Ofiara cyberataku: co zrobić w pierwszej godzinie
Zablokowane komputery, przejęta poczta, podejrzane przelewy: pierwsze decyzje przesądzają o dalszym przebiegu. Ta karta podaje kolejność działań — wydrukuj ją i trzymaj pod ręką.
Zespół redakcyjny Kayzen Security3 min czytania
1. Ograniczyć skutki
- Odłącz od sieci (kabel i Wi-Fi) urządzenia, które wyglądają na zaatakowane.
- Jeśli atak się rozprzestrzenia, odetnij dostęp do Internetu w lokalizacji lub odizoluj dotkniętą sieć.
- Z czystego urządzenia zmień hasła przejętych kont, zaczynając od poczty i kont administratorów.
- Odłącz kopie zapasowe, które są jeszcze podłączone do sieci.
2. Zaalarmować
- Swojego dostawcę usług IT lub osobę odpowiedzialną za bezpieczeństwo.
- Kierownictwo, które decyduje o komunikacji i zgłoszeniach.
- Swój bank, natychmiast, w razie oszukańczego przelewu lub wątpliwości co do rachunków.
- Swojego ubezpieczyciela, jeśli masz ubezpieczenie cyber: niektóre umowy przewidują termin zgłoszenia i pomoc. Uwaga: odszkodowanie wymaga złożenia zawiadomienia w ciągu 72 godzin (patrz niżej).
3. Zachować dowody
- Zapisuj w dzienniku godzinę każdego ustalenia i każdego działania.
- Fotografuj komunikaty wyświetlane na ekranie.
- Zachowaj podejrzane e-maile wraz z nagłówkami, logi oraz urządzenia w niezmienionym stanie.
- Niczego nie usuwaj i niczego nie instaluj ponownie bez opinii specjalisty, który Ci pomaga.
4. Uzyskać pomoc i zgłosić
- 17Cyber (17cyber.gouv.fr): bezpłatna diagnoza online i porady; Cybermalveillance.gouv.fr kieruje do usługodawców z francuskim oznaczeniem ExpertCyber.
- Zawiadomienie na policji lub w żandarmerii, bez zwłoki. Przedsiębiorcy ubezpieczeni od ryzyka cybernetycznego: francuski kodeks ubezpieczeń (article L.12-10-1 du code des assurances) uzależnia wypłatę odszkodowania od złożenia zawiadomienia najpóźniej 72 godziny po wykryciu ataku. Złóż zawiadomienie bez zwłoki, a następnie powiadom ubezpieczyciela. Kwestia do potwierdzenia z ubezpieczycielem lub specjalistą.
- Naruszenie ochrony danych osobowych: zgłoszenie do CNIL bez zbędnej zwłoki i w miarę możliwości w ciągu 72 godzin, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób; zawiadomienie osób w przypadku wysokiego ryzyka (art. 33 i 34 RODO).
- Podmioty podlegające NIS2: w razie poważnego incydentu wczesne ostrzeżenie do CSIRT lub właściwego organu w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca. Do potwierdzenia ze specjalistą.
- Nie płać okupu: to stałe zalecenie władz.
5. Wznowić działalność i wyciągnąć wnioski
- Ustal drogę wejścia i usuń lukę przed ponownym uruchomieniem wszystkiego.
- Przywróć dane z czystych, sprawdzonych kopii zapasowych.
- Uważnie monitoruj konta i stanowiska w kolejnych tygodniach.
- Zorganizuj analizę poincydentalną i zaktualizuj plan reagowania.
Obowiązki zgłoszeniowe (RODO, NIS2, umowa ubezpieczenia, zawiadomienie w ciągu 72 godzin w celu uzyskania odszkodowania cyber) zależą od Twojej sytuacji: potwierdź je ze specjalistą. Ten poradnik ma charakter informacyjny i nie zastępuje wsparcia wykwalifikowanego usługodawcy.
Oficjalne źródła
- 17Cyber (nowa karta) — Le réflexe en cas de cybermalveillance (Police nationale, Gendarmerie nationale, Cybermalveillance.gouv.fr)
- Cybermalveillance.gouv.fr (nowa karta) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
- CNIL (nowa karta) — Commission nationale de l'informatique et des libertés
- EUR-Lex (nowa karta) — Règlement (UE) 2016/679 (RGPD)
- EUR-Lex (nowa karta) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
Cytowane materiały są publikowane przez ich autorów w języku oryginału. Kayzen nie jest powiązany z żadną z tych instytucji.
Ten poradnik ma charakter informacyjny i ogólny. Nie zastępuje porady prawnej ani interwencji specjalisty ds. bezpieczeństwa IT.