Jeżeli podejrzewasz cyberatak, odłącz zainfekowane urządzenia od sieci, zachowaj dowody, uruchom wewnętrzny plan reagowania i szybko skontaktuj się ze specjalistą IT. Nie kasuj plików, nie formatuj komputerów i nie podejmuj samodzielnie rozmów z przestępcami. Równolegle oceń obowiązki wobec CERT Polska, UODO, klientów oraz ubezpieczyciela.
Pierwsza doba nie służy do znalezienia winnego. Jej celem jest ograniczenie szkody, zachowanie materiału do analizy i podjęcie decyzji w odpowiedniej kolejności. Chaos może kosztować firmę więcej niż sam przestój.
Stan informacji: 10 września 2026 r. Opracowanie serwisu Igora Gawrysia, przygotowane z pomocą AI na podstawie materiałów CERT Polska i UODO. Opisany niżej przypadek jest hipotetyczny. Tekst nie zastępuje pomocy zespołu reagowania, prawnika ani instrukcji ubezpieczyciela.
!Laptop na biurku – reakcja firmy na cyberatak w pierwszych 24 godzinach
Scenariusz: poniedziałek, 7:40
Wyobraź sobie małą firmę handlową. Pracownik otwiera system zamówień i widzi, że dokumenty mają nieznane rozszerzenia. Na pulpicie pojawiła się notatka z żądaniem okupu. Księgowość nie może wejść do wspólnego katalogu, a skrzynka osoby zarządzającej wysyła podejrzane wiadomości.
Najgorszą reakcją byłoby sprawdzanie kolejnych komputerów „na próbę”, podłączanie dysku z kopią zapasową albo natychmiastowe wyłączanie każdego urządzenia. To może rozszerzyć infekcję lub usunąć dane z pamięci operacyjnej potrzebne później specjalistom.
CERT Polska w poradniku ransomware zaleca w pierwszej kolejności ustalić zainfekowane maszyny i odłączyć je od sieci przewodowej oraz bezprzewodowej. Wyłączenie komputera ma być rozwiązaniem awaryjnym, gdy izolacja od sieci jest niemożliwa.
Pierwsze 15 minut: zatrzymaj rozprzestrzenianie
- Odłącz podejrzane urządzenie od sieci. Wyjmij przewód sieciowy, wyłącz Wi-Fi i Bluetooth. Nie podłączaj pendrive'a ani dysku z backupem.
- Powiadom osobę koordynującą incydent. W małej firmie może to być właściciel, administrator IT lub zewnętrzny dostawca. Ustal jeden kanał komunikacji, najlepiej działający poza zaatakowanym środowiskiem.
- Zapisz godzinę i objawy. Zanotuj, kto zauważył problem, na jakim urządzeniu, jaki komunikat się pojawił i jakie działania wykonano.
- Nie usuwaj śladów. Nie kasuj notatki z żądaniem okupu, nie uruchamiaj przypadkowych „dekryptorów” i nie przywracaj systemu przed zebraniem danych.
Jeśli nie wiesz, które komputery są dotknięte, specjalista powinien zdecydować, czy izolować segment sieci, serwer albo konkretną usługę. Samodzielne odcięcie całej infrastruktury może być konieczne, ale nie jest automatycznie najlepszą decyzją w każdym incydencie.
Pierwsza godzina: zabezpiecz informacje i uruchom pomoc
Zrób zdjęcie komunikatu na ekranie innym urządzeniem. Zachowaj wiadomość phishingową wraz z nagłówkami, notatkę okupową, nazwy zaszyfrowanych plików i dostępne logi. Nie przesyłaj poufnych materiałów zwykłym firmowym e-mailem, jeśli istnieje podejrzenie przejęcia skrzynki.
CERT Polska wskazuje, że przy zgłoszeniu ransomware przydatne są między innymi zaszyfrowane pliki, notatka z żądaniem okupu, logi oraz — jeśli jest dostępna — próbka złośliwego oprogramowania. Zbieranie technicznych próbek zostaw osobie, która potrafi zrobić to bezpiecznie.
Kogo zawiadomić od razu?
- Zespół IT lub firmę obsługującą systemy — aby ograniczyć incydent i zabezpieczyć materiał do analizy.
- Ubezpieczyciela, brokera lub agenta — jeżeli masz polisę cyber. Sprawdź w OWU termin i wymagany kanał zgłoszenia. Polisa może przewidywać konkretnych dostawców informatyki śledczej, prawników lub komunikacji kryzysowej.
- Kierownictwo i osobę odpowiedzialną za dane osobowe — aby równolegle ocenić wpływ na działalność i ryzyko dla osób.
- CERT Polska — incydent można zgłosić przez incydent.cert.pl. Nie trzeba czekać na pełną diagnozę; dostępne informacje można uzupełnić później.
Nie obiecuj klientom, że „nic nie wyciekło”, dopóki analiza tego nie potwierdzi. Nie publikuj również technicznych szczegółów, które mogłyby pomóc atakującemu.
Do 4 godzin: ustal skalę i priorytety
Zespół reagowania powinien rozdzielić trzy strumienie pracy:
| Strumień | Najważniejsze pytanie | Przykładowy rezultat |
|---|---|---|
| Techniczny | Jak atakujący wszedł i gdzie nadal ma dostęp? | lista urządzeń, kont i usług do izolacji |
| Operacyjny | Które procesy muszą działać dzisiaj? | bezpieczny tryb awaryjny obsługi klientów |
| Prawny i komunikacyjny | Czy naruszono dane i kogo trzeba powiadomić? | udokumentowana ocena ryzyka i plan zgłoszeń |
Zmień poświadczenia kont uprzywilejowanych oraz dostępów zdalnych dopiero z czystego, zaufanego urządzenia i po uzgodnieniu z zespołem technicznym. Jeśli zrobisz to w przejętym środowisku, nowe hasło także może trafić do napastnika.
