Ransomware: co to jest, jak działa i jak się chronić

Ransomware to złośliwe oprogramowanie, które szyfruje pliki na komputerze lub serwerze i żąda okupu za ich odblokowanie. Dziś coraz częściej towarzyszy mu także kradzież danych i groźba ich publikacji. Według raportu rocznego CERT Polska w 2025 roku zespół odnotował 179 ataków ransomware na polskie firmy, instytucje i osoby prywatne, więcej niż w rekordowym dotąd 2023 roku. W tym tekście wyjaśniamy, czym jest ransomware, jak przebiega atak, którędy przestępcy wchodzą do sieci, jak się chronić w domu i małej firmie oraz co zrobić, gdy ekran zamiast plików pokazuje żądanie zapłaty.

Czym jest ransomware

Nazwa łączy angielskie słowa „ransom” (okup) i „software” (oprogramowanie). Mechanizm jest prosty: program szyfruje dokumenty, zdjęcia, bazy danych i pliki maszyn wirtualnych silnym algorytmem, a klucz potrzebny do odszyfrowania zostaje w rękach przestępców. Bez klucza pliki są bezużyteczne, a złamanie poprawnie zaimplementowanego szyfrowania jest praktycznie niemożliwe.

Wczesne odmiany sprzed kilkunastu lat często tylko blokowały ekran i dało się je usunąć bez utraty danych. Współczesny ransomware to narzędzie zorganizowanych grup przestępczych, które celują przede wszystkim w dane krytyczne dla działania firmy lub urzędu. CERT Polska podkreśla, że to wciąż zagrożenie o najbardziej destrukcyjnym wpływie na działanie organizacji.

Jak przebiega atak ransomware

Atak na firmę rzadko jest jednym kliknięciem, po którym od razu wszystko się szyfruje. Z analiz CERT Polska wynika, że włamania prowadzi zwykle człowiek, a nie automat, i bywają rozłożone nawet na kilka tygodni. Typowy przebieg wygląda tak:

Wejście do sieci. Przestępca zdobywa pierwszy dostęp: przejęte hasło, niezałatana luka albo zainfekowany załącznik.
Rozpoznanie i przejmowanie uprawnień. Atakujący po cichu sprawdza, jakie są serwery, gdzie stoi kontroler domeny i jakie konta mają uprawnienia administratora.
Szukanie kopii zapasowych. Priorytetem jest znalezienie serwerów backupu i wirtualizacji. Według raportu kopie na dyskach sieciowych NAS atakujący często po prostu kasują, reinicjalizując dyski, a na przejętych wirtualizatorach szyfrują maszyny wirtualne i usuwają ich migawki.
Kradzież danych. Przed szyfrowaniem dane są kopiowane na serwery przestępców.
Szyfrowanie i żądanie okupu. Na końcu, często w weekend lub w nocy, uruchamiane jest szyfrowanie, zwykle po wcześniejszym wyłączeniu programów zabezpieczających.

Przestępcy chętnie używają legalnych narzędzi wbudowanych w system, więc ich działania długo wyglądają jak zwykła praca administratora.

Którędy przestępcy wchodzą do sieci

Raport CERT Polska za 2025 rok jest tu wyjątkowo konkretny. W zdecydowanej większości przypadków, w których dało się ustalić wektor ataku, wejście nastąpiło przez usługi dostępu zdalnego niezabezpieczone uwierzytelnianiem dwuskładnikowym.

RDP wystawiony do internetu. W 46 zgłoszonych atakach ransomware zaatakowany podmiot miał publicznie dostępny pulpit zdalny RDP, a CERT Polska zaznacza, że ta liczba jest najpewniej zaniżona. W dwóch przypadkach od wystawienia usługi do internetu do złamania hasła i infekcji minęło mniej niż dwa tygodnie.
VPN bez drugiego składnika. W przypadku grupy Qilin niemal w połowie ataków typowanym wektorem były przejęte dane logowania do VPN.
Wykradzione hasła. Dane logowania trafiają do przestępców przez phishing, wycieki z innych serwisów, złośliwe programy kradnące hasła (stealery) albo zgadywanie metodą siłową. Mechanizmy wyłudzeń opisujemy szerzej w tekście o tym, czym jest phishing i jak go rozpoznać.
Niezałatane luki. Urządzenia brzegowe, czyli firewalle, bramy VPN i serwery pocztowe, a także systemy CMS bywają atakowane masowo zaraz po ujawnieniu podatności. Dobrym przykładem tego tempa jest luka w WordPressie wykorzystywana od pierwszego dnia.

Podwójne wymuszenie i model RaaS

Kopia zapasowa przestała wystarczać przestępcom jako przeszkoda, dlatego od kilku lat standardem jest podwójne wymuszenie (double extortion). Grupa najpierw wykrada dane, a dopiero potem je szyfruje. Nawet jeśli firma odtworzy systemy z backupu, dostaje drugie żądanie: zapłać, inaczej opublikujemy umowy, dane klientów i korespondencję na naszym blogu (tak zwanym leak site) albo sprzedamy je dalej.

