Ransomware nu mai înseamnă întotdeauna fișiere blocate și ecran cu mesaj de răscumpărare. CISA avertizează că unele grupări fură date și amenință cu publicarea lor ca formă principală de șantaj, chiar fără să cripteze sistemele. Pentru o firmă mică, diferența este importantă: serverele pot părea funcționale, dar incidentul poate afecta contracte, clienți, angajați și obligații de raportare.
De ce contează ransomware-ul fără criptare
Modelul clasic urmărea oprirea activității: fișiere criptate, aplicații blocate, presiune pentru plată. În varianta bazată pe furt de date, atacatorii mizează pe rușine, presiune comercială și teamă de expunere. Nu trebuie să „demonstreze” că au o cheie de decriptare; încearcă să convingă victima că au documente interne, date personale sau informații comerciale sensibile.
Asta schimbă și modul de apărare. Backupul rămâne necesar, dar nu mai este suficient singur. Un backup bun ajută la continuitate, așa cum explică și ghidul despre regula 3-2-1 pentru firme mici și freelanceri, însă furtul de date trebuie prevenit prin controlul accesului, monitorizare și igienă operațională.
Semne că problema nu este doar „un virus”
Un atac de acest tip poate începe discret: conturi folosite la ore neobișnuite, autentificări din locații atipice, descărcări masive din cloud, reguli noi de redirecționare în email, alerte EDR ignorate sau acces brusc la foldere la care un utilizator nu lucra de obicei.
Pentru conducere, întrebarea corectă nu este doar „avem fișiere criptate?”, ci „ce date au fost accesate, copiate sau exportate?”. De aceea, planul de răspuns trebuie să includă loguri păstrate suficient, inventar al sistemelor, persoane responsabile și un mod rapid de a izola conturi compromise. Pentru imaginea de ansamblu, merită recitit și materialul despre cum intră ransomware-ul în firme mici și ce reduce riscul real.
Măsuri practice înainte de incident
Primul pas este reducerea suprafeței de atac. Conturile administrative nu trebuie folosite pentru activitatea zilnică, iar angajații ar trebui să aibă acces doar la datele de care au nevoie. MFA este recomandată pentru email, cloud, VPN, panouri de administrare și aplicații critice. Pentru conturile importante, aplicațiile de autentificare, passkey-urile sau cheile hardware sunt preferabile SMS-ului.
Al doilea pas este vizibilitatea. Firmele mici nu au mereu un SOC, dar pot activa alerte pentru autentificări suspecte, exporturi mari de date, conectări din țări neobișnuite și creare de reguli noi în email. Pentru laptopuri, contează actualizările, criptarea discului, antivirusul/EDR-ul și conturile separate; pașii de bază sunt detaliați în ghidul despre protejarea laptopurilor firmei.
Al treilea pas este clasificarea datelor. Nu toate fișierele au același risc. Contractele, datele clienților, datele angajaților, documentele financiare și secretele tehnice trebuie ținute în locuri controlate, cu jurnalizare și drepturi revizuite periodic. Fișierele sensibile nu ar trebui copiate în chat-uri, conturi personale sau spații cloud neadministrate.
Ce faci dacă primești amenințarea
Nu negocia în grabă și nu șterge dovezi. Izolează sistemele suspecte, revocă sesiunile active, schimbă parolele de pe un dispozitiv curat și păstrează mesajele primite, logurile și alertele. Dacă există suspiciune de date personale compromise, implică rapid persoana responsabilă cu protecția datelor sau consultantul juridic; obligațiile pot depinde de situația concretă.
DNSC pune la dispoziție PNRISC, platforma națională pentru raportarea incidentelor de securitate cibernetică, unde se trimit date despre incident și impact. Pentru decizii grele, cum ar fi oprirea operațiunilor sau comunicarea către clienți, ajută un exercițiu făcut din timp, nu în mijlocul crizei; vezi și tabletop exercise pentru ransomware.
Ransomware-ul fără criptare este periculos tocmai pentru că poate părea mai puțin dramatic. Firma funcționează, dar datele pot fi deja în mâna atacatorilor. Protecția bună combină backup, acces minim, monitorizare, proceduri clare și oameni care știu cui raportează primele semne.
Întrebări frecvente
Dacă nu sunt fișiere criptate, mai este ransomware?
Da. CISA descrie situații în care atacatorii fură date și amenință cu publicarea lor ca formă de șantaj, chiar fără criptare.
Backupul mai ajută în acest scenariu?
Da, dar nu rezolvă singur furtul de date. Backupul ajută la continuitate, iar protecția datelor cere acces minim, monitorizare și loguri.
Ce ar trebui verificat prima dată după o amenințare?
Trebuie verificat ce conturi și sisteme au fost accesate, ce date au fost copiate sau exportate și ce dovezi pot fi păstrate pentru investigație.
Unde se poate raporta un incident în România?
DNSC are PNRISC, platforma națională pentru raportarea incidentelor de securitate cibernetică.
