Ransomware în IMM-uri: ce faci în primele 60 de minute

Un atac ransomware poate începe cu un laptop blocat, fișiere redenumite sau un mesaj de răscumpărare. În primele minute, obiectivul unei companii nu este să repornească totul cât mai repede, ci să limiteze propagarea, să păstreze dovezile și să coordoneze răspunsul. Acest ghid este un punct de plecare pentru IMM-uri, nu un substitut pentru un plan de incident response adaptat infrastructurii proprii.

Înainte de incident: cine decide și pe cine suni?

Stabilește din timp responsabilul de incident, înlocuitorul său, administratorul IT sau furnizorul MSP, persoana care poate autoriza întreruperea serviciilor și contactele pentru consultanță juridică și comunicații. Păstrează o copie offline a numerelor de telefon, inventarului sistemelor critice și procedurilor de restaurare. În timpul unui incident, platformele obișnuite de mesagerie și e-mail pot fi indisponibile sau compromise.

Minutele 0–10: confirmă semnalele și limitează extinderea

Înregistrează ora primei alerte, dispozitivele afectate, mesajele afișate și cine a observat problema. Dacă există indicii credibile de criptare sau propagare, izolează dispozitivele afectate de rețea în mod controlat: dezactivează conexiunile de rețea sau folosește capacitățile de izolare din soluția EDR, cu sprijinul echipei tehnice. Evită conectarea suporturilor de backup la sistemele suspecte.

Nu șterge imediat fișierele suspecte, nu reinstala sistemele și nu porni automat o restaurare. Aceste acțiuni pot distruge informații necesare investigației sau pot reintroduce compromiterea. Oprirea de urgență a unui echipament poate fi justificată dacă previne o pagubă imediată, dar trebuie decisă de persoanele competente și documentată.

Minutele 10–20: activează echipa de incident response

Desemnează un coordonator unic și stabilește un canal de comunicare de rezervă, separat de mediul posibil compromis. Prioritizează sistemele care susțin activități esențiale: identitate, fișiere partajate, baze de date, plăți și comunicare cu clienții. Notează ce decizii au fost luate, de cine și la ce oră.

Dacă sunt afectate conturi privilegiate, furnizori sau sisteme cloud, echipa de securitate trebuie să evalueze sesiunile active, tokenurile și accesul la consolele de administrare. Schimbarea credențialelor se face de pe un dispozitiv considerat curat și într-o ordine care nu împiedică investigația. În paralel, verifică dacă există sisteme neafectate care pot fi separate preventiv.

Minutele 20–40: păstrează dovezile și stabilește amploarea

Colectează, fără a modifica inutil sistemele sursă, alertele EDR, jurnalele de autentificare, evenimentele din firewall, VPN, servere, identitate și platforme cloud. Păstrează copiile cu ora și sursa fiecărui fișier. În cazurile importante, un specialist DFIR poate recomanda achiziții forensice ale memoriei sau discurilor, folosind proceduri care păstrează integritatea probelor.

Separă trei întrebări: ce sisteme sunt criptate, cum a obținut atacatorul acces și există semne că informațiile au fost copiate în afara organizației? Ransomware-ul poate însemna atât întreruperea disponibilității, cât și un potențial incident de confidențialitate. Nu presupune că lipsa unei note de răscumpărare înseamnă lipsa exfiltrării.

Minutele 40–60: decide ce se restaurează și ce se raportează

Verifică starea backupurilor, inclusiv existența unor copii offline sau imuabile, și estimează punctul de restaurare acceptabil. Testează recuperarea într-un mediu controlat doar după ce echipa a stabilit condițiile de siguranță. Nu readuce în producție un sistem fără să înțelegi cel puțin vectorul probabil de compromitere, fiindcă există riscul unei reinfectări.

Evaluează împreună cu responsabilii juridici și de protecția datelor dacă incidentul impune notificări către clienți, autorități de supraveghere, asigurător sau alte părți. Termenele diferă în funcție de tipul organizației, datele implicate și legislația aplicabilă; de exemplu, nu orice incident informatic este automat o breșă de date personale notificabilă. Înregistrează decizia și motivarea ei.

Ce să nu faci în prima oră

Nu promite clienților că toate datele sunt în siguranță înainte de verificare. Nu negocia sau plăti o răscumpărare fără consultanță specializată și o evaluare juridică, operațională și de sancțiuni. Nu folosi mediul compromis pentru a distribui informații sensibile despre investigație. Nu elimina jurnalele, conturile sau mașinile virtuale relevante doar pentru a grăbi repornirea serviciilor.

Checklist practic pentru conducerea unui IMM

1. Există un responsabil de incident și un contact tehnic disponibil? 2. Au fost izolate sistemele suspecte și protejate backupurile? 3. Avem o cronologie a deciziilor și o listă de active afectate? 4. Sunt păstrate alertele și jurnalele relevante? 5. Au fost verificate identitățile privilegiate și riscul de exfiltrare? 6. Există un plan de restaurare testabil și o evaluare a obligațiilor de notificare?

După prima oră: recuperare, lecții învățate și prevenție

Următoarele etape includ investigația cauzei, eradicarea accesului malițios, restaurarea etapizată, monitorizarea sporită și un raport post-incident. Transformă observațiile în măsuri verificabile: autentificare multifactor pentru conturile critice, patch management, segmentare, backupuri testate și exerciții tabletop. Pentru o organizație mică, un plan scurt, cunoscut și repetat este mai util decât un document lung pe care nimeni nu îl consultă.

ZebraByte poate ajuta organizațiile să își evalueze expunerea, să stabilească prioritățile de securitate și să pregătească procese de răspuns la incidente. În cazul unui atac activ, contactează imediat echipa internă de securitate sau furnizorul specializat de incident response.