Serverele nu mai pornesc, fișierele sunt criptate, iar pe ecran apare o cerere de răscumpărare în bitcoin. În acel moment nu mai ai timp de research pe Google, ci doar de aplicat ce ai stabilit deja. Vorbim concret despre ce ar trebui să prevadă planul de răspuns al firmei tale la un atac ransomware.

Ce se întâmplă, de fapt, într-un atac ransomware

Un atac ransomware nu începe în ziua în care vezi mesajul cu răscumpărarea. De multe, atacatorii sunt deja în rețea de zile sau săptămâni, scanează, fură parole, identifică servere și backupuri, apoi declanșează criptarea când îi doare mai tare: luni dimineața, înainte de salarii sau de raportările lunare.

În practică, scenariul arată cam așa: un angajat deschide un atașament sau apasă pe un link, un sistem neactualizat este exploatat, malware-ul se instalează, își extinde accesul, apoi începe să cripteze. La final, toate fișierele importante sunt blocate și primești instrucțiuni de plată.

În paralel, atacatorii pot copia datele înainte să le cripteze și amenință că le vor publica. Pentru o firmă care lucrează cu date de clienți, asta înseamnă și risc de notificări la autoritățile de protecție a datelor și discuții dificile cu partenerii.

Momentul în care îți dai seama că ai un atac ransomware nu mai este momentul în care scrii proceduri. Acolo doar aplici ce ai decis din timp, cu cap rece.

Ce se schimbă pentru firma ta dacă ai planul de răspuns pregătit

Fără un plan clar, reacția tipică în multe firme mici este haos: se sună toți furnizorii IT, fiecare dă alt sfat, un manager spune să se stingă toate calculatoarele, altul continuă să lucreze ca să „nu blocăm producția”. Pierzi ore prețioase, iar atacul se extinde.

Când planul de răspuns există și a fost explicat oamenilor, primele ore arată altfel. Se știe cine decide oprirea serverelor, cine vorbește cu echipa IT, cine ține legătura cu clienții și ce canale alternative de comunicare se folosesc dacă emailul cade.

Un plan bun nu te transformă în expert în securitate cibernetică, dar îți reduce paguba: mai puțin timp offline, mai multe date recuperabile din backup, mai puține greșeli emoționale de tipul „ștergeți tot și reinstalăm de la zero” sau „plătim, numai să meargă iar”.

Diferența se vede în ziua în care nu poți emite facturi, nu poți livra comenzi și nu poți accesa contractele. Cu un minim de organizare, transformi un dezastru potențial într-o avarie controlată.

Ce trebuie să conțină planul de răspuns în primele ore

Izolarea și oprirea pagubelor

Primul obiectiv este să oprești atacul, nu să „repari calculatorul” angajatului care a văzut primul mesaj de răscumpărare. Aici planul trebuie să spună clar:

  • cine are dreptul să decidă deconectarea serverelor și a stațiilor de lucru;
  • ce sisteme critice se opresc imediat de la rețea;
  • cum se blochează accesul la conturile suspecte (email, VPN, aplicații interne);
  • cine colectează primele dovezi (capturi de ecran, mesaje, jurnale de sistem);
  • cum se anunță rapid echipa să nu mai pornească sau repornească alte dispozitive.

În multe companii, oamenii din IT găsesc câte ceva de făcut, dar nu există o decizie centralizată. De aici apar situațiile în care o parte din rețea e curățată, în timp ce alta continuă să fie infectată.

Decizii rapide și comunicare în firmă

Al doilea obiectiv este să ai o linie clară de comandă. Planul trebuie să stabilească dinainte cine conduce răspunsul: directorul general, directorul de operațiuni, cineva din IT, în funcție de mărimea firmei. Nu vrei trei oameni care dau ordine diferite.

Comunicarea internă trebuie gândită pentru scenariul în care emailul și chatul nu mai merg. Poate însemna un grup de telefon/SMS cu echipa de management și un mesaj standard pentru restul angajaților, ca să nu se creeze panică și zvonuri.

Este util să ai pregătite câteva formulări de bază pentru clienți și furnizori, pentru situația în care nu poți livra sau nu poți accesa documentele. Un mesaj sincer, scurt, că ai o problemă tehnică și lucrezi la ea, este mai bun decât tăcerea de două zile.

Contacte externe, raportare și asistență

În plan trebuie să existe o listă actualizată cu contacte: furnizorul de IT, firma de securitate cibernetică (dacă ai una), asigurătorul, avocatul, DNSC (Directoratul Național de Securitate Cibernetică), eventual, poliția.

