Ransomware: co to jest i co zrobić, gdy pliki zostały zaszyfrowane

Ransomware (od angielskiego ransom, okup) to według gov.pl rodzaj szkodliwego oprogramowania, który blokuje lub szyfruje pliki na urządzeniu; przestępcy grożą utratą dostępu do danych, jeśli ofiara nie zapłaci. Coraz częściej dane są też wcześniej wykradane, a przestępcy szantażują ofiarę ich ujawnieniem. Celem może być każdy: osoba prywatna, firma czy urząd.

Ransomware w Polsce

W 2025 roku CERT Polska odnotował 179 ataków ransomware, więcej niż w 2024 roku (147) i niż w rekordowym dotąd 2023 roku (161). Najwięcej zgłosiły podmioty prywatne (129), 30 podmioty publiczne, a 20 osoby fizyczne. Na początku 2025 roku w międzynarodowej akcji z udziałem CBZC zatrzymano cztery osoby kierujące grupą 8Base, podejrzaną o wymuszanie okupów za pomocą ransomware Phobos; No More Ransom udostępnia dziś darmowy deszyfrator dla Phobos/8base.

Ataki obserwowane przez CERT Polska najczęściej wymierzone są w firmy i instytucje publiczne, a stoją za nimi grupy przestępcze motywowane finansowo. Wiele z nich stosuje podwójne wymuszenie (double extortion): przed zaszyfrowaniem przenoszą dane na własne serwery, żeby potem grozić ich publikacją albo sprzedażą na czarnym rynku.

Jak ransomware dostaje się do środka

• Złośliwy spam: e-maile z zainfekowanymi załącznikami, np. dokumentami PDF lub Word, albo z linkami do złośliwych stron.
• Niezabezpieczone i fałszywe strony internetowe oraz pobierane programy.
• W firmach najczęściej podatne lub słabo zabezpieczone usługi dostępne z internetu, takie jak VPN, RDP czy serwer pocztowy. Według CERT Polska luki bywają wykorzystywane w ciągu godzin lub dni od ich ujawnienia, a kanały zdalnego dostępu często chroni tylko słabe hasło.

Co zrobić od razu po ataku

1. Odłącz urządzenie od internetu, przewodowego i bezprzewodowego, ale nie wyłączaj zasilania: pamięć urządzenia może zawierać informacje potrzebne do rozpoznania ransomware.
2. Zachowaj plik z notatką o zaszyfrowaniu i żądaniem okupu oraz przykładowe zaszyfrowane pliki.
3. Odłącz dyski z kopiami zapasowymi, jeśli są jeszcze podłączone. CERT Polska ostrzega, że przestępcy zwykle starają się zniszczyć kopie zapasowe.
4. Z innego urządzenia wejdź na NoMoreRansom.org i sprawdź, czy istnieje darmowy deszyfrator dla Twojej rodziny ransomware.
5. Zgłoś incydent zespołowi CSIRT NASK na incydent.cert.pl i opisz kroki, które już podjąłeś.
6. Złóż zawiadomienie o przestępstwie; możesz to zrobić w każdej jednostce Policji.

Płacić okup?

Nie. No More Ransom zaleca, by nigdy nie płacić: wysyłając pieniądze, potwierdzasz tylko, że oprogramowanie przestępców działa, a nie masz żadnej gwarancji otrzymania klucza. Gov.pl dodaje, że zapłata nie daje też pewności, że dane nie zostaną upublicznione lub wykorzystane, i wspiera grupy przestępcze, które zachęcone sukcesem spróbują znowu. Nawet CERT Polska, który w poradniku pisze ostrożniej, przypomina, że zapłata nie zawsze gwarantuje odzyskanie danych. Poprawnie użyte szyfry uniemożliwiają odszyfrowanie plików bez klucza; pomóc mogą tylko błędy w kodzie szkodnika albo upublicznione klucze, a to nie zdarza się często.

Jak odzyskać pliki

• Z kopii zapasowej zrobionej przed atakiem, po oczyszczeniu lub przeinstalowaniu systemu.
• Deszyfratorem z No More Ransom, jeśli istnieje dla Twojej rodziny. Wśród ostatnio dodanych są narzędzia dla Jett, Midnight/Endpoint, FunkSec, Phobos/8base i DoNex.
• Z OneDrive: sekcja Odzyskiwanie danych ransomware w aplikacji Zabezpieczenia Windows jest zintegrowana z OneDrive i prowadzi przez przywracanie plików.

No More Ransom uczciwie uprzedza, że nie ma skutecznego rozwiązania dla każdego typu ransomware, a gdy szkodnik już działa na urządzeniu, szanse na odzyskanie danych bez kopii zapasowej są często niewielkie. Jeśli dziś nie ma narzędzia dla Twojej rodziny, zachowaj zaszyfrowane pliki i zaglądaj na stronę regularnie: nowe klucze i narzędzia są dodawane, gdy tylko stają się dostępne.

Jak się chronić

• Regularnie rób kopię zapasową i zachowaj co najmniej jedną kopię offline. CERT Polska poleca regułę 3-2-1: co najmniej 3 kopie danych, na co najmniej dwóch różnych nośnikach, z czego jedna odizolowana, żeby nie dało się jej zaszyfrować. Sprawdzaj też, czy z kopii da się odtworzyć dane.
• W Windows włącz Kontrolowany dostęp do folderu (Zabezpieczenia Windows > Ochrona przed wirusami i zagrożeniami > Zarządzaj ochroną przed oprogramowaniem wymuszającym okup). Niezaufane aplikacje nie zmienią wtedy plików w chronionych folderach, takich jak Dokumenty, Obrazy, Wideo, Muzyka i Pulpit.
• Regularnie aktualizuj oprogramowanie, bo część ataków wykorzystuje istniejące luki.
• Nie pobieraj załączników z nieoczekiwanych e-maili, nie klikaj w podejrzane linki i nie instaluj programów z niepewnych źródeł.
• W małej firmie udostępniaj zdalny pulpit tylko przez VPN z uwierzytelnianiem dwuskładnikowym.

Na ransomware przygotowujesz się, zanim przyjdzie: kopia offline, której nikt nie zaszyfruje, i żadnego okupu.