Ransomware за малък бизнес: какво да направите през първия час
При ransomware първият час е за изолиране, запазване на доказателства и контролирана комуникация. Не унищожавайте следите и не приемайте, че плащането гарантира възстановяване.
Изключете засегнатите устройства от мрежата, но не изтривайте дискове и не преинсталирайте прибързано. Уведомете отговорния човек, запазете бележката и се свържете с квалифициран специалист и компетентните органи.
Как изглежда инцидентът
Файловете внезапно не се отварят, имената им са променени, появява се бележка с искане за криптовалута или системата показва необичайни блокировки. Понякога атакуващият първо краде данни и едва след това криптира устройствата. Третирайте случая като инцидент с достъп и поверителност, не само като проблем с файловете.
Използвайте предварително определен канал за кризисна комуникация. Не отговаряйте от компрометирания имейл, ако може да е наблюдаван, и не изпращайте вътрешни документи на непознат адрес.
Какво да направите през първия час
- Изолирайте устройствата. Изключете кабела и Wi-Fi на засегнатите устройства и отделете споделени дискове, ако това може да стане безопасно. Не включвайте отново резервни копия към заразената мрежа.
- Не изтривайте доказателства. Запазете бележката, екранни снимки, имена на файлове, часове и подозрителни имейли. Не преинсталирайте преди консултация.
- Ограничете достъпа. От доверено устройство сменете критични пароли, прекратете сесиите и деактивирайте компрометирани акаунти според плана.
- Уведомете правилните хора. Свържете се с IT специалист/доставчик, ръководството, застрахователя и компетентните органи според случая.
- Не плащайте автоматично. Плащането не гарантира ключ, изтриване на копирани данни или бъдеща безопасност. Решението изисква правна и техническа оценка.
Възстановяване без ново заразяване
Проверете кои резервни копия са офлайн или неизменяеми и кога за последно са тествани. Не възстановявайте всичко наведнъж — първо изолирайте чиста среда, актуализирайте системите и сменете удостоверяването. Потвърдете, че резервното копие не съдържа същия зловреден достъп.
Съставете списък на засегнатите услуги, устройства и данни. Проверете дали има доказателства за изнасяне на информация и уведомете клиенти или партньори, ако това се изисква. Документирайте решенията и времето на всяка стъпка.
Проверете и външните доставчици: хостинг, счетоводство, облачни акаунти, VPN и отдалечена поддръжка. Една компрометирана администраторска парола може да върне атаката след възстановяването. Разделете чистите акаунти, ограничете правата и включете многофакторна защита преди връщане към нормална работа.
Как да се подготви малък бизнес
Поддържайте отделни резервни копия, многофакторна защита, актуализации, минимални права и план за контакт. Тествайте възстановяването на реален файл, а не само дали backup задачата е отчела „успех“. Обучете екипа как да разпознава фишинг и непоискан отдалечен достъп.
Планът трябва да посочва кой изолира мрежата, кой говори с клиенти, кой пази доказателства и кога се включват външни специалисти. Добрата подготовка не премахва риска, но намалява времето, в което атакуващият контролира бизнеса.
Източници и допълнителна проверка
ENISA — Threat Landscape CERT Bulgaria CISA — StopRansomware МВР — официален порталМатериалът е информационен и използва обобщени примери. Източниците са прегледани при последната редакция.
Често задавани въпроси
Да изключа ли всички компютри?
Изолирайте засегнатите устройства и следвайте инцидентния план. Не унищожавайте доказателства и потърсете специалист преди масова преинсталация.
Плащането връща ли файловете?
Не е гарантирано. Няма гаранция и че копираните данни ще бъдат изтрити. Решението трябва да бъде оценено технически и правно.
Backup-ът достатъчен ли е?
Само ако е отделен, достъпен и реално тестван. Backup, който атакуващият може да изтрие, не е надежден план за възстановяване.