Atak ransomware: co zrobić w pierwszej godzinie

Czym jest ransomware

Ransomware to złośliwe oprogramowanie, które szyfruje pliki w zaatakowanej infrastrukturze i blokuje do nich dostęp, a następnie żąda okupu za klucz deszyfrujący. Współcześnie do szyfrowania niemal zawsze dochodzi drugi element: przestępcy najpierw wykradają dane, a potem grożą ich publikacją. To tak zwane podwójne wymuszenie — nawet sprawny backup nie zdejmuje presji, bo dane i tak są już poza organizacją.

W 2026 roku ransomware odpowiada za 48% wszystkich analizowanych naruszeń danych — najwyższy wynik w historii raportu Verizona, wobec 44% rok wcześniej. W Unii Europejskiej ENISA przypisuje ransomware 81,1% aktywności cyberprzestępczej wymierzonej w organizacje. Warto czytać tę liczbę precyzyjnie: dotyczy ona kategorii cyberprzestępczości, a nie wszystkich incydentów łącznie.

Dla osoby, która właśnie zobaczyła notatkę z żądaniem okupu, definicja jest jednak najmniej użyteczną częścią wiedzy. Znacznie ważniejsze jest to, co dzieje się w kolejnych sześćdziesięciu minutach — i czego w tym czasie nie wolno zrobić.

Jak naprawdę przebiega atak

Szyfrowanie nie jest początkiem ataku, tylko jego końcem. Zanim pojawi się notatka z żądaniem okupu, ktoś od kilku dni chodzi po infrastrukturze. Poniższe mediany pochodzą z analizy 661 spraw incident response i monitoringu zarządzanego, obsłużonych między 1 listopada 2024 a 31 października 2025 w siedemdziesięciu krajach.

Wejście

Według ankiety Sophos wśród 2 158 liderów IT 79% ataków ransomware zaczyna się od tożsamości: przejętego konta, wykradzionych danych logowania, obejścia uwierzytelniania wieloskładnikowego. Złośliwa poczta i phishing odpowiadają łącznie za połowę incydentów (26% i 24%). Eksploatacja podatności spadła do 18%, o czternaście punktów procentowych rok do roku. Kierunek jest jasny: dziś częściej się loguje, niż włamuje. Skąd biorą się te dane logowania, rozbieramy osobno, śledząc drogę wykradzionych poświadczeń od infostealera do brokera dostępu.

Utrwalenie dostępu i rozpoznanie

Po wejściu atakujący zakłada sobie drogę powrotu — konto, zadanie harmonogramu, narzędzie zdalnego dostępu, które w logach wygląda jak legalne oprogramowanie administracyjne. Równolegle mapuje sieć: gdzie są kontrolery domeny, gdzie serwery plików, gdzie backup.

Próba przejęcia Active Directory

To jest moment, w którym incydent przestaje być lokalny. Mediana czasu od wejścia do pierwszej próby dostępu do Active Directory wynosi 3,40 godziny — o 70% szybciej niż rok wcześniej. Kto kontroluje katalog, ten kontroluje uwierzytelnianie w całej organizacji, a więc również narzędzia, którymi miałbyś się bronić.

Kasowanie kopii zapasowych

Backup jest celem, nie ratunkiem — dopóki nie jest odizolowany. Kopie podpięte jako zasób sieciowy w tej samej domenie znikają razem z resztą. CERT Polska w swoim poradniku formułuje to wprost w regule 3-2-1: trzy kopie, dwa różne nośniki, co najmniej jedna odizolowana. Ostatni człon jest tym, który realnie decyduje o przeżyciu.

Eksfiltracja danych

W 49,77% spraw ransomware potwierdzono wyprowadzenie danych na zewnątrz. Mediana czasu do eksfiltracji to 78,83 godziny od początku ataku, a wykrycie następowało średnio 1,87 godziny później — czyli zwykle dopiero wtedy, gdy dane już wyszły. W blisko połowie tych przypadków materiał trafiał do publicznej publikacji w ciągu 19,5 dnia.

