Aktualizacja: październik 2026
- Objaw
- Pliki mają dziwne rozszerzenie i nie dają się otworzyć, w folderach jest notatka z żądaniem okupu
- Najczęstsza przyczyna
- Złośliwy załącznik, przejęte hasło do zdalnego pulpitu lub VPN, niezałatana luka
- Co ratuje dane
- Kopia zapasowa odłączona od komputera albo z historią wersji
- Czy zrobisz to sam?
- Odłączenie od sieci tak. Odzyskiwanie i analiza: lepiej ze specjalistą
Szybka odpowiedź
Ransomware to złośliwe oprogramowanie, które szyfruje pliki na komputerze, dyskach sieciowych i serwerach, a potem żąda okupu za klucz. Coraz częściej przestępcy wcześniej kradną dane i grożą ich publikacją. Po ataku od razu odłącz urządzenie od sieci, nie formatuj dysku i nie płać. Sprawdź w serwisie No More Ransom, czy istnieje darmowy deszyfrator, zgłoś incydent do CERT Polska i na policję, a dane przywróć z kopii zapasowej. Najskuteczniejsza ochrona to kopia offline lub z wersjonowaniem, aktualizacje i weryfikacja dwuetapowa.
Nazwa pochodzi od angielskiego ransom, czyli okup. Atak dotyka zarówno domowe laptopy, jak i małe firmy: biuro rachunkowe, gabinet, sklep internetowy. Dla przestępców to biznes, więc wybierają cele, które najłatwiej zaatakować, a nie te największe. Poniżej wyjaśniam, jak przebiega atak, jak go rozpoznać, co robić krok po kroku i jak przygotować się tak, żeby atak był tylko kłopotem, a nie katastrofą.
Jak działa ransomware
- Wejście
Najczęściej przez załącznik udający fakturę lub dokument, piracki program, przejęte hasło do pulpitu zdalnego (RDP), VPN lub panelu administracyjnego albo przez lukę w niezaktualizowanym systemie, routerze czy serwerze NAS.
- Rozpoznanie i kradzież danych
W atakach na firmy przestępcy często przez kilka dni rozglądają się po sieci, szukają kopii zapasowych i kopiują dane na zewnątrz.
- Szyfrowanie
Program szyfruje dokumenty, zdjęcia, bazy danych i pliki na dyskach sieciowych. Często próbuje też usunąć kopie zapasowe i punkty przywracania systemu.
- Żądanie okupu
W folderach pojawia się plik z instrukcją, zwykle z żądaniem zapłaty w kryptowalucie i terminem. W wariancie „podwójnego wymuszenia” przestępcy grożą też publikacją wykradzionych danych.
Jak rozpoznać atak ransomware
- pliki mają nowe, dziwne rozszerzenie i nie otwierają się,
- w folderach są pliki tekstowe lub HTML z instrukcją „jak odzyskać pliki”,
- zmieniła się tapeta na komunikat o zaszyfrowaniu,
- dysk pracuje intensywnie, a programy nagle nie widzą swoich plików,
- antywirus został wyłączony lub zgłasza zagrożenie typu ransom.
Pełnoekranowe komunikaty w przeglądarce w stylu „komputer zablokowany przez policję, zapłać karę” albo „wykryto wirusa, zadzwoń do pomocy technicznej” zwykle niczego nie szyfrują. To oszustwo, a nie zaszyfrowany komputer. Zamknij przeglądarkę w Menedżerze zadań i nie dzwoń pod podany numer. Więcej w tekście oszustwo na pomoc techniczną.
Co zrobić po ataku ransomware krok po kroku
- Odłącz urządzenie od sieci
Wyciągnij kabel sieciowy, wyłącz Wi-Fi, odłącz dyski zewnętrzne i NAS. W firmie zrób to na wszystkich komputerach, które mogą być zainfekowane. Celem jest zatrzymanie szyfrowania kolejnych zasobów.
- Nie formatuj i nie przeinstalowuj od razu
Zaszyfrowane pliki i notatka z okupem są potrzebne do rozpoznania rodzaju ransomware i ewentualnego odszyfrowania. Zrób zdjęcie komunikatu telefonem i zanotuj, kiedy zauważyłeś problem.
