Firma ta a fost lovită de ransomware: ce faci în primele 24 de ore și de ce să nu plătești răscumpărarea

Vii luni dimineață la birou și ceva nu e în regulă. Calculatoarele pornesc, dar fișierele au extensii ciudate, iar pe ecran apare un mesaj rece: datele tale sunt criptate, ai șapte zile să plătești, altfel le pierzi. Programul de contabilitate nu se deschide, emailul nu merge, comenzile sunt blocate. Într-o oră, toată firma stă pe loc și toți se uită la tine.

Primul lucru de făcut e cel mai greu: nu intra în panică și nu lua decizii pripite. Un atac ransomware se câștigă sau se pierde în primele ore, în funcție de cât de calm și de ordonat reacționezi. Mai jos ai exact ce faci în primele minute, în primele ore și în primele zile, de ce DNSC recomandă ferm să nu plătești și cum îți revii fără să finanțezi infractorii.

Ce se întâmplă, de fapt, într-un atac ransomware

Ransomware este un program care criptează fișierele de pe calculatoare și servere, apoi cere bani în schimbul cheii de decriptare. Atacatorii moderni merg de obicei mai departe, cu ceea ce se numește dublă extorcare: înainte să cripteze, îți copiază datele și amenință că le publică dacă nu plătești. Așa că presiunea e dublă, pierderea accesului plus expunerea datelor clienților tăi.

Și nu, nu e o problemă doar a corporațiilor. În decembrie 2025, Administrația Națională Apele Române a fost lovită de un atac ransomware care a afectat în jur de 1.000 de sisteme, iar atacatorii au folosit chiar mecanismul legitim BitLocker din Windows ca să cripteze datele. DNSC a fost notificat și a recomandat public să nu se negocieze cu atacatorii. Dacă o instituție de stat de mărimea asta poate fi lovită, o firmă mică, fără echipă de securitate, este o țintă mult mai ușoară.

Primele minute: izolează, nu opri

Reflexul greșit e să tragi imediat ștecherul din priză. Mai bine deconectezi de la rețea, nu oprești brutal: ai nevoie de probe, iar uneori în memoria calculatorului pornit există informații utile pentru analiză. Obiectivul în primele minute e unul singur, să oprești răspândirea, fiindcă ransomware se mută de la o stație la alta prin rețea.

Primele ore: evaluează și anunță autoritățile

Cu infecția izolată, treci la evaluare. Stabilește ce sisteme sunt afectate, ce date par compromise și dacă ai un backup care nu a fost atins. În paralel, anunță conducerea și începe să tratezi incidentul ca pe o situație de criză, cu un singur om care coordonează.

Raportarea nu e opțională. Anunță incidentul la DNSC, fie prin linia 1911 (apelabilă din orice rețea, la tarif normal), fie prin platforma PNRISC. Dacă au fost afectate date personale ale clienților, angajaților sau pacienților, ai obligația legală să notifici ANSPDCP în maximum 72 de ore de la momentul în care ai aflat, conform articolului 33 din GDPR. Dacă firma ta intră sub NIS2, se adaugă termene proprii de raportare. Despre cum se leagă o breșă de o amendă am scris pe larg în articolul despre amenzile GDPR pentru firmele sparte.

Cum îți recuperezi datele fără să plătești

Calea sigură de recuperare este restaurarea dintr-un backup curat. Înainte să restaurezi însă, curăță sau reinstalează sistemele afectate, schimbă toate parolele și închide calea prin care au intrat atacatorii. Altfel restaurezi peste o ușă încă deschisă și te reinfectezi în câteva zile. Multe firme repară prea repede și sar tocmai pasul care contează, identificarea vectorului de intrare.

Dacă nu ai un backup bun, verifică proiectul No More Ransom, o inițiativă a poliției europene și a firmelor de securitate, unde există decriptoare gratuite pentru multe variante de ransomware. Nu există garanția că pentru exact varianta care te-a lovit există un decriptor, dar merită verificat înainte de orice altceva. Dacă datele furate includ informații ale clienților, pregătește-te și pentru partea de comunicare, fiindcă s-ar putea să fie nevoie să îi anunți.

De ce backupul „obișnuit" nu te salvează

Aici e capcana în care cad cele mai multe firme. Au un backup, dar e pe un disc conectat permanent sau pe același server, exact locul pe care ransomware îl criptează primul. Un backup care stă mereu legat de sistem nu e o plasă de siguranță, e încă o victimă. Regula simplă care chiar te salvează se numește 3-2-1.

Cum previi următorul atac

Recuperarea te scoate din criză, dar prevenția te scoate din statistică. Cele mai multe atacuri ajung înăuntru prin lucruri banale: un email de phishing, o parolă refolosită, un sistem neactualizat. Pe acelea le închizi cu măsuri pe care orice firmă le poate pune la punct.

Ransomware nu lovește doar firmele mari sau „interesante". Lovește pe cine are o ușă deschisă, iar firmele mici au de obicei mai multe uși deschise decât cred. Dacă vrei să vezi cum arată asta pe un sector concret, citește și de ce sunt vânate firmele de contabilitate sau ce faci când prima țintă e căsuța de email, în ghidul despre emailul firmei spart.