Ransomware w małej firmie 2026 - jak nie stracić danych
W 2025 Polska była na czele światowych statystyk ataków ransomware - skuteczny atak paraliżował polską firmę średnio co drugi dzień. Pokazuję bez straszenia, jak ransomware wchodzi do firmy, co realnie zrobić w pierwsze 24 godziny (tu popełnia się najdroższe błędy) i jak się ustawić, żeby atak był kłopotem na godziny, a nie końcem firmy. Z perspektywy kogoś, kto odbierał te telefony.
Ransomware przestał być problemem wielkich korporacji. Dziś to małe i średnie firmy są najczęstszym celem - bo mają dane warte pieniędzy, a zabezpieczenia zwykle słabsze niż w banku. Napastnik szyfruje Twoje pliki, całą firmę stawia na kolana i żąda okupu za klucz.
Przez lata odbierałem te telefony: „nic nie działa, wszystkie pliki mają dziwną końcówkę, jest jakiś plik z żądaniem okupu”. Pokażę Ci bez straszenia, jak ransomware wchodzi do firmy, co realnie zrobić w pierwsze 24 godziny (bo tu popełnia się najdroższe błędy) i jak się ustawić, żeby atak był kłopotem na godziny, a nie końcem firmy.
W skrócie
W skrócie: co trzecia mała firma mierzy się z atakiem, a większość zaczyna się od zwykłego maila lub źle zabezpieczonego zdalnego pulpitu. Gdy już szyfruje - NIE płać od razu i nie kasuj niczego: odetnij zainfekowane maszyny od sieci, zabezpiecz dowody, sprawdź backup offline. To, czy przetrwasz, rozstrzyga się na długo przed atakiem - decyduje testowany backup 3-2-1, monitoring i podstawowa higiena (MFA, aktualizacje, segmentacja sieci).
Dlaczego akurat mała firma?
Zanim przejdziemy do konkretów - dlaczego akurat Ty. Nie dlatego, że ktoś Cię wybrał osobiście. Ataki są dziś zautomatyzowane: boty skanują internet i uderzają tam, gdzie jest łatwo. Mała firma bez działu IT to dla nich idealny cel - są dane (faktury, dane klientów, umowy), jest zdolność zapłaty, a zabezpieczenia często kończą się na antywirusie sprzed lat.[1][2]
- To nie jest odległy problem. W 2025 roku Polska znalazła się na czele światowych statystyk wykrytych ataków ransomware (dane ESET), a skuteczny atak paraliżował polską firmę średnio co drugi dzień. W samym pierwszym kwartale 2026 mówi się o ponad dwóch tysiącach ofiar.
- Większość ataków nie jest wyrafinowana. Wchodzą najprostszą drogą: kliknięty załącznik, wyłudzone hasło, otwarty do internetu pulpit zdalny (RDP) bez drugiego składnika logowania.
- Najdroższy nie jest sam okup - najdroższy jest przestój. Kilka dni bez fakturowania, magazynu i poczty potrafi kosztować więcej niż cała infrastruktura IT.
Dane o skali ataków: raporty ESET, CRN Polska, Sophos State of Ransomware i Verizon DBIR.[6][7][1][2]
Jak ransomware wchodzi do firmy
Mail (phishing) - droga numer jeden
Pracownik dostaje wiarygodnie wyglądającą wiadomość: faktura, przesyłka, monit z banku. Klika załącznik albo link, podaje hasło i już. W 2026 te maile pisze AI - bez literówek, w Twoim języku, czasem podszywając się pod realnego kontrahenta.
Zdalny pulpit (RDP) wystawiony do internetu
Klasyk małych firm: ktoś kiedyś udostępnił pulpit zdalny „na szybko, żeby pracować z domu” i tak zostało. Bez drugiego składnika logowania to zaproszenie - boty łamią słabe hasła w godziny.
Niezałatane luki i stary sprzęt
Serwer bez aktualizacji, router z domyślnym hasłem, firma wciąż na Windows bez wsparcia. Każda znana, niezałatana dziura to otwarte drzwi, przez które napastnik wchodzi bez żadnego kliknięcia z Twojej strony.
