Ransomware: šta je i kako da firma ne plati otkup

Ransomware je zlonamerni program koji šifruje fajlove na računarima i serverima firme, pa napadač traži otkup za ključ kojim bi ih otključao. Firma koja ima ispravnu rezervnu kopiju van domašaja napadača ne mora da plati: očisti sisteme i vrati podatke iz kopije.

Napad ne izgleda dramatično. Jednog jutra fajlovi imaju neobične ekstenzije, program ne može da otvori bazu, a na ekranu je poruka sa uputstvom kako da platite.

Napadači sve češće pre šifrovanja i ukradu podatke, pa prete da će ih objaviti ako firma ne plati. Američka agencija CISA to zove dvostruka iznuda. Tada backup vraća rad, ali ne rešava curenje podataka.

ENISA, agencija Evropske unije za sajber bezbednost, u izveštaju Threat Landscape 2025 navodi ransomware kao pretnju sa najvećim uticajem u EU. Napadačima nije bitna veličina firme: dovoljan im je nezakrpljen računar ili ukradena lozinka.

UslugaIT podrška za firme

Kako ransomware ulazi u firmu

01Mejl sa prilogom ili linkom

Lažna faktura, obaveštenje kurirske službe ili poruka koja liči na banku. CISA phishing navodi među čestim ulazima.

02Ukradena lozinka

Nalog bez prijave u dva koraka, posebno za mejl, VPN ili udaljeni pristup.

03Nezakrpljen sistem

Računar, server ili ruter sa poznatim propustom, dostupan sa interneta, na primer otvoren udaljeni desktop (RDP).

04Preko dobavljača

Serviser ili program koji ima pristup vašoj mreži. CISA preporučuje da se proceni i rizik od spoljnih firmi koje održavaju sisteme.

Zašto ne treba platiti otkup

Plaćanje ne garantuje da ćete dobiti podatke nazad. Projekat No More Ransom, koji vode Europol i holandska policija sa partnerima, savetuje da se otkup nikada ne plati: plaćanje potvrđuje napadačima da ovaj posao radi, a ispravan ključ nije zagarantovan.

Ako su podaci i ukradeni, plaćanje ne garantuje ni da ih napadač neće objaviti ili prodati. Platili ste nekome ko je već jednom prekršio svako pravilo.

Pre bilo kakve odluke proverite sajt No More Ransom. Za neke vrste ransomware-a tamo postoje besplatni alati za otključavanje, a alat Crypto Sheriff pomaže da prepoznate koja vrsta vas je pogodila.

Pravi odgovor na pitanje "da li da platimo" daje se mesecima ranije: rezervna kopija do koje napadač ne može da dođe i plan šta se radi u prvom satu. Firma koja to ima može da odbije.

VodičBackup podataka i pravilo 3-2-1

VodičIT podrška za firme

Prvi sat posle napada: šta da radite

Kada vidite poruku o otkupu, cilj je da zaustavite širenje i sačuvate tragove. Ovo je redosled iz CISA vodiča, prilagođen maloj firmi:

Odmah odvojite zahvaćene računare od mreže: izvucite mrežni kabl i isključite Wi-Fi.
Ne gasite računar ako ga možete odvojiti od mreže, jer gašenje briše tragove iz memorije koji pomažu istrazi.
Odvojite i rezervne kopije koje su još povezane, da ne budu sledeće.
Javite se IT podršci telefonom, a ne mejlom sa naloga koji je možda zaražen.
Fotografišite poruku o otkupu i zapišite kada ste je primetili.
Prijavite incident Nacionalnom CERT-u i policiji, a Povereniku ako su pogođeni podaci o ličnosti.

Kako da firma ne dođe u situaciju da bira

Prevencija je dosadna i zato radi. Tri stvari zatvaraju veliki deo puteva kojima ransomware ulazi: prijava u dva koraka na mejlu i udaljenom pristupu, zakrpe instalirane čim izađu i rezervna kopija koja je offline.

