W 2026 roku ransomware nadal będzie atakiem na biznes, a nie na pliki. Najlepsza obrona łączy MFA odporne na phishing, rygorystyczną higienę tożsamości, segmentację, EDR z logowaniem oraz kopie zapasowe z testowanym odtwarzaniem. To ogranicza szkody nawet wtedy, gdy ktoś już wejdzie.
Jak wygląda ransomware „tu i teraz” i co to mówi o 2026 roku?
Trendy z ostatnich dużych raportów są dość jednoznaczne:
- W małych firmach ransomware jest wyjątkowo częstym elementem incydentów: DBIR 2025 wprost wskazuje, że w większych organizacjach ransomware jest składnikiem 39% naruszeń, a w SMB aż 88%.
- W praktyce reagowania na incydenty (IR) ransomware stanowi dużą część pracy: Mandiant podaje, że zdarzenia ransomware odpowiadały za ok. 21% wszystkich jego dochodzeń w 2024 roku.
- Ekonomia ataku pozostaje brutalna: Sophos raportuje medianę zapłaconego okupu na poziomie 1 mln USD (2025) i średni koszt przywrócenia działania „bez płacenia” w wysokości 1,53 mln USD. Co więcej, tylko 54% organizacji użyło kopii zapasowych do odtworzenia zaszyfrowanych danych, a 49% zapłaciło okup.
Wniosek na 2026 rok (robocza prognoza oparta na tych danych): atakujący jeszcze mocniej będą grać presją czasu i ciągłością działania, a firmy będą wygrywać nie tym, że „nikt się nie włamał”, lecz zdolnością do szybkiej izolacji i odtworzenia.
Jakie są najczęstsze drogi wejścia w atakach ransomware?
Jeśli chcesz bronić się skutecznie, musisz bronić „wejścia”, a nie tylko „szyfratora”.
Mandiant wprost wskazuje, że w włamaniach związanych z ransomware (2024) najczęstszymi wektorami początkowymi były:
- brute force (w tym password spraying, RDP, VPN, hasła domyślne),
- następnie skradzione poświadczenia i exploity (po 21% każdy w ich zbiorze danych), dalej „wcześniejsza kompromitacja” i kompromitacja strony trzeciej.
Co ważne operacyjnie: Mandiant zauważa też, że w przypadkach ransomware to sami atakujący „powiadamiają” ofiarę w dużej części przypadków (model wymuszenia), a mediana dwell time dla włamań związanych z ransomware wynosi 6 dni.
Oznacza to jedno: masz bardzo mało czasu. Obrona musi działać automatycznie – a nie „kiedy ktoś zauważy”.
Co w ransomware będzie w 2026 roku najgroźniejsze dla firm?
Najbardziej bolesne nie są same algorytmy szyfrowania, lecz trzy warstwy presji:
- Wymuszenie przez dostępność
Ataki są projektowane tak, by zatrzymać sprzedaż, produkcję i obsługę klienta. Czas jest walutą. - Podwójne i potrójne wymuszenie
Szyfrowanie plus groźba publikacji danych, czasem z dodatkową presją na klientów i partnerów. ENISA opisuje dalszą ewolucję od „samego szyfrowania” w stronę wymuszeń opartych na danych. (securitydelta.nl) - Ataki na tożsamość i zaufanie
Kompromitacja kont uprzywilejowanych, przejęcia M365/Google Workspace, wykorzystanie skradzionych haseł i tokenów. W praktyce obrona „sieci” bez obrony „tożsamości” to dziś jak zamknięcie drzwi na klucz przy otwartym oknie.
Jak wygląda strategia obrony, która realnie zmniejsza ryzyko w 2026 roku?
Dobra strategia nie zakłada, że „nie wejdą”. Zakłada, że próbują codziennie, a Twoim zadaniem jest:
- utrudnić wejście,
- szybko wykryć,
- odciąć rozprzestrzenianie,
- przywrócić działanie.
Poniżej praktyczny, sprawdzalny zestaw kontroli.
Jak zbudować ochronę „identity-first”, która blokuje większość realnych dróg wejścia?
To fundament, bo brute force i skradzione poświadczenia pojawiają się w danych IR raz po raz.
Wdrożenia o najlepszym stosunku efektu do kosztu:
- MFA wszędzie, ale z głową: priorytetem są konta administratorów, VPN, poczta, konsole zarządzania, RDP i systemy finansowe.
- Ochrona przed phishingiem: tam, gdzie to możliwe, przechodź na metody odporne na phishing (np. klucze sprzętowe/passkeys) – przynajmniej dla ról krytycznych.
- PAM i rozdzielenie ról: administrator nie powinien używać tego samego konta do poczty i do zarządzania serwerami.
- Rygorystyczne blokady brute force: limity prób, blokady, geoblokowanie i wymuszanie silnych haseł jako etap przejściowy.
- Kontrola rejestracji MFA: Mandiant podkreśla znaczenie weryfikacji przy pierwszej rejestracji MFA i blokad po wielokrotnych nieudanych próbach.
Jak ograniczyć rozprzestrzenianie się ransomware, gdy atakujący jest już w środku?
To obszar, który zwykle decyduje o tym, czy skończy się na „incydencie”, czy na „katastrofie”.
