Co zrobić po cyberataku w firmie? Pierwsze godziny po incydencie

Cyberatak w firmie często zaczyna się od pozornie niewielkiego problemu: pracownik poda hasło na fałszywej stronie, komputer zaczyna zachowywać się nietypowo, pojawia się podejrzane logowanie albo część plików przestaje się otwierać. Pierwsze godziny mają wtedy ogromne znaczenie, bo błędna reakcja może zwiększyć skalę szkód.

Najważniejsza zasada brzmi: najpierw ogranicz rozprzestrzenianie się problemu, później przywracaj działanie. Pośpiech i próba „szybkiego naprawienia wszystkiego” mogą zniszczyć ślady potrzebne do ustalenia przyczyny, ponownie uruchomić złośliwe oprogramowanie albo podłączyć czystą kopię zapasową do wciąż zainfekowanego środowiska.

Ten poradnik opisuje praktyczny model reakcji dla małej i średniej firmy. Nie zastępuje procedur wymaganych w organizacjach regulowanych, ale może być dobrym punktem wyjścia do przygotowania własnego planu. Jeśli chcesz najpierw uporządkować cały obszar zabezpieczeń, zacznij od pillara Cyberbezpieczeństwo w małej firmie – od czego zacząć?.

Z tego artykułu dowiesz się:

• co zrobić w pierwszych minutach po wykryciu incydentu,
• kiedy odłączyć komputer od sieci,
• jak zabezpieczyć konta i aktywne sesje,
• dlaczego nie należy od razu kasować plików i logów,
• jak bezpiecznie podejść do backupu,
• kiedy poinformować dostawców, klientów lub odpowiednie instytucje,
• jak przygotować prostą procedurę na przyszłość.

Najpierw potwierdź, że to naprawdę incydent

Nie każda anomalia oznacza cyberatak. Awaria dysku, błąd aplikacji albo problem z internetem mogą wyglądać podobnie do infekcji. Z drugiej strony nie warto czekać na stuprocentową pewność, jeśli pojawiają się mocne sygnały ostrzegawcze.

Do typowych sygnałów należą:

• nietypowe logowania do poczty lub usług chmurowych,
• informacje o zmianie hasła, której nikt nie zlecał,
• nowe reguły przekazywania poczty,
• zaszyfrowane lub przemianowane pliki,
• żądanie okupu,
• nagły wzrost użycia procesora, dysku lub sieci,
• nieznane procesy lub programy uruchamiające się automatycznie,
• wyłączony antywirus,
• nowe konta administracyjne,
• podejrzane transakcje lub próby resetowania dostępów.

Jeżeli problem dotyczy pojedynczego kliknięcia lub ujawnienia danych logowania, pomocne będą nasze poradniki Kliknąłem podejrzany link – co robić? oraz Ktoś poznał moje hasło – co zrobić?.

Pierwsze 15 minut: ogranicz zasięg problemu

Jeśli podejrzewasz aktywną infekcję lub przejęcie urządzenia, jednym z pierwszych działań powinno być ograniczenie komunikacji z resztą środowiska.

W praktyce może to oznaczać:

• odłączenie kabla sieciowego,
• wyłączenie Wi-Fi,
• odłączenie VPN,
• zablokowanie konta użytkownika,
• unieważnienie aktywnych sesji,
• czasowe wyłączenie dostępu zdalnego.

Nie zawsze trzeba natychmiast wyłączać komputer. Jeśli firma ma administratora lub zewnętrzny zespół IT, warto najpierw skonsultować dalsze działania, ponieważ nagłe wyłączenie może usunąć część informacji znajdujących się tylko w pamięci operacyjnej.

W małej firmie bez zaplecza informatycznego najważniejsze jest jednak zatrzymanie rozprzestrzeniania się problemu. Jeśli na komputerze widać szyfrowanie plików albo działanie ransomware, odłączenie go od sieci jest zwykle ważniejsze niż dalsza diagnostyka na żywo.

