Ransomware w małej firmie — jak się przygotować i co robić po ataku
Opublikowano: 15.10.2026 · 4 min czytania · Autor: itpoludzku.pl
Ataki ransomware przestały być problemem tylko dużych firm. Dobra wiadomość: kilka rzeczy zrobionych zawczasu decyduje o tym, czy firma wraca do pracy w dzień, czy w miesiąc.
W skrócie
- Ransomware szyfruje pliki firmy i żąda okupu za ich odblokowanie, często grożąc też publikacją danych.
- Według CERT Polska w 2025 roku zanotowano rekordową liczbę ataków ransomware.
- Najczęstsze drogi wejścia: przejęte hasło, pulpit zdalny wystawiony do internetu, załącznik w mailu, nieaktualne urządzenia.
- Najważniejsza ochrona: kopie, których atak nie może zaszyfrować, i przetestowane odtwarzanie.
- Po ataku: odłącz od sieci, nie płać pochopnie, zabezpiecz ślady, zgłoś incydent.
Rano pracownik włącza komputer, a pliki mają dziwne rozszerzenia, na pulpicie leży notatka z żądaniem okupu, a serwer z programem księgowym nie odpowiada. Tak wygląda atak ransomware. W 2025 roku CERT Polska obsłużył ponad 260 tysięcy incydentów, a ataków ransomware było najwięcej w historii — także w małych i średnich firmach.
Atakujący rzadko wybierają ofiarę świadomie. Automaty szukają słabych punktów — otwartego pulpitu zdalnego, nieaktualnego routera, wykradzionego hasła — i wchodzą tam, gdzie się da.
Jak wygląda atak
Najczęstsze drogi wejścia
| Droga wejścia | Jak się chronić |
|---|---|
| Pulpit zdalny (RDP) wystawiony do internetu | Dostęp tylko przez VPN z dwuskładnikowym logowaniem |
| Wykradzione lub słabe hasło | Menedżer haseł, 2FA, brak powtarzania haseł |
| Załącznik lub link w mailu | Filtrowanie poczty, szkolenie zespołu |
| Nieaktualny router, NAS, serwer | Aktualizacje i wyłączenie zbędnych usług |
| Konto byłego pracownika | Blokowanie kont od razu po odejściu |
Jak się przygotować
Kopie, których nie da się zaszyfrować
Niezmienne lub odłączone od sieci, z historią z wielu dni.
Test odtwarzania
Raz na kwartał odtwórz folder i bazę — sprawdź, ile to trwa.
2FA wszędzie
Poczta, VPN, panele administracyjne, bankowość.
Brak codziennej pracy na koncie administratora
Uprawnienia administratora tylko wtedy, gdy są potrzebne.
Aktualizacje
Systemy, programy, routery, NAS-y, kamery.
Plan na kartce
Kto co robi w pierwszej godzinie, numery telefonów, gdzie są kopie.
Kopia na dysku sieciowym to za mało
Ransomware szyfruje wszystko, do czego ma dostęp zainfekowany komputer — także dyski sieciowe i podłączone dyski USB. Atakujący szukają kopii celowo. Dlatego potrzebna jest kopia, której nie da się zmienić ani usunąć z sieci firmy. Więcej w poradniku kopie zapasowe 3-2-1.
Pierwsza godzina po ataku
Odłącz zainfekowane komputery od sieci
Kabel i Wi-Fi. Nie wyłączaj ich pochopnie — w pamięci mogą być ślady.
Nie płać i nie negocjuj na szybko
Zapłata nie gwarantuje odzyskania danych.
Zadzwoń po pomoc
Do swojego informatyka lub firmy, która zna Waszą sieć.
Zabezpiecz kopie
Odłącz to, co jeszcze nie zostało zaszyfrowane.
Zgłoś incydent
Do CERT Polska; przy danych osobowych oceń zgłoszenie do UODO w ciągu 72 godzin.
Nie karz za kliknięcie
Pracownik, który boi się przyznać do kliknięcia w podejrzany załącznik, zgłosi to za późno. Szybkie zgłoszenie bywa różnicą między jednym komputerem do wyczyszczenia a całą zaszyfrowaną firmą.
Wniosek
Ransomware w małej firmie to realne ryzyko, ale nie wyrok. Kopie odporne na szyfrowanie z testem odtwarzania, 2FA, brak otwartego pulpitu zdalnego i plan na pierwszą godzinę sprawiają, że atak kończy się dniem przestoju, a nie utratą firmy.
Najczęstsze pytania
Czy warto zapłacić okup?
Odradzam. Nie ma gwarancji odzyskania danych ani usunięcia ich kopii u przestępców, a zapłata finansuje kolejne ataki.
Czy antywirus chroni przed ransomware?
Częściowo. Nie zatrzyma atakującego z przejętym hasłem administratora — dlatego liczą się kopie, 2FA i uprawnienia.
Czy dane w chmurze są bezpieczne?
Synchronizowane pliki mogą zostać zaszyfrowane razem z lokalnymi. Pomaga historia wersji i osobna kopia danych z chmury.
Czy mała firma musi zgłaszać atak?
Jeśli doszło do naruszenia danych osobowych — trzeba ocenić obowiązek zgłoszenia do UODO w ciągu 72 godzin. Incydent warto zgłosić też do CERT Polska.
Jak sprawdzić, czy jesteśmy gotowi?
Odpowiedz na pytanie: z której kopii i w jakim czasie odtworzymy wszystko po zaszyfrowaniu każdego komputera w sieci?
Chcesz sprawdzić, czy firma przetrwa atak?
Przeglądam kopie, dostępy i zabezpieczenia, wdrażam kopie odporne na szyfrowanie i plan na pierwszą godzinę. Zobacz ochronę przed ransomware i kopie zapasowe dla firm.
Patryk · itpoludzku.pl
Zajmuję się serwisem komputerowym, stronami i sklepami internetowymi oraz wdrożeniami dla małych firm. Piszę o tym, co robię na co dzień — razem z sytuacjami, w których coś się nie opłaca. Dojeżdżam do klientów w promieniu 50 km od Grodziska Mazowieckiego.
Oceń ten wpis
Kliknij gwiazdkę, aby ocenić (1-5).
0/5 · głosów: 0
Komentarze (0)
Brak komentarzy — bądź pierwszy!
Dodaj komentarz
Komentujesz jako gość — możesz też zalogować się lub założyć konto. Każdy może skomentować wpis tylko raz.