- Sprawdź, czy istnieje darmowy deszyfrator
Wejdź z innego komputera na No More Ransom, projekt wspierany przez Europol. Narzędzie Crypto Sheriff pomaga rozpoznać rodzaj infekcji na podstawie zaszyfrowanego pliku i notatki. Nie ma rozwiązania dla każdego ransomware, ale nowe deszyfratory są dodawane, więc zachowaj zaszyfrowane pliki, nawet jeśli dziś nie da się ich odzyskać.
- Zgłoś incydent
Zgłoś atak do CERT Polska przez incydent.cert.pl i na policję, bo wymuszenie okupu to przestępstwo. Firma, której atak dotyczył danych osobowych klientów lub pracowników, musi ocenić, czy zgłosić naruszenie do Prezesa UODO. Zgodnie z RODO zgłoszenie składa się bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia naruszenia.
- Zmień hasła z czystego urządzenia
Szczególnie do poczty, bankowości, panelu hostingu, kont administratora i usług chmurowych. Przestępcy mogli je przejąć jeszcze przed szyfrowaniem.
- Przywróć dane z kopii zapasowej
Dopiero po usunięciu infekcji lub czystej instalacji systemu. Najpierw sprawdź, czy kopia nie jest zaszyfrowana, i przywracaj ją na czysty komputer.
- Usuń przyczynę
Zainstaluj aktualizacje, zamknij wystawiony do internetu pulpit zdalny, włącz weryfikację dwuetapową. Bez tego atak często się powtarza.
Czy zapłacić okup?
Nie. Zapłata nie gwarantuje otrzymania działającego klucza ani usunięcia skradzionych danych, a finansuje kolejne ataki i oznacza Cię jako ofiarę, która płaci. Jeśli nie masz kopii zapasowej, a dane są krytyczne, skontaktuj się ze specjalistą od odzyskiwania danych, zanim podejmiesz jakąkolwiek decyzję. Czasem da się odzyskać część plików z kopii w chmurze, poprzednich wersji lub nieszyfrowanych fragmentów dysku.
Znane rodziny ransomware
- WannaCry – w maju 2017 roku zainfekował setki tysięcy komputerów na świecie, w tym szpitale. Rozprzestrzeniał się sam przez lukę w protokole SMB w Windows, na którą Microsoft wydał poprawkę kilka tygodni wcześniej. Ofiarami były głównie niezaktualizowane systemy.
- Ryuk – jedna z głośnych rodzin atakujących firmy i instytucje, szyfrująca również zasoby sieciowe.
- LockBit – działał w modelu „ransomware jako usługa”, w którym twórcy udostępniają narzędzie innym przestępcom za udział w zyskach. W 2024 roku jego infrastrukturę przejęły organy ścigania w międzynarodowej operacji, a na No More Ransom dostępne są narzędzia dotyczące wersji LockBit 3.0.
Te przykłady łączy jedno: ataki udawały się najczęściej tam, gdzie brakowało aktualizacji, weryfikacji dwuetapowej i kopii zapasowych odpornych na usunięcie.
Jak chronić się przed ransomware w domu (Windows 10 i 11)
- Kopia zapasowa, której ransomware nie dosięgnie
Dysk zewnętrzny podłączany tylko na czas kopii albo usługa z historią wersji. Na przykład OneDrive dla subskrybentów Microsoft 365 pozwala przywrócić cały OneDrive do stanu z dowolnego momentu z ostatnich 30 dni. Szczegóły w poradniku jak wykonać kopię zapasową danych.
- Aktualizacje
Windows Update, przeglądarka, router. Windows 10 od 14 października 2025 nie dostaje bezpłatnych poprawek bezpieczeństwa, więc to dobry moment na przejście na Windows 11.
- Kontrolowany dostęp do folderów
W
Zabezpieczenia Windows → Ochrona przed wirusami i zagrożeniami → Zarządzaj ustawieniamiznajdziesz sekcję kontrolowanego dostępu do folderów. Po włączeniu niezaufane programy nie zmienią plików w chronionych folderach (Dokumenty, Obrazy i inne). Funkcja bywa nadgorliwa i może blokować zwykłe programy, wtedy dodajesz je do dozwolonych. - Ostrożność z załącznikami i programami
Nie uruchamiaj plików z nieoczekiwanych maili ani „darmowych” wersji płatnych programów.
