Co zrobić jako pierwsze po ataku ransomware?

Natychmiast odłącz zainfekowane komputery od sieci - wyciągnij kabel i wyłącz Wi-Fi. Nie wyłączaj zasilania bez potrzeby i nie loguj się na nie kontem administratora.

Czy wyłączyć komputer zainfekowany ransomware?

Zwykle nie od razu, bo w pamięci RAM zostają ślady potrzebne do analizy, a twardy restart może uszkodzić pliki. Wyłączenie ma sens, gdy nie da się odciąć sieci, a szyfrowanie postępuje - wtedy lepsza jest hibernacja niż wyrwanie wtyczki.

Czy warto zapłacić okup za odszyfrowanie plików?

Organy ścigania i inicjatywa No More Ransom zalecają nie płacić. Nie ma gwarancji, że dekryptor zadziała ani że dane nie wyciekną, a płatność grupie objętej sankcjami może naruszać przepisy.

Gdzie zgłosić atak ransomware w Polsce?

Do CERT Polska przez formularz incydent.cert.pl, na policję jako przestępstwo, a jeśli dotyczy danych osobowych - do UODO. Podmioty kluczowe i ważne w rozumieniu ustawy o KSC zgłaszają też poważny incydent do właściwego CSIRT.

Czy atak ransomware trzeba zgłosić do UODO?

Jeśli dotknięte są dane osobowe i naruszenie może powodować ryzyko dla osób, zgłaszasz je Prezesowi UODO w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33 RODO). Każde naruszenie trzeba też udokumentować wewnętrznie.

Jak odzyskać pliki po ransomware bez płacenia?

Sprawdź na nomoreransom.org, czy istnieje darmowy dekryptor dla danej rodziny ransomware, a jeśli nie - odtwórz dane z backupu offline lub niezmiennego. Przywracaj dopiero po usunięciu przyczyny ataku i odbudowaniu systemów na czysto.

Ransomware w małej firmie: pierwsze 60 minut po ataku krok po kroku

Poniedziałek, 7:40. Księgowa dzwoni, że nie może otworzyć faktur, a pliki na dysku sieciowym mają dziwną końcówkę. Na pulpicie leży „README_RESTORE.txt”. W ciągu najbliższej godziny albo ograniczysz szkody, albo - w dobrej wierze - je pomnożysz.

Ten wpis to plan na pierwsze 60 minut, krok po kroku: co robisz od razu, a czego absolutnie nie robisz. Przeczytaj go teraz, a nie wtedy, gdy będzie potrzebny.

Skąd wiesz, że to ransomware

Pliki nie dają się otworzyć - Word czy PDF zgłaszają uszkodzony format.
Zmienione rozszerzenia - „umowa.docx” nagle ma doklejony losowy ciąg znaków.
Notka z okupem - plik TXT lub HTML w każdym katalogu, instrukcja kontaktu i groźba publikacji danych.
Padający serwer plików lub NAS - zniknęły udziały, wolumen jest pusty, maszyny wirtualne nie startują.
Nienaturalne obciążenie - dyski mielą bez przerwy, antywirus jest nagle wyłączony.

Dwa objawy naraz? Nie diagnozuj dalej, traktuj to jako incydent. Lepiej kwadrans reagować na fałszywy alarm niż kwadrans przyglądać się prawdziwemu atakowi.

Według raportu rocznego CERT Polska za 2025 rok zespół odnotował 179 ataków ransomware (147 rok wcześniej), z czego 129 zgłosiły podmioty prywatne. To tylko przypadki, które ktoś zgłosił.

Minuty 0-5: odetnij, ale nie wyłączaj

Odłącz od sieci

Wyciągnij kabel sieciowy, wyłącz Wi-Fi, w laptopie włącz tryb samolotowy. Ransomware szyfruje wszystko, do czego ma dostęp - także NAS i udziały sieciowe. Jeśli nie wiesz, które maszyny są zainfekowane, odłącz cały przełącznik albo łącze na routerze. Przestój biura jest tańszy niż kolejny zaszyfrowany serwer.

