Ce este ransomware? Ghid complet: cum acționează și cum te protejezi

Ransomware este un tip de program periculos care îți criptează fișierele sau îți blochează accesul la sisteme, apoi cere o sumă de bani („răscumpărare") pentru a-ți reda accesul. Este una dintre cele mai distructive forme de atac cibernetic, capabilă să oprească din funcțiune o firmă întreagă în câteva ore și să provoace pagube de zeci de mii de euro chiar și unei companii mici.

Spre deosebire de un furt clasic de date, ransomware nu îți fură neapărat informația — ți-o face inaccesibilă. Fișierele rămân pe disc, dar sunt criptate cu o cheie pe care doar atacatorul o deține. În ghidul ăsta explicăm, pe înțelesul tuturor, cum funcționează un atac ransomware, cum se răspândește și de ce experții și autoritățile recomandă să nu plătești niciodată răscumpărarea.

Ce înseamnă ransomware, mai exact

Cuvântul vine din engleză, de la „ransom" (răscumpărare) și „software". E un subtip de atac cibernetic cu un scop foarte clar: să transforme datele tale în ostatic. Există două variante principale:

• Crypto-ransomware — criptează fișierele (documente, poze, baze de date) astfel încât nu mai pot fi deschise fără cheia de decriptare. Este forma cea mai frecventă azi.
• Locker ransomware — blochează accesul la întregul dispozitiv sau ecran, fără să cripteze neapărat fișierele individuale. Mai rar întâlnită la firme, mai frecventă pe telefoane.

În ambele cazuri, pe ecran apare de regulă un mesaj care explică ce s-a întâmplat, suma cerută (adesea în criptomonedă, ca să fie greu de urmărit) și un termen-limită, menit să te panicheze și să te grăbească să plătești.

Cum funcționează un atac ransomware, pas cu pas

1. Intrarea. Atacatorul obține acces în rețea — cel mai des printr-un e-mail de phishing, un serviciu de acces la distanță expus pe internet sau o vulnerabilitate nepatch-uită.
2. Explorarea. Odată intrat, nu criptează imediat. Explorează rețeaua, caută servere, backup-uri și date valoroase, și își extinde accesul la cât mai multe sisteme posibil.
3. Exfiltrarea (tot mai des). Înainte să cripteze, copiază datele sensibile pe serverele proprii — asta îi dă o a doua pârghie de șantaj, chiar dacă restaurezi din backup.
4. Detonarea. La momentul ales (adesea noaptea sau într-un weekend, când nimeni nu observă imediat), pornește criptarea în masă pe cât mai multe dispozitive și servere deodată.
5. Cererea. Apare mesajul cu suma cerută, instrucțiunile de plată și, tot mai frecvent, amenințarea că datele furate vor fi publicate sau vândute dacă nu plătești.

Cum se răspândește ransomware-ul

Aproape toate atacurile ransomware pornesc de la una dintre aceste căi:

• Phishing — un e-mail cu un atașament sau link infectat, deschis de un singur angajat neatent, este cea mai frecventă poartă de intrare. Vezi ghidul complet despre phishing.
• Acces la distanță expus (RDP) — servicii de conectare la distanță lăsate deschise pe internet, cu parole slabe sau fără autentificare în doi pași, sunt scanate constant de atacatori și sparte prin încercări automate.
• Vulnerabilități nepatch-uite — sisteme de operare, servere sau aplicații neactualizate, cu găuri de securitate cunoscute public, pe care atacatorii le exploatează automat, la scară largă.
• Site-uri și reclame infectate — descărcări declanșate automat la simpla vizitare a unei pagini compromise.
• Software piratat sau USB-uri infectate — surse de încredere scăzută, folosite frecvent ca vector de intrare pentru utilizatori individuali.
• Atacuri prin furnizori (supply chain) — o actualizare de software compromisă la un furnizor ajunge, prin lanțul de încredere, direct în rețeaua ta.

Ransomware-as-a-Service: de ce a explodat fenomenul

Astăzi nu mai e nevoie ca atacatorul să fie un programator priceput. Grupări specializate dezvoltă „kituri" de ransomware pe care le închiriază unor „afiliați" — infractori care doar găsesc și infectează victimele, în schimbul unui procent din răscumpărare. Acest model, numit Ransomware-as-a-Service (RaaS), a coborât drastic bariera de intrare și explică de ce numărul atacurilor a crescut atât de mult în ultimii ani. Găsești exemple concrete de grupări și cazuri notabile în exemple de ransomware.

De ce NU se recomandă plata răscumpărării

Instinctul de a plăti, ca să recuperezi rapid datele, este de înțeles — dar autoritățile de securitate cibernetică, inclusiv DNSC în România, recomandă ferm să nu plătești. Motivele sunt concrete, nu doar principiale:

• Nu ai nicio garanție că vei primi o cheie de decriptare funcțională, sau că vei primi vreo cheie.
• Finanțezi direct crima organizată, alimentând infrastructura care pregătește atacul următor — asupra ta sau a altcuiva.
• Nu recuperezi datele furate. Dacă atacatorii au copiat informațiile înainte de criptare, ele rămân în posesia lor indiferent dacă plătești sau nu.
• Devii o țintă „bună de plată". Grupările își notează victimele care au plătit și revin, direct sau prin alte grupări, știind că există voință de plată.
• În unele cazuri poate fi ilegal — plata către entități aflate sub sancțiuni internaționale poate constitui, ea însăși, o încălcare a legii.

Alternativa corectă este să ai deja o strategie de recuperare pregătită dinainte — vezi cum te protejezi de ransomware — și, dacă ești deja infectat, să urmezi pașii corecți de răspuns la incident, detaliați în ce faci dacă ai ransomware.

Cât costă un atac ransomware, de fapt

Suma cerută de atacatori este adesea doar o mică parte din costul real. La ea se adaugă zilele sau săptămânile de oprire a activității, costul recuperării sistemelor, eventualele amenzi GDPR dacă au fost expuse date cu caracter personal și pierderea încrederii clienților. Pentru multe firme mici, un atac ransomware netratat corect poate însemna închiderea afacerii.

Cum te protejezi și cum reacționezi, pe scurt

Prevenția se construiește din câteva măsuri esențiale — backup corect, protecție EDR, actualizări la zi, segmentarea rețelei și autentificare în doi pași — pe care le detaliem pas cu pas în ghidul de protecție împotriva ransomware. Dacă atacul s-a produs deja, ordinea corectă a acțiunilor — izolare, neplată, raportare, restaurare — este esențială și e explicată integral în ce faci dacă ai fost deja infectat.

Ransomware în firme: de ce e o prioritate de business, nu doar de IT

Pentru o companie, un atac ransomware reușit nu e o problemă tehnică izolată — e un risc care poate opri producția, factura clienți, plata salariilor sau accesul la propriile documente contabile. De aceea protecția reală combină mai multe servicii: un audit de securitate cibernetică care identifică punctele slabe înainte să fie exploatate, protecție antivirus și EDR de nivel business pe toate dispozitivele, și monitorizare 24/7 (SOC) care detectează un atac în desfășurare înainte ca acesta să apuce să cripteze totul.

Vrei să știi cât de expusă e firma ta la un atac ransomware? Cere un audit gratuit de securitate — identificăm punctele de intrare posibile și îți spunem exact ce să întărești primul.

Întrebări frecvente