Incydent w biurze rachunkowym: plan reakcji 0-72 h
Jeśli to dzieje się teraz, zacznij od sekcji 1. Rozdzieliłem, co możesz zrobić sam, a co powinien wykonać informatyk.
Spis treści
1. Pierwsza godzina: zatrzymaj szkody
Cel pierwszej godziny to zatrzymanie ataku i zachowanie śladów. Nie próbuj naprawiać wszystkiego naraz.
Co robisz Ty
- Odłącz podejrzane komputery od sieci: wyciągnij kabel sieciowy i wyłącz Wi-Fi. Serwera nie wyłączaj z prądu, dopóki informatyk nie zdecyduje, czy trzeba zapisać stan jego pamięci.
- Z innego, niezainfekowanego urządzenia zmień hasła do poczty, bankowości i programu księgowego. Zacznij od kont administratorów.
- Jeśli podejrzewasz próbę przejęcia płatności, zadzwoń do banku.
- Wyznacz jedną osobę, która rozmawia z klientami. Reszta zespołu kieruje pytania do niej.
Co robi informatyk
- Blokuje zdalny dostęp do sieci firmowej (RDP, VPN) do czasu wyjaśnienia sprawy.
- Odłącza udziały sieciowe i wstrzymuje zadania, które kopiują lub synchronizują pliki, żeby szyfrowanie nie rozeszło się dalej.
- Wyłącza na czas sprawdzenia reguły przekierowywania poczty, żeby z adresu firmy nie szły fałszywe wiadomości.
- Zabezpiecza ślady: migawki maszyn wirtualnych, kopie logów, notatkę z żądaniem okupu i próbki zaszyfrowanych plików.
Uwaga: nie usuwaj śladów ataku „na szybko” i nie formatuj dysków. Logi i pliki pozostawione przez atakującego będą potrzebne do ustalenia, co zostało wyniesione, do zgłoszeń i ewentualnego postępowania.
2. Ustal, co się stało
Te ustalenia zwykle wykonuje informatyk. Tobie przydadzą się odpowiedzi na dwa pytania: które dane mogły zostać wyniesione lub zaszyfrowane i którędy atak wszedł do firmy.
- Które systemy dotknięto: serwer z programem księgowym i bazą danych, foldery z plikami klientów, poczta.
- Jak atakujący mógł wejść: fałszywa faktura w mailu, zdalny dostęp (RDP lub VPN) bez dodatkowego potwierdzania logowania (MFA), niezałatana usługa, złośliwe makro w dokumencie.
- Co zmieniono w kontach: ostatnie logowania, nowe konta lub klucze dostępu, reguły skrzynek pocztowych przekazujące wiadomości na obcy adres.
- Jakie ślady zabezpieczyć: notatki okupu, harmonogram zadań, logi zapory sieciowej, VPN, programu antywirusowego i bazy danych.
- Jakie dane mogły zostać naruszone: dane osobowe i finansowe klientów, np. pliki JPK, listy płac, dane bankowe.
3. Odzyskiwanie danych i wznowienie pracy
- Ustal kolejność: najpierw serwer z programem księgowym i bazą danych, potem foldery wspólne i poczta.
- Przywracaj dane z najświeższej kopii, która nie została zainfekowana, najlepiej takiej, której atakujący nie mógł zmienić (kopia odłączona od sieci lub niemodyfikowalna). Przed przywróceniem informatyk sprawdza, czy kopia jest nienaruszona i wolna od złośliwego oprogramowania.
- Wyczyść komputery pełnym skanem programu antywirusowego i zaktualizuj je. Zmień hasła i tokeny do poczty, bankowości, chmur i KSeF.
- Ogranicz dostęp do serwera księgowego do wybranych stanowisk i zablokuj logowania z zagranicy na zaporze sieciowej lub w VPN.
- Ustal awaryjny kanał kontaktu z zespołem i najważniejszymi klientami, np. telefon lub komunikator niezwiązany z przejętą domeną firmy.
Wskazówka: zanim ktokolwiek wróci do pracy, sprawdź na próbę, czy baza działa, czy użytkownicy mogą się zalogować i czy da się wyeksportować plik JPK.
4. Zgłoszenia i rozmowa z klientami
- Oceń ryzyko dla osób: jeśli naruszenie może im poważnie zaszkodzić, trzeba je poinformować. Dotyczy to klientów i kontrahentów, których dane wyciekły.
- UODO: RODO wymaga zgłoszenia naruszenia do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Zgłoszenia nie trzeba składać, gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla osób, których dane dotyczą. W razie wątpliwości skonsultuj to z inspektorem ochrony danych lub prawnikiem.
- Klienci: napisz prosto, co się stało, co robisz i jak mogą się chronić, np. uważać na fałszywe wiadomości podszywające się pod biuro. Nie podawaj szczegółów technicznych, które ułatwiłyby kolejny atak.
