Ransomware to rodzaj malware'u, który szyfruje Twoje dane lub blokuje dostęp do systemów a następnie żąda zapłaty (zwykle w kryptowalucie) za klucz deszyfrujący albo za nieujawnienie wykradzionych danych. W odróżnieniu od innego malware'u (np. adware, trojanów czy robaków) nowoczesny ransomware jest tworzony przede wszystkim do wymuszeń i często łączy szyfrowanie z kradzieżą danych („podwójne wymuszenie”).

Do znanych rodzin ransomware należą WannaCry i NotPetya (2017), Ryuk (2018–2020), REvil/Sodinokibi i Maze (około 2020–2021) oraz nowsze grupy, takie jak LockBit, BlackCat/ALPHV, Black Basta, Royal, i Clop. Wiele z nich działa w modelu Ransomware-as-a-Service (RaaS), w którym operatorzy dostarczają malware, a partnerzy przeprowadzają ataki za udział w zyskach.

Do najbardziej dotkliwych incydentów ransomware należą:

• WannaCry (2017): zainfekował około 200 000 komputerów w ponad 150 krajach, zakłócając ochronę zdrowia, telekomunikację i produkcję.
• NotPetya (2017): udawał ransomware, ale działał raczej jak wiper; globalne szkody gospodarcze szacuje się na około 10 mld USD.
• Colonial Pipeline (2021): atak ransomware DarkSide, który wymusił wyłączenie dużego amerykańskiego rurociągu paliwowego, zakłócając dystrybucję paliwa na Wschodnim Wybrzeżu.
• Change Healthcare/UnitedHealth Group (2024): Atak BlackCat/ALPHV, który zakłócił rozliczenia w ochronie zdrowia w USA; publiczne zeznania i analiza blockchaina wskazują, że zapłacono okup w wysokości około 22 mln USD, a raporty sugerują, że atakujący lub ich partnerzy mogą nadal przechowywać wykradzione dane.

Najnowsze raporty branżowe pokazują, że ransomware pozostaje jednym z najbardziej niszczących cyberzagrożeń:

• 59% organizacji nadal zgłasza co najmniej jeden atak w ciągu ostatniego roku.
• W przypadku ofiar, które płacą, średnia zapłata okupu spadła o 50%, spadając z 2,0 mln USD w 2024 r. do około 1,0 mln USD w 2025 r., przy jednoczesnym wzroście liczby ataków o 34%.
• Średni ransomware koszt odzyskiwania spadł w 2025 r. o 44%, co kosztowało ofiary średnio 1,53 mln USD wobec 2,73 mln USD w 2024 r.

Ogólny obraz jest taki: coraz mniej ofiar płaci, ale ataki są częste i wciąż niezwykle kosztowne, gdy uwzględnić przestoje, naprawę, koszty prawne i utratę reputacji.

Trendy ransomware w 2025 roku są niestety niepokojące i obejmują:

• Podwójne i potrójne wymuszenie: Atakujący nie tylko szyfrują dane, ale też je wykradają i grożą wyciekiem lub skargami do regulatora.
• Living-off-the-land: atakujący używają legalnych narzędzi (RDP, PowerShell, PsExec, agenci zdalnego zarządzania), by unikać wykrycia niemal do momentu detonacji.

Oto plan awaryjny: 

1. Natychmiast odizoluj systemy, których dotyczy incydent. Odłącz zainfekowane stacje i serwery od sieci oraz internetu.
2. Zbierz dowody. Nie kasuj jeszcze wszystkiego — logi i artefakty są krytyczne dla informatyki śledczej.
3. Powiadom wewnętrznych interesariuszy. Eskaluj do CISO, CTO, szefa bezpieczeństwa, działu prawnego i zarządu.
4. Skontaktuj się z zespołem reagowania na incydenty. Skontaktuj się z zespołem reagowania na incydenty pozostającym w gotowości, takim jak UDMAXI, który pomoże Ci szybko powstrzymać atak, ocenić szkody i bezpiecznie zaplanować odzyskiwanie.

Jest to zgodne z najlepszymi praktykami reagowania rekomendowanymi przez CISA i organy ścigania.

Prawidłowy proces reagowania na ransomware wygląda zwykle tak:

• Powstrzymanie ataku: odizoluj zainfekowane systemy, zablokuj skompromitowane konta i zatrzymaj ruch lateralny.
• Usunięcie zagrożenia: usuń pliki wykonywalne ransomware, loadery, backdoory i mechanizmy persystencji na stacjach, serwerach i kontrolerach domeny.
• Odzyskiwanie: przywróć systemy ze zweryfikowanych, czystych kopii zapasowych lub snapshotów albo odbuduj je z zaufanych obrazów bazowych, a następnie ostrożnie przywróć do pracy.
• Analiza przyczyn źródłowych: ustal, jak atakujący weszli (wykorzystana podatność, wykradzione dane logowania, wystawione RDP/VPN itp.) i zamknij te luki.

W przypadku większości nowoczesnych odmian (LockBit, BlackCat, Black Basta itp.), publiczne dekryptory nie są dostępne, więc bezpieczne odzyskanie danych zwykle zależy od kopii zapasowych i uporządkowanego procesu IR, a nie od „pobierzmy darmowy dekryptor i miejmy nadzieję”.

Tak, ransomware i powiązane malware można usunąć z systemów, korzystając z procedur IR i narzędzi bezpieczeństwa — ale to nie odszyfrowuje danych. W UDMAXI stosujemy proces odzyskiwania danych zgodny z najlepszymi praktykami. Przywracamy dane z czystych, nienaruszonych kopii zapasowych lub snapshotów, a w niektórych przypadkach przy użyciu prawidłowego klucza deszyfrującego (od organów, od dostawcy lub — w ostateczności — od przestępców, co jest bardzo ryzykowne i nie daje gwarancji skuteczności).

