Ransomware w firmie: jak się chronić i co zrobić po ataku

Przed ransomware najlepiej chronią aktualne systemy, logowanie dwuskładnikowe przy dostępie zdalnym i poczcie, kopie zapasowe odizolowane od sieci firmy i regularnie sprawdzane oraz pracownicy, którzy rozpoznają podejrzane wiadomości. Gdy do ataku dojdzie, odłącz zainfekowane komputery od sieci, ale ich nie wyłączaj, zgłoś incydent do CERT Polska i odtwórz dane z czystej kopii zapasowej.

Spis treści

1. Czym jest ransomware i jak działa
2. Czy ransomware to wirus?
3. Jak często ransomware atakuje firmy w Polsce
4. Jak zapobiec atakowi ransomware
5. Najczęstsze błędy, które ułatwiają atak
6. Co zrobić po ataku ransomware
7. Czy da się odzyskać zaszyfrowane pliki?
8. Gdzie zgłosić atak
9. Najczęściej zadawane pytania

Czym jest ransomware i jak działa

Ransomware to rodzaj złośliwego oprogramowania, które blokuje system komputerowy, szyfrując wybrane pliki, a za ich odblokowanie przestępcy żądają okupu^[1]. Coraz częściej atakujący nie tylko szyfrują dane, ale też je wykradają i grożą ich upublicznieniem, jeśli okup nie zostanie zapłacony^[1]. Firma traci wtedy jednocześnie dostęp do danych i kontrolę nad tym, kto je zobaczy.

Najczęstsze drogi ataku to według CERT Polska podatności w usługach dostępnych z internetu, takich jak VPN, zdalny pulpit czy serwer pocztowy, słabo zabezpieczone kanały zdalnego dostępu oraz wiadomości e-mail nakłaniające do otwarcia załącznika albo linku^[1]. Europejska agencja ENISA uznaje ransomware za zagrożenie o największych skutkach w Unii Europejskiej^[8], a w jej zestawieniu ransomware stanowił 81,1% działań zaliczonych do cyberprzestępczości wymierzonej w organizacje z UE (to jedna z kilku kategorii zagrożeń w tym zestawieniu)^[9].

Czy ransomware to wirus?

Potocznie tak — nawet Ministerstwo Cyfryzacji opisuje ransomware jako rodzaj wirusa komputerowego, który szyfruje pliki i blokuje działanie komputera^[5]. CERT Polska używa dokładniejszego określenia: rodzaj złośliwego oprogramowania^[1]. Technicznie „wirus” to tylko jeden z rodzajów złośliwego oprogramowania, a ransomware może trafić do firmy na wiele sposobów, także przez przejęte konto zdalnego dostępu. Dlatego sam program antywirusowy to za mało — potrzebny jest cały zestaw zabezpieczeń opisany niżej.

Jak często ransomware atakuje firmy w Polsce

W 2024 r. CERT Polska zarejestrował 147 incydentów ransomware, a najczęściej atakowane były firmy — 87 przypadków^[3]. W 2025 r. takich incydentów było 179 wobec 147 rok wcześniej — o ponad jedną piątą więcej^[2][15]. To tylko przypadki zgłoszone — wiele firm nie informuje nikogo o ataku.

Jak zapobiec atakowi ransomware

Nie ma jednego zabezpieczenia, które wystarczy. Zalecenia CERT Polska i amerykańskiej agencji CISA (opracowane wspólnie z FBI i NSA) układają się w kilka warstw:

1. Aktualizacje. Aktualizuj system, usługi dostępne z internetu i aplikacje, z których korzystają pracownicy — przeglądarki, programy biurowe i pocztowe^[1].
2. Logowanie dwuskładnikowe. Zdalny pulpit udostępniaj tylko przez firmowy VPN z uwierzytelnianiem dwuskładnikowym^[1]. CISA zaleca odporne na phishing logowanie wieloskładnikowe do wszystkich usług, zwłaszcza poczty, VPN i kont z dostępem do kluczowych systemów^[7].
3. Kopie zapasowe według zasady 3-2-1. Co najmniej trzy kopie danych, na co najmniej dwóch różnych nośnikach, z czego jedna odizolowana, żeby ransomware jej nie zaszyfrował^[1]. Kopia nie powinna być podłączona jako zasób sieciowy w sieci roboczej, a odtwarzanie trzeba regularnie testować^[1]. Jak to robimy, opisujemy na stronie backup danych.
4. Ochrona komputerów i serwerów. Regularnie aktualizowany program antywirusowy to podstawa^[1], a CISA zaleca dodatkowo rozwiązania klasy EDR, które wykrywają i blokują podejrzane działania na urządzeniach^[7]. Więcej przeczytasz na stronie programy antywirusowe dla firm.
5. Podział sieci. Oddzielenie działów i komórek firmy ogranicza skutki infekcji w sieci^[1], bo atakujący nie przejdzie swobodnie z jednego komputera na wszystkie pozostałe^[7].
6. Najmniejsze uprawnienia. Każdy użytkownik powinien mieć tylko taki dostęp, jakiego potrzebuje w pracy^[7].
7. Szkolenia. Wiadomości phishingowe w dużej części odpowiadają za infekcje złośliwym oprogramowaniem^[1], dlatego pracownicy powinni wiedzieć, jak rozpoznać podejrzaną wiadomość i komu ją zgłosić.