CERT Polska zwraca uwagę na dwa niuanse. Po pierwsze, większość notek grozi publikacją danych także wtedy, gdy do kradzieży wcale nie doszło. Po drugie, ogólnikowa treść notki nie dowodzi, że dane są bezpieczne, a publikacja może nastąpić wiele miesięcy po ataku. Dlatego o skali wycieku nie rozstrzyga notka, tylko analiza logów.

Za większością ataków stoi model Ransomware-as-a-Service (RaaS). Twórcy oprogramowania udostępniają kod, infrastrukturę i panel do negocjacji, a włamania przeprowadzają „afilianci”, którzy dzielą się okupem z autorami. W 2025 roku w Polsce najczęściej identyfikowano rodziny Qilin (13 incydentów), a następnie Proxima, Makop i LockBit (po 8), Beast (7) i RansomHub (6). W 46 przypadkach rodziny nie udało się ustalić.

Skala ransomware w Polsce

Liczby z raportu CERT Polska pokazują wyraźny trend wzrostowy:

Rok	Ataki ransomware zarejestrowane przez CERT Polska
2023	161
2024	147
2025	179

W 2025 roku 129 zgłoszeń pochodziło od podmiotów prywatnych, 30 od instytucji publicznych i 20 od osób fizycznych. Połowa incydentów w sektorze publicznym dotyczyła samorządów, a kolejnym najczęściej atakowanym sektorem była oświata, w tym uczelnie. To dane wyłącznie o zgłoszonych przypadkach, więc rzeczywista liczba ataków jest z pewnością wyższa.

Dwa przykłady dobrze pokazują, jak wygląda to w praktyce. W listopadzie 2023 roku sieć laboratoriów ALAB padła ofiarą ataku, a grupa RA World opublikowała pliki z wynikami badań pacjentów wraz z danymi osobowymi. Według doniesień medialnych firma nie zamierzała płacić okupu. W marcu 2025 roku zaszyfrowane zostały systemy krakowskiego szpitala MSWiA: placówka przeszła na papierową dokumentację, czasowo wstrzymała planowe przyjęcia na neurologię, a dyrekcja mówiła, że odbudowa systemów to „kwestia dni i tygodni, a nie godzin”.

Jak chronić się przed ransomware

Ochrona sprowadza się do dwóch celów: utrudnić wejście i sprawić, że nawet udany atak nie odbierze Ci danych.

Kopie zapasowe w regule 3-2-1. Trzy kopie danych, na dwóch różnych nośnikach, z czego jedna poza domem lub biurem. Kluczowe jest to, żeby przynajmniej jedna kopia była offline (dysk odłączany po wykonaniu backupu) albo niezmienna (immutable), czyli taka, której nie da się skasować ani nadpisać przez określony czas, nawet z kontem administratora.
Testy odtwarzania. Backup, z którego nikt nigdy nie przywracał danych, to tylko nadzieja. Raz na kwartał spróbuj odtworzyć kilka plików albo cały komputer.
Aktualizacje. System, przeglądarka, programy, a w firmie przede wszystkim firewall, VPN, serwer pocztowy i strona internetowa. Łatki do urządzeń brzegowych instaluj w ciągu dni, nie miesięcy.
Uwierzytelnianie wieloskładnikowe (MFA). Obowiązkowo na VPN, poczcie, panelach administracyjnych i kontach w chmurze. Najodporniejsze na przechwycenie są klucze sprzętowe i passkey, czyli logowanie bez hasła.
Unikalne hasła. Hasło z wycieku innego serwisu nie powinno otwierać firmowego VPN. Pomaga w tym menedżer haseł.
Żadnego RDP prosto do internetu. Zdalny dostęp tylko przez VPN z MFA albo bramę z kontrolą dostępu.
Segmentacja i ograniczone uprawnienia. Kopie zapasowe, serwery i komputery biurowe w osobnych segmentach sieci. Codzienna praca na koncie bez uprawnień administratora, osobne konta administracyjne tylko do zarządzania.

Co zrobić po ataku ransomware

Pierwsze godziny decydują o tym, ile da się uratować. Najważniejsze kroki:

Odizoluj zainfekowane urządzenia. Odłącz kabel sieciowy i Wi-Fi. Nie wyłączaj od razu zasilania, jeśli nie musisz, bo w pamięci mogą zostać ślady przydatne w analizie. Amerykańska agencja CISA zaleca wyłączanie urządzeń dopiero wtedy, gdy nie da się ich odłączyć od sieci.
Zabezpiecz kopie zapasowe. Odłącz dyski z backupem i sprawdź, czy kopie są nienaruszone, zanim cokolwiek do nich podłączysz.
Zmień hasła z czystego urządzenia. Zwłaszcza do kont administratorów, poczty i VPN.
Zgłoś incydent. Do CERT Polska przez formularz na incydent.cert.pl, a jeśli żądano okupu lub skradziono dane, także na policję. Zachowaj notkę z żądaniem, adresy kontaktowe i zrzuty ekranu.
Sprawdź dostępność dekryptora. Projekt No More Ransom, prowadzony m.in. przez Europol i holenderską policję, udostępnia bezpłatne narzędzia do części rodzin ransomware. CERT Polska w 2025 roku informował o publikacji dekryptora dla Phobos/8Base.
Odtwarzaj na czysto. Systemy przywracaj na wyczyszczonych lub nowych maszynach, dopiero po ustaleniu, którędy wszedł atakujący. Inaczej wróci tą samą drogą.

