Ransomware-ul este un tip de program malițios care blochează accesul la fișierele sau la sistemele tale, de obicei prin criptarea lor, și cere o răscumpărare (în engleză, ransom) în schimbul cheii de deblocare. Plata este cerută aproape întotdeauna în criptomonede, ca să fie greu de urmărit, iar termenul este scurt, ca să crească presiunea.
Atacurile de acest fel lovesc deopotrivă companii mari, spitale, primării, firme mici și utilizatori obișnuiți. Mecanismul este însă bine cunoscut, la fel ca măsurile care îl fac inofensiv. Mai jos afli cum ajunge ransomware-ul pe un calculator, ce face acolo, de ce criptarea nu poate fi pur și simplu „spartă” și cum te pregătești ca un astfel de atac să nu te coste nimic.
Ce face, de fapt, un ransomware
Un ransomware transformă fișierele tale în date ilizibile, folosind un algoritm de criptare corect implementat, și păstrează cheia la atacator. Fișierele sunt încă pe disc, dar fără cheie nu mai pot fi deschise.
Pe ecran apare apoi o notă de răscumpărare: un mesaj care explică ce s-a întâmplat, cere o sumă și oferă instrucțiuni de plată, uneori chiar și un „serviciu de asistență” prin chat. Unele variante schimbă și extensia fișierelor, astfel încât o poză sau un document să aibă un nume ciudat la final.
Tipurile principale
| Tip | Ce face | Pe cine lovește de obicei |
|---|---|---|
| Ransomware de criptare | criptează documente, poze, baze de date | utilizatori și organizații |
| Locker | blochează ecranul sau accesul la sistem, fără criptare reală | utilizatori, mai ales prin pagini web false |
| Dublă extorcare | fură datele înainte de criptare și amenință cu publicarea lor | companii, instituții |
| Ransomware ca serviciu | grupuri care închiriază programul altor infractori, în schimbul unui procent | toate categoriile |
| Scareware | doar pretinde că fișierele sunt criptate sau că ai un virus | utilizatori neatenți |
Ultimul tip merită reținut: unele mesaje de tip „calculatorul tău a fost blocat de poliție, plătește amenda” nu au criptat nimic. Ele se bazează doar pe frică, la fel ca tehnicile descrise în articolul despre ingineria socială.
Pe unde intră ransomware-ul
Ransomware-ul are nevoie de o ușă de intrare, iar ușile folosite cel mai des sunt aceleași de ani de zile. Aproape niciodată nu este vorba despre un atac imposibil de oprit.
- Atașamente și linkuri din e-mail: documente care cer activarea macrocomenzilor, arhive cu fișiere executabile, linkuri spre „facturi” sau „documente de curierat”. Cum recunoști astfel de mesaje afli din Phishingul: cum recunoști mesajele și site-urile false.
- Programe piratate și „cracks”: jocuri, programe de birou sau de editare descărcate din surse neoficiale, care vin la pachet cu cod malițios.
- Vulnerabilități neactualizate: sisteme de operare, routere, servere sau echipamente de rețea pentru care s-au publicat de mult corecturi, dar care nu au fost instalate.
- Acces de la distanță expus: servicii de conectare la distanță deschise spre internet și protejate doar de o parolă slabă sau refolosită.
- Conturi furate: parole obținute prin phishing sau din scurgeri de date, folosite pentru a intra direct în sistem.
- Stick-uri USB necunoscute: mai rar, dar încă posibil, mai ales în mediile de birou.
Atenție: Un document care, la deschidere, îți cere să „activezi conținutul” sau „activezi editarea” ca să vezi textul este un semnal clasic. Documentele legitime se pot citi fără să rulezi macrocomenzi.
Cum se desfășoară un atac, pas cu pas
În companii, un atac de ransomware nu este un eveniment de o secundă, ci o operațiune care poate dura zile sau săptămâni. Criptarea este doar ultimul pas, cel vizibil.
- Accesul inițial: prin una dintre ușile de mai sus, atacatorul obține un punct de sprijin pe un calculator.
- Recunoașterea: explorează rețeaua, află ce servere există, unde sunt datele valoroase și unde sunt copiile de rezervă.
- Escaladarea: obține drepturi de administrator, adesea furând parole din memoria calculatoarelor sau profitând de conturi cu prea multe privilegii.
- Exfiltrarea: copiază datele importante în afara organizației, pentru șantajul cu publicarea.
- Sabotarea recuperării: șterge sau criptează copiile de rezervă accesibile din rețea și dezactivează funcțiile de restaurare ale sistemului.
- Criptarea: pornește simultan pe cât mai multe sisteme, de obicei noaptea sau în weekend.
