Co ransomware robi z systemem DMS
Oprogramowanie ransomware szyfruje pliki, do których ma dostęp, a następnie żąda okupu w zamian za klucz. W systemie DMS działa z uprawnieniami konta lub komputera, które zainfekowało. Trzy mechanizmy pogłębiają szkody:
- synchronizacja: zainfekowany komputer szyfruje swoją kopię lokalną, a następnie klient synchronizacji wysyła zaszyfrowane pliki na serwer jak zwykłą zmianę, a stamtąd na inne urządzenia;
- historia: każdy zaszyfrowany plik staje się nową wersją. Starsza wersja może uratować sytuację, chyba że atakujący ma wystarczające uprawnienia, by wyczyścić historię i kosz;
- kopia zapasowa: ANSSI zauważa, że atakujący często próbuje zaszyfrować, usunąć lub unieruchomić infrastrukturę kopii zapasowych, aby uniemożliwić odbudowę.
Niektóre ataki kopiują też dane przed ich zaszyfrowaniem. Przywracanie przywraca pliki do porządku. Nie rozwiązuje tej części problemu, która należy do zarządzania kryzysowego, a jeśli w grę wchodzą dane osobowe – do RODO.
Ograniczyć zasięg ataku
Nie można obiecać, że żaden komputer nie zostanie zainfekowany. Można ograniczyć to, do czego zainfekowany komputer lub konto może dotrzeć.
Uprawnienia do zapisu
Konto, które może tylko odczytywać folder, nie może go zaszyfrować. Foldery referencyjne (szablony, procedury, podpisane umowy) mogą być dla większości osób tylko do odczytu. Uprawnienia nadaje się według grup i folderów, a nie na zasadzie „wszyscy zmieniają wszystko”.
Konta administracyjne
ANSSI zaleca ograniczenie tych kont do niezbędnego minimum. Powinny być imienne, chronione uwierzytelnianiem dwuskładnikowym i nie służyć do codziennej pracy.
Linki zewnętrzne
Link, który daje nieznanej osobie prawo do edycji, jest otwartymi drzwiami. Linki wychodzące mają hasło, datę wygaśnięcia i zazwyczaj tylko prawo do odczytu.
Zsynchronizowane komputery
Proszę synchronizować na każdym komputerze tylko potrzebne foldery. Foldery wrażliwe proszę zostawić w przeglądarce. Aktualizacje należy instalować szybko: ANSSI przypomina, że kluczowe jest robienie tego w krótkim czasie i według kontrolowanego procesu. Najczęstszą drogą wejścia pozostaje poczta e-mail: zob. załączniki, linki i ransomware.
Dlaczego kopia zapasowa musi być poza zasięgiem
Kopia zapasowa dostępna z tego samego konta co środowisko produkcyjne zostanie zaszyfrowana razem z nim. Chronią ją trzy rodzaje oddzielenia:
- inny identyfikator: ANSSI wymaga imiennych i dedykowanych kont administracyjnych kopii zapasowych oraz infrastruktury niezależnej od katalogów środowiska produkcyjnego;
- niezmienność: zapisanej kopii zapasowej nie można już zmienić ani usunąć przez cały okres jej przechowywania;
- inna lokalizacja, a jeśli to możliwe także kopia offline: ANSSI uznaje ją za niezbędną i bardziej odporną niż niezmienna kopia zapasowa pozostająca online.
Pozostaje kwestia głębokości. Włamanie może pozostawać niezauważone przez kilka tygodni przed zaszyfrowaniem. Jeśli retencja jest krótsza niż ten czas, wszystkie dostępne kopie zapasowe mogą zawierać atakującego lub już uszkodzone pliki.
Kolejność przywracania
Przywracanie to nie jeden przycisk. To sekwencja kroków, a kolejność ma znaczenie.
