12 przykładów oprogramowania ransomware: ataki, które zmieniły sposób, w jaki firmy się bronią

W skrócie: Ransomware to złośliwe oprogramowanie, które blokuje pliki lub systemy organizacji i żąda zapłaty za ich odblokowanie. Poniższe dwanaście przykładów oprogramowania ransomware obejmuje okres od ataku WannaCry w 2017 roku po atak na holenderskiego dostawcę oprogramowania szpitalnego ChipSoft w 2026 roku – w tym pięć przypadków z Holandii i jeden z Belgii. Sposób ataku jest zazwyczaj banalny: wiadomość phishingowa, łatwe do odgadnięcia hasło, konto bez uwierzytelniania wieloskładnikowego albo dział pomocy technicznej, który resetuje hasło nie tej osoby. Okup rzadko jest prawdziwym kosztem. Prawdziwym kosztem są tygodnie przestoju i odbudowy.

Czym jest oprogramowanie ransomware i czego uczą nas te przypadki

Jeśli chodzi o definicję i różne odmiany, zajrzyj do artykułu „Czym jest ransomware”. Szerszą listę incydentów w Holandii znajdziesz w artykule „Największe cyberataki w Holandii”. W tych dwunastu przypadkach wyróżniają się trzy rzeczy:

• Atakujący logują się częściej niż włamują się do systemów. Pierwszym krokiem jest zazwyczaj hasło albo jedno kliknięcie.
• Między wprowadzeniem danych a ich zaszyfrowaniem mija trochę czasu. Dziewięć dni w Change Healthcare, 69 na Uniwersytecie w Maastricht.
• Zapłacenie nie rozwiązuje sprawy. KNVB zapłaciło, a i tak nie miało pewności, że jego dane są bezpieczne.

12 przykładów oprogramowania ransomware w skrócie

12 przykładów oprogramowania ransomware – szczegółowo

1. WannaCry (2017): robak, który zaatakował NHS

Co się stało: 12 maja 2017 r. wirus WannaCry rozprzestrzenił się w systemach Windows, które nie miały zainstalowanych aktualizacji. Europol odnotował ponad 200 000 ofiar w co najmniej 150 krajach. Jak ustalił Krajowy Urząd Audytowy, w Anglii wirus dotknął co najmniej 81 z 236 placówek NHS.

Wniosek: Żadna z organizacji NHS nie poniosła kosztów. Zainfekowane systemy nie miały zainstalowanych poprawek lub nie były już obsługiwane, więc terminowe aktualizacje to wciąż najtańsza ochrona.

2. NotPetya i Maersk (2017): 45 000 komputerów w ciągu dziesięciu dni

Co się stało: W czerwcu 2017 roku wirus NotPetya przedostał się do sieci poprzez złośliwą aktualizację ukraińskiego oprogramowania księgowego. Ofiarą uboczną stała się grupa żeglugowa Maersk, która – jak poinformował jej prezes – w ciągu dziesięciu dni musiała ponownie zainstalować 4 000 serwerów, 45 000 komputerów i 2 500 aplikacji. Koszt: od 250 do 300 milionów dolarów.

Wniosek: Ten wpis był wiarygodną aktualizacją. Segmentacja sieci i kopie zapasowe tworzone w trybie offline decydują o tym, jak długo będziesz bez dostępu.

3. Uniwersytet w Maastricht (2019): 69 dni od wiadomości phishingowej do żądania okupu

Co się stało: 15 i 16 października 2019 r. na dwóch stacjach roboczych otwarto dwa e-maile phishingowe. 23 grudnia oprogramowanie ransomware Clop zaszyfrowało 267 serwerów z systemem Windows. Uniwersytet zapłacił 30 bitcoinów, czyli około 200 000 euro. W 2022 r. policja odzyskała część tej kwoty, której wartość wynosiła wówczas około 500 000 euro.

Wniosek: Atakujący byli w systemie przez 69 dni. Jedna zgłoszona wiadomość e-mail w tym okresie mogła zmienić wynik całej sytuacji.

4. Hof van Twente (2020): Welkom2020

Co się stało: Hasło administratora tej holenderskiej gminy brzmiało „Welkom2020”, a zmiana w zaporze sieciowej w listopadzie 2020 r. otworzyła serwer na internet. Atakujący zniszczyli kopie zapasowe. Gmina nie zapłaciła okupu; przywrócenie danych kosztowało około 4 mln euro.

Wniosek: Sąd uznał później, że odpowiedzialność spoczywa na samej gminie. Łatwe do odgadnięcia hasło bez działającej kopii zapasowej to najdroższe połączenie.

5. Colonial Pipeline (2021): jedno stare konto VPN

Co się stało: 7 maja 2021 r. grupa DarkSide włamała się do systemu amerykańskiego operatora rurociągów paliwowych, wykorzystując stare konto VPN z ujawnionym hasłem i bez uwierzytelniania wieloskładnikowego. Firma Colonial wyłączyła rurociąg na kilka dni i zapłaciła 4,4 mln dolarów. Departament Sprawiedliwości USA odzyskał 2,3 mln dolarów.