- Șantajul: afișează nota de răscumpărare și, uneori, publică o mostră din datele furate.
Pasul 5 explică de ce o copie de rezervă păstrată pe un disc conectat permanent sau într-un folder din aceeași rețea nu ajută: atacatorul o găsește și o distruge înainte de criptare.
De ce fișierele nu pot fi decriptate fără cheie
Ransomware-ul modern folosește aceleași algoritmi de criptare care protejează băncile și comunicațiile tale, iar acești algoritmi nu au o „ușă din spate”. Fără cheie, încercarea tuturor variantelor ar dura mult mai mult decât vârsta universului.
Schema obișnuită combină cele două mari familii de criptare, descrise în articolul despre criptografie:
- fiecare fișier este criptat rapid cu o cheie simetrică generată aleatoriu;
- cheia simetrică este apoi criptată cu cheia publică a atacatorului;
- doar atacatorul are cheia privată care poate debloca acele chei.
Când există totuși o șansă
Există situații în care fișierele pot fi recuperate fără plată: programe malițioase scrise cu greșeli, chei descoperite de cercetători, servere ale infractorilor capturate de poliție. Pentru astfel de cazuri, inițiative internaționale susținute de forțe de poliție europene și de companii de securitate publică gratuit instrumente de decriptare pentru familii cunoscute de ransomware. Merită verificat, dar nu poate fi un plan.
Copiile de rezervă, singura apărare sigură
O copie de rezervă corectă transformă un atac de ransomware dintr-un dezastru într-un neajuns: ștergi sistemul, restaurezi fișierele și mergi mai departe. Cuvântul cheie este „corectă”, pentru că nu orice copie rezistă.
Regula 3-2-1 și varianta ei modernă
Regula 3-2-1 cere trei copii ale datelor, pe două tipuri de suport, dintre care una în altă locație. Pentru ransomware, specialiștii adaugă o condiție: cel puțin o copie trebuie să fie deconectată (offline) sau imuabilă, adică imposibil de modificat sau de șters pentru o perioadă stabilită, chiar și de un administrator.
| Tip de copie | Rezistă la ransomware? | De ce |
|---|---|---|
| Disc extern conectat permanent | nu | este criptat odată cu calculatorul |
| Folder sincronizat în cloud | parțial | fișierele criptate se sincronizează, dar multe servicii păstrează versiunile anterioare |
| Disc extern conectat doar la copiere | da | nu este accesibil în momentul atacului |
| Copie în cloud cu istoric de versiuni | da, de regulă | poți reveni la versiunea dinaintea criptării |
| Copie imuabilă sau pe suport deconectat, în alt loc | da | nu poate fi ștearsă sau modificată de atacator |
Diferența dintre sincronizare și copie de rezervă este importantă: sincronizarea copiază fidel orice schimbare, inclusiv criptarea, pe când o copie de rezervă păstrează stări anterioare. Mecanismul este explicat în Sincronizarea datelor între dispozitive: cum funcționează, iar despre locul fizic în care stau fișierele tale online afli în Stocarea în cloud: unde stau de fapt fișierele tale.
Sfat: Testează restaurarea, nu doar copierea. O dată la câteva luni, recuperează câteva fișiere din copia de rezervă pe alt dispozitiv. O copie pe care nu ai verificat-o niciodată poate fi incompletă sau coruptă exact când ai nevoie de ea.
Celelalte măsuri de protecție
Copiile de rezervă te ajută să te recuperezi, iar celelalte măsuri reduc șansele să ai nevoie de ele. Majoritatea sunt aceleași obiceiuri de bază din ghidul complet de securitate online, aplicate consecvent.
Pentru utilizatori obișnuiți
- Activează actualizările automate pentru sistemul de operare, browser și programele de birou.
- Instalează programe doar din magazinele oficiale sau de pe site-urile dezvoltatorilor.
- Lasă activată protecția integrată a sistemului de operare, inclusiv funcția de protecție a folderelor importante, dacă există.
- Folosește pentru lucrul zilnic un cont de utilizator fără drepturi de administrator.
- Protejează conturile cu parole unice și cu al doilea factor, descris în Autentificarea în doi pași (2FA): tipuri și avantaje.
Pentru firme mici și instituții
- Inventariază sistemele și instalează corecturile de securitate după un program fix.
- Nu expune spre internet servicii de acces la distanță fără protecție suplimentară, cum ar fi o rețea privată virtuală și autentificare multifactor.
- Limitează drepturile de administrator la persoanele și momentele în care sunt strict necesare.
