Co zrobić, gdy zostałeś zhakowany

Zachowaj spokój i pomyśl, zanim zaczniesz działać

Odkrycie, że zostałeś zhakowany, wywołuje panikę. Chęć natychmiastowej zmiany wszystkiego, odłączenia wszystkiego lub usunięcia wszystkiego jest zrozumiała — i często przynosi skutek odwrotny do zamierzonego. Niektóre z tych działań niszczą dowody. Inne zdradzają atakującemu, że został wykryty, co skłania go do szybszego działania.

Ten poradnik daje Ci uporządkowany plan reakcji. Etapy to: Wykryj → Powstrzymaj → Usuń → Odtwórz → Wyciągnij wnioski.

Etap 1: wykryj — potwierdź incydent

Zanim zareagujesz, potwierdź, co się faktycznie stało. Nie każda anomalia to włamanie.

Oznaki wskazujące na prawdziwe przejęcie:

• E-mail o logowaniu z nieznanej lokalizacji lub nierozpoznanego urządzenia
• E-maile z resetem hasła, o który nie prosiłeś
• Znajomi lub współpracownicy dostają od Ciebie wiadomości, których nie wysyłałeś
• Nieoczekiwane obciążenia na kontach finansowych
• Zaszyfrowane pliki z żądaniem okupu
• Antywirus wykrywa znane złośliwe oprogramowanie
• Twoje konta są zablokowane i nie możesz ich zresetować przez e-mail (bo poczta też została przejęta)

Jeśli to możliwe, zrób zrzuty ekranu i zachowaj dowody. Zanotuj czas i to, co zaobserwowałeś. Pomoże to odtworzyć przebieg zdarzeń i będzie potrzebne do roszczeń ubezpieczeniowych, kroków prawnych lub wsparcia IT.

Etap 2: powstrzymaj — zatrzymaj krwawienie

Odizoluj przejęte urządzenia

Jeśli podejrzewasz złośliwe oprogramowanie na urządzeniu, odłącz je od sieci (wyłącz Wi-Fi i wyjmij kabel sieciowy), ale nie wyłączaj go. Wyłączenie może zniszczyć dowody w pamięci ulotnej, a w niektórych przypadkach ransomware — dokończyć szyfrowanie. Odizoluj urządzenie fizycznie.

Jeśli przejęte zostało urządzenie służbowe, natychmiast powiadom dział IT/bezpieczeństwa. Nie próbuj samodzielnie naprawiać sprzętu służbowego.

Odbierz dostęp przejętym sesjom

W przypadku przejęcia kont (poczta, media społecznościowe, bankowość):

1. Z czystego, nieprzejętego urządzenia (zaufanego telefonu lub innego komputera) zaloguj się na konto
2. Wejdź w ustawienia bezpieczeństwa i znajdź „aktywne sesje” lub „urządzenia”
3. Wyloguj wszystkie pozostałe sesje
4. Natychmiast zmień hasło
5. Przejrzyj połączone aplikacje zewnętrzne i odbierz dostęp tym, których nie rozpoznajesz

Powiadom instytucję finansową

Jeśli w grę wchodzą konta finansowe, zadzwoń do banku lub wydawcy karty. Zablokują kartę, zakwestionują oszukańcze transakcje i wydadzą nowe numery szybciej niż jakakolwiek procedura online. Przygotuj numery kont.

Jeśli ujawniono dane osobowe, w Polsce zastrzeż PESEL (mObywatel, gov.pl lub urząd gminy) — to utrudni zaciąganie kredytów na Twoje dane — a do monitorowania włącz alerty BIK; w USA ustaw alert o oszustwie lub zamrożenie historii kredytowej w trzech głównych biurach (Equifax, Experian, TransUnion).

Etap 3: usuń — pozbądź się atakującego

Zmieniaj dane logowania we właściwej kolejności

Kolejność ma znaczenie. Zmieniaj dane logowania, zaczynając od najważniejszych kont:

1. Najpierw poczta e-mail — to klucz główny. Kto kontroluje Twoją pocztę, może zresetować wszystko inne.
2. Menedżer haseł — aby nowo tworzone hasła były chronione
3. Konta finansowe — bankowość, inwestycje, aplikacje płatnicze
4. Pozostałe ważne konta — konta służbowe, portale medyczne, konta powiązane z tożsamością

Używaj menedżera haseł do generowania unikalnych, długich haseł dla każdego konta. Nie używaj ponownie żadnego hasła, które zostało wcześniej ujawnione.