Wniosek: To konto nie powinno być w użyciu. Usuń stare konta i wymagaj uwierzytelniania wieloskładnikowego przy każdym zdalnym logowaniu.

6. Kaseya (2021): jeden dostawca, nawet 1 500 ofiar

Co się stało: 2 lipca 2021 r. grupa REvil wykorzystała lukę w oprogramowaniu VSA firmy Kaseya, z którego korzystają dostawcy usług IT do zarządzania systemami swoich klientów. Za pośrednictwem tych dostawców oprogramowanie ransomware dotarło do 800–1 500 firm. REvil zażądało 70 milionów dolarów.

Wniosek: holenderscy naukowcy z DIVD już wcześniej zgłosili te luki firmie Kaseya. Dowiedz się, którzy dostawcy mają uprawnienia administratora do twoich systemów.

7. VDL Groep (2021): 105 firm wstrzymało działalność

Co się wydarzyło: W październiku 2021 roku holenderska grupa przemysłowa VDL i jej 105 spółek, w tym fabryka samochodów NedCar, padły ofiarą ataku. Minął ponad miesiąc, zanim wszystkie zakłady wznowiły produkcję. Policja powiązała ten atak ze złośliwym oprogramowaniem Conti; w 2024 roku w Kijowie zatrzymano podejrzanego.

Wniosek: VDL nigdy nie zdradziło, czy się to opłaca. Dla producenta koszt wiąże się z przestojem, więc warto to przećwiczyć.

8. Miasto Antwerpia (2022): do 70 mln euro

Co się stało: W nocy z 5 na 6 grudnia 2022 r. grupa hakerska Play zaatakowała miasto Antwerpia i wykradła ponad 500 GB danych. Miasto twierdzi, że nigdy nie zapłaciło okupu. Rada miejska oszacowała koszty na nawet 70 milionów euro.

Wniosek: Flamandzka komisja nadzorcza wykryła brakujące aktualizacje zabezpieczeń, zbyt rzadkie stosowanie uwierzytelniania dwuskładnikowego oraz słabą segmentację sieci. Brakowało po prostu podstaw.

9. KNVB (2023): płacisz, ale nie masz spokoju

Co się stało: W kwietniu 2023 roku grupa LockBit wykradła dane osobowe z holenderskiego związku piłkarskiego KNVB, podobno po tym, jak jeden z pracowników dał się nabrać na wiadomość phishingową. Według RTL Nieuws żądano ponad 1 miliona euro. We wrześniu KNVB potwierdziło, że zapłaciło okup, ale nie podało kwoty.

Wniosek: Stowarzyszenie stwierdziło, że nie ma pewności, czy dane pozostaną poufne. Płatność to po prostu obietnica złożona przestępcom.

10. Change Healthcare (2024): brak uwierzytelniania wieloskładnikowego (MFA) w jednym portalu

Co się stało: 12 lutego 2024 r. hakerzy zalogowali się do portalu zdalnego dostępu amerykańskiej firmy Change Healthcare, zajmującej się przetwarzaniem płatności w służbie zdrowia, używając skradzionych danych logowania. Portal nie miał wdrożonego uwierzytelniania wieloskładnikowego. Dziewięć dni później uruchomiono oprogramowanie ransomware ALPHV/BlackCat. Firma macierzysta UnitedHealth potwierdziła wypłatę okupu i podała, że koszty związane z tym incydentem wyniosły w pierwszym kwartale 872 mln dolarów.

Wniosek: Wystarczyła jedna niedociągnięta kontrola. Dotknęło to dane 192,7 mln osób.

11. Marks & Spencer (2025): zresetowanie hasła dla niewłaściwej osoby

Co się stało: 17 kwietnia 2025 r. hakerzy podali się za pracownika firmy M&S i namówili kogoś z zewnątrz do zresetowania hasła – poinformował posłów prezes Archie Norman. Potem pojawiło się oprogramowanie ransomware DragonForce. Zamówienia online zostały wstrzymane na kilka tygodni, a półroczny zysk spadł z 391,1 mln funtów do 3,4 mln funtów.

Wniosek: Nie trzeba było żadnej usterki technicznej. Centrum obsługi klienta musi mieć etap weryfikacji, którego nawet przekonujący rozmówca nie da się ominąć.

12. ChipSoft (2026): atak ransomware na dostawcę dokumentacji szpitalnej

Co się stało: 7 kwietnia 2026 r. centrum bezpieczeństwa w służbie zdrowia Z-CERT potwierdziło atak ransomware na firmę ChipSoft, która dostarcza oprogramowanie do prowadzenia dokumentacji pacjentów do większości holenderskich szpitali. Jedenaście szpitali wyłączyło oprogramowanie ChipSoft. Skradziono dane pacjentów z wielu placówek opieki zdrowotnej; firma ChipSoft poinformowała później, że udało się zapobiec ich upublicznieniu.

