Napadnuti ste ransomwareom: što napraviti u prvih sat vremena

Ujutro uključite računalo, a umjesto radne površine – poruka da su sve vaše datoteke šifrirane i da ih možete vratiti samo ako platite otkupninu u kriptovaluti. Dokumenti se ne otvaraju, imena datoteka su čudna, a kolege javljaju isto.

To je ransomware (ucjenjivački softver), jedna od najčešćih i najskupljih prijetnji za tvrtke. U takvom trenutku najvažnije je ne napraviti potez koji situaciju čini gorom. Prvih sat vremena često odlučuje hoće li šteta ostati na jednom računalu ili zahvatiti cijelu tvrtku.

Prvih 10 minuta: zaustavite širenje

1. Odspojite zaraženo računalo s mreže

Izvucite mrežni kabel i isključite Wi-Fi. Ransomware se često širi mrežom na druga računala, servere i zajedničke mape – svaka minuta je važna.

Računalo nemojte gasiti ako ne morate. U radnoj memoriji mogu ostati tragovi koji pomažu utvrditi što se dogodilo, a ponekad i pronaći ključ za dešifriranje. Odspojite ga s mreže i ostavite upaljeno.

2. Odspojite sigurnosne kopije i dijeljene diskove

Ako su na mrežu spojeni NAS uređaj, vanjski disk za backup ili se datoteke sinkroniziraju u oblak (OneDrive, Google Drive, Dropbox), odmah ih odspojite. Ransomware rado šifrira upravo sigurnosne kopije – a one su vaša najbolja šansa za oporavak.

3. Provjerite ostala računala

Zamolite kolege da provjere otvaraju li im se datoteke normalno. Svako računalo koje pokazuje iste znakove odspojite s mreže na isti način.

Sljedećih 20 minuta: pozovite pomoć i zabilježite sve

4. Odmah nazovite IT podršku

Ne pokušavajte sami „očistiti” računalo, ponovno instalirati sustav ili vratiti backup. Tako se lako izbrišu tragovi i ponovno zaraze čiste kopije. Stručnjak treba utvrditi o kojem se ransomwareu radi, koliko se proširio i kako je napadač ušao.

5. Fotografirajte poruku i zapišite što se dogodilo

Mobitelom fotografirajte poruku s otkupninom. Zapišite:

• kada ste primijetili problem,
• koja su računala zahvaćena,
• je li netko neposredno prije otvorio sumnjiv e-mail, privitak ili link,
• sve neobično što ste primijetili.

Te informacije IT podršci, osiguranju i policiji uvelike olakšavaju posao.

6. Ne plaćajte otkupninu (i ne javljajte se napadačima)

Plaćanje ne jamči da ćete dobiti podatke natrag – a često ih ne dobijete. Platili ste li jednom, postajete poželjna meta za sljedeći napad, a novac financira kriminal. Nemojte ni stupati u kontakt s napadačima na svoju ruku. O svemu tome odluke se donose tek nakon stručne procjene.

Do kraja prvog sata: zaštitite račune i prijavite napad

7. Promijenite lozinke – s čistog uređaja

Napadači često ukradu i lozinke. S računala ili mobitela koji nije zaražen promijenite lozinke za e-mail, administratorske račune, bankarstvo i važne poslovne sustave te uključite dvofaktorsku prijavu gdje god je moguće.

8. Prijavite napad

• Nacionalni CERT (cert.hr) prima prijave računalno-sigurnosnih incidenata i može pomoći savjetom.
• Policija – ransomware je kazneno djelo i treba ga prijaviti.
• Agencija za zaštitu osobnih podataka (AZOP) – ako su napadači mogli doći do osobnih podataka (klijenata, zaposlenika), prema GDPR-u povredu u pravilu treba prijaviti u roku od 72 sata.
• Ako je vaša tvrtka obveznik Zakona o kibernetičkoj sigurnosti, vrijede i posebne obveze i rokovi prijave.
• Obavijestite i osiguravatelja, ako imate policu koja pokriva kibernetičke rizike.

Što nakon prvog sata?

Kad je širenje zaustavljeno, slijedi oporavak:

1. Utvrditi kako je napadač ušao – zaraženi privitak, slaba lozinka, nezakrpani sustav, udaljeni pristup. Dok se rupa ne zatvori, napad se može ponoviti.
2. Očistiti ili ponovno instalirati zahvaćena računala i servere.
3. Vratiti podatke iz sigurnosne kopije – tek kad je sigurno da je kopija čista i da je uzrok uklonjen.
4. Provjeriti sve ostalo – lozinke, korisničke račune, pravila prosljeđivanja e-pošte i pristupe izvana.

Najbolja obrana je priprema

Tvrtke koje se od ransomwarea oporave za dan-dva umjesto za tjedne imaju nekoliko stvari zajedničko:

• Backup po pravilu 3-2-1, s barem jednom kopijom koja nije stalno spojena na mrežu. Više u članku Backup podataka i sigurnosne kopije.
• Redovita ažuriranja sustava i programa.
• Dvofaktorska prijava za e-mail i udaljeni pristup.
• Educirani zaposlenici koji prepoznaju sumnjiv e-mail – o tome više u članku Cyber sigurnost.
• Plan što raditi – i broj IT podrške pri ruci prije nego što zatreba.

Savjet: isprintajte korake iz ovog članka i držite ih uz računalo ili u uredu. U trenutku napada nitko ne traži upute na zaraženom računalu.

Trebate pomoć – sada ili prije nego što se dogodi?

Ako vam se upravo dogodio napad, odspojite računala s mreže i nazovite nas na +385 99 504 5481. Ako želite biti spremni, u RiSource-u postavljamo backup koji ransomware ne može šifrirati, sigurnosne postavke i nadzor sustava. Pošaljite upit i dogovorit ćemo pregled.