Szyfrowanie

Szyfrowanie uruchamiane jest wtedy, kiedy w firmie nikogo nie ma: 88,10% wdrożeń przypada poza godzinami pracy, z lekkim wskazaniem na czwartki i piątki. To nie przypadek ani wygoda przestępców, tylko wyliczenie — noc z piątku na sobotę daje im kilkanaście godzin przewagi, zanim ktokolwiek zaloguje się do systemu.

Pierwsza godzina: co robić po kolei

Poniższa kolejność wynika z cyklu reagowania na incydenty według NIST i z zaleceń CERT Polska. Zakłada, że masz już potwierdzenie: widzisz zaszyfrowane pliki albo notatkę z żądaniem okupu. Jeśli tylko podejrzewasz incydent, ta sama sekwencja obowiązuje, ale krok pierwszy wykonuje się ostrożniej, żeby nie spłoszyć atakującego przed zebraniem materiału.

1. Minuty 0–15Administrator / dyżurny IT
   Izoluj, ale nie wyłączaj

   Odłącz zajęte maszyny od sieci przewodowej i bezprzewodowej. Nie wyłączaj ich. CERT Polska formułuje to jednoznacznie: wyłączenie komputerów jest dopuszczalne wyłącznie wtedy, gdy odłączenie od sieci jest niemożliwe, ponieważ pamięć ulotna może zawierać informacje niezbędne do analizy incydentu i do późniejszego odzyskania danych. Alternatywą jest hibernacja. Równolegle odetnij dostęp między segmentami sieci i zablokuj konta, o których wiesz, że są przejęte.

2. Minuty 15–30Administrator + osoba od dokumentacji
   Zabezpiecz materiał dowodowy

   Zrób kopię notatki z żądaniem okupu i co najmniej dwóch zaszyfrowanych plików — będą potrzebne do identyfikacji rodziny ransomware i do zgłoszenia. Zabezpiecz logi z zajętych maszyn i z systemów bezpieczeństwa, zanim zadziała rotacja i je nadpisze. Jeśli sprawa może trafić do analizy powłamaniowej, kolejność ma znaczenie: kopia przed jakąkolwiek zmianą. Od tej chwili prowadź prosty dziennik: godzina, kto co zrobił, na jakim systemie. To ten dokument będzie później podstawą zgłoszenia i ewentualnego postępowania.

3. Minuty 30–45Kierownictwo IT + zarząd
   Oceń zasięg i uruchom łańcuch decyzyjny

   Ustal, co jest zaszyfrowane, co jeszcze działa i czy backup jest nietknięty oraz odizolowany. Sprawdź, czy Active Directory jest pod kontrolą — jeśli nie, każde konto administracyjne trzeba traktować jak przejęte. Powiadom zarząd i wyznacz jedną osobę decyzyjną. Ustal kanał komunikacji poza zaatakowaną infrastrukturą: telefony prywatne, komunikator na osobnych urządzeniach.

4. Minuty 45–60Osoba odpowiedzialna za zgodność
   Uruchom zegar zgłoszeń

   Zgłoś incydent do CSIRT NASK przez incydent.cert.pl lub cert@cert.pl, dołączając notatkę o okupie i przykładowe zaszyfrowane pliki. Jeśli podlegasz ustawie o krajowym systemie cyberbezpieczeństwa, masz na wczesne ostrzeżenie 24 godziny od wykrycia. Jeśli doszło do naruszenia ochrony danych osobowych, zaczyna biec równoległy termin 72 godzin na zgłoszenie do UODO. Te dwa zegary są niezależne i nie zastępują się nawzajem.

Czego nie robić

Większość nieodwracalnych szkód w pierwszej godzinie nie bierze się z ataku, tylko z paniki obrońców. Poniższe pięć błędów kosztuje najwięcej, bo każdy z nich niszczy coś, czego nie da się odtworzyć.

