Dlaczego tradycyjny backup 3-2-1 już nie wystarcza: ochrona przed nowoczesnym ransomware

Wielu przedsiębiorców żyje w złudnym poczuciu bezpieczeństwa: „Przecież mamy firmowego OneDrive'a / Google Drive'a i zewnętrzny dysk podłączony do serwera, nic nam nie grozi”. W serwisie komputerowym MGSupport regularnie spotykam się ze skutkami takiego myślenia. Gdy nowoczesne ransomware infekuje sieć firmową, synchronizator w chmurze działa dokładnie tak, jak został zaprogramowany: wykrywa zmianę plików i w kilkanaście minut nadpisuje zdrowe kopie zaszyfrowanym śmieciem na wszystkich urządzeniach.

Jak atakuje współczesne ransomware w 2026 roku? 🛑

Skończyły się czasy prymitywnych wirusów, które szyfrowały dysk w 5 minut po kliknięciu w załącznik. Dzisiejsze grupy cyberprzestępcze stosują taktykę Dwell Time (ciche leżakowanie):

• Kradzież ciasteczek sesyjnych (Session Hijacking): Zamiast łamać hasła czy omijać dwuskładnikowe uwierzytelnienie (2FA), złośliwe oprogramowanie kradnie tokeny sesyjne bezpośrednio z przeglądarki pracownika. Atakujący wchodzi do systemów firmowych bez podawania hasła.
• Infiltracja i uśpienie: Przez 30-90 dni oprogramowanie nie robi nic widocznego. Obserwuje sieć, mapuje udziały sieciowe (SMB/NFS) i czeka, aż codzienne kopie zapasowe zrotują się i zostaną nadpisane wersjami zawierającymi uśpionego szkodnika.
• Zniszczenie kopii i uderzenie: W pierwszej kolejności szyfrowane są podłączone dyski USB i widoczne zasoby backupowe. Dopiero na końcu szyfrowane są komputery użytkowników i wyświetla się żądanie okupu w kryptowalucie.

Ewolucja standardu: Reguła 3-2-1-1-0 🛡️

Klasyczna reguła 3-2-1 (3 kopie, 2 różne nośniki, 1 poza firmą) to dziś za mało. Standardem w cyberbezpieczeństwie stała się reguła 3-2-1-1-0:

• 3 kopie ważnych danych (produkcja + 2 kopie zapasowe).
• 2 różne typy nośników (np. lokalna macierz dyskowa i niezależna chmura).
• 1 kopia w bezpiecznej lokalizacji zewnętrznej (offsite).
• 1 kopia niemutowalna (Immutable / Air-gapped): Kopia z blokadą WORM (Write Once, Read Many). Po zapisaniu danych nikt – nawet administrator z uprawnieniami root – nie może ich skasować ani zmodyfikować przez zdefiniowany czas (np. 30 dni).
• 0 błędów podczas odzyskiwania: Regularnie testowana procedura Disaster Recovery. Kopia zapasowa, której nigdy nie próbowałeś odtworzyć, w rzeczywistości nie istnieje.

Architektura Pull zamiast Push: klucz do ochrony serwera 🔐

Kardynalnym błędem jest konfiguracja, w której Twój serwer produkcyjny ma uprawnienia zapisu do serwera kopii zapasowych (model Push). Jeśli intruz przejmie serwer produkcyjny, natychmiast użyje zapisanych kluczy SSH, aby skasować wszystkie archiwa na maszynie backupowej.

Wdrożenie bezpieczne opiera się na architekturze Pull: dedykowany serwer backupowy łączy się z maszyną produkcyjną w trybie tylko do odczytu, pobiera zrzuty baz danych i migawki plików, po czym natychmiast zamyka połączenie. Serwer produkcyjny nie wie nawet, jaki jest adres ani hasło serwera kopii zapasowych.

Sprawdź również: Serwis komputerowy i wsparcie IT dla firm oraz Bezpieczna infrastruktura i systemy IT.