Kopie zapasowe w firmie: ransomware najpierw atakuje backup

Prawie każda firma, z którą rozmawiam, mówi: „mamy backup”. Gdy pytam, kiedy ostatnio coś z niego odtworzyli, zapada cisza. A dane są bezlitosne: ransomware w Polsce rośnie, a przestępcy w niemal każdym ataku próbują najpierw zniszczyć kopie zapasowe. Poniżej liczby i prosta lista, jak sprawdzić, czy Twój backup przetrwa atak.

Ransomware zamyka Ci dostęp do własnych danych. Działająca kopia to jedyny klucz, za który nie płacisz okupu. Zdjęcie: FlyD / Unsplash.

Co mówią polskie dane

Według raportu rocznego CERT Polska za 2025 r. zespół zarejestrował 260 783 incydenty, o 152% więcej niż rok wcześniej. Incydentów ze szkodliwym oprogramowaniem było blisko 3500 (+81%), a ataków ransomware 179, o 21% więcej niż w 2024 r. To średnio jeden atak co drugi dzień, i to tylko te zgłoszone.

Eurostat pokazuje to samo z perspektywy firm. W publikacji „Digitalisation in Europe 2026” 32% polskich przedsiębiorstw zgłosiło incydent bezpieczeństwa IT w 2024 r., np. niedostępność usług albo zniszczenie danych. Średnia w UE to 22%. Wyżej była tylko Finlandia.

Kopia jest, ale czy przetrwa atak?

Na papierze nie jest źle. Według Eurostatu kopię danych w osobnym miejscu albo w chmurze robi 79% firm w UE. W małych firmach (10 do 49 osób) to 77%, czyli prawie co czwarta nie ma żadnej kopii poza głównym systemem.

Problem w tym, że przestępcy o tym wiedzą. W analizie Sophos (2974 firmy zaatakowane ransomware) 94% ofiar mówiło, że atakujący próbowali dostać się do backupu. W 57% przypadków im się udało. Różnica w skutkach jest ogromna:

• okup płaciło 67% firm ze zniszczonym backupem i 36% z nienaruszonym,
• mediana kosztu odbudowy: 3 mln dolarów zamiast 375 tys., czyli osiem razy więcej,
• w ciągu tygodnia wracało do pracy 26% firm ze zniszczonym backupem i 46% z działającym.

Jest też dobra wiadomość. W raporcie Sophos State of Ransomware 2026 firmy odzyskały dane z kopii w 66% ataków z zaszyfrowaniem, o 12 punktów procentowych więcej niż rok wcześniej. Ale najmniejsze badane firmy (100 do 250 osób) zatrzymały atak przed zaszyfrowaniem danych tylko w 34% przypadków.

Sophos bada firmy od 100 pracowników. Mniejsze firmy zwykle mają jeszcze mniej ludzi do pilnowania backupu. Najczęstsza „kopia”, jaką widzę u klientów, to dysk USB podpięty na stałe albo folder synchronizowany z chmurą. Ransomware szyfruje i jedno, i drugie.

Zasada 3-2-1 i jedna rzecz, o której wszyscy zapominają

Klasyka: 3 kopie danych, na 2 różnych nośnikach, w tym 1 poza firmą. Ja dokładam jeszcze jedną zasadę: przynajmniej jedna kopia musi być niezmienna albo offline. Czyli taka, której nie da się usunąć ani nadpisać z konta administratora, nawet jeśli ktoś je przejmie.

To nie jest teoria. Atakujący, który przejmie konto admina, najpierw kasuje backupy, a dopiero potem szyfruje pliki. Dlatego kopia musi mieć osobne dane logowania i osobne uprawnienia.

Jak sprawdzić swój backup w jedno popołudnie

Nie potrzebujesz od razu działu IT. Zacznij od tego:

1. Spisz, co jest krytyczne. Faktury, baza klientów, poczta, sklep, dokumenty. Ustal, ile dni pracy możesz stracić bez paniki. To jest Twój cel.
2. Sprawdź, gdzie fizycznie leży kopia. Jeśli tylko na tym samym serwerze albo na dysku podpiętym na stałe, to nie jest kopia.
3. Zrób test odtworzenia. Raz na kwartał przywróć losowy folder albo całą stronę na serwer testowy. Kopia, której nikt nie odtworzył, to tylko nadzieja.
4. Oddziel dostęp do backupu. Inne konto, inne hasło, logowanie dwuetapowe. Najlepiej kopia niezmienna albo offline.
5. Nie myl synchronizacji z kopią. Dysk w chmurze, który synchronizuje pliki, zsynchronizuje też zaszyfrowane pliki. Potrzebujesz wersjonowania i historii zmian.
6. Zapisz plan na dzień awarii. Kto dzwoni do kogo, skąd odtwarzasz i w jakiej kolejności. W stresie nikt tego nie wymyśli.

Backup sprawdzasz przed atakiem, a nie w trakcie

Większość firm dowiaduje się, czy ma działającą kopię, w dniu ataku. Ja wolę, żeby moi klienci wiedzieli to wcześniej.

Jeśli chcesz mieć pliki firmy we własnej chmurze, z wersjonowaniem i kopiami poza serwerem, zobacz moją ofertę prywatnej chmury Nextcloud. Konfiguruję kopie, testuję odtwarzanie i pokazuję, jak sprawdzać je samemu.

Wszystkiego dobrego,
Sławek

Jeśli chcesz trzymać pliki i narzędzia na własnym serwerze, zobacz ofertę prywatnej chmury Nextcloud .