Dlaczego nie wyłączać zasilania od razu

W pamięci RAM działającego komputera są ślady, które po wyłączeniu znikają: procesy, połączenia sieciowe, czasem fragmenty kluczy szyfrujących. To materiał, z którego specjalista ustali, jak atakujący wszedł. Twardy restart potrafi też uszkodzić pliki zapisywane w trakcie szyfrowania.

Kiedy jednak wyłączyć: gdy nie da się odciąć sieci, a szyfrowanie wyraźnie postępuje, gdy szyfrowany jest dysk z danymi, których nie ma w żadnym backupie, albo gdy tak każe osoba prowadząca obsługę incydentu. Jeśli możesz wybrać, hibernacja jest lepsza od wyrwania wtyczki, bo zapisuje zawartość pamięci.

Nie loguj się kontem administratora

Ktoś „szybko sprawdza” zainfekowany komputer kontem administratora domeny. Jeśli działa tam narzędzie do kradzieży haseł, atakujący właśnie dostał klucze do całej firmy. Na podejrzane maszyny nie loguj się żadnym kontem uprzywilejowanym.

Minuty 5-15: izolacja i ratowanie backupu

Odetnij segment na firewallu - jeśli masz sieć podzieloną na VLAN-y, zablokuj ruch z zainfekowanego segmentu do serwerów i internetu.
Wyłącz VPN i dostęp zdalny - według CERT Polska w większości ataków, w których dało się ustalić wektor, wejście nastąpiło przez dostęp zdalny bez dwuskładnikowego uwierzytelniania.
Zatrzymaj synchronizację z chmurą - OneDrive, Google Drive, Synology Drive grzecznie wyślą zaszyfrowane pliki do chmury i nadpiszą dobre wersje.
Zabezpiecz backupy - odłącz dyski backupowe, wstrzymaj zadania kopii, zmień hasło do panelu backupu z czystego urządzenia.

Sprawdź, czy kopie są całe, ale z czystego komputera, bez montowania ich w zainfekowanej sieci. CERT Polska zauważa, że kopii na serwerach NAS atakujący zazwyczaj nie szyfrowali, tylko reinicjalizowali przestrzeń dyskową, żeby je wymazać. Backup offline albo niezmienny (immutable) to często jedyne, co przetrwa.

Minuty 15-30: kto decyduje i co zapisujesz

Wyznacz jedną osobę, która decyduje - właściciela lub kierownika, w kontakcie z osobą techniczną. Reszta dostaje prosty komunikat: nie włączać komputerów, nie podłączać pendrive'ów, nie rozmawiać o incydencie na zewnątrz.

Sięgnij po listę telefonów na papierze: firma IT, inspektor ochrony danych, ubezpieczyciel, bank, dostawcy najważniejszych systemów. Książka adresowa w Outlooku może być właśnie zaszyfrowana.

Zdjęcia ekranów - telefonem, nie zrzutem z zainfekowanego komputera.
Notka z okupem - nie kasuj jej. Pozwala zidentyfikować rodzinę ransomware i sprawdzić, czy istnieje dekryptor.
Oś czasu - kto, co i o której zauważył i zrobił. Godziny będą potrzebne przy zgłoszeniach.
Nie czyść niczego - bez formatowania i reinstalacji. To dowody.

Atak rzadko zaczyna się w dniu szyfrowania. CERT Polska opisuje infiltracje rozłożone na kilka tygodni, podczas gdy wiele firm ma logi sięgające kilku dni wstecz. Jak to wygląda od środka, opisaliśmy w tekście o realnym scenariuszu włamania do małej firmy.

Minuty 30-60: zgłoszenia

CERT Polska

Formularz na incydent.cert.pl albo mail na cert@cert.pl. Zgłoszenie nic nie kosztuje, a zwiększa szansę, że ktoś już widział ten sam atak.

UODO - 72 godziny

Jeśli dotknięte są dane osobowe klientów czy pracowników, art. 33 RODO wymaga zgłoszenia naruszenia do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że ryzyko dla osób jest mało prawdopodobne. Przy groźbie publikacji danych trudno je wykluczyć. Naruszenie i tak musisz udokumentować wewnętrznie.

KSC i NIS2

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2 (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. Dotyczy podmiotów kluczowych i ważnych, co do zasady średnich i dużych firm z określonych sektorów. Termin wpisu do wykazu minął 3 października 2026 r., na wdrożenie wymagań jest czas do 3 kwietnia 2027 r.

