Takie pytanie bardzo często pada podczas pierwszego kontaktu telefonicznego. W pracy kancelarii prawnej, notarialnej czy podatkowej zablokowanie dostępu do dokumentów oznacza natychmiastowy paraliż bieżącej działalności. Problem zazwyczaj ujawnia się rano, po uruchomieniu komputera, albo w trakcie otwierania załącznika przesłanego pocztą elektroniczną pod pozorem wezwania sądowego, faktury lub pisma urzędowego. Na ekranie nagle pojawiają się pliki o zmienionych nazwach, z nietypowymi rozszerzeniami, a w każdym folderze pojawia się nowy dokument tekstowy z informacją o blokadzie. W tym momencie kluczowe znaczenie ma każda minuta, ponieważ złośliwe oprogramowanie szyfrujące potrafi w krótkim czasie zainfekować kolejne stanowiska robocze oraz podłączone zasoby sieciowe.
Pierwszą reakcją nie powinno być chaotyczne klikanie ani próba otwierania kolejnych plików, lecz natychmiastowe odcięcie komputera od reszty infrastruktury biurowej. Złośliwe oprogramowanie typu ransomware — czyli program blokujący dostęp do plików poprzez ich zaszyfrowanie i wymuszający okup — działa w tle, wykorzystując uprawnienia zalogowanego użytkownika. Jeśli dany komputer ma mapowane dyski sieciowe lub dostęp do wspólnego folderu z aktami spraw, proces szyfrowania przenosi się na te zasoby w sposób ciągły. Przerwanie łączności jest jedynym sposobem na zatrzymanie rozprzestrzeniania się blokady na pozostałe urządzenia w biurze.
Sytuacja w zainfekowanym środowisku rozwija się dynamicznie i wywołuje określone symptomy widoczne dla pracowników:
Infekcja złośliwym oprogramowaniem szyfrującym rzadko bywa dziełem przypadku. Wynika zazwyczaj z wykorzystania konkretnych wektorów ataku, ułożonych od najczęściej spotykanych do incydentów o charakterze bardziej zaawansowanym:
Korespondencja phishingowa: Wiadomość e-mail podszywająca się pod instytucję publiczną, klienta lub firmę kurierską zawiera załącznik w postaci spakowanego archiwum, dokumentu z ukrytymi makrami bądź odnośnik do spreparowanej strony internetowej. Uruchomienie takiego elementu powoduje pobranie właściwego modułu szyfrującego bez wiedzy użytkownika.
Niezabezpieczone połączenia pulpitu zdalnego: Dostęp do stacji roboczej lub serwera plików realizowany przez publiczny port RDP — protokół zdalnego pulpitu umożliwiający pracę poza biurem — bez odpowiednich ograniczeń adresowych i wieloskładnikowego uwierzytelniania, stanowi powszechny cel automatycznych ataków siłowych polegających na odgadywaniu haseł.
Niezałatane luki w oprogramowaniu systemowym i użytkowym: Brak regularnych aktualizacji systemów operacyjnych oraz aplikacji biurowych umożliwia wykonanie złośliwego kodu poprzez znane podatności bezpieczeństwa.
Infekcja nośników wymiennych: Podłączenie pamięci flash USB lub zewnętrznego dysku używanego wcześniej na niezabezpieczonym komputerze domowym pracownika może doprowadzić do przeniesienia złośliwych skryptów.
Zainfekowane oprogramowanie z nieoficjalnych źródeł: Pobieranie narzędzi pomocniczych, konwerterów plików czy niezweryfikowanych dodatków do przeglądarek internetowych może skutkować równoległą instalacją tylnej furtki, która pobiera moduł ransomware.
Po zgłoszeniu awarii serwis podejmuje usystematyzowane kroki techniczne na miejscu u klienta, mające na celu opanowanie sytuacji, zabezpieczenie materiału dowodowego i przywrócenie sprawności środowiska pracy.
Diagnoza rozpoczyna się od weryfikacji stanu izolacji sieciowej urządzeń. W przypadkach, gdy komputer nadal pracuje, wykonywany jest zrzut pamięci RAM — czyli zapisanie tymczasowej zawartości pamięci operacyjnej na zewnętrznym, zabezpieczonym nośniku. W niektórych odmianach złośliwego oprogramowania w pamięci operacyjnej mogą znajdować się fragmenty kluczy szyfrujących lub adresy serwerów kontroli, co bywa przydatne podczas dalszej analizy.
Przed podjęciem jakichkolwiek działań naprawczych wykonywana jest posektorowa kopia dysku — bitowy obraz całej struktury nośnika wykonany na nowy dysk serwisowy. Dzięki temu wszelkie późniejsze operacje analityczne i próby naprawy struktur systemu plików odbywają się na kopii, co całkowicie wyklucza ryzyko bezpowrotnego uszkodzenia oryginalnych danych.
Specjalista przeprowadza analizę sygnatury zagrożenia, nagłówków zaszyfrowanych plików oraz pozostawionych notatek. Na podstawie analizy technicznej ustala się, czy dla danej rodziny ransomware istnieją publicznie dostępne, oficjalne deszyfratory opracowane przez laboratoria bezpieczeństwa, czy też konieczne jest odtworzenie struktury danych z innych źródeł.
Serwis bada stan nośników zawierających kopie zapasowe, sprawdzając, czy złośliwy kod nie dotarł do archiwów. Odzyskiwanie danych z niezależnych nośników, migawek systemowych lub kopii w chmurze to osobna usługa, realizowana w sposób gwarantujący, że przywracane pliki trafią wyłącznie do oczyszczonego środowiska.
