LIVE: New phishing campaigns targeting mobile users —View latest threats →

Powrót do zagrożeń
Krytyczne🔐 Ransomware

WannaCry: ransomware, który sparaliżował szpitale

Ransomware WannaCry wykorzystał lukę SMB EternalBlue wykradzioną z NSA, by w 2017 roku zainfekować 200 000 komputerów w 150 krajach i w kilka godzin sparaliżować brytyjską służbę zdrowia NHS.

Opublikowano: 10 maja 2026Ostatnia aktualizacja: 15 stycznia 2026

Czym jest to zagrożenie?

WannaCry to robak ransomware, który połączył szyfrowanie plików z mechanizmem samodzielnego rozprzestrzeniania się i spowodował jeden z najbardziej niszczycielskich cyberataków w historii. W przeciwieństwie do tradycyjnego ransomware, który wymaga, by ofiara coś kliknęła, WannaCry automatycznie rozprzestrzeniał się po sieciach, wykorzystując lukę w systemie Windows — mógł więc zainfekować każdy niezałatany komputer w szpitalu, fabryce czy biurze bez żadnej interakcji człowieka.

Jak działał

Exploit:

WannaCry używał EternalBlue (CVE-2017-0144) — narzędzia hakerskiego opracowanego przez amerykańską Agencję Bezpieczeństwa Narodowego (NSA), które zostało skradzione i opublikowane przez grupę Shadow Brokers w kwietniu 2017 roku. EternalBlue wykorzystywał krytyczną lukę w protokole udostępniania plików SMB (Server Message Block) w systemie Windows.

Microsoft wydał łatkę (MS17-010) dwa miesiące przed atakiem WannaCry, w marcu 2017 roku. Organizacje, które jej nie zainstalowały, były całkowicie bezbronne.

Atak (12 maja 2017):

  • WannaCry skanował internet w poszukiwaniu komputerów z Windows z otwartym portem 445 (SMB).
  • Wykorzystywał EternalBlue, by uzyskać dostęp bez żadnej interakcji użytkownika.
  • Instalował furtkę (DoublePulsar, również narzędzie NSA), a następnie uruchamiał ładunek ransomware.
  • Wszystkie pliki były szyfrowane algorytmem AES-128. Żądano okupu w wysokości 300–600 USD w bitcoinach z 3-dniowym terminem.
  • W ciągu kilku godzin WannaCry rozprzestrzeniał się po sieciach wewnętrznych, szyfrując każdy osiągalny komputer.

    • Wyłącznik awaryjny (kill switch):

    Badacz bezpieczeństwa Marcus Hutchins (MalwareTech), wówczas 22-latek, zauważył, że przed uruchomieniem złośliwe oprogramowanie sprawdza określoną niezarejestrowaną domenę. Zarejestrował ją za 10,69 USD — co przypadkowo aktywowało wbudowany w malware wyłącznik i radykalnie spowolniło rozprzestrzenianie się. Bez tego szkody byłyby znacznie większe.

    Skutki w praktyce

  • Brytyjska służba zdrowia (NHS): zainfekowano 80 z 236 jednostek NHS. Odwołano szacunkowo 19 000 wizyt lekarskich, w tym leczenie onkologiczne i operacje. Karetki kierowano do innych szpitali. Łączny koszt: szacunkowo 92 mln funtów.

  • Deutsche Bahn (Niemcy): tablice odjazdów i automaty biletowe wyświetlały żądania okupu zamiast informacji o pociągach.
  • Telefónica (Hiszpania): zakłócenie kluczowych systemów wewnętrznych; pracownikom kazano wyłączyć komputery.
  • Renault (Francja): wstrzymano produkcję w kilku fabrykach.
  • Rosyjskie MSW: dotkniętych ponad 1000 komputerów.
  • Łączne szkody na świecie: szacunkowo 4–8 mld USD w 150 krajach.

    • Atrybucja: w grudniu 2017 roku rządy USA, Wielkiej Brytanii i Australii oficjalnie przypisały WannaCry północnokoreańskiej grupie Lazarus. Motyw był finansowy — Korea Północna wykorzystuje cyberprzestępczość do obchodzenia sankcji.

    Wciąż aktywny: warianty WannaCry bez wyłącznika awaryjnego nadal infekują niezałatane systemy Windows XP i Windows 7. Organizacje korzystające ze starszych systemów pozostają zagrożone.

    Dlaczego to wciąż ważne

    WannaCry dał trzy twarde lekcje, które pozostają aktualne:

  • Niezałatane systemy to broń, która tylko czeka, by użyć jej przeciwko Tobie. Łatka była dostępna od 2 miesięcy.
  • Jeden niezałatany komputer może położyć całą sieć. Szpitale musiały odsyłać pacjentów.
  • Państwowa cyberbroń trafia w ręce przestępców. EternalBlue był narzędziem NSA użytym przeciwko infrastrukturze cywilnej.

    • Sygnały ostrzegawcze

  • Pliki nagle mają rozszerzenie .WCRY lub .WNCRY.
  • Na ekranie pojawia się żądanie okupu w bitcoinach.
  • Wiele komputerów w sieci jednocześnie przestaje działać.
  • Dzienniki zdarzeń Windows pokazują masowe próby połączeń SMB z wewnętrznych adresów IP.

    • Jak się chronić

    • Natychmiast instaluj aktualizacje zabezpieczeń Windows — WannaCry wykorzystał lukę, na którą łatka była dostępna od 2 miesięcy; comiesięcznych aktualizacji (Patch Tuesday) nigdy nie należy pomijać
    • Wyłącz SMBv1 na wszystkich systemach Windows — to przestarzały protokół bez współczesnych zastosowań i właśnie przez niego wchodził WannaCry
    • Segmentuj sieć, aby ransomware nie mógł przenieść się z jednego zainfekowanego komputera na wszystkie pozostałe
    • Utrzymuj kopie zapasowe offline lub w izolowanym środowisku, do których ransomware nie ma dostępu — regularnie testuj odtwarzanie
    • Zaktualizuj lub odizoluj starsze systemy operacyjne (Windows XP, Windows 7), które nie otrzymują już poprawek bezpieczeństwa

    Co zrobić, jeśli padłeś ofiarą

    1. 1.Natychmiast odizoluj zainfekowane komputery, odłączając je od sieci (kabel i Wi-Fi), aby zatrzymać rozprzestrzenianie
    2. 2.Nie płać okupu — zapłata nie gwarantuje odzyskania plików, finansuje przestępców, a infrastruktura płatności WannaCry i tak już nie działa
    3. 3.Zgłoś incydent krajowemu organowi ds. cyberbezpieczeństwa (Polska: CERT Polska, Niemcy: BSI, Austria: cert.at, Ukraina: CERT-UA)
    4. 4.Odtwórz pliki z czystych kopii offline po całkowitym wyczyszczeniu i reinstalacji zainfekowanych systemów
    5. 5.Po odtworzeniu zainstaluj wszystkie zaległe łatki, wyłącz SMBv1 i przeprowadź pełny audyt sieci, aby ustalić, jak doszło do pierwszej infekcji
    #WannaCry#ransomware#EternalBlue#NSA#NHS#North Korea#SMB#Windows