06/10/2026
🔎 Ransomware pod lupą. Co zwróciło naszą uwagę w ostatnim tygodniu?
W Polsce był to intensywny tydzień pod kątem cyberbezpieczeństwa. Najgłośniej zrobiło się wokół ochrony zdrowia, ale ciekawy przypadek dotyczył też kopii zapasowych, a analiza kampanii Warlock pokazała, jak dużo dzieje się zanim na ekranach pojawi się żądanie okupu.
🏥 Zacznijmy od FELG Dent. Po ataku cyberprzestępcy twierdzą, że zdobyli dane około 2,4 mln pacjentów i 1,2 mln recept, a także informacje dotyczące leczenia, e-ZLA czy eWUŚ. Część próbek została zweryfikowana przez Niebezpiecznik, jednak pełna skala deklarowana przez napastników nie została niezależnie potwierdzona. Sama firma również kwestionuje część tych informacji.
To kolejny poważny incydent dotyczący polskiej ochrony zdrowia i kolejny powód, żeby patrzeć nie tylko na zabezpieczenie placówki, ale też na systemy i dostawców, którym powierzane są dane pacjentów.
💾 Inną lekcję przyniósł atak na Państwową Uczelnię Zawodową w Suwałkach. Ransomware zaszyfrował infrastrukturę serwerową, przez co niedostępne stały się m.in. system dziekanatowy, bazy studentów i pracowników oraz systemy kadrowo-płacowe.
Uczelnia poinformowała również o utracie dostępu do kopii zapasowych.
Nie oznacza to, że backup został zaszyfrowany. Pokazuje jednak praktyczny problem: samo posiadanie kopii nie gwarantuje, że po ataku będziemy mogli z niej skorzystać. Liczy się sposób jej zabezpieczenia, separacja od środowiska produkcyjnego i regularne testowanie odtworzenia.
🛡️ A jak może wyglądać droga do samego ransomware?
Badacze Symantec i Carbon Black opisali kampanię Warlock. Napastnicy wykorzystywali podatne serwery Microsoft SharePoint, poruszali się dalej po środowisku, wyłączali zabezpieczenia i dopiero później wdrażali ransomware.
W jednym z przypadków narzędzie do wyłączania ochrony trafiło na co najmniej 40 hostów w około dwie godziny. Warlock został następnie uruchomiony na co najmniej 33 maszynach.
Do jego dystrybucji wykorzystano SYSVOL, czyli mechanizm środowiska Active Directory. Napastnicy wykorzystali więc infrastrukturę administracyjną organizacji do rozprowadzenia ransomware.
Te trzy historie dobrze pokazują, dlaczego ransomware nie warto sprowadzać wyłącznie do zaszyfrowanych plików i żądania okupu.
Zanim do tego dojdzie, ktoś musi dostać się do środowiska, zdobyć odpowiednie uprawnienia i poruszać się po sieci. A kiedy atak już nastąpi, ogromne znaczenie ma to, czy organizacja potrafi ograniczyć jego zasięg i sprawnie się odtworzyć.
Dlatego równie ważne jak zabezpieczenia są monitoring, zarządzanie podatnościami, segmentacja środowiska, odpowiednio zabezpieczone kopie zapasowe i przygotowany plan reakcji na incydent.
Do kolejnego przeglądu. 👋
