Ransomware: co to jest i jak chronić firmę przed atakiem

Ransomware to złośliwe oprogramowanie, które szyfruje pliki firmy i żąda okupu za klucz odszyfrowujący - coraz częściej grożąc też publikacją wykradzionych danych. Do firmy wchodzi przez phishing, usługi wystawione do internetu i hasła z wycieków. Ochronę dają trzy rzeczy: zamknięcie zbędnych usług, MFA i kopia zapasowa 3-2-1, której atak nie zaszyfruje. Zacznij od sprawdzenia, co Twoja firma wystawia do internetu.

Ten przewodnik został napisany dla właściciela firmy, nie dla informatyka. Pokazuje, jak naprawdę wygląda atak ransomware na małą firmę, którędy wchodzi, co mówią liczby z Polski i z naszych własnych badań - oraz jak przygotować kopię zapasową, której atak nie zniszczy. Ransomware to jedno z zagrożeń opisanych w przewodniku po cyberzagrożeniach dla firm - tutaj rozbieramy je na części.

Rekonstrukcja typowego ekranu z żądaniem okupu (układ wzorowany na WannaCry z 2017 r.). Szczegóły różnią się między grupami, ale schemat się powtarza: licznik czasu, adres portfela i groźba podwyżki - wszystko po to, by decyzje zapadały pod presją.

1. Co to jest ransomware i jak wygląda atak

Ransomware to program, który po uruchomieniu w firmowej sieci szyfruje pliki: dokumenty, bazy danych, zdjęcia i każdą kopię zapasową, do której ma dostęp. Zaszyfrowanych plików nie da się otworzyć bez klucza, a klucz ma tylko atakujący. Na ekranie albo w folderach pojawia się notatka z żądaniem okupu - zwykle w kryptowalucie - i terminem, po którym cena rośnie albo dane mają przepaść. Krótką definicję z powiązanymi pojęciami zbiera hasło ransomware w słowniku.

Współczesne ataki rzadko kończą się na samym szyfrowaniu. Standardem stał się podwójny szantaż (double extortion): zanim atakujący uruchomi szyfrowanie, wykrada kopię danych i grozi ich publikacją albo sprzedażą. To zmienia rachunek. Nawet firma z dobrą kopią zapasową, która odtworzy pliki bez płacenia, wciąż staje przed pytaniem, co się stanie z danymi pacjentów lub klientów - a wykradzionych danych żadna płatność nie cofnie.

Sama presja też jest zaprojektowana. Grupy ransomware prowadzą w sieci Tor strony “obsługi ofiar” z czatem i licznikiem odliczającym czas do podwyżki żądania - oraz publiczne strony, na których wystawiają dane firm odmawiających zapłaty. Ofiara ma czuć, że rozmawia ze sprawną instytucją, nie z przestępcą. To teatr, ale skuteczny - dlatego decyzje po ataku warto podejmować według procedury z sekcji 6, nie pod dyktando licznika.

Dla gabinetu, biura rachunkowego czy kliniki atak oznacza dzień, w którym nie otwiera się kartoteka pacjentów, kalendarz wizyt ani pliki księgowe - a telefon dzwoni dalej. Realny koszt to rzadko sam okup: to przestój liczony w dniach, odtwarzanie danych, komunikacja z klientami i obowiązki prawne po naruszeniu. Jeśli dopiero porządkujesz podstawy bezpieczeństwa, zacznij od przewodnika cyberbezpieczeństwo dla małej firmy.

2. Jak ransomware wchodzi do firmy: trzy drzwi

Atak prawie nigdy nie zaczyna się od filmowego łamania zabezpieczeń. Ransomware wchodzi do firm trzema drzwiami - i wszystkie trzy da się sprawdzić z wyprzedzeniem.

Pierwsze drzwi to phishing: zainfekowany załącznik, link do fałszywej strony logowania albo wyłudzone hasło. To najczęstszy pierwszy krok ataku, bo kosztuje atakującego najmniej. Jak działa i jak się przed nim bronić, opisuje osobny przewodnik po phishingu - w kontekście ransomware wystarczy zapamiętać, że jeden klik w załącznik potrafi uruchomić całą sekwencję.