Nie podłączaj pendrive’ów, dysków i backupu do podejrzanego komputera

Naturalny odruch to skopiowanie najważniejszych plików albo podłączenie dysku z kopią zapasową. To może być poważny błąd.

Jeżeli na komputerze nadal działa malware lub ransomware, nowo podłączony nośnik może zostać zainfekowany, zaszyfrowany albo uszkodzony. Z tego samego powodu nie należy od razu uruchamiać przywracania danych do środowiska, którego stan jest nieznany.

Bezpieczne odtwarzanie po ransomware opisujemy osobno w poradniku Jak bezpiecznie przywrócić kopię zapasową po ataku ransomware?.

Pierwsza godzina: zabezpiecz konta i dostęp

Jeśli istnieje ryzyko przejęcia poświadczeń, sama zmiana jednego hasła może nie wystarczyć. Atakujący mógł już utworzyć własne sesje, dodać regułę przekazywania wiadomości, zmienić metody odzyskiwania konta albo uzyskać dostęp do innych usług.

Dla kluczowych kont warto przejść przez następującą listę:

1. Zmień hasło z czystego urządzenia.
2. Wyloguj wszystkie aktywne sesje.
3. Sprawdź historię logowań.
4. Usuń nieznane urządzenia.
5. Sprawdź metody odzyskiwania konta.
6. Usuń obce aplikacje i tokeny dostępu.
7. Sprawdź reguły pocztowe i przekierowania.
8. Włącz lub ponownie skonfiguruj MFA.

Jeżeli firma nie stosuje jeszcze MFA, warto wdrożyć je od razu dla poczty, kont administratorów i usług chmurowych. Różnice między metodami opisujemy w artykule Uwierzytelnianie dwuskładnikowe (2FA) – co to jest i którą metodę wybrać?.

Sprawdź, czy incydent dotyczy jednego urządzenia czy całej firmy

To jedna z najważniejszych decyzji. Problem na pojedynczym laptopie może być lokalny, ale może też być tylko pierwszym zauważonym elementem większego ataku.

Sprawdź między innymi:

• czy podobne objawy występują na innych komputerach,
• czy były logowania z tych samych nietypowych adresów IP,
• czy zmieniono konta administratorów,
• czy pojawiły się nowe urządzenia w usługach chmurowych,
• czy zmieniono konfigurację routera, VPN-u lub firewalla,
• czy backup jest nadal dostępny i nie został zmodyfikowany,
• czy z firmowej poczty wysyłano nietypowe wiadomości.

Dobrym przykładem tego, jak szybko pojedynczy punkt wejścia może przejść w szerszy incydent, jest SafePay ransomware, gdzie przejęte hasła, phishing, dostęp zdalny i systemy backupowe mogą tworzyć jeden łańcuch ataku.

Zabezpiecz informacje o incydencie

W czasie kryzysu łatwo skupić się wyłącznie na przywracaniu działania. Tymczasem warto zachować informacje, które później pomogą ustalić przebieg ataku.

Zapisz lub zabezpiecz:

• dokładną godzinę zauważenia problemu,
• pierwsze objawy,
• nazwy zaatakowanych urządzeń,
• zrzuty ekranu komunikatów,
• adresy podejrzanych wiadomości i domen,
• historię logowań,
• logi systemowe i aplikacyjne,
• listę zmian w konfiguracji,
• informację, jakie działania już wykonano.

Nie kasuj pochopnie plików tylko dlatego, że wyglądają podejrzanie. Jeśli incydent jest poważny, takie dane mogą być potrzebne administratorowi, firmie reagującej na incydenty, ubezpieczycielowi albo organom ścigania.

Wyznacz jedną osobę koordynującą działania

Nawet w firmie zatrudniającej kilka osób dobrze jest ustalić, kto prowadzi incydent. Bez tego kilka osób może jednocześnie resetować hasła, usuwać konta, wyłączać systemy i kontaktować się z dostawcami, nie wiedząc o działaniach pozostałych.