Jaka jest skala zjawiska w Polsce

CERT Polska zarejestrował w 2025 roku 179 ataków ransomware — o 21% więcej niż rok wcześniej. To dane ze zgłoszeń. Drugą perspektywę dają strony wycieków prowadzone przez same grupy przestępcze. Zestawiliśmy je z publicznego API serwisu ransomware.live, filtrując po Polsce; stan na 8 sierpnia 2026 roku, 136 rekordów.

Rok 2026 przekroczył cały poprzedni rok, zanim się skończył sierpień. W całym okresie polską ofiarę opublikowało 48 różnych grup; najaktywniejsza w zestawieniu, działająca pod nazwą thegentlemen, odpowiada za 19 wpisów i wszystkie pochodzą z lat 2025–2026. Branżowo najczęściej publikowane są podmioty z produkcji (29), usług profesjonalnych (26) i technologii (24).

Dlaczego CERT podaje 179, a strony wycieków 36

Ta różnica nie jest błędem żadnej ze stron — to dwa różne pomiary. CERT liczy incydenty zgłoszone przez podmioty i partnerów. Strony wycieków pokazują wyłącznie te firmy, które przestępcy zdecydowali się upublicznić, czyli zwykle takie, które nie zapłaciły albo przerwały negocjacje. Organizacja, która zapłaciła szybko, w drugim zestawieniu nie istnieje. Obie liczby są więc dolną granicą, a nie pełnym obrazem.

Nie podajemy nazw polskich podmiotów z tego zestawienia. Część wpisów to niezweryfikowane twierdzenia przestępców, a wskazywanie ofiar z nazwy nie służy nikomu poza atakującymi.

Czy płacić okup

Odpowiedź brzmi: nie, a jeśli już rozważacie płatność, to nigdy bez prawnika i bez zewnętrznego wsparcia. Nie jest to jednak apel moralny — dane z trzech niezależnych źródeł układają się w jeden obraz.

Płaci coraz mniej ofiar. Według Verizona 69% zaatakowanych nie zapłaciło okupu. Chainalysis, który liczy realne przelewy w łańcuchu bloków, podaje, że w 2025 roku przestępcy otrzymali 820 mln USD wobec 892 mln rok wcześniej — najmniej od 2021 roku, mimo że liczba ofiar deklarowanych przez same grupy wzrosła o 50%. Odsetek płacących spadł do rekordowo niskich 28%.

Jest w tych danych druga, mniej oczywista prawidłowość: mediana pojedynczej zapłaty wzrosła w tym samym czasie o 368%, z 12 738 do 59 556 USD. Mniejsze firmy przestały płacić, duże płacą znacznie więcej. Przestępcy reagują na to, celując wyżej, a nie rezygnując.

Kwota w nocie o okupie nie jest ceną

Przeanalizowaliśmy 259 transkryptów realnych negocjacji z publicznego zbioru Ransomchats, obejmującego 28 grup i lata 2020–2026. W 168 rozmowach udało się odczytać kwotę podaną przez stronę atakującą. Mediana pierwszego żądania wyniosła 500 tys. USD, a rozstęp ćwiartkowy sięgał od 200 tys. do ponad 1,4 mln USD. W 81 rozmowach atakujący z własnej inicjatywy obniżył żądanie — mediana ustępstwa wyniosła 56%, ze 400 tys. do 170 tys. USD, a ponad połowa tych ustępstw przekraczała połowę kwoty wyjściowej.

Wniosek praktyczny jest taki, że liczba w notatce to pozycja otwarcia, a nie wycena szkody. Zastrzeżenie metodyczne również: kwoty odczytaliśmy automatycznie z treści rozmów, a ostatnia kwota podana przez atakującego nie jest potwierdzeniem, że cokolwiek zapłacono. Do zbioru trafiają wyłącznie rozmowy, które ktoś ujawnił, więc nie jest to próba reprezentatywna.

