Jeżeli wydaje Ci się, że jesteś świadkiem ataku na komputer, serwer albo sieć firmową, najgorsze co można zrobić to ignorować sygnały albo działać chaotycznie. W pierwszych minutach liczy się spokój, szybka izolacja problemu i zachowanie śladów, które pomogą ustalić, co naprawdę się wydarzyło.
Atak może wyglądać różnie: nagłe szyfrowanie plików, podejrzane logowania, nieznane procesy, alarm z programu bezpieczeństwa, nietypowy ruch sieciowy, znikające wiadomości, wysyłka e-maili bez Twojej wiedzy albo nieoczekiwane żądanie okupu. Nawet jeśli nie masz pewności, warto potraktować sytuację poważnie.
Co zrobić od razu
- przerwij pracę na podejrzanym urządzeniu,
- odłącz komputer od sieci przewodowej, Wi-Fi, VPN i udziałów sieciowych,
- nie kasuj plików, nie czyść logów i nie formatuj dysku,
- zanotuj godzinę, objawy, komunikaty i to, co działo się tuż przed incydentem,
- zgłoś sprawę do administratora IT lub osoby odpowiedzialnej za bezpieczeństwo.
Jeśli problem dotyczy firmy, bardzo ważne jest szybkie ograniczenie rozprzestrzeniania się incydentu. Czasem kilka minut zwłoki wystarczy, aby atak objął kolejne komputery, serwery lub konta użytkowników.
Czego nie robić
- nie bagatelizuj ostrzeżeń z antywirusa, EDR albo firewalla,
- nie przywracaj od razu systemu z kopii zapasowej bez ustalenia przyczyny,
- nie loguj się ponownie na podejrzane konto z tego samego urządzenia,
- nie wysyłaj dalej podejrzanych wiadomości i załączników,
- nie pozwól, by kilka osób równolegle wykonywało przypadkowe działania na tym samym sprzęcie.
Co zrobić z hasłami i dostępami
Jeśli podejrzewasz, że ktoś mógł przejąć hasło, zmień je z innego, zaufanego urządzenia. Warto od razu sprawdzić także konta pocztowe, dostęp do Microsoft 365, paneli administracyjnych, systemów ERP, backupu i usług zdalnych. Jeżeli to możliwe, włącz lub potwierdź działanie MFA.
Kiedy zgłosić incydent szerzej
Jeśli sytuacja wygląda poważnie albo dotyczy firmy, danych klientów, poczty, infrastruktury lub usług publicznych, warto rozważyć szybkie zgłoszenie do odpowiedniego zespołu reagowania, na przykład CERT Polska. Dobrze zebrane informacje na początku bardzo ułatwiają analizę i ograniczenie skutków incydentu.
Checklista do pobrania
Przygotowałem krótką checklistę, którą możesz pobrać i zachować na przyszłość:
Pobierz checklistę: podejrzenie ataku na komputer lub sieć
Ten materiał ma charakter praktycznego poradnika i nie zastępuje pełnej procedury reagowania na incydenty. Jeśli chcesz uporządkować bezpieczeństwo w firmie, przygotować procedury, przeszkolić pracowników albo sprawdzić stan zabezpieczeń, mogę w tym pomóc.