Kluczowe jest upewnienie się, że przed przywróceniem systemów do produkcji usunięto wszystkie mechanizmy persystencji i backdoory.

Nie da się z góry określić, jak długo potrwa atak ransomware w Twoim środowisku, bo zależy to również od tego, o której fazie mówimy:

• Szyfrowanie może potrwać kilka minut w małych sieciach i kilka godzin w większych środowiskach.
• Włamanie i przygotowanie ataku mogą trwać dni lub tygodnie niezauważonej aktywności, w czasie której atakujący przemieszczają się lateralnie, wykradają dane oraz wyłączają zabezpieczenia i kopie zapasowe przed szyfrowaniem.
• Odzyskiwanie i ewentualne negocjacje trwają zwykle od kilku dni do kilku tygodni, w zależności od wielkości środowiska, obowiązków regulacyjnych i tego, czy masz użyteczne kopie zapasowe.

Choć samo szyfrowanie może wydawać się natychmiastowe, pełny cykl incydentu — od pierwszego naruszenia do całkowitego odzyskania — może łatwo rozciągnąć się na wiele tygodni.

W typowym incydencie ransomware atakujący zdobywają dostęp przez phishing, wykorzystanie podatności, wystawione RDP/VPN lub wykradzione dane logowania. Następnie eskalują uprawnienia i przemieszczają się lateralnie, by dotrzeć do kontrolerów domeny, serwerów plików, hypervisorów i kopii zapasowych, a potem wykradają wrażliwe dane (umowy, dane finansowe, dane pacjentów/klientów, własność intelektualną) do własnej infrastruktury.

Drugim etapem typowego ataku jest wdrożenie ransomware na dużą skalę: szyfrowanie plików, a czasem także maszyn wirtualnych i kopii zapasowych. Zwykle pojawia się wtedy żądanie okupu z instrukcją płatności i groźbą ujawnienia lub sprzedaży wykradzionych danych, jeśli nie spełnisz warunków.

Nowoczesne grupy ransomware często stosują wielostopniowe wymuszenie: szyfrowanie + wyciek danych + presja regulacyjna i medialna.

Zapłacenie okupu jest zawsze ryzykowne, bo nie ma gwarancji, że otrzymasz działające klucze deszyfrujące ani że wykradzione dane zostaną naprawdę usunięte. Część przestępców przyjęła zapłatę, a mimo to ujawniła lub odsprzedała dane.

W niektórych jurysdykcjach i scenariuszach zapłata może rodzić ryzyko sankcji i naruszenia zgodności, jeśli grupa znajduje się na liście restrykcyjnej.

Dobrą praktyką jest zaangażowanie ekspertów reagowania na incydenty i doradcy prawnego, ocena, czy da się odzyskać dane z kopii zapasowych, oraz uwzględnienie wytycznych regulacyjnych i ubezpieczyciela przed podjęciem decyzji. 

Stanowisko UDMAXI jest jasne: priorytetem jest powstrzymanie ataku, bezpieczne odzyskanie danych i długofalowa odporność, a nie płacenie przestępcom.

Skuteczna ochrona przed ransomware jest zawsze warstwowa i zwykle obejmuje:

• Wzmocnione tożsamości i dostęp (MFA, zarządzanie dostępem uprzywilejowanym, dobra higiena IAM)
• Terminowe łatanie systemów wystawionych do internetu i oprogramowania wysokiego ryzyka
• Filtrowanie poczty i ruchu web blokujące phishing i dostarczanie malware'u
• EDR + SIEM z monitoringiem 24/7, threat huntingiem i reagowaniem na incydenty (MDR/XDR)
• Segmentacja sieci i dostęp zgodny z zasadą najmniejszych uprawnień
• Regularne, testowane kopie zapasowe z kopiami offline lub niezmiennymi

W UDMAXI zawsze zalecamy klientom łączenie MDR, platformy UDMAXI dla widoczności oraz IR, by wykrywać i powstrzymywać ransomware, zanim dotrze do najbardziej krytycznych zasobów.

Tak, firma zajmująca się usuwaniem ransomware, taka jak UDMAXI, może pomóc — ale oczekiwania muszą być realistyczne. Jeśli nie ma kopii zapasowych (albo nie ma czystych kopii), najpierw koncentrujemy się na powstrzymaniu ataku i usunięciu zagrożenia, by zatrzymać dalsze szkody. Następnie szukamy pozostałych źródeł danych (częściowe kopie, kopie w chmurze, skrzynki pocztowe, eksporty, archiwa), które pozwolą odbudować skompromitowane systemy.

Przeprowadzamy informatykę śledczą i analizę przyczyn źródłowych, pomagamy spełnić wymagania regulacyjne i ubezpieczyciela oraz projektujemy wzmocnioną strategię kopii zapasowych i odzyskiwania na przyszłość. Bez czystych kopii zapasowych odzyskiwanie może być bardziej ograniczone i wolniejsze, ale reagowanie na incydent pozostaje kluczowe, by zmniejszyć ryzyko i zapobiec ponownej infekcji.

Mechanizmy obrony przed ransomware w AWS obejmują S3 Object Lock dla niezmiennych kopii zapasowych, blokadę sejfu AWS Backup gwarantującą, że punkty przywracania nie zostaną zmienione, wykrywanie zagrożeń GuardDuty pozwalające wcześnie zauważyć złośliwą aktywność oraz polityki IAM zgodne z zasadą najmniejszych uprawnień, ograniczające powierzchnię ataku.