Obowiązki prawne firm: RODO i KSC

Jeśli zaszyfrowane lub wykradzione zostały dane osobowe klientów czy pracowników, to zwykle naruszenie ochrony danych w rozumieniu RODO. Administrator musi je zgłosić do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia (art. 33), chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób. Przy wysokim ryzyku trzeba też zawiadomić same osoby, których dane dotyczą (art. 34). Obowiązek ten dotyczy także jednoosobowych firm.

Od 3 kwietnia 2026 roku obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Podmioty kluczowe i ważne, co do zasady średnie i duże firmy z sektorów wymienionych w ustawie oraz część instytucji publicznych, zgłaszają incydent poważny do właściwego CSIRT: wczesne ostrzeżenie najpóźniej w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca. Nowe podmioty mają 12 miesięcy na wdrożenie obowiązków, więc warto sprawdzić z prawnikiem, czy i od kiedy firma im podlega.

Czy płacić okup

Projekt No More Ransom, współtworzony przez Europol, wprost zaleca, by nigdy nie płacić okupu. Argumenty są praktyczne, nie tylko moralne:

Zapłata nie gwarantuje odzyskania plików. Dekryptory od przestępców bywają wadliwe, a odszyfrowanie dużych zasobów trwa długo.
Zapłata nie usuwa wykradzionych danych. Nie ma żadnej gwarancji, że przestępcy je skasują, a nie sprzedadzą lub nie wrócą z kolejnym żądaniem.
Firma, która zapłaciła, trafia na listę ofiar skłonnych płacić, a włamywacz może wciąż mieć dostęp do sieci.

Jeśli firma mimo wszystko rozważa zapłatę, bo nie ma kopii, a bez danych upadnie, decyzja nie powinna zapadać pod presją zegara z notki. Najpierw trzeba sprawdzić, czy istnieje dekryptor, ustalić rodzinę ransomware i realny zakres kradzieży, skonsultować się z firmą reagującą na incydenty i prawnikiem, a sprawę zgłosić organom ścigania.

Lista kontrolna: ochrona przed ransomware

Rób kopie zapasowe w regule 3-2-1, z co najmniej jedną kopią offline lub niezmienną.
Co kwartał testuj odtwarzanie danych z kopii.
Instaluj aktualizacje systemu, programów i urządzeń sieciowych bez zwłoki.
Włącz MFA na VPN, poczcie, kontach administratorów i w chmurze.
Nie wystawiaj pulpitu zdalnego RDP bezpośrednio do internetu.
Używaj unikalnych haseł przechowywanych w menedżerze haseł.
Pracuj na koncie bez uprawnień administratora.
Oddziel kopie zapasowe i serwery od reszty sieci.
Nie instaluj pirackiego oprogramowania i nie otwieraj nieoczekiwanych załączników.
Przygotuj plan: kto odłącza sprzęt, kto dzwoni do informatyka, kto zgłasza incydent do CERT Polska i UODO.

Ransomware jest groźny, bo trafia w to, czego nie da się szybko odkupić: dane i czas. Większość ataków opisanych przez CERT Polska zaczęła się jednak od rzeczy prostych do naprawienia, czyli wystawionego RDP, VPN bez drugiego składnika i braku kopii offline. Zamknięcie tych trzech furtek nie daje pełnej odporności, ale sprawia, że atak przestaje oznaczać katastrofę.

Źródła

Redakcja HotaruMiłośnicy nowych technologii

Redakcję Hotaru.pl tworzą doświadczeni copywriterzy, redaktorzy, specjaliści IT oraz pasjonaci nowych technologii. Łączy nas ciekawość świata, zamiłowanie do komputerów, elektroniki i oprogramowania, a także przekonanie, że nawet najbardziej złożone zagadnienia można wyjaśnić prostym i zrozumiałym językiem. Na bieżąco śledzimy rozwój sztucznej inteligencji, modeli LLM, sprzętu komputerowego oraz cyfrowych usług. Testujemy narzędzia, sprawdzamy informacje i oddzielamy rzeczywiste możliwości technologii od marketingowych obietnic. Każdy temat analizujemy z punktu widzenia specjalisty i użytkownika. Chcemy tworzyć treści rzetelne, praktyczne i przydatne, które pomagają lepiej rozumieć cyfrowy świat, podejmować świadome decyzje i wykorzystywać technologię w codziennym życiu.

Kontakt z redakcją