Drugie drzwi to usługa wystawiona wprost do internetu: zdalny pulpit RDP (praca “na odległość” na firmowym komputerze), panel administracyjny albo otwarta baza danych. Wyszukiwarki urządzeń takie jak Shodan indeksują je automatycznie, więc atakujący nie musi nikogo szukać - dostaje gotową listę. Potem zgaduje, łamie albo kupuje hasło i loguje się jak pracownik. Bywa też, że hasło w ogóle nie jest potrzebne: wystarczy znana, niezałatana luka w samej usłudze albo w urządzeniu brzegowym - routerze, VPN-ie, firewallu. Dlatego aktualizacje to nie kosmetyka, tylko zamykanie drzwi, o których istnieniu firma często nie wie. Mechanizm jednego otwartego portu opisujemy krok po kroku w tekście jeden otwarty port: jak ransomware trafia do firm.

Trzecie drzwi to hasła z wycieków. Adresy e-mail i hasła z włamań do innych serwisów krążą w sieci latami; działają nawet wyspecjalizowani pośrednicy (initial access brokers), którzy skupują i odsprzedają gotowe dostępy do firm. Jeśli to samo hasło działa w poczcie i w systemie zdalnego dostępu, atakujący nie musi niczego łamać - loguje się pierwszym działającym hasłem z listy. Dlatego MFA, czyli uwierzytelnianie wieloskładnikowe, zamyka te drzwi skuteczniej niż jakiekolwiek szkolenie.

Drzwi	Jak wygląda w praktyce	Pierwsza obrona
Phishing i załącznik	”Faktura” w e-mailu, link do fałszywego logowania	Nawyk weryfikacji poza wiadomością; MFA na poczcie
Usługa wystawiona do internetu	RDP, panel administracyjny, otwarta baza danych	Zamknięcie usługi albo schowanie jej za VPN
Hasło z wycieku	Logowanie danymi z włamania do innego serwisu	Unikalne hasła z menedżera + MFA; monitorowanie wycieków

3. Ransomware w liczbach 2025-2026

Skalę w Polsce pokazuje raport roczny CERT Polska za 2025: 179 zarejestrowanych ataków ransomware, z czego 129 zgłosiły firmy. Statystycznie to atak co drugi dzień - a mowa wyłącznie o przypadkach, które ktoś zgłosił, więc rzeczywista liczba jest prawdopodobnie wyższa.

Globalne dane układają się w ten sam obraz. Verizon Data Breach Investigations Report 2026 odnotował ransomware w 48% potwierdzonych naruszeń danych, a tam, gdzie znana była wielkość ofiary, 96% stanowiły małe i średnie firmy. To nie jest broń wycelowana w korporacje - kampanie są zautomatyzowane i trafiają tam, gdzie drzwi są otwarte, a odtwarzanie danych najsłabsze.

Koszty rozkładają się inaczej, niż podpowiada intuicja. Według badania Sophos State of Ransomware koszty odtworzenia po ataku regularnie wielokrotnie przewyższają sam okup - najdroższy jest przestój, praca specjalistów i utracone zlecenia. Jednocześnie ofiary płacą coraz rzadziej: według DBIR 2026 płaci już tylko około jedna trzecia. Dobra kopia zapasowa zmienia negocjację z szantażystą w porządkowanie plików.

4. Co widzimy w skanach polskich MŚP

Zanim atakujący wybierze cel, sprawdza firmę z zewnątrz - automatem, w kilka minut, bez dotykania czegokolwiek w środku. W naszych skanach robimy dokładnie to samo, tylko po to, żeby właściciel zobaczył wynik pierwszy. Obraz z domen polskich gabinetów stomatologicznych, klinik estetycznych i biur rachunkowych jest jednoznaczny.

