Ransomware szyfruje pliki i może zablokować dostęp do dokumentów, zdjęć oraz innych danych. Najlepsza ochrona nie opiera się na jednym programie, lecz na kilku warstwach: kopii zapasowej offline, aktualnym systemie, zabezpieczeniach Windows i ostrożnych nawykach. Żadna metoda nie daje stuprocentowej gwarancji, ale taki zestaw znacznie ogranicza ryzyko utraty danych.
Kopia zapasowa według zasady 3-2-1
Ransomware może ominąć zabezpieczenia i zaszyfrować pliki znajdujące się na komputerze. Dlatego najważniejszym elementem ochrony jest możliwość odtworzenia danych z niezależnej kopii. Zasada 3-2-1 oznacza przechowywanie:
- 3 kopii danych – oryginału i dwóch kopii zapasowych.
- Na 2 różnych nośnikach – na przykład na komputerze i dysku zewnętrznym.
- 1 kopii poza komputerem – najlepiej odłączonej od urządzenia, a w przypadku ważnych danych także przechowywanej poza domem.
Dysk zewnętrzny podłączony tylko na czas tworzenia kopii jest bezpieczniejszy niż nośnik stale dostępny dla systemu. Jeśli ransomware uzyska dostęp do komputera, może próbować zaszyfrować także podłączone dyski. Chmura ułatwia synchronizację, ale sama synchronizacja nie zawsze jest kopią zapasową. Zaszyfrowane pliki mogą zostać automatycznie zsynchronizowane i zastąpić wcześniejsze wersje. Usługa chmurowa powinna więc oferować historię wersji lub osobny mechanizm backupu.
| Metoda | Główna zaleta | Ograniczenia |
|---|---|---|
| Kopia offline | Nie jest stale dostępna dla ransomware i pozwala odtworzyć dane po ataku. | Trzeba ją regularnie tworzyć, przechowywać i okresowo sprawdzać. |
| Chmura | Automatyczny dostęp do plików i możliwość przechowywania danych poza komputerem. | Bez historii wersji zaszyfrowane pliki mogą zostać zsynchronizowane. |
| Windows Defender | Wykrywa część zagrożeń bez konieczności instalowania płatnego programu. | Nie zastępuje kopii zapasowej i nie zatrzyma każdego ataku. |
W praktyce kopia offline jest jedyną pewną drogą odzyskania danych po skutecznym zaszyfrowaniu plików. Po jej utworzeniu odłącz dysk i sprawdź od czasu do czasu, czy można otworzyć zapisane dokumenty.
Jak skonfigurować zabezpieczenia Windows?
Microsoft Defender zapewnia wystarczający poziom ochrony dla większości użytkowników domowych, jeśli system i bazy zagrożeń są aktualne. Nie wyłączaj ochrony w czasie rzeczywistym tylko dlatego, że korzystasz z innego programu lub chcesz uruchomić nieznany plik.
W Windows możesz także włączyć funkcję Kontrolowany dostęp do folderów. Ogranicza ona możliwość modyfikowania chronionych katalogów przez nieznane aplikacje. Aby ją uruchomić, wykonaj następujące kroki:
- Otwórz aplikację Zabezpieczenia Windows.
- Wybierz Ochrona przed wirusami i zagrożeniami.
- Przejdź do sekcji Ochrona przed oprogramowaniem ransomware.
- Otwórz ustawienia funkcji Kontrolowany dostęp do folderów i ją włącz.
- Jeśli zaufany program przestanie zapisywać pliki, dodaj go ręcznie do listy dozwolonych aplikacji.
Po włączeniu tej funkcji nie ignoruj komunikatów. Zanim zezwolisz aplikacji na dostęp do folderów, sprawdź jej pochodzenie i nazwę. Aktualizacje Windows również mają znaczenie, ponieważ usuwają znane luki, które mogą być wykorzystywane do uruchomienia złośliwego kodu.
Nawyki ograniczające ryzyko infekcji
Wiele ataków zaczyna się od wiadomości phishingowej, zainfekowanego załącznika albo programu pobranego z nieoficjalnego źródła. Ostrożność użytkownika uzupełnia ochronę techniczną:
- Nie otwieraj załączników tylko dlatego, że wiadomość wygląda jak faktura, wezwanie lub dokument od znanej firmy.
- Przed kliknięciem sprawdź adres nadawcy, domenę odnośnika i treść wiadomości.
- Nie instaluj cracków, aktywatorów ani programów z przypadkowych stron.
- Aktualizuj Windows, przeglądarkę, aplikacje i programy używane do pracy z dokumentami.
- Nie pracuj na koncie administratora, gdy nie jest to potrzebne.
Nie zakładaj też, że plik z rozszerzeniem dokumentu jest bezpieczny. Nieoczekiwany plik może zawierać skrypt lub wykorzystywać lukę w aplikacji. W razie wątpliwości potwierdź wiadomość innym kanałem, zamiast odpowiadać na nią lub otwierać załącznik.
Co zrobić po podejrzeniu ataku?
Jeśli pliki nagle zmieniają nazwy, nie można ich otworzyć albo pojawia się żądanie okupu, działaj w tej kolejności:
- Odłącz komputer od internetu, sieci Wi-Fi i przewodowej sieci lokalnej. Odłącz także dostępne dyski zewnętrzne.
- Nie płać okupu. Zapłata nie gwarantuje otrzymania działającego klucza, a może finansować dalszą działalność przestępców.
- Nie usuwaj pochopnie zaszyfrowanych plików ani notatki z żądaniem okupu. Mogą być potrzebne do identyfikacji wariantu ataku.
- Przeskanuj komputer zaufanym narzędziem i sprawdź, czy dla danego wariantu istnieje narzędzie deszyfrujące w serwisie No More Ransom.
- Odtwórz dane dopiero po usunięciu infekcji, korzystając z kopii, której komputer nie miał dostępu podczas ataku.
W przypadku danych firmowych lub krytycznych nie próbuj samodzielnie modyfikować nośnika. Skontaktuj się ze specjalistą od reagowania na incydenty albo odzyskiwania danych.
Lista kontrolna bezpieczeństwa
Sprawdź, czy podstawowe zabezpieczenia są rzeczywiście przygotowane:
- □ Mam aktualną kopię zapasową przechowywaną offline.
- □ Kopia zapasowa znajduje się na innym nośniku niż oryginalne pliki.
- □ Testowałem możliwość odtworzenia danych z backupu.
- □ Windows i używane programy instalują aktualizacje.
- □ Microsoft Defender oraz ochrona w czasie rzeczywistym są włączone.
- □ Kontrolowany dostęp do folderów działa w Zabezpieczeniach Windows.
- □ Nie instaluję cracków, aktywatorów ani nieoficjalnych aplikacji.
Największą różnicę robi połączenie tych działań. Windows Defender i Kontrolowany dostęp do folderów utrudniają infekcję, higiena cyfrowa zmniejsza szansę uruchomienia zagrożenia, a kopia offline pozwala odzyskać dane nawet wtedy, gdy pozostałe warstwy zawiodą.