- Segmentacja: oddziel stacje robocze, serwery, kopie zapasowe, OT/IoT i środowiska testowe.
- Ograniczenie ruchu bocznego (lateral movement): blokuj zbędny ruch, zwłaszcza RDP/SMB/WMI między segmentami.
- Hardening AD/Entra ID: bo przejęcie tożsamości uprzywilejowanej to często krytyczny punkt zwrotny.
- Minimalizacja uprawnień: „wszyscy są lokalnymi administratorami” to przepis na szybką eskalację.
W praktyce nawet prosta segmentacja w połączeniu z ograniczonymi uprawnieniami potrafi zamienić atak w problem ograniczony do kilku hostów.
Jakie logi i detekcje są potrzebne, by wykryć atak przed szyfrowaniem?
Ponieważ mediana dwell time w ransomware bywa krótka, detekcja musi opierać się na sygnałach, które pojawiają się wcześnie.
Minimum, które ma sens w firmach SMB i mid-market:
- EDR/XDR na endpointach i serwerach: wykrywanie oparte na zachowaniu, a nie tylko na sygnaturach.
- Alerty dotyczące tożsamości: nietypowe logowania, dodanie konta administratora, resety MFA, masowe próby logowania.
- Centralne logowanie (choćby w lekkiej wersji): żebyś mógł odpowiedzieć na pytania „kto, kiedy, skąd”.
- Wykrywanie eksfiltracji: bo wymuszenia oparte na danych zyskują na znaczeniu. (securitydelta.nl)
Jak zbudować backup i odtwarzanie, żeby nie skończyć na płaceniu okupu?
Liczby są tu otrzeźwiające: Sophos pokazuje, że wykorzystanie kopii zapasowych do odtworzenia zaszyfrowanych danych spadło do 54%, a 49% ofiar płaci okup.
Dlatego backup w 2026 roku to nie „kopia”, lecz system odtwarzania:
- Zasada 3-2-1 (3 kopie, 2 rodzaje nośników, 1 poza siedzibą) plus współczesny dodatek: kopia niezmienialna (immutable) lub logicznie odseparowana.
- Oddzielenie domeny backupu: kopiami nie można zarządzać z tych samych kont, które kontrolują AD i serwery.
- Testy odtwarzania: cyklicznie, ze stoperem w ręku – RTO (czas) i RPO (utrata danych).
- Priorytety usług: co odtwarzasz najpierw, żeby biznes działał (np. ERP/CRM/płatności).
Jeśli masz kopie zapasowe, ale nie masz przećwiczonego procesu odtwarzania, w praktyce masz los na loterii.
Jak przygotować plan reagowania na ransomware, żeby nie improwizować w najgorszym dniu roku?
Plan IR (incident response) na wypadek ransomware powinien być krótki i użyteczny w stresie:
- kto podejmuje decyzje (IT, zarząd, dział prawny, PR),
- jak izolujesz: konta, sieć, EDR containment,
- jak zabezpieczasz dowody,
- jak komunikujesz się z klientami i partnerami,
- kiedy angażujesz zewnętrzny zespół IR.
Bardzo praktyczny element na 2026 rok: rozstrzygnij z wyprzedzeniem kwestię „czy płacimy”. Bo gdy przychodzi presja, racjonalne myślenie znika. A koszty są realne: mediana okupu to nadal 1 mln USD, a koszt przywrócenia działania bez płacenia, według danych Sophos, wynosi 1,53 mln USD.
Jak wygląda sensowny plan wdrożenia „ransomware-ready” na 30/60/90 dni?
0–30 dni: największy zwrot, najszybciej
- MFA wszędzie dla administratorów, poczty, VPN i konsol
- blokady brute force i uporządkowane konta uprzywilejowane
- EDR na serwerach i stacjach roboczych (przynajmniej krytycznych)
- podstawowa segmentacja i ograniczenie RDP/SMB
- backup z kopią off-site plus pierwsza próba odtworzenia
31–60 dni: odporność na rozprzestrzenianie i wymuszenie
- rozdzielenie kont administratorów i użytkowników, wstępny PAM
- centralne logowanie (tożsamość, endpointy, serwery)
- playbooki: izolacja, odtwarzanie, komunikacja
- hardening AD/Entra i kontrola rejestracji MFA
61–90 dni: dojrzałość operacyjna
- kopie immutable/write-once i regularne testy RTO/RPO
- wykrywanie eksfiltracji i anomalii ruchu
- ćwiczenie tabletop z udziałem zarządu (scenariusz „wyciek danych + szyfrowanie”)
- umowa lub retainer z zewnętrznym dostawcą IR (jeśli ma to sens w Twojej skali)
Jakie 7 decyzji najczęściej przesądza o tym, czy ransomware kończy się „incydentem”, czy „katastrofą”?
- Czy masz MFA i czy chronisz konta uprzywilejowane.
- Czy brute force na VPN/RDP jest realnie zablokowany.
- Czy masz EDR i potrafisz izolować hosty w ciągu minut.
- Czy sieć jest segmentowana, a uprawnienia minimalne.
- Czy backup jest odseparowany i przetestowany.
- Czy masz logi i alerty dotyczące zdarzeń tożsamości.
- Czy masz plan IR i przećwiczoną decyzję „co robimy, gdy…”.