Ransomware (ang. ransom – okup, software – oprogramowanie) to złośliwe oprogramowanie, które szyfruje pliki lub blokuje system ofiary i żąda okupu za przywrócenie dostępu. Okup jest dziś niemal zawsze płacony w kryptowalutach, dlatego ransomware jest jednym z głównych źródeł przestępczych przepływów w Bitcoinie i jednym z argumentów regulatorów za kontrolą rynku krypto.
Jak przebiega atak
- Wejście – zainfekowany załącznik, fałszywa aktualizacja, wykradzione hasło do zdalnego pulpitu lub VPN, niezałatana luka w oprogramowaniu.
- Rozpoznanie – w atakach na firmy przestępcy często tygodniami poruszają się po sieci, szukają kopii zapasowych i najcenniejszych danych.
- Kradzież danych – przed szyfrowaniem wynoszą dane, żeby mieć drugi argument: groźbę publikacji (tzw. podwójne wymuszenie).
- Szyfrowanie – pliki stają się nieczytelne, pojawia się notatka z żądaniem i instrukcją płatności.
- Negocjacje i płatność – w kryptowalucie, na adres wskazany przez grupę.
Rodzaje ransomware
| Rodzaj | Działanie |
|---|---|
| Crypto-ransomware | szyfruje pliki, bez klucza są nieczytelne |
| Locker | blokuje dostęp do systemu, ale nie szyfruje danych |
| Podwójne wymuszenie | szyfrowanie plus groźba publikacji wykradzionych danych |
| Ransomware-as-a-Service (RaaS) | twórcy udostępniają narzędzie „partnerom” i biorą procent od okupów |
Głośne przykłady to WannaCry z 2017 r., który zainfekował setki tysięcy komputerów na świecie, oraz atak na Colonial Pipeline w 2021 r. – firma zapłaciła około 75 BTC, a amerykański Departament Sprawiedliwości odzyskał później większość tej kwoty, śledząc przepływy w blockchainie.
Ransomware a kryptowaluty
- Bitcoin jest najczęstszą walutą okupu, bo ofiary łatwo go kupią. Jego blockchain jest jednak jawny, więc firmy analityczne i organy ścigania śledzą przepływy aż do giełd, gdzie przestępcy próbują wymienić środki.
- Monero i inne monety prywatnościowe są trudniejsze do śledzenia, dlatego część grup ich żąda lub dolicza premię za płatność w BTC. Wiele giełd usunęło takie monety z oferty.
- Sankcje – władze USA nakładają sankcje na grupy ransomware, pośredników i firmy hostingowe. Zapłata okupu podmiotowi objętemu sankcjami może naruszać prawo.
- Skala – według Chainalysis ofiary zapłaciły w 2025 r. ok. 820 mln USD okupów, o 8% mniej niż w 2024 r., mimo że liczba zgłoszonych ataków wzrosła o około 50%. Okup zapłaciło ok. 28% ofiar, a mediana płatności wzrosła.
Przykład: płacić czy odtwarzać
Załóżmy, że mała firma ma zaszyfrowane serwery. Żądanie to 1,5 BTC, po kursie 60 000 USD to 90 000 USD. Każdy dzień przestoju kosztuje 8 000 USD.
| Scenariusz | Przestój | Koszt przestoju | Inne koszty | Razem |
|---|---|---|---|---|
| Płatność okupu | 5 dni | 40 000 USD | okup 90 000 USD + odbudowa 20 000 USD | 150 000 USD |
| Odtworzenie z kopii offline | 7 dni | 56 000 USD | odbudowa 30 000 USD | 86 000 USD |
| Brak kopii, brak płatności | 20 dni | 160 000 USD | odbudowa 60 000 USD | 220 000 USD |
Płatność nie gwarantuje odszyfrowania ani usunięcia skradzionych danych, a firma, która zapłaciła, bywa atakowana ponownie. Najtańszym scenariuszem jest ten, w którym działa kopia zapasowa niedostępna z zainfekowanej sieci.
Jak się chronić
- Kopie zapasowe według zasady 3-2-1: trzy kopie, dwa nośniki, jedna poza siecią. Regularnie testuj odtwarzanie.
- Aktualizacje systemu i oprogramowania, zwłaszcza dostępnego z internetu.
- Uwierzytelnianie dwuskładnikowe na poczcie, VPN i kontach z uprawnieniami administratora.
- Ograniczone uprawnienia – codzienna praca na koncie bez praw administratora.
- Ostrożność wobec załączników i „pilnych” aktualizacji.
Najczęstsze błędy
- Kopia zapasowa na dysku stale podłączonym do komputera – zostanie zaszyfrowana razem z nim.
- Brak testu odtwarzania – kopia istnieje, ale nie da się z niej wrócić.
- Płacenie okupu bez sprawdzenia, czy odbiorca nie jest objęty sankcjami.
- Przechowywanie frazy seed portfela krypto w pliku na dysku.
Perspektywa tradera
Dla osoby, która handluje i trzyma krypto, ransomware to ryzyko operacyjne. Zaszyfrowany komputer to brak dostępu do platformy w czasie otwartych pozycji – dlatego stop lossy powinny siedzieć na serwerze brokera lub giełdy, a nie tylko w Twojej głowie czy lokalnym skrypcie. Trzymaj dostęp awaryjny na drugim urządzeniu i zapisane kody zapasowe 2FA. Frazy seed nie trzymaj w pliku ani w chmurze, a środki długoterminowe na portfelu sprzętowym. Złośliwe oprogramowanie często nie tylko szyfruje, ale też kradnie pliki portfeli i sesje przeglądarki.
Najczęstsze pytania
Czy warto płacić okup?
Organy ścigania odradzają płatność. Nie ma gwarancji odszyfrowania, a pieniądze finansują kolejne ataki. Decyzja firmy powinna uwzględnić też ryzyko sankcji.
Dlaczego przestępcy chcą okupu w kryptowalutach?
Płatność jest szybka, międzynarodowa i nie wymaga banku. Bitcoin nie jest jednak anonimowy – przepływy da się śledzić, co pozwoliło odzyskać część okupów.
Czy ransomware może ukraść moje kryptowaluty?
Sam szyfrujący program zwykle nie, ale wiele ataków łączy szyfrowanie z kradzieżą danych, w tym plików portfeli i haseł.
Czy antywirus wystarczy?
Nie. Pomaga, ale podstawą są aktualizacje, 2FA, ograniczone uprawnienia i kopie zapasowe odłączone od sieci.
Co zrobić po ataku?
Odłącz urządzenia od sieci, nie usuwaj notatki z żądaniem, zgłoś incydent odpowiednim służbom i odtwarzaj dane z czystej kopii.
Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.