Te elementy łączymy w całość na stronie cyberbezpieczeństwo — od firewalla po kopie zapasowe i szkolenia.

Najczęstsze błędy, które ułatwiają atak

Raport CERT Polska za 2025 r. pokazuje, że przestępcy rzadko muszą się wysilać. W znacznej większości ataków, w których udało się ustalić drogę wejścia, dostali się do firmy przez usługi dostępu zdalnego niezabezpieczone uwierzytelnianiem dwuskładnikowym^[15]. Wystarczyło im więc przejęte albo odgadnięte hasło.

Drugi częsty błąd to kopia zapasowa trzymana na serwerze NAS dostępnym z sieci roboczej. Według CERT Polska atakujący zwykle nawet nie szyfrowali takich kopii, tylko od nowa inicjalizowali przestrzeń dyskową, żeby wymazać zapisane na niej dane^[15]. Kopia dostępna z sieci roboczej daje więc złudne poczucie bezpieczeństwa.

Trzeci błąd to kopie, których nikt nigdy nie odtwarzał. Dopiero test pokazuje, czy dane da się przywrócić i ile to trwa, dlatego CERT Polska zaleca regularne sprawdzanie kopii pod kątem odtworzenia danych^[1]. Do listy warto dopisać panikę po ataku: pochopne wyłączanie komputerów niszczy ślady potrzebne do analizy, a zwlekanie ze zgłoszeniem może oznaczać przekroczenie terminów z RODO.

Co zrobić po ataku ransomware

1. Ustal, które komputery są zainfekowane, i odłącz je od sieci — przewodowej i bezprzewodowej^[1].
2. Nie wyłączaj ich bez potrzeby. Pamięć urządzenia może zawierać informacje potrzebne do analizy ataku^[4], dlatego wyłączenie zalecane jest tylko wtedy, gdy nie da się odłączyć komputera od sieci^[1].
3. Zachowaj zaszyfrowane pliki. Ich kopia pozwoli odzyskać dane, jeśli w przyszłości pojawi się narzędzie do odszyfrowania^[1].
4. Nie płać okupu. Instytucje odradzają płacenie, bo zapłata nie gwarantuje odszyfrowania danych ani tego, że nie wyciekną^[7]. Projekt No More Ransom zaleca, by nigdy nie płacić okupu^[10]. Jeśli w firmie pojawia się taki pomysł, decyzję powinien podjąć zarząd po rozmowie z prawnikiem i z organami ścigania.
5. Zgłoś incydent — szczegóły w części Gdzie zgłosić atak.
6. Odtwórz systemy z czystej kopii, zaczynając od tych, bez których firma nie działa, i używając czystych, przygotowanych obrazów systemów^[1].

Czy da się odzyskać zaszyfrowane pliki?

Czasem tak. Zdarza się, że zaszyfrowane dane udaje się odzyskać dzięki narzędziom przygotowanym przez ekspertów, ale często jedynym sposobem jest odtworzenie danych z kopii zapasowej^[5]. Darmowe narzędzia do odszyfrowania zbiera projekt No More Ransom, prowadzony m.in. przez holenderską policję i Europol, ale nie ma ich dla każdego rodzaju ransomware^[10]. CERT Polska zaznacza, że błędy w kodzie przestępców albo upublicznienie kluczy pozwalają odzyskać pliki tylko sporadycznie^[1]. Dlatego realnym planem jest kopia zapasowa, a nie liczenie na szczęście.