Wniosek: Same szpitale nie były celem ataku, a mimo to ich działalność została zakłócona. Przygotuj się na pracę bez kluczowego dostawcy.

Jak przebiega atak ransomware

Wszystkie te przypadki przebiegają według tych samych pięciu etapów. Bardziej szczegółowo opisaliśmy je w naszym artykule o etapach cyberataku.

1. Pierwszy dostęp. E-mail phishingowy, skradzione lub odgadnięte hasło albo system, który nie został zaktualizowany.
2. Ruch w poprzek sieci. Atakujący badają sieć i zdobywają coraz większe uprawnienia, często przez kilka dni lub tygodni.
3. Wyciek danych. Kopiują dane z organizacji.
4. Szyfrowanie. Pliki, serwery i kopie zapasowe są blokowane, często w nocy albo przed świętami.
5. Podwójny szantaż. Najpierw płacisz za klucz, a potem jeszcze raz, żeby skradzione dane nie trafiły do sieci. W 2025 roku grupa Nova ukradła wyniki badań przesiewowych około 715 000 kobiet z holenderskiego laboratorium Clinical Diagnostics i zażądała 1,1 mln euro.

Rodziny oprogramowania ransomware i ransomware jako usługa

Clop, Conti, DarkSide, REvil, LockBit, ALPHV/BlackCat, Play, DragonForce: nazwy w tych przypadkach to raczej marki niż stałe zespoły. W modelu „ransomware-as-a-service” twórcy wynajmują oprogramowanie, a partnerzy przeprowadzają atak w zamian za część okupu. Według raportu „Cyber Dreigingsradar 2026” w Holandii i Belgii od 2020 roku najwięcej ofiar odnotowano w przypadku LockBit, natomiast w ostatnim roku najbardziej aktywną grupą był Qilin.

Co łączy te 12 przypadków

• Zwykły sposób na włamanie. Phishing w Maastricht, słabe hasło w Hof van Twente, brak uwierzytelniania wieloskładnikowego (MFA) w Colonial i Change Healthcare, a także dział pomocy technicznej w M&S.
• Dostawcy jako źródło zagrożenia. Kaseya, ChipSoft i aktualizacja oprogramowania, która stała za atakiem NotPetya, dotknęły klientów, którzy sami nie zrobili nic złego.
• Postój kosztuje więcej niż okup. Pokazują to firmy Maersk, VDL, Antwerp i M&S.

Co pracownicy mogą zrobić, by chronić się przed oprogramowaniem ransomware

W co najmniej połowie z tych dwunastu przypadków pierwszy krok wiązał się z jakąś osobą albo hasłem. To sprawia, że cztery nawyki są cenniejsze niż większość narzędzi:

• Natychmiast zgłoś podejrzaną wiadomość e-mail lub przypadkowe kliknięcie. Szybkość działania jest ważniejsza niż szukanie winnych. W naszym przeglądzie rodzajów ataków phishingowych pokazujemy, na co warto zwrócić uwagę.
• Używaj unikalnego hasła i uwierzytelniania wieloskładnikowego (MFA) na każdym koncie służbowym.
• Sprawdzaj prośby o zresetowanie hasła lub o zdalny dostęp, nawet jeśli osoba dzwoniąca wydaje się pracować w dziale IT.
• Zainstaluj aktualizacje, gdy pojawi się prośba.

Kwestie techniczne, od tworzenia kopii zapasowych po segmentację, omówiono w sekcji „Jak zapobiegać atakom ransomware”. Które organizacje są najbardziej narażone, wyjaśniono w sekcji „Czynniki ryzyka związane z atakami ransomware”.

Często zadawane pytania

Jaki jest przykład ataku ransomware?

WannaCry z 2017 roku, który dotknął ponad 200 000 ofiar w co najmniej 150 krajach. Przykładem z Holandii jest Uniwersytet w Maastricht, który w 2019 roku zapłacił 30 bitcoinów po tym, jak zaszyfrowano 267 serwerów.

Jakie są znane przykłady oprogramowania ransomware w Holandii?

Uniwersytet w Maastricht (2019), gmina Hof van Twente (2020), VDL Groep (2021), KNVB (2023) i ChipSoft (2026). W Belgii najlepiej udokumentowany jest atak na miasto Antwerpia (2022).

Jak zazwyczaj zaczynają się ataki ransomware?

Poprzez wiadomość phishingową, skradzione lub słabe hasło do konta bez uwierzytelniania wieloskładnikowego albo system, który nie został zaktualizowany.

Czy warto zapłacić okup?

Te przypadki pokazują obie możliwości. Uniwersytet w Maastricht i KNVB zapłaciły; Hof van Twente i Antwerpia nie zapłaciły i odbudowały się. Zapłacenie nie daje żadnej gwarancji, że dane zostaną usunięte, a do tego finansuje kolejny atak.