Ce face un ransomware unui sistem de gestiune electronică a documentelor
Un ransomware criptează fișierele la care are acces, apoi cere o răscumpărare în schimbul cheii. Într-un sistem de gestiune electronică a documentelor, acționează cu drepturile contului sau ale calculatorului pe care l-a infectat. Trei mecanisme agravează pagubele:
- sincronizarea: calculatorul infectat își criptează copia locală, apoi clientul de sincronizare trimite fișierele criptate la server, ca pe o modificare obișnuită, iar de acolo spre celelalte dispozitive;
- istoricul: fiecare fișier criptat devine o nouă versiune. Versiunea veche poate salva situația, cu excepția cazului în care atacatorul are drepturi suficiente pentru a goli istoricul și coșul de gunoi;
- backupul: ANSSI observă că un atacator încearcă adesea să cripteze, să șteargă sau să facă indisponibilă infrastructura de backup, pentru a împiedica reconstrucția.
Unele atacuri copiază și date înainte de a le cripta. Restaurarea readuce fișierele în stare bună. Ea nu rezolvă această parte, care ține de gestionarea crizei și, dacă există date cu caracter personal, de GDPR.
Reducerea razei de acțiune
Nu se poate promite că niciun calculator nu va fi infectat. Se poate limita ceea ce poate atinge un calculator sau un cont infectat.
Drepturile de scriere
Un cont care poate doar citi un dosar nu îl poate cripta. Dosarele de referință (modele, proceduri, contracte semnate) pot fi doar în regim de citire pentru majoritatea persoanelor. Drepturile se stabilesc pe grup și pe dosar, nu după principiul „toată lumea modifică totul”.
Conturile de administrare
ANSSI recomandă limitarea acestor conturi la strictul necesar. Ele trebuie să fie nominative, protejate prin autentificare în doi pași și să nu fie folosite pentru munca obișnuită.
Linkurile externe
Un link care dă unui necunoscut un drept de modificare este o poartă deschisă. Linkurile care ies din companie au o parolă, o dată de expirare și, în general, doar un drept de citire.
Calculatoarele sincronizate
Sincronizați pe fiecare calculator doar dosarele utile. Lăsați dosarele sensibile în browser. Instalați rapid actualizările: ANSSI amintește că este esențial să faceți acest lucru într-un termen scurt și după un proces controlat. Cea mai frecventă poartă de intrare rămâne e-mailul: vedeți atașamente, linkuri și ransomware.
De ce backupul trebuie să fie în afara razei de acțiune
Un backup accesibil cu același cont ca producția va fi criptat odată cu ea. Trei separări îl pun la adăpost:
- un alt identificator: ANSSI cere conturi de administrare a backupului nominative și dedicate și o infrastructură independentă de directoarele de producție;
- imuabilitatea: un backup scris nu mai poate fi modificat sau șters pe durata sa de păstrare;
- un alt site și, dacă este posibil, o copie offline: ANSSI o consideră indispensabilă și mai robustă decât un backup imuabil rămas online.
Rămâne profunzimea. O intruziune poate rămâne discretă mai multe săptămâni înainte de criptare. Dacă retenția este mai scurtă decât acest interval, toate backupurile disponibile pot conține atacatorul sau fișiere deja corupte.
Ordinea de reluare
Restaurarea nu este un buton. Este o succesiune de etape, iar ordinea contează.
- Izolați. Deconectați de la rețea calculatoarele infectate, suspendați conturile compromise, dezactivați sincronizarea și linkurile externe din perimetrul afectat. ANSSI recomandă și ținerea unui jurnal de evenimente cu marcaj temporal, deconectarea suporturilor de backup după ce ați verificat că sunt sănătoase și evitarea opririi alimentării electrice a mașinilor, care poate șterge urme utile.
- Datați începutul. Identificați primul fișier criptat, contul și calculatorul implicate. Acestea stabilesc punctul de restaurare.
- Alegeți punctul de restaurare anterior criptării, cu o marjă dacă data este incertă.
- Restaurați într-un mediu sănătos. ANSSI recomandă reinstalarea de pe un suport cunoscut, apoi restaurarea datelor dintr-un backup anterior compromiterii. Când instrumentul permite, restaurarea doar a perimetrului afectat evită suprascrierea muncii făcute în alte părți între timp.
- Verificați. Deschideți fișiere la întâmplare, controlați că nu a mai rămas niciun fișier criptat, corectați breșa prin care a intrat atacul, schimbați parolele.
- Redeschideți accesul treptat. Calculatoarele se resincronizează pornind de la serverul restaurat, niciodată invers. Un calculator necurățat care se reconectează își retrimite fișierele criptate.
În paralel, ANSSI recomandă să nu plătiți niciodată răscumpărarea, să păstrați datele criptate (o cheie poate fi publicată mai târziu), să depuneți plângere și ca celula de criză să notifice CNIL în caz de încălcare a securității datelor cu caracter personal.
