Katarzyna Lewandowska
Ransomware nie zaczyna się od szyfrowania. Zanim na ekranach pojawi się żądanie okupu, atakujący spędzają w sieci ofiary dni albo tygodnie: rozpoznają środowisko, przejmują uprawnienia administratora, wykradają dane i kasują kopie zapasowe. Na podstawie incydentów obsługiwanych przez nasz zespół pokazujemy, którędy najczęściej wchodzą do polskich firm i co realnie zamyka te drzwi.
Jak wygląda współczesny atak
Większość ataków działa dziś w modelu ransomware-as-a-service: jedna grupa tworzy narzędzia i obsługuje negocjacje, a „partnerzy” włamują się do firm i dzielą się okupem. Standardem stało się podwójne wymuszenie – oprócz szyfrowania atakujący wykradają dane i grożą ich publikacją, więc sama sprawna kopia zapasowa nie rozwiązuje problemu. Ataki uruchamiane są zwykle w nocy, w weekend lub przed długim świętem, gdy czas reakcji jest najdłuższy. Cel nie jest przypadkowy: dostęp do sieci często kupowany jest od pośredników (tzw. initial access brokers), którzy wcześniej zdobyli hasła lub wykorzystali podatność.
Wektor 1: zdalny dostęp – RDP i VPN
Wystawiony do internetu pulpit zdalny (RDP) z hasłem, które da się odgadnąć lub kupić z wycieku, pozostaje najczęstszą przyczyną incydentów w małych i średnich firmach. Drugą grupę stanowią bramy VPN i firewalle brzegowe: w ostatnich latach krytyczne podatności w urządzeniach popularnych producentów były masowo wykorzystywane w ciągu kilku dni od publikacji, często zanim administratorzy zdążyli zainstalować poprawkę. Co działa: RDP wyłącznie za VPN lub rozwiązaniem ZTNA, MFA na każdym dostępie z zewnątrz, blokada konta po serii nieudanych logowań, priorytetowa aktualizacja urządzeń brzegowych i regularny przegląd tego, co w ogóle jest widoczne z internetu.
Wektor 2: phishing i złośliwe załączniki
Wiadomość z fakturą, CV lub „dokumentem do podpisu” nadal otwiera drogę do sieci – dziś rzadziej przez makra, częściej przez archiwa z plikami skrótów, obrazy dysków ISO i pliki HTML przekierowujące na fałszywą stronę logowania. Osobnym kanałem stały się reklamy w wyszukiwarkach podszywające się pod popularne programy, z których pracownik pobiera zainfekowany instalator. Jak rozpoznać taki atak i szkolić zespół, opisujemy w tekście Phishing w 2026; od strony technicznej kluczowe są filtrowanie poczty, EDR i brak uprawnień administratora na stacjach roboczych.
Wektor 3: niezałatane podatności w usługach wystawionych do internetu
Serwery pocztowe, systemy transferu plików, portale klienckie, bramy dostępowe – wszystko, co odpowiada na żądania z internetu, jest skanowane automatycznie przez całą dobę. Gdy pojawia się publiczny exploit, okno na reakcję liczy się w godzinach. Zarządzanie podatnościami to nie tylko instalowanie aktualizacji systemu: potrzebna jest inwentaryzacja usług dostępnych z zewnątrz, cykliczne skanowanie, priorytetyzacja według realnej wykorzystywalności (a nie tylko wyniku CVSS) i zasada, że krytyczne poprawki w systemach brzegowych wdrażane są w ciągu 72 godzin. Pomagamy to uporządkować w ramach usługi Konfiguracja zabezpieczeń.
Wektor 4: dostawcy i łańcuch dostaw
Zewnętrzny serwis IT z dostępem zdalnym do wszystkich klientów, narzędzie do zdalnego zarządzania z jednym współdzielonym hasłem, integracja z systemem księgowym – atak na jednego dostawcę otwiera drzwi do dziesiątek firm. Wymagaj od dostawców imiennych kont z MFA, dostępu przyznawanego tylko na czas prac, rejestrowania działań i informowania o incydentach; wpisz to do umów. Dotyczy to również dostawców oprogramowania: aktualizacje powinny pochodzić wyłącznie z podpisanych, oficjalnych źródeł.
Co realnie zamyka drzwi
Żaden pojedynczy produkt nie zatrzyma ransomware. Zatrzymuje go zestaw środków, które wzajemnie się ubezpieczają:
- MFA na każdym dostępie z zewnątrz i dla wszystkich kont administracyjnych,
- EDR na serwerach i stacjach z automatyczną reakcją – wykrycie o 3:00 w nocy nie może czekać do 8:00,
- segmentacja sieci i oddzielenie kopii zapasowych od domeny,
- ograniczenie uprawnień administratora domeny do minimum i osobne konta do zadań administracyjnych,
- niezmienne kopie zapasowe i przetestowany plan odtwarzania,
- przećwiczony plan reagowania na incydent – kto decyduje, kto komunikuje, kto odłącza sieć.
Jeśli nie masz własnego zespołu, który na bieżąco monitoruje środowisko, rozważ monitoring bezpieczeństwa jako usługę – to zwykle tańsze niż jeden tydzień przestoju.