Komu i w jakim czasie zgłosić incydent

Zgłoszenie nie jest formalnością na koniec — w większości przypadków biegnie równolegle z reakcją techniczną, a terminy liczy się od momentu wykrycia, nie od opanowania sytuacji.

Szczegóły obowiązków po stronie KSC opisaliśmy w tekście o NIS2 i ustawie o krajowym systemie cyberbezpieczeństwa, a wymogi dla sektora finansowego — w artykule o rozporządzeniu DORA.

Jak skrócić okno wykrycia

Kluczowe pytanie nie brzmi, jak długo atakujący jest w sieci, tylko kto go w końcu zauważa. Mandiant, opierając się na ponad 500 tysiącach godzin reagowania na incydenty w 2025 roku, podaje globalną medianę dwell time na poziomie 14 dni — wobec 11 dni rok wcześniej. Jednocześnie 52% organizacji wykryło włamanie samodzielnie, w porównaniu z 43% rok wcześniej. Pozostałe dowiedziały się od kogoś z zewnątrz: od partnera, organu nadzoru albo od samych przestępców.

Praktycznie oznacza to trzy rzeczy: ktoś musi patrzeć na alerty w nocy i w weekend, bo wtedy uruchamia się 88% szyfrowań; telemetria z punktów końcowych i z katalogu musi trafiać w jedno miejsce, bo atak przechodzi między nimi w ciągu godzin; a odtwarzanie z kopii zapasowych musi być przetestowane, nie zadeklarowane. Czym różnią się narzędzia, które to realizują, rozłożyliśmy na części w porównaniu SIEM, SOAR, XDR i EDR, a samą obsługą zajmuje się całodobowy monitoring bezpieczeństwa.

Skąd bierze się telemetria, na którą ktoś patrzy

Żeby skrócić czas wykrycia, trzeba najpierw mieć co obserwować. Rolę czujnika pełni EDR na stacjach roboczych i serwerach: zamiast porównywać pliki z sygnaturami, rejestruje zachowanie procesów — masowe otwieranie plików, kasowanie kopii w tle, próby sięgnięcia po dane uwierzytelniające. To właśnie te zdarzenia pozwalają zareagować w oknie między wejściem a szyfrowaniem, zamiast dowiadywać się o ataku z notatki o okupie. W ZeroLayer wdrażamy w tej roli SentinelOne, spinając jego telemetrię z monitoringiem SOC.

Uczciwie trzeba jednak dodać, czego EDR sam nie załatwi. Skoro 79% ataków zaczyna się od tożsamości, a nie od pliku na dysku, logowanie na prawidłowe dane uwierzytelniające nie wygląda dla agenta jak incydent — wygląda jak praca administratora. Dlatego ochrona endpointu ma sens dopiero razem z kontrolą tożsamości i logami z katalogu, oglądanymi w jednym miejscu. Narzędzie bez dyżuru, który na nie patrzy, przesuwa moment wykrycia najwyżej o godziny.

Najczęstsze pytania

Podsumowanie

Ransomware nie jest zdarzeniem punktowym, tylko procesem rozłożonym na kilka dni, w którym szyfrowanie to ostatni krok. To dobra wiadomość, bo oznacza, że istnieje okno na reakcję — i że jest ono mierzalne. Pierwsza godzina po wykryciu decyduje o tym, czy zachowasz materiał do analizy, czy zdążysz z ustawowym zgłoszeniem i czy odtworzenie w ogóle będzie możliwe. Najtańszy moment na sprawdzenie tego wszystkiego to audyt przed incydentem, nie w jego trakcie. Jak taki audyt przebiega i co powinno znaleźć się w raporcie, opisaliśmy krok po kroku.

Atakujący nie wygrywa szyfrowaniem. Wygrywa trzema dniami, przez które nikt nie patrzył.