Prosty framework odporności na ransomware dla firmy z segmentu mid-market

przeformułowanie: ransomware jako model biznesowy

Operacja ransomware ma strukturę kosztów. Wstępny dostęp jest kupowany od brokerów albo zdobywany przez automatyczne skanowanie i credential stuffing. Narzędzia są wynajmowane od operatorów Ransomware-as-a-Service (RaaS) za udział w przychodach. Wysokość okupu zależy od tego, ile dźwigni atakujący zbuduje, zanim zostanie wykryty, oraz od tego, czy ofiara ma jakąkolwiek opcję poza zapłatą.

Ta struktura to dobra wiadomość, bo biznesy reagują na ekonomię. Nie musisz być niemożliwy do złamania. Musisz sprawić, żeby oczekiwany zysk z ataku na ciebie spadł poniżej oczekiwanego kosztu. Dane o konwersji pokazują, że obrońcy coraz częściej wygrywają ten argument: 69% ofiar ransomware w 2026 DBIR odmówiło zapłaty, a wskaźnik płatności Coveware za Q1 2026 wyniósł 23%, blisko rekordowo niskiego poziomu. Porzuć więc pytanie „jak zatrzymać ransomware” i zadaj zamiast tego pytania atakującego. Jak by weszli? Co mogliby osiągnąć po wejściu? I co zmusiłoby cię do zapłaty? Każde pytanie odpowiada jednemu zadaniu.

dwa rodzaje dźwigni i dlaczego kopie zapasowe odpowiadają tylko na jedną

Wymuszenie działa na dźwigni, a współcześni atakujący budują dwa jej rodzaje. Dźwignia szyfrowania odbiera ci systemy, jej antidotum to odzyskiwanie danych: kopie zapasowe, które przetrwają atak, i odtwarzanie, które działa. To dźwignia, na którą wszyscy się przygotowują. Dźwignia eksfiltracji odbiera ci dane: zanim cokolwiek zaszyfruje, atakujący kopiuje to, co znalazł, dane klientów, umowy, listy płac, kod źródłowy. Kradzież danych została potwierdzona w 94% przypadków wymuszeń w danych Coveware za Q4 2025, a podwójne wymuszenie odpowiadało za 70% roszczeń ransomware w Coalition 2026 Cyber Claims Report. Żadna kopia zapasowa tu nie pomoże. Jedyne antidotum działa wcześniej: atakujący, który nigdy nie dotrze do danych albo dotrze tylko do niewielkiego ich wycinka, nie ma czym szantażować.

Warto zapamiętać dwa szczegóły z ostatnich danych. Wymuszenie oparte wyłącznie na kradzieży słabo konwertuje, płaci mniej więcej co piąta ofiara samej eksfiltracji, i Coveware spodziewa się z tego powodu powrotu atakujących w stronę szyfrowania. I właśnie dlatego drugie zadanie, blast radius, to warstwa najbardziej zaniedbana i najcenniejsza: to jedyna, która osłabia oba rodzaje dźwigni naraz. Firma, która planuje tylko pod kątem szyfrowania, rozwiązała połowę problemu, i to tę połowę, która się kurczy.

dlaczego mid-market jest faktycznym celem

Model myślowy, w którym ransomware przydarza się szpitalom i rurociągom, jest spóźniony o dekadę. Brokerzy dostępu i afilianci pracują na listach, nie na trofeach. Skanowanie jest zautomatyzowane, zrzuty danych uwierzytelniających kupuje się hurtowo, a firma licząca 150 osób z płaską siecią, bez MFA na dwóch kontach administracyjnych i z niemonitorowanym VPN-em to szybszy zarobek niż przedsiębiorstwo z zespołem bezpieczeństwa. Liczby są jednoznaczne: 96% ofiar ransomware o znanej wielkości w 2026 DBIR to MŚP, mediana ofiary Coveware za Q4 2025 liczyła około 200 pracowników, a ENISA Threat Landscape 2025 nazywa ransomware najbardziej dotkliwym zagrożeniem dla organizacji w UE, odpowiadającym za 81% przeanalizowanych incydentów cyberprzestępczych. Wielkość nie chroni, ale też nie skazuje: firma licząca 200 osób ma na tyle małe środowisko, że trzy poniższe zadania da się realnie domknąć.

zadanie pierwsze: utrudnić wejście

Wejście to miejsce, gdzie warstwa tożsamości zarabia na siebie. W ankiecie Sophos dotyczącej ransomware z 2025 roku przyczyny źródłowe rozkładały się na wykorzystane podatności (32%), przejęte dane uwierzytelniające (23%) i ataki oparte na mailu (łącznie 37%). Nałożenie perspektywy tożsamości ostrzy obraz: 67% ofiar wiąże incydent z atakiem na tożsamość (Sophos, 2026), a 2026 DBIR wykazał, że u połowy ofiar ransomware dane uwierzytelniające wyciekły przez infostealery albo zrzuty danych w ciągu mniej więcej 95 dni przed atakiem. Atakujący zwykle się loguje, zanim się włamie.