- Bank, dostawcy chmury i programu księgowego: skontaktuj się z nimi, jeśli ktoś mógł próbować przejąć płatności.
- Notatka wewnętrzna: kto, kiedy i co zrobił, które systemy dotknięto i jakie dane mogły zostać ujawnione.
Ważne: trzymaj spójny przekaz. Jedna osoba odpowiedzialna za komunikację zewnętrzną ogranicza chaos informacyjny.
5. Dowody i zgłoszenie sprawy organom
- Informatyk archiwizuje logi zapory sieciowej, VPN, programu antywirusowego, poczty i bazy danych. Archiwa warto zaszyfrować, a ich kopie trzymać poza siecią firmy.
- Jeśli to możliwe, wykonuje pełny obraz dysku zaatakowanych komputerów i serwerów oraz zapis pamięci serwera.
- Rozważ zgłoszenie sprawy policji i zespołowi CSIRT, np. CERT Polska. Przygotuj listę zabezpieczonych plików i oś czasu zdarzeń.
6. Co zmienić, żeby to się nie powtórzyło
W pierwszym tygodniu
- Włącz dodatkowe potwierdzanie logowania (MFA) do poczty, chmur, VPN i bankowości, a potem zmień wszystkie hasła.
- Wyłącz zdalny pulpit (RDP) dostępny z internetu. VPN udostępnij tylko zaufanym adresom i zablokuj logowania z zagranicy.
- Ustaw SPF, DKIM i DMARC (ustawienia chroniące domenę przed podszywaniem się) tak, aby fałszywe wiadomości były odrzucane. Zablokuj makra pochodzące z internetu i zainstaluj na wszystkich komputerach program wykrywający podejrzane działania (EDR).
- Zadbaj o kopie 3-2-1 z historią wersji i zabezpieczeniem przed zmianą oraz sprawdź, czy da się z nich odtworzyć dane.
- Oddziel serwer księgowy od reszty sieci i pozwól łączyć się z nim tylko z wybranych stanowisk.
W ciągu 1 do 4 tygodni
- Nadaj uprawnienia tylko tym osobom, które ich potrzebują, i regularnie je przeglądaj.
- Wprowadź menedżer haseł dla zespołu i zmień hasła wspólne.
- Opisz procedury: obieg faktur, potwierdzanie przelewów przez drugą osobę, dostępy przy przyjęciu i odejściu pracownika.
- Przeszkol zespół: fałszywe faktury, bezpieczne linki KSeF, praca zdalna.
- Włącz powiadomienia o nietypowych logowaniach.
Skrót do wydruku
- Odłącz zainfekowane komputery i zablokuj zdalny dostęp.
- Zmień hasła, zwłaszcza administratorów, i włącz MFA.
- Zabezpiecz dowody: migawki, logi, próbki, oś czasu.
- Przywracaj dane z nieskażonej kopii i sprawdź ich spójność.
- Przygotuj komunikat dla klientów i zgłoszenie do UODO, jeśli jest wymagane.
- Wzmocnij zabezpieczenia: podział sieci, SPF, DKIM i DMARC, ochrona komputerów, blokada makr i logowań z zagranicy.
- Wyciągnij wnioski: zaktualizuj procedury i przeszkol zespół.
1-dniowy przegląd cyberbezpieczeństwa biura rachunkowego (po incydencie)
Chcesz upewnić się, że wszystkie luki zostały zamknięte i bezpiecznie wracasz do pracy? Mój 1-dniowy audyt IT po incydencie obejmuje:
- Analizę wektora ataku i przegląd logów (firewall/VPN/EDR/poczta/SQL).
- Weryfikację zabezpieczeń programu księgowego i serwera baz danych.
- Sprawdzenie polityk pocztowych (SPF/DKIM/DMARC) i zabezpieczeń domeny.
- Przegląd kopii 3-2-1, test odtworzeniowy i odporność na ransomware (immutable/snapshoty).
- Rekomendacje „na już” (MFA, segmentacja, RDP/VPN, geoblokady, makra) + plan 4-tygodniowy.
- Szkolenie zespołu: phishing „na fakturę”, KSeF, praca zdalna.
Chcesz checklistę reakcji po incydencie i wzory komunikatów?
Zostaw e-mail: wyślę praktyczne materiały: plan 60 minut, wzór zgłoszenia do UODO oraz list do klientów.
Opracowanie: AudytBiura.pl, bezpieczeństwo IT dla małych firm. Aktualizacja: 19.10.2026 r.
Zobacz też
Potrzebujesz szybkiej oceny ryzyka?
W 1 dzień pokażę, gdzie firma może stracić dane i pieniądze i co zrobić najpierw (bez lania wody).