Ochrona przed ransomware Barlinek

Dlaczego wspólne hasło administratora przesądza o skali szkody?

W firmie na kilkanaście osób prawie zawsze istnieje jedno konto, którym loguje się do serwera każdy, kto ma cokolwiek zrobić. To konto ma prawo do plików, do programu handlowego, do udziałów sieciowych i do katalogu, w którym leżą kopie. Wygodne, dopóki nikt obcy go nie użyje.

Ransomware nie robi niczego, czego nie mógłby zrobić administrator. Kasuje zadania kopii, usuwa migawki, wyłącza usługi i dopiero potem szyfruje pliki. Każda z tych czynności wygląda w logach jak zwykła praca porządkowa. Dlatego skala szkody zależy nie od tego, jak dobry jest program antywirusowy, tylko od tego, jak daleko sięga jedno przejęte konto.

Pierwsza praca w tej usłudze polega więc na odebraniu temu kontu dwóch rzeczy: prawa do kopii i prawa do logowania się zdalnie z zewnątrz. Reszta wdrożenia jest już prostsza, bo pracuje na mniejszym obszarze.

Którędy to wchodzi do firmy w Barlinku?

Cztery drogi wystarczają, żeby wyjaśnić prawie wszystkie zdarzenia, jakie obsługujemy w tej okolicy. Pulpit zdalny wystawiony wprost do internetu, postawiony kiedyś, żeby księgowa mogła pracować z domu, i nigdy niezdjęty. Hasło do poczty, użyte wcześniej w sklepie internetowym, z którego wyciekła baza. Załącznik w wiadomości od dostawcy, który sam ma przejętą skrzynkę. I stały dostęp firmy serwisującej maszynę albo program magazynowy, chroniony hasłem znanym całemu ich zespołowi.

Żadna z tych dróg nie wymaga od atakującego wiedzy o Waszej firmie. Wystarczy mu cierpliwość i skanowanie adresów, które trwa bez przerwy i nie sprawdza, czy po drugiej stronie jest bank, czy zakład stolarski przy drodze na Gorzów.

Co zatrzymuje się pierwszego dnia w Waszej branży?

Rozmowa o budżecie idzie łatwiej, gdy zamiast opisu technologii położy się na stole listę tego, co przestaje działać.

Profil firmy	Co staje od razu	Co da się chwilowo robić inaczej
Tartak i zakład stolarski	wyceny, zlecenia, rozkrój i wydania z magazynu	praca na wydrukach z poprzedniego tygodnia
Piekarnia	zamówienia od sklepów i rozliczenie tras	telefon do stałych odbiorców, spis ręczny
Hurtownia budowlana	sprzedaż, stany magazynowe, faktury	nic sensownego, sprzedaż stoi
Biuro rachunkowe	dostęp do baz klientów i wysyłka deklaracji	terminy ustawowe nie przesuwają się wcale
Warsztat	historia napraw, zamawianie części	przyjęcie pojazdu na papierze
Pensjonat nad jeziorem	grafik rezerwacji i potwierdzenia dla gości	kalendarz papierowy, ryzyko podwójnej rezerwacji

Trzeci i czwarty wiersz są tymi, przy których właściciele decydują najszybciej. W hurtowni dzień bez systemu to dzień bez przychodu, a w biurze rachunkowym przestój w połowie miesiąca kończy się karami, których nikt nie umorzy z powodu awarii komputera.

Jak wygląda kopia, której nie da się skasować?

Robimy to na jednym z trzech układów, zależnie od tego, co już macie. Utwardzone repozytorium Linux dla Veeam, Proxmox Backup Server z ochroną migawek albo przestrzeń obiektowa z blokadą obiektów u operatora. Wspólna zasada jest zawsze ta sama: repozytorium przyjmuje zapis, ale przez ustalony okres nie pozwala niczego zmienić ani usunąć.

Do tego dochodzi rzecz, o której łatwo zapomnieć. Konto, którym zadanie kopii łączy się z repozytorium, nie może być kontem domenowym ani hasłem znanym w firmie. Jeśli nim jest, cała blokada traci sens, bo atakujący, który przejmie środowisko, przejmie razem z nim poświadczenia do kopii.

Sprzęt i przestrzeń kupujecie na siebie i pozostają Waszą własnością. Nie sprzedajemy repozytorium w abonamencie, żeby po zakończeniu współpracy kopie dalej działały.

Skąd wiemy, ile potrwa powrót?

Bo mierzymy to zawczasu. Próbne odtworzenie robimy w środowisku obok produkcji i kończymy je liczbą minut od decyzji do momentu, w którym użytkownik loguje się do odtworzonego systemu. Bez takiej próby każda odpowiedź na pytanie właściciela o czas przestoju jest zgadywaniem.

Prawie za każdym razem wychodzą przy tym drobiazgi, których nie ma w żadnym planie. Konfiguracja routera, której nikt nigdzie nie zapisał. Hasło do konsoli leżące w pliku na tym samym serwerze, który właśnie odtwarzamy. Licencja programu przypisana do starego sprzętu, wymagająca kontaktu z producentem, który odpowiada po dwóch dniach roboczych. Każdą z tych rzeczy lepiej wykryć w spokojny wtorek niż w dniu, w którym firma stoi.

Czego nie obiecujemy?

Nie obiecujemy, że atak się nie uda, bo tego nie da się obiecać uczciwie. Nie obiecujemy też gotowości człowieka o każdej porze w ramach abonamentu. Systemy monitorujemy całą dobę, ale inżynier podejmuje decyzje w godzinach pracy helpdesku, a dyżur nocny i weekendowy jest osobną, płatną usługą, ustalaną przed pierwszym użyciem. W Barlinku nie mamy obsady dyżurnej i nie będziemy udawać, że jest inaczej.

Warstwę wykrywania na komputerach opisuje ochrona stacji roboczych i serwerów, drogę wejścia przez skrzynkę zamyka ochrona poczty, a codzienne pilnowanie kopii to backup danych firmy. Stan wyjściowy pokazuje audyt bezpieczeństwa IT.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026