- Powstrzymać. Odizolować zainfekowane komputery od sieci, zawiesić przejęte konta, wyłączyć synchronizację i linki zewnętrzne w objętym zakresie. ANSSI zaleca też prowadzenie dziennika zdarzeń ze znacznikami czasu, odłączenie nośników kopii zapasowych po sprawdzeniu, że są nienaruszone, oraz unikanie odłączania zasilania maszyn, co może zatrzeć przydatne ślady.
- Ustalić początek. Zidentyfikować pierwszy zaszyfrowany plik, konto i komputer, których to dotyczy. To wyznacza punkt przywracania.
- Wybrać punkt przywracania sprzed zaszyfrowania, z marginesem, jeśli data jest niepewna.
- Przywrócić w czystym środowisku. ANSSI zaleca ponowną instalację z zaufanego nośnika, a następnie przywrócenie danych z kopii zapasowej sprzed przejęcia. Jeśli narzędzie na to pozwala, przywrócenie tylko objętego zakresu pozwala nie nadpisać pracy wykonanej od tego czasu w innych miejscach.
- Sprawdzić. Otworzyć losowe pliki, upewnić się, że nie pozostał żaden zaszyfrowany plik, usunąć lukę, przez którą nastąpiło wejście, zmienić hasła.
- Stopniowo przywracać dostęp. Komputery synchronizują się ponownie z przywróconego serwera, nigdy odwrotnie. Niewyczyszczony komputer, który ponownie się połączy, odeśle swoje zaszyfrowane pliki.
Równolegle ANSSI zaleca, aby nigdy nie płacić okupu, zachować zaszyfrowane dane (klucz może zostać opublikowany później), złożyć zawiadomienie o przestępstwie oraz zlecić zespołowi kryzysowemu zgłoszenie do CNIL w przypadku naruszenia ochrony danych osobowych.
Co zostaje utracone: RPO w praktyce
Przypadek hipotetyczny. Kancelaria zatrudniająca dwadzieścia osób wykonuje kopię zapasową dokumentów co godzinę. W poniedziałek o 9:15 zsynchronizowany komputer zaczyna szyfrować folder „Klienci”. Alarm zostaje podniesiony o 10:05.
Ostatnim czystym punktem jest kopia zapasowa z 9:00. Folder „Klienci” wraca do stanu z 9:00. Zmiany wprowadzone w tym folderze między 9:00 a 9:15 zostają utracone. Zmiany w innych folderach nie, jeśli przywracanie ogranicza się do objętego folderu. Sekretarka, która o 9:10 zapisała trzy pisma, odnajduje je w swojej poczcie i ponownie umieszcza w folderze.
To właśnie mierzy RPO, maksymalna dopuszczalna utrata danych: różnicę między punktem przywracania a incydentem. RTO, maksymalny dopuszczalny czas przerwy, mierzy coś innego: czas, po którym zespoły mogą znów pracować. Oba parametry ustala się przed incydentem, a nie w jego trakcie.
Częste błędy
- Przywracanie przed powstrzymaniem. Wciąż podłączony komputer ponownie szyfruje przywrócone pliki.
- Ponowna synchronizacja z zainfekowanego komputera. Kopia lokalna to kopia zaszyfrowana.
- Liczenie na kosz. Nie zawiera on zmodyfikowanych plików, tylko usunięte.
- Poznanie okresu retencji dopiero w dniu ataku. Jeśli włamanie nastąpiło sześć tygodni temu, a retencja wynosi trzydzieści dni, wybór punktu przywracania się komplikuje.
Najczęściej zadawane pytania
Czy wersjonowanie wystarczy przeciwko ransomware?
Pomaga, jeśli historia jest nienaruszona. Nie wystarcza, jeśli atakujący mógł ją wyczyścić. Różnicę wyjaśniono w poradniku wersjonowanie, replikacja i kopia zapasowa.
Czy należy zapłacić okup?