Ce se pierde: RPO în practică
Caz ipotetic. Un cabinet de douăzeci de persoane face backup documentelor la fiecare oră. Luni, la ora 9:15, un calculator sincronizat începe să cripteze dosarul „Clienți”. Alerta este dată la 10:05.
Ultimul punct sănătos este backupul de la ora 9:00. Dosarul „Clienți” revine la starea sa de la 9:00. Modificările făcute între 9:00 și 9:15 în acest dosar sunt pierdute. Cele făcute în celelalte dosare nu se pierd dacă restaurarea se limitează la dosarul afectat. Secretara care a salvat trei scrisori la 9:10 le regăsește în căsuța sa de e-mail și le depune din nou.
Aceasta este ceea ce măsoară RPO, pierderea maximă admisibilă de date: intervalul dintre punctul de restaurare și incident. RTO, durata maximă admisibilă de întrerupere, măsoară altceva: timpul până când echipele pot lucra din nou. Ambele se stabilesc înainte de incident, nu în timpul acestuia.
Erorile frecvente
- Restaurarea înainte de izolare. Calculatorul încă conectat criptează din nou fișierele restaurate.
- Resincronizarea de pe calculatorul infectat. Copia locală este copia criptată.
- Bazarea pe coșul de gunoi. Acesta nu conține fișierele modificate, ci doar fișierele șterse.
- Descoperirea retenției în ziua incidentului. Dacă intruziunea datează de șase săptămâni, iar retenția este de treizeci de zile, alegerea punctului de restaurare se complică.
Întrebări frecvente
Este suficientă versionarea împotriva unui ransomware?
Ajută dacă istoricul este intact. Nu este suficientă dacă atacatorul a putut să îl golească. Diferența este explicată în versionare, replicare și backup.
Trebuie plătită răscumpărarea?
ANSSI recomandă să nu fie plătită niciodată. Plata nu garantează nici obținerea cheii, nici absența unui nou atac.
Cum limitați cine poate modifica un dosar?
Prin drepturile pe grup și pe dosar. Vedeți stabilirea persoanelor care văd anumite documente.
Cum evitați ca un link să devină o poartă de intrare?
Cu o parolă, o dată de expirare și un drept doar de citire. Vedeți linkuri de partajare, parteneri și descărcări.
Unde se situează Klytic
Pentru Klytic Docs, backupurile au loc la fiecare oră. Ele sunt criptate, imuabile, replicate pe mai multe site-uri, monitorizate, păstrate 30 de zile, iar restaurările sunt testate lunar. Obiectivele urmărite sunt un RPO sub 2 ore pentru documente și un RTO sub 4 ore. Restaurarea se solicită suportului Klytic, cu perimetrul și data aproximativă. Este inclusă când pierderea provine dintr-o disfuncționalitate a serviciului Klytic. După un ransomware sau un cont piratat la dumneavoastră, reluarea este de asemenea inclusă dacă dispozitivele dumneavoastră erau protejate corespunzător: actualizări aplicate, antivirus activ. Dacă erau insuficient protejate, face obiectul unui tichet de asistență cu plată, ca o restaurare după o manevră greșită. Detaliile se află pe pagina securitate și backup.
În ceea ce privește prevenția, Klytic Docs oferă drepturi pe persoană, pe grup și pe dosar, autentificare în doi pași, un jurnal al acceselor și linkuri protejate prin parolă cu dată de expirare. La Klytic, accesele tehnice sunt limitate la operațiunile de exploatare și de suport, nominative și înregistrate în jurnale.
Limitele: treizeci de zile de retenție nu acoperă o compromitere descoperită mai târziu. Klytic își restaurează serviciile; curățarea calculatoarelor, a rețelei și a directorului dumneavoastră de utilizatori ține de echipa dumneavoastră IT sau de furnizorul dumneavoastră. Klytic nu este o ofertă calificată SecNumCloud.
Această pagină descrie un cadru general. În caz de incident, urmați planul dumneavoastră de reluare a activității și instrucțiunile autorităților competente.
Surse
Consultate în octombrie 2026.
- ANSSI și Ministerul Justiției (DACG), „Attaques par rançongiciels, tous concernés” (Atacuri ransomware, toți suntem vizați), 2020: backupuri deconectate, limitarea conturilor de administrare, actualizări rapide; în caz de incident, jurnal de evenimente, izolare, fără oprirea alimentării electrice, păstrarea datelor criptate, fără plata răscumpărării, plângere, restaurare dintr-un backup anterior compromiterii. messervices.cyber.gouv.fr
- ANSSI, „Sauvegarde des systèmes d’information” (Backupul sistemelor informatice), ghidul ANSSI-BP-100, v1.1: atacatorul vizează adesea infrastructura de backup; conturi dedicate; offline mai robust decât WORM online; PDMA și DMIA. messervices.cyber.gouv.fr
- Klytic, Securitate și backup: backupuri imuabile, criptate, replicate, 30 de zile, restaurări testate lunar, RTO sub 4 h, RPO sub 2 h. klytic.com
- Klytic, Găzduire și suveranitate: accese tehnice limitate la exploatare și suport, nominative și înregistrate în jurnale. klytic.com