CISA preporučuje šifrovane rezervne kopije koje se čuvaju offline i redovno se proverava vraćanje, prijavu u dva koraka otpornu na phishing za sve servise, posebno mejl i VPN, i da udaljeni desktop ne bude otvoren prema internetu.

Naučite zaposlene da prepoznaju sumnjiv mejl i da ga prijave bez straha. Zaposleni koji odmah kaže da je kliknuo na link pomaže firmi, a onaj koji to sakrije zbog straha daje napadaču vreme.

Dajte svakom nalogu samo prava koja mu trebaju. Ako zaposleni nema administratorska prava na svom računaru, ransomware pokrenut sa njegovog naloga teže dolazi do ostatka mreže.

Kontrolna lista protiv ransomware napada

Prođite ovu listu sa onim ko vam održava računare. Svaka stavka na koju je odgovor "ne znam" je mesto odakle treba početi.

Svi računari i serveri dobijaju zakrpe čim izađu, i neko to prati svaki dan.
Mejl, VPN i administratorski nalozi imaju prijavu u dva koraka.
Udaljeni desktop nije otvoren prema internetu.
Postoji rezervna kopija koju računari u firmi ne mogu da izmene ni obrišu.
Vraćanje iz kopije je probano u poslednja tri meseca.
Zaposleni rade bez administratorskih prava.
Zna se koga zovete prvog i na koji broj ako se pojavi poruka o otkupu.
Popis opreme i naloga je ažuran.

VodičOdržavanje računara za firme

PaketiPaketi IT podrške

Oporavak: vraćanje podataka iz rezervne kopije

Kada su računari odvojeni od mreže, ne vraćajte podatke odmah. Prvo treba otkriti kako je napadač ušao i ukloniti ga, inače će i vraćeni fajlovi biti ponovo šifrovani.

Zahvaćeni računari se po pravilu instaliraju iz početka, menjaju se sve lozinke, posebno administratorske i one za mejl, i tek onda se vraćaju podaci iz kopije napravljene pre napada.

Koliko oporavak traje zavisi od toga koliko je kopija sveža i koliko brzo se vraća. Zato se vraćanje proba unapred, dok nije hitno, a ne prvi put posle napada.

KontaktPitajte nas za zaštitu

Česta pitanja o ransomware napadima

Šta je ransomware?

Zlonamerni program koji šifruje fajlove na uređaju i tako ih čini neupotrebljivim, a napadač traži otkup za ključ. Često pre toga i ukrade podatke, pa preti da će ih objaviti.

Da li da platimo otkup?

Ne preporučuje se. No More Ransom, projekat Europola i holandske policije, savetuje da se nikada ne plati, jer ključ nije zagarantovan, a plaćanje podstiče nove napade. Proverite tamo da li postoji besplatan alat za vašu vrstu ransomware-a.

Da li antivirus štiti od ransomware-a?

Pomaže, ali sam nije dovoljan. Najveći deo zaštite daju zakrpe instalirane na vreme, prijava u dva koraka, zaposleni bez administratorskih prava i rezervna kopija do koje napadač ne može da dođe.

Da li moramo da prijavimo napad?

Operatori IKT sistema od posebnog značaja moraju u roku od 24 sata (Zakon o informacionoj bezbednosti, član 13). Ako su pogođeni podaci o ličnosti, Poverenik se obaveštava bez nepotrebnog odlaganja, gde je moguće u roku od 72 sata (Zakon o zaštiti podataka o ličnosti, član 52).

Može li mala firma da bude meta?

Može. Mnogi napadi ne biraju firmu po veličini, već traže bilo koji nezaštićen ulaz: otvoren udaljeni desktop, nezakrpljen sistem ili ukradenu lozinku. Mala firma često nema nikoga ko te ulaze prati.

Ransomware: šta je i kako da ne platite otkup