ANSSI zaleca, aby nigdy go nie płacić. Zapłata nie gwarantuje ani otrzymania klucza, ani braku kolejnego ataku.
Jak ograniczyć, kto może zmieniać folder?
Za pomocą uprawnień dla grup i folderów. Zob. ustalanie, kto widzi które dokumenty.
Jak zapobiec temu, by link stał się drogą wejścia?
Za pomocą hasła, daty wygaśnięcia i prawa tylko do odczytu. Zob. linki udostępniania, partnerzy i pobieranie.
Gdzie plasuje się Klytic
W Klytic Docs kopie zapasowe są wykonywane co godzinę. Są szyfrowane, niezmienne, replikowane w kilku lokalizacjach, monitorowane i przechowywane przez 30 dni, a przywracanie jest testowane co miesiąc. Docelowo RPO dla dokumentów wynosi mniej niż 2 godziny, a RTO mniej niż 4 godziny. Przywrócenie zleca się w dziale wsparcia Klytic, podając zakres i przybliżoną datę. Jest wliczone w cenę, gdy utrata wynika z nieprawidłowego działania usługi Klytic. Po ataku ransomware lub przejęciu konta po Państwa stronie przywrócenie jest również wliczone w cenę, jeśli Państwa komputery były prawidłowo zabezpieczone: zainstalowane aktualizacje, aktywny program antywirusowy. Jeśli były zabezpieczone niewystarczająco, przywrócenie wymaga płatnego zgłoszenia serwisowego, podobnie jak przywrócenie po błędzie w obsłudze. Szczegóły na stronie bezpieczeństwo i kopie zapasowe.
W zakresie zapobiegania Klytic Docs zapewnia uprawnienia dla osób, grup i folderów, uwierzytelnianie dwuskładnikowe, dziennik dostępu oraz linki chronione hasłem z datą wygaśnięcia. Po stronie Klytic dostęp techniczny jest ograniczony do czynności eksploatacyjnych i wsparcia, imienny i rejestrowany w dziennikach.
Ograniczenia: trzydzieści dni retencji nie obejmuje przejęcia wykrytego później. Klytic przywraca swoje usługi; oczyszczenie Państwa komputerów, sieci i katalogu użytkowników należy do Państwa zespołu IT lub usługodawcy. Klytic nie jest ofertą z kwalifikacją SecNumCloud.
Ta strona opisuje ogólne ramy. W razie incydentu proszę postępować zgodnie ze swoim planem przywracania i wytycznymi właściwych organów.
Źródła
Sprawdzone w październiku 2026 r.
- ANSSI i francuskie Ministerstwo Sprawiedliwości (DACG), „Attaques par rançongiciels, tous concernés” (Ataki ransomware dotyczą wszystkich), 2020 r.: kopie zapasowe odłączone od sieci, ograniczenie kont administracyjnych, szybkie aktualizacje; w razie incydentu dziennik zdarzeń, izolacja, bez odłączania zasilania, zachowanie zaszyfrowanych danych, niepłacenie okupu, zawiadomienie o przestępstwie, przywrócenie z kopii zapasowej sprzed przejęcia. messervices.cyber.gouv.fr
- ANSSI, „Sauvegarde des systèmes d’information” (Kopie zapasowe systemów informatycznych), przewodnik ANSSI-BP-100, v1.1: atakujący często celuje w infrastrukturę kopii zapasowych; dedykowane konta; kopia offline bardziej odporna niż WORM online; PDMA i DMIA. messervices.cyber.gouv.fr
- Klytic, Bezpieczeństwo i kopie zapasowe: kopie zapasowe niezmienne, szyfrowane, replikowane, 30 dni, przywracanie testowane co miesiąc, RTO poniżej 4 h, RPO poniżej 2 h. klytic.com
- Klytic, Hosting i suwerenność: dostęp techniczny ograniczony do eksploatacji i wsparcia, imienny i rejestrowany w dziennikach. klytic.com