Spośród firm, które objęliśmy pogłębionym skanem, 40% miało publicznie dostępną bazę danych MySQL (port 3306), a 30% - serwer FTP przesyłający dane bez szyfrowania. Każda taka usługa to gotowe drugie drzwi z tabeli wyżej: żeby przez nie wejść, nie potrzeba phishingu ani wyrafinowanych narzędzi. To próbka, nie badanie całego rynku - ale dokładnie ten sam obraz widzi atakujący ze swoim skanerem.

Drugi wzorzec to hasła. U 22% skanowanych firm służbowy adres e-mail figurował w publicznie znanym wycieku danych, a u 17% - razem z hasłem w postaci jawnej. Takie hasło to trzecie drzwi w czystej postaci: atakujący niczego nie łamie, tylko się loguje. Do tego u 72% firm domenę dało się podszyć przez luki w konfiguracji poczty (SPF, DKIM, DMARC) - a phishing to drzwi pierwsze; ten wątek rozwija przewodnik po phishingu.

Sprawdzenie tych trzech obszarów - wystawionych usług, wycieków haseł i konfiguracji domeny - to standardowa część naszej oceny podatności IT.

5. Backup, który przetrwa atak

Od wejścia do zaszyfrowania mija zwykle od kilku godzin do kilku dni. W tym czasie atakujący rozgląda się po sieci, wykrada dane i szuka kopii zapasowych - te, które znajdzie, kasuje albo szyfruje w pierwszej kolejności. Dysk USB podpięty na stałe i zmapowany dysk sieciowy nie są więc kopią zapasową: z punktu widzenia ransomware to po prostu kolejne foldery do zaszyfrowania.

Model, który przetrwa atak, nazywa się 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, z czego jedna poza firmą. Dla gabinetu może to znaczyć: dane w systemie, kopia na lokalnym serwerze i kopia w chmurze u dostawcy backupu. Kluczowa jest ta trzecia - odseparowana od firmowej sieci na tyle, że konto zainfekowanego komputera nie ma do niej prawa zapisu.

Odseparowanie ma dwie praktyczne formy. Kopia offline jest fizycznie odłączana po wykonaniu - dysk, który po backupie ląduje w szufladzie, a najlepiej poza siedzibą, jest poza zasięgiem ataku. Kopia niezmienialna (immutable) to funkcja nowoczesnych usług backupu: przez zadany czas nie da się jej nadpisać ani skasować - nawet z konta administratora, nawet gdy atakujący zdobył wszystkie hasła.

Częstotliwość kopii dobierz do prostego pytania: ile dni pracy firma może stracić bezpowrotnie? Jeśli odpowiedź brzmi “najwyżej jeden”, kopia musi być codzienna. Obejmij nią to, czego nie da się odtworzyć ręcznie: bazę systemu do prowadzenia gabinetu lub biura, dokumenty, pocztę i konfigurację - a nie tylko folder z dokumentami. Jeśli oprogramowanie branżowe działa w chmurze dostawcy, zapytaj go wprost, co obejmują jego kopie i jak szybko odda Ci dane po incydencie; “mamy backup” u dostawcy nie zwalnia z posiadania własnej kopii.

Nieprzetestowana kopia to założenie, nie zabezpieczenie. Raz na kwartał odtwórz z kopii jeden plik i jedną bazę - sprawdzisz, czy backup w ogóle działa. Raz do roku zmierz, ile zajęłoby odtworzenie całego środowiska: godziny czy dni? Ta liczba mówi, jak długo firma stałaby po ataku - i czy stać ją na taki przestój.

Trzy etapy ataku układają się w prostą mapę obrony:

Etap ataku	Co robi atakujący	Co chroni Twoją firmę
Wejście	Phishing, logowanie do wystawionej usługi, hasło z wycieku	Zamknięcie zbędnych usług, MFA, aktualizacje
Rozpoznanie	Porusza się po sieci, wykrada dane, szuka kopii zapasowych	Konta bez uprawnień administratora, EDR (wykrywanie zagrożeń na urządzeniach), reagowanie na alerty
Szyfrowanie i szantaż	Szyfruje pliki, żąda okupu, grozi publikacją	Kopia 3-2-1 offline lub immutable, przetestowane odtwarzanie

6. Atak w toku: co robić godzina po godzinie

Godzina zero wygląda zwykle tak: rano nie otwiera się system, a na pulpicie widnieje ekran z żądaniem okupu. Kolejność działań ma znaczenie - nic nie kosztuje firmy tyle, co panika.

