Ransomware w małej firmie — jak wygląda atak i co naprawdę chroni
Pokutuje przekonanie, że ransomware to problem korporacji. W praktyce jest odwrotnie: małe i średnie firmy padają ofiarą częściej, bo mają słabsze zabezpieczenia, rzadziej testują kopie zapasowe i nie mają nikogo, kto obserwowałby sieć na co dzień. Dla atakującego to prostszy cel, a okup wciąż wart zachodu.
Jak wygląda typowy atak
Atak rzadko zaczyna się od spektakularnego włamania. Najczęściej ktoś w firmie otwiera załącznik z faktury, która wygląda wiarygodnie, albo loguje się do fałszywego panelu. Zdarza się też wejście przez źle zabezpieczony pulpit zdalny — RDP wystawiony do internetu z prostym hasłem to wciąż jedna z najczęstszych dróg.
Potem następuje etap, o którym mało kto wie: atakujący nie szyfruje danych od razu. Przez dni, czasem tygodnie, rozpoznaje sieć, zdobywa wyższe uprawnienia i — co kluczowe — szuka kopii zapasowych. Szyfrowanie uruchamiane jest dopiero wtedy, gdy backupy zostały zniszczone lub zaszyfrowane razem z resztą.
Dlatego firma budzi się w poniedziałek z zaszyfrowanymi serwerami i jednocześnie bezużytecznym backupem. To nie pech — to zaplanowany element ataku.
Dlaczego sama kopia zapasowa nie wystarcza
Kopia podłączona do tej samej sieci, na dysku widocznym z serwera, zostanie zaszyfrowana razem z danymi. Kopia, której nikt nigdy nie odtwarzał, może być uszkodzona od miesięcy i nikt się o tym nie dowie do dnia awarii.
Sensowna ochrona opiera się na zasadzie 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, w tym jedna poza siedzibą firmy. Do tego dochodzi warunek, o którym często się zapomina — przynajmniej jedna kopia musi być niezmienialna (immutable), czyli taka, której nie da się nadpisać ani skasować nawet z konta administratora.
I rzecz najważniejsza: regularne testowe odtwarzanie. Kopia, która nie została odtworzona, to nie kopia zapasowa, tylko nadzieja.
Co jeszcze realnie działa
Uwierzytelnianie dwuskładnikowe (MFA) na poczcie i dostępach zdalnych — to pojedyncza zmiana, która blokuje większość ataków opartych na wykradzionym haśle. Zamknięcie RDP za VPN-em zamiast wystawiania go do internetu. Aktualizacje systemów i aplikacji, bo znaczna część ataków wykorzystuje luki załatane wiele miesięcy wcześniej.
Ochrona endpointów klasy EDR, która nie tylko rozpoznaje znane wirusy, ale reaguje na podejrzane zachowanie — na przykład na proces masowo szyfrujący pliki. Oraz ograniczenie uprawnień: konto księgowej nie powinno mieć dostępu do serwera plików działu technicznego.
Kwestia okupu
Zapłata okupu nie gwarantuje odzyskania danych i finansuje kolejne ataki — a firma, która zapłaciła, trafia na listę celów skłonnych płacić. Do tego dochodzi kwestia zgłoszenia incydentu, bo przy wycieku danych osobowych obowiązują terminy wynikające z RODO.
Znacznie taniej jest przygotować się wcześniej. Wdrażamy Acronis Cyber Protect — backup połączony z ochroną przed ransomware, z kopiami niezmienialnymi i cyklicznym testowaniem odtwarzania. Jeśli nie masz pewności, czy Twoje kopie przetrwałyby taki atak, sprawdzimy to w ramach bezpłatnego audytu.
