Ransomware w małej firmie co robić w pierwszej godzinie

Atak ransomware zwykle nie zaczyna się od komunikatu na ekranie o zaszyfrowanych plikach - zaczyna się kilka godzin albo dni wcześniej, od jednego kliknięcia w załącznik albo niezaktualizowanego serwera. Ten komunikat to już ostatni etap, nie pierwszy.

Pierwsza godzina decyduje o tym, jak długo firma zostanie bez systemów. Priorytet to natychmiastowe odcięcie zainfekowanej stacji od sieci, zanim szyfrowanie rozprzestrzeni się dalej - nie wyłączanie komputera, nie płacenie okupu, nie samodzielne próby naprawy. To moment na kontakt z zespołem odpowiadającym za bezpieczeństwo IT, nie na decyzje podejmowane w panice.

Firma z planem na pierwszą godzinę traci dane. Firma bez planu traci też czas, klientów i zaufanie.

Dalszy przebieg zależy od tego, co przygotowano wcześniej. Odseparowane od sieci i realnie przetestowane kopie zapasowe pozwalają odtworzyć dane z planu disaster recovery w godziny, nie tygodnie. Bez tego jedyną opcją zostaje negocjacja z przestępcami - a zapłacony okup wcale nie gwarantuje odzyskania wszystkich danych.

Najtańsza ochrona przed ransomware to ta, która działa, zanim dojdzie do ataku - aktualizacje, segmentacja sieci i stała opieka nad infrastrukturą, a nie jednorazowy audyt raz w roku.