Odłącz zainfekowane komputery od sieci - wyciągnij kabel, wyłącz Wi-Fi. Nie wyłączaj zasilania: w pamięci działającej maszyny bywają ślady, które pomogą specjalistom w analizie i odzyskiwaniu danych.
Niczego nie kasuj i nie reinstaluj. Zabezpiecz notatkę z żądaniem okupu (zdjęcie telefonem wystarczy) i zostaw logi - będą potrzebne do analizy, zgłoszeń i rozmowy z ubezpieczycielem.
Zgłoś incydent do CERT Polska przez incydent.cert.pl i złóż zawiadomienie na policji. Zgłoszenie nie uruchamia kontroli - uruchamia pomoc.
Sprawdź nomoreransom.org - wspólny projekt Europolu i firm bezpieczeństwa. Dla części rodzin ransomware istnieją darmowe deszyfratory - sprawdź to, zanim ktokolwiek zacznie rozmowę o okupie.
Oceń naruszenie danych osobowych. Zaszyfrowanie danych pacjentów czy klientów to utrata ich dostępności, a wykradzenie - poufności; oba scenariusze wymagają oceny z RODO. Na zgłoszenie do UODO masz 72 godziny od stwierdzenia naruszenia, a przy wysokim ryzyku dla pacjentów czy klientów RODO wymaga zawiadomienia także ich samych - o obu decyduje ocena, nie intuicja. Procedurę opisuje przewodnik RODO i bezpieczeństwo danych, a definicję hasło naruszenie danych.
Decyzję o okupie zostaw na koniec. Płatność nie gwarantuje działającego klucza ani tego, że wykradzione dane nie trafią do sieci - a finansuje kolejne kampanie. Według DBIR 2026 większość ofiar nie płaci. Jeśli płatność w ogóle rozważasz, rób to z prawnikiem i po kontakcie z policją: zdarza się, że odbiorca okupu jest objęty sankcjami, a to osobne ryzyko prawne.

Liczy się czas, nie wina. Pracownik, który od razu zgłasza, że coś jest nie tak, skraca atak o godziny - w firmie, w której zgłoszenie kończy się reprymendą, o ataku dowiesz się od klientów. Jeśli masz polisę cyber, zadzwoń do ubezpieczyciela na początku, nie na końcu: wiele polis wymaga zgłoszenia w określonym czasie i zapewnia własnych specjalistów od reagowania.

Osobny wątek to komunikacja. Klienci i pacjenci wybaczają incydent szybciej niż milczenie: przygotuj krótką, rzeczową informację o tym, co się stało, co robisz i jakich danych dotyczy sprawa - zanim zaczną dzwonić. Ten sam tekst przyda się w rozmowie z kontrahentami, których dokumenty czekają na odblokowanie systemów.

7. Ransomware w gabinecie, biurze rachunkowym i klinice

W gabinecie stomatologicznym ransomware zatrzymuje kartotekę, kalendarz wizyt i diagnostykę obrazową jednocześnie - pacjenci przychodzą, a dokumentacji nie ma. Dane medyczne czynią groźbę publikacji wyjątkowo dotkliwą. Specyfikę opisuje przewodnik cyberbezpieczeństwo w gabinecie stomatologicznym i strona usługi dla gabinetów stomatologicznych.

W biurze rachunkowym najgroźniejszy jest kalendarz: atak w szczycie JPK czy zamknięcia roku oznacza przestój dokładnie wtedy, gdy klienci czekają na deklaracje - a w zaszyfrowanych plikach są dane wielu firm naraz. Więcej w przewodniku cyberbezpieczeństwo biura rachunkowego i na stronie dla biur rachunkowych.