- Separă rețeaua în zone, astfel încât un calculator infectat să nu ajungă direct la servere.
- Scrie un plan de răspuns la incidente: cine decide, pe cine anunțați, de unde restaurați.
- Instruiește angajații să recunoască mesajele suspecte și să raporteze rapid, fără teama de a fi sancționați.
Ce faci dacă ai fost lovit de ransomware
Primele minute contează: scopul este să oprești răspândirea și să păstrezi dovezile, nu să repari imediat. Panica duce adesea la ștergerea unor informații care ar fi ajutat la recuperare.
- Deconectează imediat dispozitivul de la rețea: scoate cablul, oprește Wi-Fi-ul. Nu îl opri neapărat, pentru că unele informații utile anchetei sunt în memorie.
- Deconectează discurile externe și verifică dacă și alte dispozitive din rețea sunt afectate.
- Fotografiază nota de răscumpărare și notează extensia fișierelor criptate; ele ajută la identificarea familiei de ransomware.
- Raportează incidentul. În România, Directoratul Național de Securitate Cibernetică (DNSC) primește raportări de incidente și oferă îndrumare, iar extorcarea se reclamă la poliție.
- Verifică existența unui instrument de decriptare gratuit pentru familia respectivă.
- Restaurează din copia de rezervă curată doar după ce sistemul a fost reinstalat complet sau curățat de specialiști.
- Schimbă toate parolele folosite pe dispozitivul afectat, de pe un dispozitiv curat.
Obligațiile legale ale organizațiilor
Pentru firmele și instituțiile care prelucrează date personale, un atac de ransomware este de regulă și o încălcare a securității datelor în sensul GDPR. Regulamentul cere, în cazurile pe care le prevede, notificarea autorității de supraveghere fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la constatare; în România, autoritatea este ANSPDCP. Unele organizații au și obligații de raportare a incidentelor de securitate cibernetică către DNSC, în funcție de domeniu și de mărime. Detaliile se schimbă în timp, așa că pentru cazul concret este nevoie de un jurist sau de un consultant în protecția datelor.
Să plătești sau nu?
Autoritățile de securitate cibernetică și poliția recomandă să nu plătești răscumpărarea. Plata nu garantează primirea unei chei funcționale, nu împiedică publicarea datelor furate, finanțează atacuri viitoare și te marchează ca țintă dispusă să plătească. Decizia finală într-o organizație aparține conducerii, cu sprijin juridic, dar o copie de rezervă bună face ca întrebarea să nu mai conteze.
Recapitulare: cum neutralizezi ransomware-ul
Ransomware-ul folosește criptografie reală, deci fișierele criptate nu pot fi recuperate prin forță, dar intră pe uși cunoscute și poate fi neutralizat printr-o pregătire simplă. O copie de rezervă deconectată sau imuabilă, testată periodic, este diferența dintre o zi pierdută și pierderea definitivă a datelor.
De reținut:
- ușile de intrare sunt atașamentele, programele piratate, sistemele neactualizate și conturile slab protejate;
- copia de rezervă trebuie să fie inaccesibilă atacatorului în momentul atacului;
- sincronizarea nu este copie de rezervă, pentru că sincronizează și criptarea;
- la atac, deconectezi, documentezi, raportezi și abia apoi restaurezi;
- plata răscumpărării nu garantează nimic și este descurajată de autorități.
Întrebări frecvente
Poate ransomware-ul să ajungă pe telefon?
Da, dar mult mai rar decât pe calculatoare, mai ales dacă instalezi aplicații doar din magazinul oficial. Pe telefoane sunt mai frecvente formele de tip locker sau aplicațiile false care doar sperie utilizatorul.
Antivirusul mă protejează complet de ransomware?
Nu complet. Protecția integrată oprește multe variante cunoscute, dar atacurile noi sau cele făcute manual de infractori o pot ocoli, motiv pentru care copia de rezervă deconectată rămâne esențială.
Fișierele din cloud sunt în siguranță?
Parțial. Dacă folderul este sincronizat, fișierele criptate ajung și în cloud, dar multe servicii păstrează un istoric al versiunilor din care poți restaura starea de dinaintea atacului.
Cât de des trebuie să fac o copie de rezervă?
Atât de des cât ești dispus să pierzi date. Pentru o familie, o copie săptămânală pe disc extern, plus copia continuă în cloud cu istoric de versiuni, este de obicei suficientă.
Trebuie să raportez un atac de ransomware dacă sunt persoană fizică?
Nu este obligatoriu, dar este util. Raportarea la DNSC și la poliție ajută la identificarea grupărilor și poate aduce informații despre instrumente de decriptare disponibile.
