Jak zabezpieczyć firmę przed ransomware?

Ransomware to złośliwe oprogramowanie, które szyfruje pliki i żąda okupu za ich odblokowanie. Dla małej firmy oznacza to zwykle jedno: praca staje, a odzyskanie danych zależy wyłącznie od tego, czy istnieje sprawna kopia zapasowa.

Jak dochodzi do infekcji

W firmach, którym pomagaliśmy po takim zdarzeniu, droga wejścia była za każdym razem podobna i nie miała nic wspólnego z zaawansowanym atakiem.

• Załącznik w wiadomości — faktura, wezwanie do zapłaty, potwierdzenie przesyłki. Plik uruchamia się po otwarciu.
• Przejęte hasło — do poczty albo do pulpitu zdalnego. Często to samo hasło, które wyciekło z zupełnie innego serwisu.
• Nieaktualne oprogramowanie — system albo program bez poprawek bezpieczeństwa wystawiony do Internetu.

Co realnie zmniejsza ryzyko

Kopie zapasowe odporne na nadpisanie

To zabezpieczenie o największym znaczeniu, bo działa nawet wtedy, gdy wszystkie pozostałe zawiodą. Kopia musi być poza zasięgiem zainfekowanego komputera: w chmurze z ochroną przed usunięciem albo na nośniku odłączanym po wykonaniu kopii.

Weryfikacja dwuetapowa

Samo hasło nie wystarcza. Weryfikacja dwuetapowa na poczcie i na dostępie zdalnym zatrzymuje większość prób wykorzystania wykradzionych danych logowania. Wdrożenie zajmuje kilka godzin i jest jednym z najtańszych zabezpieczeń.

Filtrowanie poczty

Dobre filtrowanie zatrzymuje większość niebezpiecznych załączników przed człowiekiem. Nie zastępuje ostrożności, ale znacznie zmniejsza liczbę sytuacji, w których pracownik musi podjąć decyzję.

Ograniczenie uprawnień

Jeśli każdy pracownik ma dostęp do wszystkich zasobów sieciowych, infekcja jednego stanowiska zaszyfruje dane całej firmy. Przy podzielonych uprawnieniach szkoda ogranicza się do tego, co widział zainfekowany użytkownik.

Co zrobić w pierwszej godzinie po infekcji

• Odłącz zainfekowany komputer od sieci — wyciągnij kabel albo wyłącz kartę bezprzewodową.
• Nie wyłączaj komputera — wyłączenie może zniszczyć ślady potrzebne do ustalenia zakresu zdarzenia.
• Nie usuwaj plików ani nie formatuj dysku — to dowody, a czasem jedyna droga do odzyskania danych.
• Sprawdź, czy kopia zapasowa jest nietknięta — jeśli tak, odtworzenie jest kwestią godzin.
• Zadzwoń po pomoc — kolejność dalszych działań ma znaczenie dla późniejszej oceny incydentu.

Czy płacić okup

Nie zalecamy. Płatność nie gwarantuje odzyskania danych, finansuje kolejne ataki i nie zwalnia z obowiązków wobec organu nadzorczego, jeśli doszło do naruszenia ochrony danych osobowych. W firmach z działającą kopią zapasową temat okupu w ogóle się nie pojawia.

Obowiązki formalne

Zaszyfrowanie danych osobowych jest naruszeniem ochrony danych. Administrator ma 72 godziny na ocenę zdarzenia i — jeśli występuje ryzyko dla praw osób — na zgłoszenie do organu nadzorczego. Dlatego przy takim incydencie równolegle z odzyskiwaniem danych prowadzimy dokumentację zdarzenia.