Nu are rost să cauți numere de telefon în mijlocul crizei. La firmele care chiar au trecut printr-un atac ransomware, ce ne spun oamenii din IT este că pierd foarte mult timp doar ca să găsească „pe cine sunăm acum, concret”.

Planul ar trebui să prevadă și cine se ocupă de eventualele notificări legate de datele personale către autoritatea de protecție a datelor și ce informații minime sunt necesare pentru asta. Aici, în general, discuția se poartă cu avocatul sau consultantul pe GDPR.

Cum te pregătești din timp: backup, oameni, testare

Planul nu trăiește singur pe un server. Fără câteva măsuri luate din timp, rămâne doar un document frumos scris. Cele trei zone care fac diferența sunt backupul, oamenii și testarea.

La backup, nu e suficient „avem backup”. În practică, multe firme descoperă că backupul era pe același server sau aceeași rețea și a fost criptat la pachet. Ar trebui să existe măcar un backup offline sau separat fizic, testat regulat, din care chiar poți restaura rapid.

Oamenii sunt a doua verigă. Planul de răspuns nu trebuie să rămână doar la IT. Managerii de departament ar trebui să știe ce fac dacă nu mai pot accesa sistemul o zi sau două, ce procese critice mută temporar în Excel sau pe hârtie și cum prioritizează activitățile.

Testarea este, de regulă, partea ignorată. Un exercițiu simplu, o dată pe an, în care simulați că un server major cade și vedeți cât de repede se mișcă toată lumea, scoate la suprafață multe blocaje. Din ce vedem la firmele care își iau în serios riscul cibernetic, aceste teste schimbă felul în care este actualizat ulterior planul.

Poți include în plan și câteva reguli de bază pentru utilizatori: cum raportează rapid un email suspect, ce nu au voie să instaleze pe calculatorul de serviciu, cum folosesc dispozitivele personale când sistemele firmei nu sunt disponibile.

Greșeli frecvente ale firmelor mici când răspund la ransomware

Prima greșeală este ștergerea urmelor. Din instinct, cineva vrea să reinstaleze imediat sistemele, ca să „scape” de problemă. Fără o analiză minimă, riști să reinstalezi peste un mediu încă vulnerabil și să nu mai știi nici ce s-a întâmplat, nici ce date au plecat.

A doua greșeală este decizia impulsivă de a plăti. Presiunea este mare: clienți blocați, patron nervos, poate și un termen de livrare important. Doar că plata nu garantează decriptarea completă, în unele cazuri, te pune și într-o zonă juridică delicată. Orice discuție despre bani ar trebui trecută prin filtrul unui specialist, de regulă, al autorităților.

A treia greșeală este lipsa documentării. Când se termină criza, toată lumea vrea să „revină la normal”. Dacă nu notezi ce s-a făcut, ce a mers, ce nu a mers, ce sisteme au fost afectate, ajungi să repeți aceleași vulnerabilități. Un raport intern, chiar scurt, este aur la următoarea actualizare a procedurilor.

În fine, o greșeală de management: tratarea atacului doar ca pe o problemă IT. Un incident serios lovește operațiunile, imaginea, relația cu clienții, cash-flow-ul. Răspunsul trebuie condus la nivel de management, cu IT-ul ca partener tehnic, nu invers.

Întrebări frecvente

Ar trebui să plătesc răscumpărarea într-un atac ransomware?

Nu există un răspuns standard. Plata nu garantează recuperarea datelor și poate avea implicații juridice. Discuția se poartă cu specialiști în securitate, juridic, de regulă, cu autoritățile competente înainte de orice decizie.

Cui raportez un atac ransomware în România?

De regulă, incidentul se raportează la Directoratul Național de Securitate Cibernetică și poate fi anunțată poliția. Dacă sunt afectate date personale, apar și obligații față de autoritatea de protecție a datelor, care se clarifică împreună cu un avocat.

Este suficient antivirusul dacă am un plan de răspuns?

Antivirusul ajută, dar nu acoperă toate vectorii de atac. Ai nevoie de actualizări regulate, politici de acces, backup solid și instruirea angajaților. Planul de răspuns completează măsurile tehnice, nu le înlocuiește.

Un atac ransomware serios nu se întreabă dacă te-a prins „la birou” sau în vacanță, vine când îi este lui convenabil. Diferența o face cât de repede poți trece de la panică la execuția unui plan gândit la rece, în zilele liniștite în care părea că nu ai de ce să te stresezi.

Acest material are scop editorial și informativ. Nu înlocuiește serviciile unui specialist în securitate cibernetică sau ale unui avocat, mai ales în situații concrete de atac sau incident informatic.