Włącz MFA wszędzie

Zmieniając hasła, włącz uwierzytelnianie dwuskładnikowe na każdym koncie, które je obsługuje. Dla najważniejszych kont używaj aplikacji uwierzytelniającej (a nie SMS-ów, jeśli to możliwe). SMS-y są podatne na ataki SIM swap.

Wyczyść lub odbuduj przejęte urządzenia

Jeśli na urządzeniu potwierdzono złośliwe oprogramowanie:

• Telefony: przywrócenie ustawień fabrycznych zwykle wystarcza w przypadku większości złośliwego oprogramowania. Włącz ochronę przed resetem (FRP) i odtwórz dane z kopii wykonanej przed incydentem.
• Komputery: w przypadku pospolitego złośliwego oprogramowania (adware, ransomware, który się nie rozprzestrzenił) może wystarczyć skanowanie Malwarebytes i usunięcie zagrożeń. W przypadku zaawansowanego złośliwego oprogramowania lub rootkitów zainstaluj system od nowa z czystego nośnika. Nie ufaj przejętemu systemowi nawet po usunięciu zagrożeń przez antywirusa.
• Najpierw zrób kopię ważnych plików, a przed ich przywróceniem przeskanuj kopię.

Etap 4: odtwórz — bezpiecznie wróć do pracy

Odtwarzaj z czystych kopii zapasowych

Jeśli masz kopie zapasowe (a powinieneś), przed odtworzeniem upewnij się, że pochodzą sprzed przejęcia. Niektóre ransomware czają się tygodniami przed aktywacją, więc „świeża” kopia może być już zainfekowana.

Obserwuj, czy aktywność nie trwa

Po zmianie haseł i wyczyszczeniu urządzeń wypatruj oznak, że atakujący nadal ma dostęp:

• Alerty o logowaniu z nieznanych lokalizacji
• Reguły poczty, których nie tworzyłeś (atakujący często ustawiają przekierowania)
• Aplikacje lub rozszerzenia przeglądarki, których nie instalowałeś
• Powtarzające się nieautoryzowane obciążenia

Jeśli jeszcze tego nie zrobiłeś, włącz powiadomienia o logowaniu na każdym ważnym koncie.

Powiadom osoby, których to dotyczy

Jeśli przejęcie ujawniło dane innych osób (np. w przypadku włamania do firmy), najpewniej masz prawny obowiązek powiadomienia. Sprawdź obowiązujące przepisy (RODO — w Polsce zgłoszenie do UODO w ciągu 72 godzin; w USA m.in. stanowe przepisy o naruszeniach i HIPAA). Powiadamiaj poszkodowanych niezwłocznie — opóźnione zawiadomienie wyrządza więcej szkód i niesie większe ryzyko prawne.

Etap 5: wyciągnij wnioski — zapobiegnij kolejnemu incydentowi

Każdy incydent ujawnia lukę. Po ustabilizowaniu sytuacji:

• Ustal, jak atakujący się dostał: phishing? Ponownie użyte hasło? Niezałatane oprogramowanie? Wystawiona usługa?
• Zamknij tę konkretną lukę
• Przeanalizuj, jakie dane zostały ujawnione i jakie ryzyko niesie to na przyszłość
• Zaktualizuj strategię kopii zapasowych, jeśli zawiodła
• W przypadku incydentów w firmie rozważ, czy potrzebna jest profesjonalna pomoc w reagowaniu

Kiedy wezwać pomoc

Nie każdy incydent należy rozwiązywać samodzielnie:

• Ransomware w sieci firmowej: zanim zapłacisz jakikolwiek okup, zadzwoń do profesjonalnej firmy reagującej na incydenty
• Kradzież tożsamości: w Polsce zgłoś sprawę na policji i zastrzeż PESEL; w USA portal FTC IdentityTheft.gov przygotuje spersonalizowany plan naprawczy
• Podejrzenie stalkerware na urządzeniu: Coalition Against Stalkerware oferuje materiały i wsparcie
• Ataki ze strony państw: w Polsce skontaktuj się z CERT Polska lub CSIRT GOV, w USA z CISA, a w innych krajach z krajową agencją cyberbezpieczeństwa

Plan przygotowany zawczasu robi ogromną różnicę. Już dziś zapisz dane logowania do kluczowych kont w menedżerze haseł, włącz MFA na poczcie i kontach finansowych i trzymaj kopie zapasowe offline — aby gdy (a nie jeśli) dojdzie do incydentu, możliwości odtworzenia były już gotowe.