Koordynator nie musi być ekspertem technicznym. Szerszy podział ról między kierownictwo, IT, pracowników i dostawców opisujemy w poradniku Kto odpowiada za cyberbezpieczeństwo w firmie?. Powinien przede wszystkim:

• prowadzić chronologię działań,
• ustalać priorytety,
• kontaktować się z IT i dostawcami,
• pilnować komunikacji wewnętrznej,
• decydować, które systemy można przywracać,
• zbierać informacje potrzebne do ewentualnych zgłoszeń.

To także dobry moment, żeby wrócić do szerszego podejścia opisanego w artykule Jak ocenić ryzyko cyberbezpieczeństwa w małej firmie?. Incydent zwykle bardzo szybko pokazuje, które wcześniej ocenione ryzyka były niedoszacowane.

Co z komunikacją wewnętrzną?

Jeżeli podejrzewasz przejęcie poczty firmowej, nie używaj jej jako jedynego kanału do organizowania reakcji. Atakujący może mieć dostęp do skrzynek, a nawet obserwować całą korespondencję.

Warto mieć awaryjny kanał, np. prywatne numery telefonów kluczowych osób albo uzgodniony komunikator działający poza firmowym środowiskiem.

Pracownicy powinni dostać krótką, konkretną informację:

• czego nie robić,
• których urządzeń nie używać,
• czy mogą logować się do poczty,
• gdzie zgłaszać nietypowe zdarzenia,
• którym kanałem firma przekazuje dalsze instrukcje.

Kiedy kontaktować się z dostawcami?

Jeżeli incydent dotyczy hostingu, poczty, sklepu internetowego, systemu chmurowego, usług księgowych, płatności lub zdalnego administratora, dostawcę warto poinformować wcześnie.

Może on mieć dostęp do informacji, których firma sama nie widzi, np. pełnych logów, historii sesji, kopii zapasowych, zmian administracyjnych lub mechanizmów blokowania kont.

Przy kontakcie przekaż:

• identyfikator konta lub usługi,
• czas zauważenia problemu,
• krótki opis objawów,
• informację, czy dostęp został już zablokowany,
• prośbę o zabezpieczenie logów i historii zmian.

Nie przywracaj usług „na siłę”

Presja biznesowa jest zrozumiała. Firma chce jak najszybciej wznowić sprzedaż, księgowość albo dostęp do plików. Dlatego plan odtwarzania warto przygotować jeszcze przed incydentem; opisujemy go w poradniku Jak przygotować firmę na ransomware i utratę dostępu do danych?. Problem w tym, że przywrócenie systemu bez usunięcia przyczyny może doprowadzić do ponownego ataku.

Przed uruchomieniem środowiska warto sprawdzić:

• czy znana jest droga wejścia,
• czy przejęte hasła zostały zmienione,
• czy stare sesje zostały unieważnione,
• czy luka została załatana,
• czy urządzenie jest czyste,
• czy backup pochodzi sprzed momentu infekcji,
• czy przywracane środowisko nie komunikuje się od razu z pozostałymi systemami.

Jeżeli nie ma pewności, czy infekcja została usunięta, pomocny będzie poradnik Jak sprawdzić, czy wirus został całkowicie usunięty z komputera?.

Ransomware: kolejność działań ma szczególne znaczenie

Przy ransomware priorytety są zwykle następujące:

1. odizolować zaatakowane urządzenia,
2. zatrzymać dalsze szyfrowanie i komunikację,
3. zabezpieczyć kopie zapasowe,
4. ustalić, czy doszło także do kradzieży danych,
5. zidentyfikować drogę wejścia,
6. odbudować czyste środowisko,
7. dopiero później przywracać dane.

Ważne jest też założenie, że ransomware nie zawsze ogranicza się do szyfrowania. Część grup najpierw wykrada dane, a dopiero później blokuje dostęp do systemów.

Czy incydent trzeba gdzieś zgłosić?

Nie ma jednej odpowiedzi właściwej dla każdej firmy. Obowiązki zależą od rodzaju incydentu, danych, sektora, umów oraz statusu organizacji.