Najsłabszym ogniwem prawie zawsze jest człowiek i mail. Więcej o tym, jak rozpoznać podejrzaną wiadomość i przeszkolić zespół, piszę w tekście o phishingu i ochronie pracowników.
Pierwsze 24 godziny - co robić krok po kroku
Tu popełnia się najdroższe błędy - w panice ludzie wyłączają sprzęt, kasują pliki albo płacą od ręki. Trzymaj się tej kolejności.
Wyciągnij kabel sieciowy / wyłącz Wi-Fi na zainfekowanych maszynach, żeby zatrzymać rozprzestrzenianie na resztę firmy. Ale nie wyłączaj komputera na siłę - część śladów i czasem kluczy szyfrowania siedzi w pamięci.
Nie:Nie kasuj plików z żądaniem okupu ani zaszyfrowanych danych - są potrzebne do identyfikacji i ewentualnego odzysku.
Zrób zdjęcie ekranu z żądaniem okupu. Ustal, które maszyny i dyski są zaszyfrowane, a które czyste. Sprawdź, czy backup jest nietknięty (dobry ransomware najpierw szuka i kasuje kopie).
Nie:Nie loguj się do backupu ze skompromitowanej maszyny - możesz zainfekować kopię.
Jeśli wyciekły dane osobowe, masz 72 godziny na zgłoszenie do UODO. Zgłoś incydent do CERT Polska. Poinformuj informatyka/firmę IT - im wcześniej, tym większa szansa na czysty odzysk z backupu zamiast negocjacji z przestępcami.
Nie:Nie zamiataj sprawy pod dywan - niezgłoszony wyciek danych to osobny problem prawny.
Jeśli masz testowany backup offline, ścieżka jest prosta: wyczyść lub odstaw zainfekowane maszyny, odbuduj system i odtwórz dane z kopii sprzed ataku. To dlatego backup 3-2-1 jest ważniejszy niż jakikolwiek antywirus.
Nie:Nie odtwarzaj na tę samą, wciąż zainfekowaną infrastrukturę - najpierw usuń przyczynę.
Płacić okup? Prawie nigdy
Pytanie, które pada zawsze: „a może po prostu zapłacić i mieć spokój?”. Rozumiem pokusę, gdy stoi cała firma. Ale to zły pomysł z trzech powodów.
- 1Nie ma gwarancji, że odzyskasz dane. Płacisz przestępcom - część firm po zapłacie dostaje niedziałający klucz albo kolejne żądanie.
- 2Malujesz sobie tarczę na plecach. Firma, która zapłaciła raz, trafia na listę „zapłaci ponownie” i bywa atakowana drugi raz.
- 3Płacenie bywa problematyczne prawnie - część grup ransomware jest objęta sankcjami, a przelew do nich to osobne kłopoty.
Dlatego dobrze przygotowana firma w ogóle nie prowadzi tej rozmowy. Ma czysty, testowany backup i po prostu odtwarza dane. Negocjacje z przestępcami to plan awaryjny dla tych, którzy backupu nie zrobili.
Jak się ustawić, żeby atak był kłopotem na godziny
Cała trudna część dzieje się PRZED atakiem. Ransomware nie jest kwestią „czy”, tylko „kiedy” - a to, czy będzie to godzina przestoju czy tydzień paniki, zależy od kilku podstaw, które można ustawić raz i pilnować.
Backup 3-2-1 z kopią offline - trzy kopie, dwa nośniki, jedna poza firmą i odłączona. Kluczowe: kopia, do której ransomware nie dosięgnie, i regularny test odtwarzania (backup, którego nie sprawdzasz, to nie backup).
MFA wszędzie - drugi składnik logowania do poczty, VPN i pulpitu zdalnego. To jedno ustawienie ucina większość ataków przez wyłudzone hasła.
Zamknięty RDP i aktualizacje - żaden pulpit zdalny wystawiony wprost do internetu, systemy i sprzęt na wsparciu, luki łatane na bieżąco.
Monitoring i segmentacja - ktoś (albo coś) patrzy na alerty 24/7 i reaguje, zanim szyfrowanie się rozejdzie. Podzielona sieć sprawia, że jedna zainfekowana maszyna nie kładzie całej firmy.