Najpierw MFA tam, gdzie ma największe znaczenie, potem wszędzie: najpierw konta administracyjne, potem dostęp zdalny, na końcu wszyscy pozostali. MFA blokuje ponad 99,2% ataków polegających na przejęciu konta (Microsoft). Dla kont administracyjnych i dostępu zdalnego lepsze są czynniki odporne na phishing (klucze FIDO2 albo passkeys), bo atakujący, który nie może przekazać dalej powiadomienia push, idzie dalej; potem trzeba wyłapać obejścia, hasła aplikacji, przestarzałe protokoły, konta tymczasowo wykluczone z wymogu. Kolejna sprawa to zamknięcie drzwi, które nie należą do nikogo: każda osoba odchodząca z żywym dostępem, każde osierocone konto serwisowe, każde konto kontraktora z zakończonego projektu to opłacony z góry bilet wejścia. 83% pracowników przyznaje, że wciąż ma dostęp do co najmniej jednego konta z poprzedniego pracodawcy (Beyond Identity, 2022, dane self-reported). Łatanie tego, co widać z internetu, to trzeci ruch: lista tego, co jest osiągalne (urządzenia VPN, firewalle, narzędzia do przesyłu plików, wszystko z ekranem logowania) oraz nawyk szybkiego łatania tej krótkiej listy. Szkolenia z phishingu zmniejszają liczbę kliknięć, ale nigdy jej nie zerują; celem projektowym jest środowisko, w którym jedno kliknięcie nie oddaje kluczy do królestwa, co jest zadaniem drugim.

zadanie drugie: zmniejszyć blast radius

Załóż, że do wejścia dojdzie. Różnica między incydentem a katastrofą to zasięg pierwszego przejętego konta atakującego, a to warstwa, której większość firm z mid-marketu nigdy świadomie nie zaprojektowała.

Least privilege, zaczynając od góry: policz, kto ma najwyższą rolę administracyjną, i przetnij tę listę na pół, a konta administracyjne oddziel od kont używanych na co dzień, tak żeby konto czytające pocztę nie mogło też kasować kopii zapasowych. Kolejny krok to likwidacja stałych ścieżek między systemami: wspólne konta z uprawnieniami administracyjnymi, konta serwisowe z szerokimi zakresami, granty OAuth mogące odczytać cały dysk, to samo poświadczenie używane wielokrotnie w różnych systemach. W nowoczesnej firmie mocno opartej na SaaS blast radius mieszka mniej w segmentach sieci, a bardziej w grafie dostępu: które tożsamości i granty łączą się z jakimi danymi. Rozłożenie danych na gradient pomaga skupić wysiłek: baza klientów, listy płac i umowy zasługują na ograniczony dostęp i krótkie listy tożsamości, które mogą je dotknąć; folder z grafikiem lunchowym już nie. A kopie zapasowe trzeba chronić jak klejnoty koronne, którymi faktycznie są: w badaniu Sophos (2024) atakujący próbowali skompromitować kopie zapasowe w 94% ataków, więc poświadczenia do kopii zapasowych nie mogą być osiągalne z tych samych kont, które obsługują codzienne IT, a co najmniej jedna kopia musi być niezmienna albo offline.

zadanie trzecie: zapewnić pewne odzyskanie danych

Odzyskiwanie danych to zdolność, którą albo zbudowałeś wcześniej, albo jej nie masz. Liczby z 2025 roku otrzeźwiają: tylko 54% ofiar z zaszyfrowanymi danymi odtworzyło je z kopii zapasowych, najniższy wskaźnik od sześciu lat (Sophos, State of Ransomware 2025), a 49% zapłaciło. Większość tych płatności wzięła się z luki między posiadaniem kopii zapasowych a faktycznym odzyskaniem z nich danych.

