Ransomware w firmie: ile kosztuje atak i jak się przed nim chronić

Poniedziałek, 7:40. Księgowa włącza komputer i nie może otworzyć żadnej faktury. Wszystkie pliki mają dziwne rozszerzenie, a na pulpicie leży notatka: dane są zaszyfrowane, klucz kosztuje określoną kwotę w kryptowalucie, a jeśli firma nie zapłaci, skradzione dokumenty trafią do internetu. Serwer nie odpowiada, program do fakturowania też. Firma stoi.

Tak wygląda atak ransomware. I to nie jest problem wielkich korporacji — to problem każdej firmy, która trzyma dane w komputerze.

Skala zagrożenia w liczbach

• 179 ataków ransomware w Polsce w 2025 roku obsłużył CERT Polska — więcej niż rok wcześniej. To średnio jeden atak co dwa dni, a 129 z nich dotknęło firmy. I to tylko przypadki, które ktoś zgłosił.
• 1,53 mln USD — tyle według raportu Sophos „State of Ransomware 2025” wynosił średni koszt przywrócenia działania po ataku, nie licząc okupu. W firmach zatrudniających 100–250 osób było to ponad 600 tys. USD.
• Prawie połowa zaatakowanych organizacji zapłaciła okup, żeby odzyskać dane.
• Tylko 54% firm odtworzyło dane z kopii zapasowej — najmniej od sześciu lat. Reszta albo kopii nie miała, albo okazało się, że nie działa.

Do tego dochodzi przestój: dni bez fakturowania, bez dostępu do zamówień i bez kontaktu z klientami. Dla wielu małych firm to właśnie on, a nie sam okup, jest najdroższy.

Jak przebiega atak ransomware

Atak rzadko jest jednym kliknięciem. Zwykle to kilka etapów rozłożonych na dni albo tygodnie:

1. Wejście. Mail z „fakturą”, który kradnie hasło, niezałatana luka w oprogramowaniu albo zdalny pulpit wystawiony do internetu ze słabym hasłem. Według Sophos najczęstszą przyczyną są właśnie wykorzystane luki.
2. Rozpoznanie. Przestępca po cichu przegląda sieć: gdzie są dane, gdzie kopie zapasowe, kto ma uprawnienia administratora.
3. Kradzież danych. Zanim cokolwiek zaszyfruje, kopiuje dokumenty do siebie. To daje mu drugi argument do szantażu.
4. Szyfrowanie. Zwykle w nocy albo w weekend. Najpierw usuwa lub szyfruje kopie zapasowe, które znalazł w sieci, potem pliki na komputerach i serwerach.
5. Żądanie okupu. Za klucz do odszyfrowania i za „niepublikowanie” skradzionych danych.

Dlaczego celem są małe i średnie firmy

Większość ataków jest zautomatyzowana. Programy przeczesują internet w poszukiwaniu otwartych drzwi i nie sprawdzają, czy za nimi jest bank, czy biuro rachunkowe z ośmioma komputerami. Mała firma częściej ma nieaktualny system, jedno hasło do wszystkiego i kopię zapasową na dysku podłączonym na stałe do serwera — czyli taką, którą ransomware zaszyfruje razem z resztą.

W badaniu Sophos 40% ofiar przyznało, że przestępcy wykorzystali lukę, o której firma w ogóle nie wiedziała.

Czy płacić okup?

Zapłata nie daje gwarancji, że dostaniesz działający klucz ani że skradzione dane nie wypłyną. Okup dochodzi do kosztów odtwarzania, a nie je zastępuje — komputery i tak trzeba wyczyścić, a lukę załatać. Firma, która raz zapłaciła, pokazuje też, że warto wrócić. Jedyną naprawdę dobrą odpowiedzią jest sytuacja, w której płacić po prostu nie musisz.

Co realnie chroni firmę

• Kopia zapasowa w zasadzie 3-2-1 — trzy kopie, na dwóch nośnikach, jedna poza firmą. Przynajmniej jedna musi być niedostępna dla ransomware: odcięta od sieci albo zabezpieczona przed zmianą, np. niezmienialne migawki na serwerze Synology.
• Test odtworzenia — kopia, z której nikt nigdy nie przywrócił danych, jest tylko nadzieją. Odtwarzanie warto sprawdzać regularnie.
• Aktualizacje systemu, programów i urządzeń sieciowych — bo to przez luki wchodzi najwięcej ataków.
• Logowanie dwuskładnikowe do poczty i systemów w chmurze. Samo skradzione hasło przestaje wtedy wystarczać.
• Żadnego zdalnego pulpitu wystawionego do internetu — dostęp zdalny tylko przez bezpieczne połączenie.
• Rozsądne uprawnienia — pracownik ma dostęp do tego, czego potrzebuje, a nie do całego serwera.
• Uważni ludzie — krótkie szkolenie z rozpoznawania podejrzanych maili zatrzymuje wiele ataków, zanim się zaczną.

Co zrobić w pierwszej godzinie po ataku

1. Odłącz zainfekowane komputery od sieci — kabel i Wi-Fi. Nie wyłączaj ich i niczego nie formatuj, bo to utrudni ustalenie, co się stało.
2. Zadzwoń do swojego informatyka i nie próbuj negocjować z przestępcami na własną rękę.
3. Zgłoś incydent do CERT Polska przez formularz na stronie incydent.cert.pl.
4. Jeśli wyciekły dane osobowe — klientów albo pracowników — RODO wymaga zgłoszenia naruszenia do UODO w ciągu 72 godzin od jego wykrycia.

Najczęstsze pytania

Czy antywirus wystarczy przeciw ransomware?

Nie. Antywirus zatrzymuje część ataków, ale przestępca, który wszedł przez skradzione hasło, działa jak zwykły użytkownik. Ostatnią linią obrony zawsze jest kopia zapasowa, której atak nie może dosięgnąć.

Czy kopia w chmurze albo na zewnętrznym dysku jest bezpieczna?

Tylko wtedy, gdy ransomware nie ma do niej dostępu. Dysk podłączony na stałe albo folder synchronizowany z chmurą zostaną zaszyfrowane razem z resztą danych.

Ile trwa powrót do pracy po ataku?

Według Sophos nieco ponad połowa firm stanęła na nogi w ciągu tygodnia. Z dobrą, przetestowaną kopią to często kwestia godzin — bez niej nawet tygodni.

Przeczytaj też: NIS2 i ustawa o KSC 2026 — kogo dotyczy, terminy i kary dla zarządu

Źródła: Raport roczny CERT Polska 2025, Sophos, State of Ransomware 2025.