Gdzie zgłosić atak

Atak ransomware zgłoś do CERT Polska przez stronę incydent.cert.pl^[6]. Do zgłoszenia warto dołączyć co najmniej dwa zaszyfrowane pliki i notatkę z żądaniem okupu, co ułatwia rozpoznanie rodzaju ransomware^[1].

Jeśli atak objął dane osobowe, administrator ma obowiązek zgłosić naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia^[11]. Zgłoszenie można złożyć przez formularz na platformie biznes.gov.pl^[13], a UODO zachęca, by incydenty ze złośliwym oprogramowaniem zgłaszać również do CERT Polska^[12]. Atak to także przestępstwo, które można zgłosić policji albo prokuraturze^[14].

Firmy objęte przepisami o krajowym systemie cyberbezpieczeństwa mają dodatkowe obowiązki zgłaszania incydentów, opisane na stronie NIS2 dla firm. Ten artykuł nie jest poradą prawną.

Najczęściej zadawane pytania

Czy warto zapłacić okup?

Instytucje to odradzają: zapłata nie gwarantuje odszyfrowania danych ani tego, że nie zostaną upublicznione, a przestępcy dostają sygnał, że ich metoda działa.

Czy program antywirusowy wystarczy?

Nie. Antywirus to jedna z warstw. Równie ważne są aktualizacje, logowanie dwuskładnikowe przy dostępie zdalnym, kopie zapasowe odizolowane od sieci i przeszkoleni pracownicy.

Czy kopia na dysku sieciowym chroni przed ransomware?

Tylko wtedy, gdy jest odizolowana. Kopia podłączona jako zasób sieciowy w sieci roboczej może zostać zaszyfrowana razem z resztą danych, dlatego co najmniej jedna kopia powinna być poza zasięgiem atakującego.

Czy ransomware atakuje też małe firmy?

Dane CERT Polska nie rozróżniają wielkości firm, ale w 2024 r. to firmy były najczęściej atakowaną grupą wśród zgłoszeń^[3]. Przestępcy szukają przede wszystkim słabych zabezpieczeń, a nie dużych nazw.

Ile czasu mam na zgłoszenie naruszenia do UODO?

Jeśli atak dotyczy danych osobowych, naruszenie zgłasza się bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia^[11].

Źródła

1. CERT Polska (NASK), „Poradnik ransomware”, cert.pl (PDF) (dostęp: 2026-10-14).
2. NASK, „Prawie 2 tys. zgłoszeń każdego dnia. Raport CERT Polska za 2025 rok”, nask.pl (dostęp: 2026-10-14).
3. gov.pl, baza wiedzy, „Analiza bezpieczeństwa polskiego internetu w 2024 roku”, gov.pl (dostęp: 2026-10-14).
4. gov.pl, baza wiedzy, „Ransomware – jedno z najpoważniejszych zagrożeń w cyberprzestrzeni”, gov.pl (dostęp: 2026-10-14).
5. Ministerstwo Cyfryzacji, „Ransomware – jak się uchronić i nie płacić okupu”, gov.pl (dostęp: 2026-10-14).
6. CERT Polska, formularz zgłaszania incydentów, incydent.cert.pl (dostęp: 2026-10-14).
7. CISA, MS-ISAC, NSA, FBI, „#StopRansomware Guide”, cisa.gov (dostęp: 2026-10-14).
8. ENISA, „EU consistently targeted by diverse yet convergent threat groups” (ENISA Threat Landscape 2025), enisa.europa.eu (dostęp: 2026-10-14).
9. ENISA, „ENISA Threat Landscape 2025”, rozdział „Cybercrime”, enisa.europa.eu (PDF) (dostęp: 2026-10-14).
10. No More Ransom (Europol, holenderska policja i partnerzy), nomoreransom.org (dostęp: 2026-10-14).
11. Rozporządzenie (UE) 2016/679 (RODO), art. 33 ust. 1, eur-lex.europa.eu (dostęp: 2026-10-14).
12. UODO, „Inne obowiązki i przepisy związane z naruszeniami”, uodo.gov.pl (dostęp: 2026-10-14).
13. UODO, „W jaki sposób zgłosić Prezesowi UODO naruszenie ochrony danych osobowych?”, uodo.gov.pl (dostęp: 2026-10-14).
14. gov.pl, „Zgłoś przestępstwo”, gov.pl (dostęp: 2026-10-14).
15. CERT Polska (NASK), „Raport roczny z działalności CERT Polska w 2025 roku”, „Obserwacje dotyczące zagrożeń ransomware”, cert.pl (PDF) (dostęp: 2026-10-14).