Kopie zapasowe, które przetrwają kontakt z atakiem, trzymają się standardowego wzorca, więcej niż jedna kopia, więcej niż jeden nośnik, jedna kopia poza siedzibą, i nowoczesny dodatek, jedna kopia niezmienna, ale to, co odróżnia te 54% od reszty, to dyscyplina wokół tego: zakres (czy objęte są systemy SaaS, w których faktycznie żyje biznes, czy tylko serwer plików?), izolacja (osobne poświadczenia, MFA, brak przynależności do domeny) i testowanie. Test odtworzenia to jedyny dowód, że kopia zapasowa istnieje; co kwartał wybierz system, odtwórz go w bezpiecznym miejscu i zmierz czas. Pierwszy test zwykle się nie udaje albo trwa znacznie dłużej, niż ktokolwiek zakładał, i to jest właśnie informacja, którą chcesz mieć, zanim zacznie się liczyć naprawdę. Dane Sophos za 2025 rok pokazują, że 53% ofiar w pełni odzyskuje sprawność w ciągu tygodnia, i są to te, które wcześniej przećwiczyły procedurę. Zadanie dopełnia decyzja podjęta przed złym dniem: czy w ogóle zapłacilibyście, kto decyduje, kto dzwoni do ubezpieczyciela, kto rozmawia z klientami i jakie są regulacyjne terminy raportowania (24 godziny na wczesne ostrzeżenie NIS2, jeśli jesteście objęci zakresem). Cały model wymuszenia opiera się na tym, że ofiara nie ma lepszej opcji, więc pewne odzyskanie danych plus ograniczona eksfiltracja dają ofiarę, która ma opcje, i właśnie dlatego wskaźniki płatności się załamują.

od czego zacząć: pierwsze 30 dni

Bez żadnych zakupów, mniej więcej w tej kolejności, każdy krok użyteczny, nawet jeśli zatrzymasz się po nim. Tydzień pierwszy to zobaczenie swojego dostępu: kto ma uprawnienia administracyjne, jakie jest pokrycie MFA i gdzie są luki, którzy odchodzący pracownicy wciąż mają aktywny dostęp, jakie są konta serwisowe i ich właściciele, co jest widoczne z internetu. Tydzień drugi to domknięcie najgorszego: MFA na każdym koncie administracyjnym i dostępie zdalnym, wyłączenie odchodzących pracowników, załatanie krótkiej listy tego, co widoczne z internetu; sam ten tydzień usuwa najczęstsze ścieżki wejścia widoczne w danych o incydentach. Tydzień trzeci to sprawdzenie, czy kopie zapasowe są prawdziwe: zestawienie tego, co faktycznie jest kopiowane, z tym, gdzie naprawdę żyje biznes, sprawdzenie, kto ma dostęp do kopii zapasowych i jakimi poświadczeniami, oraz przeprowadzenie jednego testu odtworzenia ze zmierzeniem czasu. Tydzień czwarty to spisanie dwustronicowego dokumentu i jedna próba generalna: drzewo decyzyjne, lista kontaktów, terminy raportowania i jeden dziewięćdziesięciominutowy tabletop z kierownictwem. Taki miesiąc nie czyni cię niemożliwym do złamania. Czyni cię drogim celem, o ograniczonym zasięgu i zdolnym do odzyskania sprawności.

jak program rośnie razem z firmą

Poniżej mniej więcej 50 osób zadania sprowadzają się do higieny: MFA wszędzie dzięki wbudowanemu wymuszaniu w pakiecie produktywności, konta o znanych właścicielach, jedna niezmienna kopia zapasowa systemów, które mają znaczenie, i jednostronicowy plan. Od 50 do 500 osób, czyli przedział, w którym mieści się mediana ofiar, graf dostępu wykracza poza to, co ktokolwiek jest w stanie utrzymać w głowie, a trzy zadania stają się jawnymi strumieniami pracy z właścicielami; do gry wchodzi wykrywanie, zwykle jako usługa zarządzana, a nie własni analitycy, bo alert, którego nikt nie czyta o trzeciej w nocy, nie jest kontrolą. Od 500 do 2000 osób dochodzi głębia inżynierska: MFA odporne na phishing jako domyślne, zarządzanie dostępem uprzywilejowanym (PAM) dla zasobu kont administracyjnych, prawdziwa klasyfikacja danych, cele czasu odzyskania (RTO) uzgodnione z biznesem dla każdego systemu oraz testowanie odporności według harmonogramu. Od 2000 osób wzwyż zadania się nie zmieniają, zmienia się koordynacja: dedykowane zespoły, cele odzyskania zapisane w umowach oraz ćwiczenia obejmujące spółki zależne i kluczowych dostawców.

