Czy Twoje backupy przetrwają
ransomware?

Większość firm uważa, że posiada skuteczne zabezpieczenie przed ransomware, ponieważ wykonuje regularne kopie zapasowe. Problem w tym, że podczas wielu audytów okazuje się, że backup istnieje tylko teoretycznie.

Dane są kopiowane każdego dnia, zadania backupowe kończą się statusem "OK", a administratorzy śpią spokojnie. Dopiero po ataku okazuje się, że ransomware zaszyfrował również kopie zapasowe albo backupów nie da się przywrócić.

W praktyce to jeden z najczęstszych powodów, dla których firmy decydują się na zapłatę okupu. Pytanie nie brzmi więc "czy wykonujesz backup?". Pytanie brzmi: czy Twój backup przetrwa atak ransomware?

Dlaczego nowoczesne ransomware atakuje backupy?

Jeszcze kilka lat temu większość ataków ransomware polegała na szybkim zaszyfrowaniu plików i wyświetleniu żądania okupu. Dziś wygląda to zupełnie inaczej. Atakujący często spędzają w środowisku od kilku dni do nawet kilku miesięcy. W tym czasie:

• › analizują infrastrukturę
• › szukają serwerów backupowych
• › przejmują uprawnienia administratorów
• › identyfikują systemy przechowujące kopie zapasowe
• › usuwają lub szyfrują backupy

Dopiero po zakończeniu przygotowań uruchamiane jest właściwe szyfrowanie danych. Jeżeli kopie zapasowe nie są odpowiednio zabezpieczone, bardzo często stają się jedną z pierwszych ofiar ataku. Warto też wiedzieć, jak wygląda ta faza przygotowań - sygnały ostrzegawcze opisujemy w artykule o tym, jak rozpoznać atak ransomware zanim będzie za późno.

Najczęstsze powody, dla których backup nie przetrwa ransomware

Backup znajduje się w tej samej sieci

To najczęstszy błąd. Serwer backupowy znajduje się w tej samej sieci co serwery produkcyjne, korzysta z tych samych kont administracyjnych i jest widoczny dla wszystkich systemów. W takiej sytuacji ransomware ma do niego niemal identyczny dostęp jak do pozostałych serwerów.

Brak mechanizmu immutability

Klasyczny backup można usunąć, nadpisać lub zaszyfrować. Dlatego coraz większe znaczenie mają rozwiązania wykorzystujące mechanizm immutable backup - oznacza to, że przez określony czas kopii nie można zmienić ani usunąć, nawet posiadając uprawnienia administratora.

Zbyt krótka retencja

Wiele firm przechowuje backupy jedynie przez 7 lub 14 dni. Problem polega na tym, że atakujący mogą pozostawać w środowisku znacznie dłużej. Jeżeli infekcja rozpoczęła się miesiąc wcześniej, wszystkie dostępne kopie mogą już zawierać złośliwe oprogramowanie.

Brak testów odtwarzania

Backup, którego nigdy nie odtworzono, jest tylko przypuszczeniem. Regularne testy przywracania są jedynym sposobem potwierdzenia, że odzyskanie danych będzie możliwe. Szerzej o tym piszemy w artykule o tym, dlaczego backup nie gwarantuje odzyskania danych.

Wspólne konta administracyjne

Jeżeli administrator domeny ma jednocześnie dostęp do środowiska backupowego, przejęcie jednego konta może oznaczać utratę całego systemu ochrony danych.

Reguła 3-2-1-1-0

Nie istnieje rozwiązanie dające 100% gwarancji bezpieczeństwa. Istnieją jednak dobre praktyki, które znacząco zwiększają szansę na odzyskanie danych. Aktualnie jednym z najczęściej rekomendowanych standardów jest reguła 3-2-1-1-0:

To rozwinięcie klasycznej reguły 3-2-1 dostosowane do współczesnych zagrożeń.

Rozwiązania, które dobrze sprawdzają się w praktyce

Proxmox Backup Server

Bardzo dobre rozwiązanie dla środowisk Proxmox VE. Oferuje deduplikację, szyfrowanie, weryfikację integralności oraz replikację do zdalnej lokalizacji. Więcej o backupie maszyn wirtualnych w osobnym artykule.

Veeam Backup & Replication

Jeden z najpopularniejszych systemów backupowych dla środowisk VMware, Hyper-V i serwerów fizycznych. Wspiera immutable repositories, backup do chmury i zaawansowane scenariusze odzyskiwania.

Chmura z WORM

Usługi takie jak Wasabi, Backblaze B2, Azure Blob Storage czy Amazon S3 Object Lock pozwalają przechowywać dane w trybie WORM (Write Once Read Many), co znacząco utrudnia ich usunięcie.

Jak sprawdzić, czy Twoje backupy są gotowe na atak?

Odpowiedz na kilka pytań:

• › Czy backup jest odseparowany od środowiska produkcyjnego?
• › Czy wykorzystujesz immutability lub WORM?
• › Czy istnieje kopia poza siedzibą firmy?
• › Czy testowałeś odtwarzanie w ciągu ostatnich 3 miesięcy?
• › Czy znasz rzeczywiste RTO i RPO dla kluczowych systemów?
• › Czy backup korzysta z oddzielnych kont administracyjnych?

Jeżeli na choć jedno z tych pytań odpowiadasz "nie wiem", warto przyjrzeć się strategii backupowej bliżej.

Co zrobić już dziś?

Nie musisz od razu przebudowywać całego systemu backupowego. Dobrym początkiem będzie:

• › Test odtworzenia jednej krytycznej maszyny lub serwera
• › Weryfikacja retencji backupów
• › Sprawdzenie możliwości wdrożenia immutability
• › Audyt uprawnień administracyjnych do systemu backupowego
• › Ocena zgodności z regułą 3-2-1-1-0

Już te działania pozwalają wykryć większość najgroźniejszych problemów.

Podsumowanie

W 2026 roku wykonywanie kopii zapasowych nie wystarcza. Ransomware stało się na tyle zaawansowane, że celem atakujących są nie tylko dane produkcyjne, ale również systemy backupowe. Dlatego skuteczny backup musi być projektowany z myślą o ataku, a nie wyłącznie o awarii sprzętu.

Firmy, które wdrożyły zasadę 3-2-1-1-0, regularnie testują odtwarzanie danych i stosują mechanizmy immutability, są w stanie wrócić do pracy w ciągu godzin lub kilku dni. Firmy, które ograniczają się do kopiowania danych na NAS w tej samej sieci, bardzo często odkrywają swoje błędy dopiero podczas ataku.

Jeżeli nie masz pewności, czy Twoje backupy przetrwają ransomware, warto to sprawdzić teraz. Audyt backupu kosztuje znacznie mniej niż przestój firmy, utrata danych lub negocjacje z cyberprzestępcami. Jak przebiega reakcja na taki atak, opisujemy w artykule o tym, co robić po ataku ransomware.