Przeszkoleni ludzie - pracownik, który rozpozna podejrzany mail, jest tańszy i skuteczniejszy niż każdy program. Wektor numer jeden to człowiek.
Fundament tego wszystkiego to backup, który naprawdę działa. Jak zbudować go dobrze, opisuję krok po kroku w tekście o backupie 3-2-1.
Powiązane usługi i artykuły
Najczęstsze pytania
Co zrobić od razu po ataku ransomware?
Odetnij zainfekowane maszyny od sieci (wyciągnij kabel / wyłącz Wi-Fi), ale nie wyłączaj ich na siłę. Nie kasuj zaszyfrowanych plików ani żądania okupu. Zabezpiecz dowody, sprawdź czy backup jest nietknięty i wezwij informatyka. Jeśli wyciekły dane osobowe, masz 72 godziny na zgłoszenie do UODO.
Czy płacić okup za odszyfrowanie danych?
Nie zaleca się. Nie ma gwarancji odzyskania danych, płacisz przestępcom, a firma która raz zapłaciła częściej jest atakowana ponownie. Zapłata bywa też problematyczna prawnie. Dobrze przygotowana firma odtwarza dane z testowanego backupu i w ogóle nie prowadzi tej rozmowy.
Jak firma może się zabezpieczyć przed ransomware?
Najważniejszy jest backup 3-2-1 z kopią offline i regularnym testem odtwarzania. Do tego MFA na poczcie, VPN i pulpicie zdalnym, zamknięty RDP, bieżące aktualizacje, monitoring 24/7, segmentacja sieci i przeszkoleni pracownicy. Większość ataków wchodzi najprostszą drogą - i tą samą drogą najłatwiej je zatrzymać.
Jak ransomware najczęściej wchodzi do małej firmy?
Zdecydowanie najczęściej przez maila (phishing) - kliknięty załącznik lub wyłudzone hasło. Druga częsta droga to pulpit zdalny (RDP) wystawiony do internetu bez drugiego składnika logowania. Trzecia to niezałatane luki i stary, niewspierany sprzęt.
Źródła
- [1]Sophos - The State of Ransomware (raport roczny)
- [2]Verizon - Data Breach Investigations Report (DBIR)
- [3]CERT Polska - zgłaszanie incydentów i raporty roczne
- [4]CISA - #StopRansomware Guide
- [5]UODO - zgłoszenie naruszenia ochrony danych (72h)
- [6]ESET - Threat Report (statystyki ataków ransomware, Polska)
- [7]CRN Polska - statystyki ataków ransomware w Polsce
12 lat w IT - od banku, przez Kancelarię Prezydenta RP, do własnej firmy. Outsourcing IT dla firm, które nie mogą sobie pozwolić na przestoje.
Na co dzień zajmuję się obsługą informatyczną firm w Warszawie i okolicach.
Poznaj mnie lepiejPowiązane artykuły
Nowe oszustwa AI 2026 - jak rozpoznać i nie dać się nabrać
Literówki i kanciasta polszczyzna przestały zdradzać oszustów - bo mają teraz AI. Maile są bezbłędne, strony logowania nie do odróżnienia, a głos w słuchawce brzmi jak Twój wspólnik. Jako informatyk z przeszłością w bezpieczeństwie pokazuję trzy sztuczki, na które firmy dają się nabrać w 2026, i konkretnie jak się bronić - tanio i skutecznie.
NIS2 weszło w życie - 5 rzeczy do zrobienia w tym tygodniu
3 kwietnia 2026 ustawa weszła w życie. Odebrałem więcej telefonów niż zwykle - właściciele firm pytają: czy mnie to dotyczy? Oto 5 rzeczy, które powinieneś zrobić w tym tygodniu. Z perspektywy informatyka, który już wdrażał to u klientów.
Phishing w firmie - jak ochronić pracowników i nie stracić danych
W zeszłym roku ratowałem trzy firmy po atakach phishingowych. Księgowa kliknęła link - atakujący miał dostęp do 200 skrzynek. Pokazuję, jak wyglądają prawdziwe ataki, po czym je rozpoznać, co realnie wdrożyć, żeby się chronić, i ile to kosztuje. Z perspektywy informatyka, który wolałby, żebyś nie musiał do niego dzwonić w panice.