różne firmy, różne stawki

Firmy B2B SaaS prowadzą dwa środowiska i dwa programy, IT korporacyjne i produkcję; atakujący w produkcji sprawia, że ofiarami stają się też klienci, więc praca nad blast radius jest tam też atutem sprzedażowym, o który coraz częściej pytają ankiety bezpieczeństwa enterprise. E-commerce i DTC mają jako dźwignię przestój, a atakujący celują w szczyty sezonu, więc najbardziej liczą się cele czasu odzyskania, a konta agencji i integracji obsługujące sklep to powierzchnia wejścia, której nikt nie pilnuje. W usługach profesjonalnych dominuje strona eksfiltracji, bo pliki klientów to klejnoty koronne, a groźba ich publikacji uderza we franczyzę firmy, więc gradient danych i minimalizacja dostępu liczą się bardziej niż szybkie odtwarzanie. Firmy regulowane i z sektorów krytycznych realizują te same trzy zadania plus zegary i dowody, 24-godzinne wczesne ostrzeżenie NIS2, obowiązki klasyfikacji incydentów i testowania odporności z DORA oraz nadzorców żądających dowodów; dobrze wykonana praca nad odpornością produkuje te dowody przy okazji.

czego jeszcze nie potrzebujesz

Każdy dostawca powie ci, że jego kategoria to krok pierwszy. Przy 80 osobach nie potrzebujesz całodobowego centrum operacji bezpieczeństwa; potrzebujesz podstaw opisanych wyżej, a potem może usługi zarządzanego wykrywania. Nie potrzebujesz platformy deception, kanału threat intelligence ani niczego „napędzanego AI”, zanim pokrycie MFA nie będzie realne, a odtwarzanie nie zostanie przetestowane. Wykrywanie na punktach końcowych ma realną wartość i to kategoria, w którą warto wejść świadomie, zarządzaną, jeśli nikt nie będzie czytał jej alertów, a nie odruchowy zakup po przerażającym demo. Wzorzec za każdym przedwczesnym zakupem jest ten sam: narzędzia kupowane, żeby zrekompensować widoczność, której nikt nie ma. Najpierw zobacz, potem kupuj.

jak to wpisuje się w nis2, dora i twojego ubezpieczyciela

Jeśli obejmuje cię jakiś framework regulacyjny, ta praca nie jest dodatkiem. Środki z Artykułu 21 NIS2 wprost wymieniają kontrolę dostępu, MFA, zarządzanie kopiami zapasowymi, ciągłość działania i obsługę incydentów, a trzy zadania produkują je w działającej formie. DORA idzie dalej dla podmiotów finansowych, z klasyfikowanym raportowaniem incydentów, celami odzyskania i testowaniem odporności według harmonogramu. Ubezpieczyciel jest często najbliższym terminem: ransomware był najdroższym rodzajem roszczenia w Coalition 2026 Cyber Claims Report, ze średnią stratą 269 000 USD, i ubezpieczyciele wyceniają to odpowiednio, pokrycie MFA, izolacja kopii zapasowych, przetestowane odzyskiwanie i higiena wobec odchodzących pracowników to dziś standardowe punkty w ankietach.

częste błędy

Planowanie wyłącznie pod kątem szyfrowania pokrywa połowę dźwigni, i to tę połowę, która się kurczy; strona kradzieży danych jest zaadresowana wcześniej albo wcale. Kopie zapasowe, do których dociera atakujący, serwery kopii zapasowych przyłączone do domeny, wspólne poświadczenia administracyjne, brak niezmiennej kopii, to pojedynczy punkt awarii przebrany za redundancję. Mylenie posiadania kopii zapasowych z posiadaniem zdolności odzyskiwania łapie tych 46%, którzy w 2025 roku nie potrafili odtworzyć danych mimo posiadania produktów do backupu, pokonanych przez nieprzetestowane odtwarzanie, nieobjęte systemy SaaS i nieznane czasy odtwarzania. Traktowanie tego jako projektu narzędziowego błędnie odczytuje medianę ofiary, firmę liczącą 200 osób, która miała produkty bezpieczeństwa i przegrała przez luki operacyjne, niewymuszone MFA, odchodzącego pracownika z marca, konto serwisowe, którego nikt nie jest właścicielem. Pisanie planu w trakcie incydentu zamienia decyzję o zapłacie w koszmarną czynność o drugiej w nocy. A czekanie na budżet odracza budowanie odporności, podczas gdy atakujący nie czekają na twój cykl zakupowy; pierwsze 30 dni kosztują uwagę, nie pieniądze.