- Weryfikacja dwuetapowa
Na poczcie i koncie Microsoft lub Google. Przejęte konto chmurowe pozwala usunąć także kopie w chmurze.
Jak chronić małą firmę przed ransomware
| Zabezpieczenie | Dlaczego ważne |
|---|---|
| Kopia 3-2-1 z jedną kopią offline lub niezmienną | Przestępcy celowo szukają i usuwają kopie dostępne z sieci firmy |
| Regularny test odtworzenia | Kopia, której nikt nie przywracał, często okazuje się niepełna |
| Brak pulpitu zdalnego wystawionego do internetu | Zdalny dostęp tylko przez VPN z weryfikacją dwuetapową |
| Weryfikacja dwuetapowa w poczcie, VPN i panelach | Wykradzione hasło przestaje wystarczać |
| Praca na kontach bez uprawnień administratora | Ogranicza zasięg infekcji jednego komputera |
| Aktualizacje systemów, NAS i routera | Znane luki są najczęstszą drogą ataku |
| Szkolenie z rozpoznawania fałszywych maili | Większość ataków zaczyna się od jednego kliknięcia |
| Spisana procedura „co robimy po ataku” | W stresie nikt nie pamięta, kogo powiadomić i co odłączyć |
Więcej o kopiach w firmie piszę w tekście kopia zapasowa w chmurze dla firmy, a o całościowym podejściu w poradniku jak zabezpieczyć dane firmowe przed utratą i wyciekiem. Jeśli nie wiesz, od czego zacząć, dobrym pierwszym krokiem jest audyt IT w małej firmie.
Czym ransomware różni się od innych zagrożeń
Klasyczny wirus infekuje pliki i się rozmnaża, trojan udaje przydatny program i otwiera drogę innym zagrożeniom, a keylogger po cichu kradnie hasła. Ransomware jest głośne z założenia: ma Cię przestraszyć i skłonić do szybkiej zapłaty. Często jest ostatnim etapem ataku, w którym wcześniej użyto trojana lub skradzionych haseł.
Atak ransomware lub chcesz się przed nim zabezpieczyć?
Pomogę odizolować zainfekowane komputery, rozpoznać rodzaj ataku, przywrócić dane z kopii i usunąć przyczynę. Zanim do tego dojdzie, mogę wdrożyć w firmie kopie zapasowe odporne na ransomware i weryfikację dwuetapową. Pracuję zdalnie albo na miejscu w Sieradzu i okolicach.
Najczęstsze pytania
Czy da się odzyskać pliki zaszyfrowane przez ransomware?
Najpewniej z kopii zapasowej. Dla części rodzin ransomware istnieją darmowe deszyfratory w serwisie No More Ransom, a czasem pomaga historia wersji w chmurze. Zachowaj zaszyfrowane pliki, bo narzędzie może pojawić się później.
Czy antywirus usunie ransomware i odszyfruje pliki?
Antywirus może usunąć sam złośliwy program, ale nie odszyfruje plików, które już zostały zaszyfrowane. Do tego potrzebny jest klucz, deszyfrator albo kopia zapasowa.
Gdzie zgłosić atak ransomware?
Do CERT Polska przez stronę incydent.cert.pl oraz na policję. Firma przetwarzająca dane osobowe ocenia też, czy zgłosić naruszenie do Prezesa UODO, co według RODO robi się w miarę możliwości do 72 godzin od jego stwierdzenia.
Czy ransomware może zaszyfrować pliki w chmurze?
Tak, jeśli folder chmury jest synchronizowany z zainfekowanym komputerem, zaszyfrowane pliki trafią do chmury. Ratunkiem jest historia wersji lub przywracanie, na przykład w OneDrive dla subskrybentów Microsoft 365 do 30 dni wstecz.
Jak włączyć ochronę przed ransomware w Windows 11?
Otwórz Zabezpieczenia Windows, wybierz Ochrona przed wirusami i zagrożeniami, potem Zarządzaj ustawieniami i w sekcji kontrolowanego dostępu do folderów włącz tę funkcję. Uzupełnij ją kopią zapasową, bo sama ochrona folderów nie wystarczy.
Powiązane wpisy