Sprawdź kopie zapasowe, ale ich nie podłączaj do skażonej sieci. Trzeba ustalić, z kiedy pochodzi ostatnia poprawna kopia, czy jest odizolowana oraz czy można ją odtworzyć w czystym środowisku. Sam fakt posiadania backupu nie dowodzi, że dane da się bezpiecznie przywrócić.
Do 24 godzin: zgłoszenia, decyzje i dokumentacja
Czy trzeba zawiadomić UODO?
Cyberatak i naruszenie ochrony danych osobowych nie są pojęciami tożsamymi. Trzeba sprawdzić, czy doszło do naruszenia poufności, integralności lub dostępności danych osobowych i jakie ryzyko powoduje to dla ludzi.
UODO wyjaśnia, że administrator zgłasza naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Brak wszystkich danych nie musi blokować zgłoszenia wstępnego. Decyzję i jej uzasadnienie należy udokumentować.
Jeśli ryzyko dla osób jest wysokie, może powstać także obowiązek zawiadomienia tych osób. Zakres komunikatu warto uzgodnić z prawnikiem lub inspektorem ochrony danych — bez spekulacji i bez ukrywania praktycznych kroków, które odbiorcy powinni podjąć.
CERT Polska i terminy sektorowe
Pozostałe firmy mogą dobrowolnie zgłosić incydent do CERT Polska. Podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa mogą mieć szczególne obowiązki oraz terminy, zależne od statusu i sektora. Aktualna baza CERT Polska opisuje między innymi wczesne ostrzeżenie dla incydentu poważnego nie później niż 24 godziny od wykrycia oraz dalsze etapy raportowania.
Nie zakładaj, że taki sam termin i formularz dotyczą każdej działalności. Status firmy oraz właściwy kanał potwierdź ze specjalistą, korzystając z aktualnych zasad.
Czy płacić okup?
Zapłata nie gwarantuje odzyskania danych, usunięcia skradzionych kopii ani zakończenia szantażu. Może też tworzyć dodatkowe ryzyka prawne i finansowe. Nie podejmuj tej decyzji w pojedynkę. Najpierw skonsultuj ją z zespołem reagowania, prawnikiem, ubezpieczycielem i właściwymi służbami.
Gdzie w tym wszystkim jest cyberubezpieczenie?
Dobra polisa nie zatrzyma ataku, ale może zapewnić zorganizowany dostęp do informatyków śledczych, obsługi prawnej, odtworzenia danych, komunikacji kryzysowej i pokrycia części przerwy w działalności — w granicach sum, limitów i warunków umowy.
Znaczenie ma nie tylko lista świadczeń, lecz także procedura. Samowolne zlecenie kosztownych prac albo uznanie odpowiedzialności przed kontaktem z ubezpieczycielem może utrudnić rozliczenie szkody. Przed incydentem sprawdź numer alarmowy polisy, udział własny, limity, retroaktywną datę ochrony oraz wymagania dotyczące zabezpieczeń.
Jeśli dopiero oceniasz ryzyko, przeczytaj dlaczego mała firma może potrzebować cyberubezpieczenia oraz 7 pytań przed zakupem polisy cyber.
Checklista do wydrukowania
- odłącz urządzenie od sieci, nie wyłączaj go bez potrzeby;
- zapisz czas wykrycia, objawy i wykonane działania;
- uruchom koordynatora oraz bezpieczny kanał komunikacji;
- zachowaj notatkę okupową, wiadomości, logi i przykładowe pliki;
- nie podłączaj backupu do zainfekowanego środowiska;
- zawiadom zespół IT oraz ubezpieczyciela zgodnie z polisą;
- oceń naruszenie danych osobowych i obowiązki sektorowe;
- zgłoś incydent do CERT Polska, przekazując to, co już wiadomo;
- prowadź dziennik decyzji, kosztów i czasu przestoju;
- przywracaj systemy według priorytetów, dopiero po usunięciu źródła ataku.
Plan przygotuj przed atakiem
W chwili kryzysu liczą się numery telefonów, uprawnienia i decyzje, które ustalono wcześniej. Jedna kartka z kolejnością kontaktów, odizolowany i przetestowany backup oraz ćwiczenie scenariusza potrafią skrócić przestój bardziej niż improwizacja pod presją.
Jeśli chcesz sprawdzić, czy zakres polisy odpowiada realnym kosztom incydentu, umów rozmowę. Analizę techniczną, obowiązki prawne i działania naprawcze powierz odpowiednim specjalistom.
Źródła i metodologia
- CERT Polska, Poradnik ransomware — izolacja urządzeń, zachowanie danych do analizy, przywracanie systemów i materiały przydatne w zgłoszeniu.
- CERT Polska, Zgłoszenie incydentu — dobrowolne zgłoszenia, informacje przekazywane etapami oraz zasady dla podmiotów objętych KSC.
- UODO, W jakim terminie należy zgłosić naruszenie? — termin 72 godzin, ocena ryzyka i zgłoszenie wstępne.
- Dostęp do źródeł: 10 września 2026 r. Kolejność działań jest redakcyjną syntezą edukacyjną; konkretną reakcję należy dopasować do incydentu i instrukcji zespołu technicznego.
- Zdjęcie ilustracyjne: Pixabay, zdjęcie 4795762. Zdjęcie nie przedstawia opisanego incydentu.