Ochrona przed ransomware Gdańsk

Co w firmie obsługującej ładunki jest naprawdę nie do odtworzenia

Rozmowa o ransomware zaczyna się zwykle od pytania, ile dni firma postoi. W spedycji i w agencji celnej to jest właściwe pytanie, ale nie jedyne i nie najtrudniejsze. Praca bieżąca ma tę zaletę, że istnieje w kilku miejscach naraz: zgłoszenie widzi system po drugiej stronie, dokument ma nadawca, kontrahent przypomni sobie ustalenia. Da się to odtworzyć, choć boli.

Trudniejsze jest to, czego nikt nie dotyka. Komplet dokumentów zamkniętej sprawy sprzed trzech lat, korespondencja z kontrahentem, którego już nie ma, zestawienia i potwierdzenia, o które nikt nie pyta, dopóki nie zapyta urząd albo kontrahent przy sporze. Ten zbiór rośnie latami, mieszka zwykle na osobnym dysku i nie pojawia się w żadnej rozmowie o kopiach.

Właśnie dlatego pierwsze pytanie, jakie zadajemy, nie dotyczy serwera. Brzmi ono, gdzie leży archiwum, kto ostatnio z niego coś wyciągał i czy udało się to otworzyć.

Dwa różne zegary, które ruszają w tej samej chwili

Co przestaje działać	Kto się upomni i po jakim czasie	Skąd to wraca
System, na którym pracuje dział odpraw	zespół, w ciągu godziny	kopia bazy z bieżącego dnia
Poczta z korespondencją handlową	kontrahenci, tego samego dnia	kopia skrzynek z usługi chmurowej
Integracje z systemami zewnętrznymi	druga strona, po pierwszym braku odpowiedzi	konfiguracja i klucze trzymane poza środowiskiem
Archiwum dokumentów przewozowych	urząd albo kontrahent, po tygodniach lub latach	kopia z długą retencją, o ile ją objęto
Dokumentacja księgowa i kadrowa	kontrola, w terminie ustawowym	kopia obejmująca serwer plików
Skany przywożone z terminala	nikt, dopóki nie trzeba czegoś wykazać	zwykle wyłącznie telefon pracownika
Dokumenty wyprowadzone na zewnątrz	kontrahent, gdy dowie się z innego źródła	nie wraca wcale, to strata jednokierunkowa

Wiersz szósty jest najczęstszą luką w tej branży. Zdjęcie dokumentu zrobione przy rampie żyje w galerii telefonu i nigdzie indziej, więc formalnie nie należy do środowiska firmy i nie obejmuje go żadne zadanie kopii. Zamykamy to przy uruchomieniu, kierując takie pliki do przestrzeni synchronizowanej.

Wiersz ostatni tłumaczy, dlaczego pilnujemy również ruchu wychodzącego. Przy zaszyfrowaniu liczy się czas powrotu, przy wyprowadzeniu danych nie ma czego przywracać, a rozmowa z kontrahentem odbywa się niezależnie od tego, jak sprawnie poszło odtwarzanie.

Dlaczego archiwum najczęściej wypada poza kopią

Powód jest prozaiczny i powtarza się w każdej firmie z dłuższą historią. Archiwum zajmuje miejsce, więc w pewnym momencie ktoś przenosi je z serwera głównego na osobny dysk, na starszą maszynę albo na przestrzeń kupioną osobno, żeby odciążyć zadanie kopii. Decyzja jest sensowna, bo kopiowanie tych samych plików codziennie przez pięć lat rzeczywiście nie ma sensu.

Problem polega na tym, że po przeprowadzce nikt nie ustawia dla archiwum osobnego harmonogramu. Zbiór wypada z jednego zadania i nie trafia do żadnego innego, a ponieważ nikt do niego nie zagląda, brak nie daje o sobie znać przez lata.

Robimy z tym dwie rzeczy. Obejmujemy archiwum osobnym zadaniem z rzadszym rytmem i dłuższą retencją, bo dane te zmieniają się rzadko i nie potrzebują kopii dobowej. Drugie to sprawdzanie odczytu, bo w tym zbiorze samo istnienie kopii niczego jeszcze nie gwarantuje.

Jak wygląda repozytorium, do którego przejęte konto nie ma drogi

Typowy przebieg nie zaczyna się od szyfrowania. Zaczyna się od przejęcia konta z uprawnieniami, potem idzie rozeznanie w środowisku, potem usunięcie kopii, a dopiero na końcu szyfrowanie. Kolejność jest celowa, bo bez skasowania kopii ofiara nie ma powodu rozmawiać.

Repozytorium budujemy więc tak, żeby konto przejęte w Waszej sieci nie miało do niego dojścia. Zapis blokowany na zadany okres, poświadczenia niepochodzące z domeny, brak logowania z konta używanego na co dzień do administrowania. Opieramy się na Veeam z utwardzonym repozytorium Linux, na Proxmox Backup Server z ochroną migawek albo na przestrzeni obiektowej z blokadą obiektów, zależnie od tego, na czym stoi środowisko.

Drugi egzemplarz trzymamy poza aglomeracją. W firmie z jednym biurem to zwykle jedyny sposób, żeby zdarzenie dotykające budynku nie objęło danych i ich kopii naraz.

Do tego dokładamy utrudnienia po stronie wejścia. Dostęp producenta systemu spedycyjnego otwierany na czas zgłoszenia i zamykany po nim, konta administracyjne bez skrzynki pocztowej, wyłączone makra z internetu na stanowiskach biurowych oraz przegląd tego, co widać z internetu.

Co sprawdza próba odtworzenia archiwum

Zwykła próba powrotu odpowiada na pytanie o czas. Próba obejmująca archiwum odpowiada na inne pytanie, mianowicie czy dokument sprzed lat jest jeszcze czymkolwiek więcej niż plikiem o właściwej nazwie.

Otwieramy losowo wybrany komplet z najstarszego rocznika i patrzymy na cztery rzeczy. Czy plik daje się odczytać. Czy program, w którym powstał, jest jeszcze w firmie albo czy format ma następcę. Czy razem z dokumentem zachowało się to, co nadaje mu sens, czyli numery, daty i powiązanie ze sprawą. Czy da się go komukolwiek przekazać w formie, którą druga strona przyjmie.

Wyniki bywają nieprzyjemne i właśnie o to chodzi. Najczęstsze znalezisko to nie uszkodzona kopia, tylko zbiór plików bez opisu, których przypisanie do konkretnej sprawy istniało wyłącznie w bazie systemu, a system w międzyczasie wymieniono.

Czego ta usługa nie obiecuje

Nie obiecuje, że żadna próba się nie powiedzie, bo cała konstrukcja stoi na założeniu odwrotnym. Nie rozmawiamy w Waszym imieniu z osobami stojącymi za atakiem i nie bierzemy udziału w żadnej płatności na ich rzecz. Zabezpieczaniem materiału dowodowego dla sądu i biegłych również się nie zajmujemy, ponieważ wymaga to innego warsztatu niż odtwarzanie środowiska.

Nie sprzedajemy też całodobowej reakcji człowieka w kwocie miesięcznej. Nadzór techniczny trwa bez przerwy, decyzje podejmuje inżynier w godzinach pracy helpdesku, a dyżur poza nimi kupuje się osobno i ustala z wyprzedzeniem.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, sprzęt w biurze i w terenie obejmuje konsolą ochrona stacji roboczych i serwerów, a obowiązki wynikające z przepisów o ciągłości działania rozpisuje NIS 2. Pierwszą próbę powrotu umówimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026