Czym jest ransomware i co robi z Twoimi danymi
Ransomware to złośliwe oprogramowanie, które po zainfekowaniu systemu szyfruje pliki na dysku i żąda okupu — zazwyczaj w kryptowalutach — w zamian za klucz deszyfrujący. Ataki ransomware dotykają zarówno osoby prywatne, jak i firmy, szpitale, urzędy i instytucje finansowe. Po szyfrowaniu pliki stają się bezużyteczne: dokumenty Word, zdjęcia JPEG, bazy danych SQL — wszystkie otrzymują nowe rozszerzenie (np. .locked, .encrypted, .ryuk) i nie można ich otworzyć standardowymi programami.
Atak przebiega zazwyczaj w kilku etapach: infekcja przez phishing lub lukę w zabezpieczeniach, eskalacja uprawnień, skanowanie dysków sieciowych, tworzenie zaszyfrowanych kopii plików i usuwanie oryginałów, a na końcu — wyświetlenie żądania okupu. Kluczowe jest, by wiedzieć, co robić (i czego nie robić) natychmiast po wykryciu ataku.
Nie płać okupu – i oto dlaczego
Pierwszym odruchem po ataku jest chęć zapłacenia okupu i szybkiego odzyskania danych. W większości przypadków jest to błąd. Oto dlaczego:
- Według badań ok. 40% ofiar, które zapłaciły okup, nie otrzymało działającego klucza deszyfrującego.
- Płatność finansuje dalszą działalność przestępców i zachęca do kolejnych ataków.
- W wielu krajach opłacenie okupu grupom objętym sankcjami może być nielegalne.
- Przed podjęciem jakiejkolwiek decyzji sprawdź, czy istnieje bezpłatne narzędzie deszyfrujące — często tak jest.
Zanim zdecydujesz się na płatność, wyczerpaj wszystkie inne możliwości opisane w tym artykule.
Kopie woluminów w tle (VSS) – niedoceniany ratunek w Windows
System Windows automatycznie tworzy kopie woluminów w tle (Volume Shadow Copies, VSS) — punkty przywracania systemu, które mogą zawierać poprzednie wersje plików. Wiele wariantów ransomware próbuje usunąć te kopie, ale starsze lub mniej zaawansowane odmiany tego nie robią.
Jak sprawdzić kopie VSS:
- Kliknij prawym przyciskiem myszy na folder z zaszyfrowanymi plikami i wybierz „Właściwości” → zakładka „Poprzednie wersje”.
- Alternatywnie użyj narzędzia Shadow Explorer (bezpłatne), które wyświetla dostępne kopie woluminów w czytelnym interfejsie.
- Jeśli kopie istnieją, możesz przywrócić pliki do stanu sprzed ataku.
Ważne: Sprawdź dostępność kopii VSS przed ponownym uruchomieniem komputera lub próbą naprawy systemu — niektóre operacje mogą usunąć istniejące kopie.
NoMoreRansom.org – bezpłatne narzędzia deszyfrujące
Projekt NoMoreRansom.org, realizowany we współpracy Europolu, Interpolu i wiodących firm z branży cyberbezpieczeństwa, oferuje bezpłatne narzędzia deszyfrujące dla setek wariantów ransomware. Procedura jest prosta:
- Wejdź na stronę nomoreransom.org i skorzystaj z narzędzia „Crypto Sheriff”.
- Prześlij dwa zaszyfrowane pliki i notatkę z żądaniem okupu — system automatycznie zidentyfikuje wariant ransomware.
- Jeśli istnieje narzędzie deszyfrujące, pobierz je bezpłatnie i postępuj zgodnie z instrukcją.
Baza narzędzi jest regularnie aktualizowana, więc jeśli dziś nie ma rozwiązania, warto sprawdzić ponownie za kilka tygodni — nowe klucze są dodawane po zatrzymaniu grup przestępczych przez organy ścigania.
Recuva, PhotoRec i odzyskiwanie niezaszyfrowanych pozostałości
Ransomware często działa w następujący sposób: tworzy zaszyfrowaną kopię pliku, a oryginalny plik usuwa. Standardowe usunięcie pliku nie oznacza jego natychmiastowego wymazania z dysku — dane fizycznie pozostają na nośniku do momentu nadpisania przez nowe pliki. Narzędzia do odzyskiwania danych, takie jak Recuva (Windows) czy PhotoRec (wieloplatformowy, open source), mogą odczytać te oryginalne, niezaszyfrowane pliki, zanim zostaną nadpisane.
Kluczowe zasady przy tej metodzie:
- Nie zapisuj żadnych nowych danych na zainfekowanym dysku — każdy zapis zwiększa ryzyko nadpisania oryginałów.
- Stwórz obraz bitowy dysku i pracuj na kopii.
- Użyj osobnego systemu operacyjnego (Live USB z Linuksem) do uruchomienia narzędzi.
Profesjonalne laboratorium i zasada 3-2-1 – jak uniknąć kolejnego ataku
Jeśli żadna z powyższych metod nie przyniosła efektu, a dane są krytyczne — skontaktuj się z profesjonalnym laboratorium odzyskiwania danych. Specjaliści dysponują narzędziami do głębszej analizy zaszyfrowanych woluminów, rekonstrukcji częściowo nadpisanych plików oraz analizy pamięci RAM (jeśli klucz szyfrujący był jeszcze w pamięci operacyjnej w momencie wyłączenia komputera).
Najważniejsza lekcja po ataku ransomware to wdrożenie reguły 3-2-1 przed kolejnym incydentem:
- 3 kopie danych
- na 2 różnych typach nośników
- z czego 1 kopia przechowywana offline lub w chmurze odizolowanej od sieci lokalnej
Backup offline (np. dysk zewnętrzny odłączony od komputera) jest odporny na ransomware — złośliwe oprogramowanie nie może zaszyfrować dysku, do którego nie ma dostępu. To najprostsza i najskuteczniejsza forma ochrony przed tym zagrożeniem.
Przeczytaj też: Najlepsze programy do odzykiwania danych – ranking 2026
Zobacz też: Odzykiwanie danych z dysku twardego – kompletny poradnik | Odzykiwanie danych po awarii systemu – jak to zrobić?