W grę mogą wchodzić między innymi:

• zgłoszenie do odpowiedniego zespołu reagowania na incydenty,
• zawiadomienie organów ścigania,
• obowiązki związane z naruszeniem ochrony danych osobowych,
• powiadomienie klientów lub partnerów,
• wymagania sektorowe,
• obowiązki wynikające z NIS2/KSC.

Dlatego już podczas pierwszych godzin warto ustalić nie tylko techniczny zakres incydentu, ale również to, czy organizacja ma określone obowiązki raportowe. Szeroki kontekst wymagań NIS2 znajdziesz w materiale Omegasoft NIS2 w Polsce – najważniejsze obowiązki podmiotów kluczowych i ważnych oraz w pozostałych opracowaniach z klastra NIS2.

Jeżeli organizacja jest objęta regulacją, nie warto czekać z analizą obowiązków do momentu, gdy wszystkie szczegóły techniczne będą już znane. Procedura raportowania powinna być przygotowana wcześniej.

Po opanowaniu sytuacji zrób analizę po incydencie

Gdy systemy wrócą do działania, warto odpowiedzieć na kilka pytań:

• jak atakujący uzyskał dostęp,
• które zabezpieczenie zawiodło,
• co zadziałało prawidłowo,
• ile czasu zajęło wykrycie problemu,
• ile czasu zajęło ograniczenie skutków,
• czy backup rzeczywiście dało się odtworzyć,
• czy komunikacja była wystarczająco szybka,
• jakie działania trzeba wdrożyć, żeby incydent się nie powtórzył.

Wyniki powinny trafić z powrotem do rejestru ryzyka. Jeśli np. okazało się, że jedno przejęte konto pozwalało dostać się do kilku kluczowych usług, trzeba zmienić ocenę tego ryzyka i ograniczyć uprawnienia.

Prosta procedura na jedną stronę

Mała firma może przygotować krótką kartę reakcji na incydent, którą da się wydrukować i przechowywać poza systemami IT.

Etap	Działanie
1. Wykrycie	Zapisz godzinę, objawy i urządzenie lub konto.
2. Izolacja	Odłącz urządzenie od sieci lub zablokuj konto.
3. Konta	Zmień hasła z czystego urządzenia i unieważnij sesje.
4. Zakres	Sprawdź inne urządzenia, konta, pocztę, VPN i backup.
5. Dowody	Zachowaj logi, zrzuty ekranu i chronologię działań.
6. Kontakt	Powiadom IT, dostawców i osoby odpowiedzialne.
7. Odtwarzanie	Przywracaj dopiero po usunięciu przyczyny.
8. Raportowanie	Sprawdź obowiązki prawne, sektorowe i umowne.
9. Wnioski	Zaktualizuj zabezpieczenia i analizę ryzyka.

FAQ

Czy po wykryciu wirusa od razu wyłączyć komputer?

Nie zawsze. Jeśli to możliwe, najpierw odizoluj urządzenie od sieci i skonsultuj się z administratorem. Przy aktywnym szyfrowaniu plików lub szybkim rozprzestrzenianiu się zagrożenia priorytetem jest zatrzymanie dalszych szkód.

Czy wystarczy zmienić hasło?

Nie zawsze. Trzeba także unieważnić aktywne sesje, sprawdzić urządzenia, metody odzyskiwania konta, tokeny aplikacji i reguły pocztowe.

Czy można od razu odtworzyć backup?

Nie powinno się tego robić bez upewnienia się, że środowisko jest czyste. W przeciwnym razie kopia może zostać ponownie zaszyfrowana lub zainfekowana.

Kto powinien kierować reakcją na incydent?

Jedna wyznaczona osoba. Nie musi być technikiem, ale powinna koordynować działania, komunikację i chronologię zdarzeń.

Czy każda firma musi zgłaszać cyberincydent?

Nie każdy incydent podlega tym samym obowiązkom. Zależy to od rodzaju zdarzenia, sektora, danych, umów i regulacji dotyczących konkretnej organizacji.