naruszać przepisy o sankcjach. Może nie skutkować działającymi narzędziami deszyfrującymi. Umieszcza Cię na liście organizacji, które płacą.
Nie czyść systemów przed analizą śledczą. Potrzebujesz dowodów do analizy przyczyny źródłowej, raportowania regulacyjnego i roszczeń ubezpieczeniowych.
Nie zakładaj, że czyste systemy są czyste. Atakujący ustanawiają wiele mechanizmów trwałości w okresie obecności w sieci.
Budowanie rzeczywistej gotowości
Gotowość na ransomware wymaga przetestowanych planów reagowania (coroczne ćwiczenia sztabowe), przetestowanego odtwarzania kopii zapasowych (pełne odtworzenia, a nie tylko powodzenie zadań), możliwości detekcji (EDR, SIEM, monitorowanie sieci), wcześniej wynegocjowanej umowy retainer na reagowanie oraz wcześniej przygotowanych szablonów komunikacji.
Skontaktuj się z ExColo, aby uzyskać ocenę gotowości na ransomware →
