ransomware przez e-mail

Ransomware przez e-mail to najczęstszy dziś wektor infekcji tym typem złośliwego oprogramowania.

Ransomware przez e-mail – czym jest ten sposób ataku

Ransomware przez e-mail oznacza próbę uruchomienia programu blokującego dostęp do danych za pomocą wiadomości dostarczonej do skrzynki pocztowej. Celem może być zaszyfrowanie dokumentów, zdjęć, projektów, baz danych albo plików synchronizowanych z komputerem. Po udanym ataku dane stają się nieczytelne, a użytkownik otrzymuje komunikat żądający określonego działania w zamian za możliwość odzyskania dostępu. Samo otrzymanie wiadomości nie oznacza jeszcze infekcji. Zagrożenie pojawia się zwykle po otwarciu załącznika, kliknięciu odnośnika, uruchomieniu pliku albo wykonaniu instrukcji prowadzącej do pobrania szkodliwego programu.

Wiadomość może wyglądać jak zwykła korespondencja związana z dostawą, dokumentem księgowym, płatnością, rezerwacją, przesyłką lub kontem internetowym. Nadawca bywa przedstawiony jako znana firma, osoba z działu administracji albo kontrahent. Treść często ma skłonić do szybkiej reakcji, ponieważ pośpiech ogranicza czas na sprawdzenie adresu nadawcy i prawdziwości załącznika. Zdarza się także, że atakujący wykorzystuje wcześniejszą korespondencję i dopasowuje temat wiadomości do realnych zainteresowań odbiorcy.

Ransomware przez e-mail a inne drogi infekcji

Poczta elektroniczna jest wygodnym kanałem ataku, ponieważ pozwala dotrzeć do wielu osób bez bezpośredniego dostępu do ich urządzeń. W odróżnieniu od infekcji rozpoczynającej się od podejrzanej strony internetowej, tutaj pierwszy etap odbywa się w skrzynce odbiorczej. Złośliwy plik może mieć rozszerzenie kojarzone z dokumentem, arkuszem, archiwum lub formularzem. Nie zawsze musi być widoczne na pierwszy rzut oka, ponieważ nazwa może zawierać kilka rozszerzeń albo nietypowe znaki.

Wiadomości zawierające ransomware przez e-mail mogą być kierowane zarówno do pojedynczego użytkownika, jak i do wielu adresatów. W pierwszym przypadku treść bywa bardziej dopasowana, natomiast w drugim często stosuje się ogólny temat związany z fakturą, przesyłką lub aktualizacją danych. Znaczenie ma również sposób działania programu ochronnego. Nie każda aplikacja zabezpieczająca rozpoznaje nową odmianę zagrożenia przed jej uruchomieniem, dlatego sama obecność ochrony nie zastępuje ostrożnej oceny wiadomości.

Warto rozróżnić blokadę ekranu od szyfrowania plików. Pierwszy wariant może utrudniać korzystanie z systemu, ale dane mogą pozostać nietknięte. Drugi zmienia zawartość wielu plików w taki sposób, że nie można ich normalnie otworzyć. Czasem następuje połączenie obu mechanizmów. Może pojawić się również próba usunięcia kopii zapasowych, wyłączenia narzędzi ochronnych oraz przeszukania dysków sieciowych dostępnych dla zalogowanego użytkownika.

Ransomware przez e-mail – typowe problemy po otwarciu wiadomości

Jednym z pierwszych sygnałów jest nagła zmiana nazw plików lub pojawienie się dodatkowych zakończeń nazw. Dokumenty, fotografie i arkusze mogą przestać otwierać się w używanych programach. Na pulpicie, w folderach albo w przeglądarce może zostać zapisany komunikat dotyczący odzyskania danych. Czasami zmienia się tło pulpitu, pojawiają się nowe skróty lub wyświetlane są powtarzające się okna.

Niepokój powinny wzbudzić także nietypowe spowolnienie pracy, intensywne wykorzystanie dysku, znikanie wolnego miejsca oraz nieoczekiwane procesy uruchomione w tle. W przypadku urządzeń połączonych z innymi komputerami problem może wyjść poza jeden dysk. Zaszyfrowane mogą zostać foldery udostępnione, jeżeli konto użytkownika miało odpowiednie uprawnienia. Dlatego po zauważeniu objawów nie powinno się kontynuować pracy, otwierać kolejnych dokumentów ani przeglądać wszystkich folderów w celu sprawdzania skali szkody.