Jeśli Twoja firma jest takim podmiotem: wczesne ostrzeżenie najpóźniej w ciągu 24 godzin od wykrycia poważnego incydentu, zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca, do właściwego CSIRT. Szczegóły zależą od sektora, więc nie interpretuj ich sam w środku kryzysu - zapytaj osobę odpowiedzialną za KSC lub prawnika. Mała firma zwykle nie podlega ustawie wprost, ale może dostać podobne wymagania w umowie od dużego klienta.

Policja i ubezpieczyciel

Wymuszenie okupu to przestępstwo - złóż zawiadomienie na policji. Jeśli masz polisę cyber, zadzwoń do ubezpieczyciela przed kosztownymi działaniami: polisy często mają krótkie terminy zgłoszenia i wskazany zespół reagowania.

Czy płacić okup

Inicjatywa No More Ransom, prowadzona m.in. przez Europol, zaleca wprost: nigdy nie płacić. Powody są praktyczne:

Brak gwarancji - dekryptor może nie działać albo nie dotrzeć wcale.
Dane i tak mogą wyciec - zapłata nie cofa kradzieży.
Jesteś na liście - firma, która raz zapłaciła, jest atrakcyjnym celem kolejnego ataku.
Ryzyko sankcji - jeśli grupa jest objęta sankcjami (UE, USA), płatność może naruszać przepisy.

Najpierw sprawdź na nomoreransom.org (narzędzie Crypto Sheriff), czy dla Twojej rodziny ransomware nie istnieje darmowy dekryptor. Tu przydaje się zachowana notka.

Odtwarzanie: najpierw przyczyna, potem dane

Najdroższy błąd to przywrócić backup do środowiska, w którym wciąż siedzi atakujący. Po kilku dniach wszystko jest zaszyfrowane drugi raz.

Ustal wektor wejścia i zamknij go - VPN bez MFA, wystawiony RDP, przejęte konto.
Zmień wszystkie hasła, od kont administracyjnych, z czystego urządzenia.
Odbuduj systemy na czysto - nowa instalacja, nie „czyszczenie” starej.
Przywracaj od infrastruktury - kontroler domeny, serwery plików i bazy, systemy biznesowe, na końcu stacje robocze.
Wybierz punkt sprzed infekcji, nie tylko sprzed szyfrowania.

Ile kosztuje każdy dzień takiego przestoju, liczyliśmy w tekście o ukrytych kosztach awarii IT.

Co przygotować, zanim to się stanie

Backup 3-2-1-1-0 - trzy kopie, dwa nośniki, jedna poza firmą, jedna offline lub niezmienna, zero błędów w testach odtwarzania. Więcej w tekście o tym, jak zrobić backup, który naprawdę działa.
Segmentacja sieci - biuro, serwery, backup i goście osobno.
MFA na każdym dostępie zdalnym - CERT Polska odnotował w 2025 roku 46 ataków ransomware na podmioty z publicznie dostępnym RDP.
Plan na papierze - jedna kartka z krokami i telefonami.

PLAN NA RANSOMWARE - wydrukuj i powieś

[ ] 0-5 min   Odłącz od sieci. NIE wyłączaj zasilania bez potrzeby.
              NIE loguj się kontem administratora.
[ ] 5-15 min  Odetnij VPN. Zatrzymaj OneDrive/sync. Odłącz backupy.
[ ] 15-30 min Jedna osoba decyduje. Zdjęcia, notka okupu, oś czasu.
[ ] 30-60 min incydent.cert.pl | UODO 72 h | KSC 24 h | policja

Firma IT: ............  Ubezpieczyciel: ............
IOD:      ............  Bank:           ............

Plan, którego nikt nie przećwiczył, w dniu ataku jest tylko kartką. Raz w roku sprawdź, czy backup naprawdę się odtwarza.

Nie czekaj na poniedziałek, 7:40

Nie masz pewności, czy Twój backup przetrwałby atak? Sprawdźmy to na spokojnie. Pomagamy małym i średnim firmom w Krakowie i zdalnie: projektujemy i testujemy backup i ochronę danych, segmentujemy sieci, wdrażamy MFA i przygotowujemy plany reagowania w ramach usług bezpieczeństwa.