După un atac ransomware, tentația e să repornești cât mai repede tot ce pare recuperabil. Exact aici apar multe recidive. Dacă restaurezi datele pe sisteme care nu sunt curate, dacă pui înapoi parole și chei deja compromise sau dacă păstrezi identități administrative contaminate, poți readuce atacatorul în rețea odată cu backupul. O restaurare corectă nu înseamnă doar „am recuperat fișierele”, ci „am reconstruit serviciile fără să readucem compromiterea”.
Primul test al backupului: poate fi restaurat, nu doar bifat
CISA recomandă backupuri offline, criptate și testarea periodică a disponibilității și integrității lor într-un scenariu real de disaster recovery. Asta contează mai ales după ransomware. Un backup „verde” în consolă nu este automat și sigur de folosit.
În practică, validarea curată începe cu trei întrebări simple: din ce dată este copia, pe ce sistem o testăm și cum verificăm că nu readuce aceleași probleme. Restaurarea ar trebui făcută mai întâi într-un mediu separat de producție, pe o rețea curată sau pe sisteme reconstruite din imagini standard. CISA avertizează explicit că, în timpul recuperării, organizația trebuie să evite reinfectarea sistemelor curate.
Pentru firmele mici, asta înseamnă să nu montezi imediat backupul pe serverul vechi „ca să vezi dacă merge”. Mai sigur este să reconstruiești întâi mașina, să aplici actualizările, să verifici protecția endpoint și abia apoi să restaurezi datele strict necesare. Dacă apar fișiere suspecte, taskuri necunoscute, conturi noi sau reguli schimbate, restaurarea trebuie oprită și reevaluată.
Rotația secretelor: schimbi tot ce putea fi atins
Un incident ransomware nu înseamnă doar criptare. Ghidul CISA tratează explicit și compromiterea conturilor, a accesului la VPN, SSO, cloud și a cheilor de criptare gestionate de client. După ce mediul a fost curățat și reconstruit, recomandarea este clară: resetezi parolele pentru sistemele afectate și actualizezi cheile relevante.
Pe românește, rotația secretelor înseamnă mai mult decât parola de Windows. Intră aici parole de email, VPN, conturi de administrare, conturi de service, chei API, tokenuri, secrete din aplicații, certificate și chei de acces în backup, cloud sau panouri de hosting. Dacă un atacator a avut acces suficient cât să lanseze ransomware, nu poți presupune că aceste credențiale au rămas intacte.
Ordinea contează. Întâi cureți și reconstruiești, apoi rotești secretele, apoi readuci utilizatorii și integrările. Dacă schimbi parolele prea devreme, pe sisteme încă compromise, noile credențiale pot fi furate imediat. Dacă le schimbi prea târziu, lași o fereastră în care accesul vechi rămâne valid.
Reconstruirea identității: partea ignorată, dar critică
Multe organizații își concentrează toată energia pe fișiere și servere, dar identitatea este adesea cheia revenirii curate. CISA recomandă verificarea conturilor nou create, a privilegiilor ridicate și a loginurilor suspecte. Cu alte cuvinte, trebuie să pornești de la ideea că nu doar datele au fost atinse, ci și cine are voie să intre în mediu.
Asta înseamnă revizuirea conturilor de administrator, dezactivarea conturilor nefolosite, eliminarea accesului temporar uitat, verificarea grupurilor cu privilegii și reînrolarea MFA unde este cazul. Dacă folosești Microsoft 365 sau Microsoft Entra ID, merită verificate și regulile de acces, aplicațiile conectate și metodele de autentificare adăugate recent.
În mediile Windows cu Active Directory compromis, reconstrucția identității poate cere pași suplimentari administrați de specialiști. Documentația Microsoft pentru recuperarea unei păduri AD arată că resetarea contului krbtgt trebuie făcută de două ori, cu intervalul recomandat între resetări, tocmai pentru a invalida vechile tichete Kerberos. Acesta nu este un pas pentru utilizatorii obișnuiți, dar este un exemplu bun despre cât de profundă trebuie să fie refacerea identității într-un incident serios.
Ce înseamnă, practic, o revenire curată
Semnul că ai ieșit cu adevărat din incident nu este faptul că serverul răspunde la ping. Mai important este că serviciile rulează pe sisteme reconstruite, datele vin din backup validat, accesul vechi nu mai funcționează, iar conturile privilegiate au fost reemise și verificate.
Pentru o firmă mică, un minim sănătos arată așa: restaurare testată separat, stații și servere reconstruite din imagini curate, parole și chei schimbate, MFA reverificat, accesurile administrative reduse la strictul necesar și monitorizare atentă în primele zile după revenire. Dacă incidentul a afectat și date personale, partea tehnică trebuie dublată de analiza obligațiilor de notificare aplicabile.
Ransomware-ul nu se termină când dispar notele de răscumpărare. Se termină când poți demonstra că ai restaurat datele fără să readuci și compromiterea. Asta este diferența dintre o repornire rapidă și o recuperare cu adevărat curată.