W klinice medycyny estetycznej podwójny szantaż uderza najboleśniej: wykradzione zdjęcia zabiegowe pacjentek to materiał, którego publikacja niszczy zaufanie szybciej niż jakikolwiek przestój. Szczegóły w przewodniku cyberbezpieczeństwo kliniki medycyny estetycznej i na stronie dla klinik medycyny estetycznej.

Nie wiesz, które drzwi Twoja firma ma otwarte? Zamów bezpłatny PreScan - w 24 godziny sprawdzimy z zewnątrz m.in., czy firma wystawia usługi do internetu i czy służbowe adresy e-mail krążą w wyciekach razem z hasłami. Bez dostępów i bez instalowania czegokolwiek po Twojej stronie.

FAQ

Co to jest ransomware i jak działa?

Ransomware to złośliwe oprogramowanie, które szyfruje pliki na komputerach i serwerach firmy, a następnie żąda okupu za klucz odszyfrowujący. Nowoczesne ataki dokładają drugi szantaż: przed zaszyfrowaniem atakujący wykrada kopię danych i grozi ich publikacją. Firma traci dostęp do kartotek, rezerwacji i księgowości - praca staje, a presja rośnie z każdą godziną.

Jak ransomware dostaje się do firmy?

Trzema drogami: przez phishing (zainfekowany załącznik lub wyłudzone hasło), przez usługę wystawioną do internetu (zdalny pulpit RDP, otwarta baza danych, panel logowania) oraz przez hasło z wycieku, którym atakujący po prostu się loguje. Wszystkie trzy drzwi da się sprawdzić i zamknąć, zanim ktoś ich użyje - to najtańszy moment obrony.

Co zrobić w pierwszej godzinie po ataku ransomware?

Odłącz zainfekowane komputery od sieci - wyciągnij kabel, wyłącz Wi-Fi - ale nie wyłączaj zasilania i niczego nie kasuj. Zabezpiecz notatkę z żądaniem okupu. Zgłoś incydent do CERT Polska przez incydent.cert.pl i na policję. Jeśli w zaszyfrowanych systemach były dane osobowe, uruchom ocenę naruszenia - na zgłoszenie do UODO masz 72 godziny.

Czy płacić okup za odszyfrowanie danych?

Nie podejmuj tej decyzji na początku. Płatność nie gwarantuje działającego klucza ani tego, że wykradzione dane nie zostaną opublikowane, a finansuje kolejne ataki - według Verizon DBIR 2026 większość ofiar nie płaci. Najpierw sprawdź darmowe deszyfratory na nomoreransom.org i możliwość odtworzenia z kopii zapasowej; decyzję o płatności konsultuj z prawnikiem i policją.

Czy zaszyfrowanie danych przez ransomware trzeba zgłosić do UODO?

Oceń to jak każde naruszenie: zaszyfrowanie danych osobowych to utrata ich dostępności, a wykradzenie - poufności, więc w obu przypadkach RODO wymaga analizy ryzyka dla osób, których dane dotyczą. Jeśli ryzyka nie da się wykluczyć, zgłoś naruszenie do UODO w 72 godziny od jego stwierdzenia. Udokumentuj incydent i analizę także wtedy, gdy zgłoszenie nie jest wymagane.

Powiązane przewodniki

Jeden otwarty port: jak ransomware trafia do firm
Ocena podatności IT (zewnętrzna) - sprawdza m.in., czy firma wystawia usługi do internetu

Sąsiednie pillary:

Materiał informacyjny, nie jest to porada prawna. Stan faktyczny na 11 lipca 2026. Procedury zgłoszeń (UODO, CERT, policja) i decyzje dotyczące okupu skonsultuj w konkretnej sytuacji z prawnikiem. Liczby z raportów rocznych (CERT Polska, Verizon DBIR, Sophos) aktualizujemy przy kolejnych edycjach.