Ryzyko obejmuje również dane dostępowe. Wiadomość może prowadzić do strony łudząco podobnej do panelu pocztowego i nakłaniać do wpisania hasła. Jeżeli takie dane zostaną przejęte, napastnik może wykorzystać konto do wysyłania następnych wiadomości, przeglądania korespondencji oraz wyszukiwania dokumentów. Z tego powodu incydent należy traktować szerzej niż pojedynczy uszkodzony plik. W grę może wchodzić bezpieczeństwo skrzynki, innych urządzeń i kopii zapasowych.

Ransomware przez e-mail – praktyczne wskazówki ochronne

Przed otwarciem załącznika należy sprawdzić pełny adres nadawcy, a nie tylko wyświetlaną nazwę. Przydatne jest także niezależne potwierdzenie wiadomości, na przykład przez kontakt znanym numerem lub kanałem używanym wcześniej. Nie powinno się korzystać z danych kontaktowych umieszczonych wyłącznie w podejrzanej wiadomości. Szczególną ostrożność zaleca się przy archiwach, dokumentach wymagających włączenia makr oraz plikach, które proszą o uruchomienie dodatkowego składnika.

System, przeglądarka, program pocztowy i aplikacje do otwierania dokumentów powinny być aktualizowane z użyciem ich zwykłych mechanizmów. Konta warto zabezpieczać odrębnymi, długimi hasłami oraz dodatkowym składnikiem logowania, jeśli jest dostępny. Uprawnienia użytkownika powinny odpowiadać rzeczywistym potrzebom, ponieważ ograniczenie dostępu zmniejsza zakres możliwych zmian w razie uruchomienia szkodliwego pliku.

Najważniejszą ochroną danych pozostaje kopia zapasowa wykonywana regularnie i przechowywana w sposób odseparowany od głównego komputera. Kopia podłączona stale do urządzenia może zostać zmieniona razem z pozostałymi plikami. Okresowo warto sprawdzić, czy z kopii można rzeczywiście odtworzyć wybrany dokument. Sam fakt wykonania kopii nie potwierdza jeszcze jej przydatności, ponieważ nośnik może być uszkodzony, niekompletny albo zawierać już zmienione dane.

Gdy wiadomość budzi wątpliwości, nie należy odpowiadać, klikać odnośników ani pobierać załącznika. Można oznaczyć ją jako podejrzaną w programie pocztowym i przekazać administratorowi lub osobie odpowiedzialnej za bezpieczeństwo. Jeżeli plik został już uruchomiony, warto natychmiast odłączyć urządzenie od sieci przewodowej i bezprzewodowej, nie kasować komunikatów oraz nie instalować przypadkowych narzędzi obiecujących odzyskanie danych.

Ransomware przez e-mail – kiedy zgłosić się do serwisu

Pomoc serwisowa jest wskazana po uruchomieniu nieznanego załącznika, zauważeniu zmienionych nazw plików, pojawieniu się komunikatu o blokadzie danych albo utracie dostępu do dokumentów. Dotyczy to również sytuacji, w której komputer działa pozornie normalnie, lecz z konta pocztowego wysyłane są wiadomości, których nie przygotowano. Wczesne odłączenie urządzenia od sieci i zachowanie informacji o czasie zdarzenia może ułatwić ocenę sytuacji. Nie powinno się samodzielnie formatować dysku, ponieważ może to utrudnić ustalenie rodzaju problemu i ograniczyć możliwości odzyskania danych.

W przypadku ransomware przez e-mail można zgłosić się do Warszawskiego Pogotowia Komputerowego 24/7 pod numerem +48 22 100 48 29. Przydatne jest przekazanie urządzenia wraz z informacją o podejrzanej wiadomości, godzinie jej otwarcia, widocznych objawach oraz lokalizacji najważniejszych kopii zapasowych. W trakcie oceny sprawdza się między innymi stan plików, działanie systemu, aktywność podejrzanych procesów i możliwość bezpiecznego odtworzenia danych. W przypadku skrzynki pocztowej konieczna może być także zmiana hasła z innego, zaufanego urządzenia oraz przegląd aktywnych sesji logowania.

Odzyskanie danych nie zawsze jest możliwe, dlatego znaczenie ma szybkie zgłoszenie i niewykonywanie pochopnych operacji. Jeżeli istnieje sprawna, odseparowana kopia, przywracanie można przeprowadzić dopiero po usunięciu źródła problemu i zabezpieczeniu kont. Po zakończeniu prac warto ponownie przeanalizować ustawienia poczty, zasady otwierania załączników oraz sposób wykonywania kopii zapasowych, aby podobna wiadomość nie doprowadziła do powtórzenia całego zdarzenia.