Po usunięciu zagrożenia stacje robocze są poddawane gruntownemu skanowaniu w środowisku zewnętrznym (bootowalnym). W sytuacjach głębokiej modyfikacji rejestru i plików systemowych zalecana jest instalacja systemu operacyjnego na nowo, co daje pewność pełnego usunięcia ukrytych modułów szpiegujących.
Nieprawidłowe działania podejmowane w stresie mogą bezpowrotnie uniemożliwić odzyskanie dokumentów. Należy bezwzględnie unikać następujących czynności:
Zanim pomoc techniczna dotrze na miejsce, personel kancelarii powinien wykonać kilka bezpiecznych kroków porządkujących sytuację:
Aby prace diagnostyczne mogły rozpocząć się bez zbędnej zwłoki, warto przed przyjazdem specjalisty przygotować podstawowe elementy infrastruktury:
Wszystkie nośniki z kopiami zapasowymi: Należy zlokalizować dyski zewnętrzne, pamięci przenośne lub płyty, na których zapisywane były kopie dokumentów. Nośniki te muszą pozostać odłączone od komputerów aż do momentu ich weryfikacji przez serwisanta.
Dostęp do urządzeń sieciowych: Warto zapewnić fizyczny dostęp do routera, przełączników sieciowych oraz sieciowych pamięci masowych (dysków sieciowych) pracujących w lokalu kancelarii.
Wykaz stanowisk roboczych w biurze: Przygotowanie listy wszystkich komputerów, które były włączone i połączone z siecią lokalną w momencie wystąpienia awarii, ułatwi szybkie określenie skali incydentu.
Domyślnie pracujemy bez znajomości haseł użytkowników, szanując prywatność danych. Wgląd w uprawnienia administracyjne jest wymagany wyłącznie w sytuacjach, gdy bez tego niemożliwe jest przeprowadzenie niskopoziomowych testów sprzętowych lub konfiguracji zabezpieczeń sieciowych, o czym zawsze informujemy przed wykonaniem danej czynności.
Dokumentacja prowadzona przez kancelarie podlega szczególnej ochronie prawnej i tajemnicy zawodowej. Mamy pełną świadomość wagi powierzanych materiałów. Wszystkie czynności diagnostyczne i naprawcze wykonują bezpośrednio nasi serwisanci, bez udziału jakichkolwiek podwykonawców zewnętrznych. Na życzenie każdego klienta wystawiamy bezpłatnie pisemną umowę o zachowaniu poufności (NDA), gwarantującą pełne bezpieczeństwo informacji znajdujących się na badanych nośnikach.
Obsługa zgłoszeń awarii realizowana jest wyłącznie w formule mobilnej z bezpośrednim dojazdem do siedziby kancelarii lub biura domowego. Docieramy do klientów na terenie całej Warszawy oraz okolicznych powiatów podwarszawskich. W przypadku pilnych incydentów związanych z blokadą danych działamy przez całą dobę, siedem dni w tygodniu, również w dni świąteczne i weekendy, bez naliczania dodatkowych dopłat za niestandardową porę realizacji zgłoszenia.
Po dotarciu na miejsce specjalista przeprowadza wstępne rozpoznanie techniczne i przedstawia indywidualną wycenę planowanych prac. Klient podejmuje decyzję o rozpoczęciu naprawy dopiero po zapoznaniu się z zakresem działań i kosztami. Wiele czynności, takich jak izolacja sieci, analiza powierzchowna czy konfiguracja zabezpieczeń, wykonujemy bezpośrednio na miejscu. Jeśli charakter usterki lub konieczność wielogodzinnego odczytu uszkodzonych nośników wymaga użycia specjalistycznego sprzętu laboratoryjnego, odbieramy sprzęt do warsztatu i odwozimy go własnym transportem po zakończeniu procedury naprawczej.
Do wszelkich napraw sprzętowych wykorzystujemy wyłącznie fabrycznie nowe podzespoły, co gwarantuje stabilność i bezawaryjną pracę zmodernizowanego środowiska. Na wykonane usługi udzielamy gwarancji na okres do 12 miesięcy. Po zakończeniu prac wystawiamy rozliczenie w formie faktury bez VAT.
W przypadku zablokowania dostępu do dokumentów lub podejrzenia ataku szyfrującego w biurze zapraszamy do bezpośredniego kontaktu telefonicznego pod numerem 22 257 87 54.
Nie wiesz, od czego zacząć? Zadzwoń.
Porada telefoniczna nic nie kosztuje, a część usterek udaje się rozwiązać bez dojazdu — zwłaszcza tych, w których winne są ustawienia albo zasilanie. Jeżeli trzeba przyjechać, dojazd, odbiór i zwrot sprzętu są bezpłatne, a diagnoza laptopa przy odbiorze — również. Wizyta serwisanta u klienta jest płatna; sam dojazd i tak nic nie kosztuje.
Telefon odbieramy całą dobę, siedem dni w tygodniu — także w weekendy i święta. Dojeżdżamy na terenie Warszawy i siedmiu przyległych powiatów.
Serwis laptopów i komputerów na warszawskim Bemowie. Przyjeżdżamy pod wskazany adres — do domu i do firmy. Dojazd, odbiór i zwrot nic nie kosztują, a diagnoza laptopa przy odbiorze sprzętu jest bezpłatna.
ul. Lazurowa 14b
01-474 Warszawa — Bemowo
Biuro bez obsługi klientów. Sprzętu nie trzeba nigdzie przywozić.
Odbieramy także w weekendy i święta. Przy pilnych zgłoszeniach umawiamy się na ten sam dzień.
Dojazd: Warszawa i siedem przyległych powiatów, w promieniu 40 km. Na miejscu jesteśmy z reguły w ciągu godziny.
Na wykonane naprawy dajemy gwarancję do 12 miesięcy.
