Cum protejați datele împotriva ransomware

Serverul a fost criptat: ce trebuie să facă o companie și cum să protejeze datele Torgsoft

Dacă fișierele de pe server au fost deja criptate, deconectați calculatorul afectat de la rețeaua locală și de la internet, nu conectați la acesta discurile cu copii de rezervă și nu rulați programe de decriptare alese la întâmplare. Înregistrați mesajul atacatorilor, ora și primele semne ale atacului și apelați la administratorul de sistem sau la un specialist în răspuns la incidente cibernetice. Evidența trebuie restabilită pe un server curățat sau nou, folosind cea mai recentă copie verificată, creată înainte de pătrunderea atacatorului. Dacă o asemenea copie nu există, restabilirea completă a istoricului evidenței poate fi imposibilă.

În 2026, programele ransomware rămân una dintre principalele amenințări pentru companii. Potrivit Verizon Data Breach Investigations Report 2026, exploatarea vulnerabilităților a reprezentat metoda inițială de pătrundere în 31% dintre breșele de date confirmate, iar ransomware-ul a fost prezent în 48% dintre cazuri. Pe lângă atacurile motivate financiar, companiile ucrainene se confruntă cu operațiuni distructive direcționate. În 2025, CERT-UA a gestionat 5.927 de incidente cibernetice — cu 37,4% mai multe decât în anul precedent. Printre principalele amenințări s-au numărat phishingul, compromiterea conturilor, atacurile prin furnizori, programele distructive și ransomware-ul, conform analizei sistemului național de securitate cibernetică al Ucrainei pentru anul 2025.

Ce se întâmplă în timpul unui atac

Un atac modern durează adesea mai mult decât procesul propriu-zis de criptare. Atacatorul obține accesul inițial, analizează rețeaua, fură parole, își extinde privilegiile, identifică serverele și sistemele de stocare a copiilor de rezervă, copiază datele, apoi pornește criptarea sau distrugerea acestora. Restabilirea fișierelor fără eliminarea metodei de pătrundere creează riscul unui nou atac.

În atacurile înregistrate în Ucraina în 2025, atacatorii au deteriorat în mod intenționat sistemele de virtualizare și de backup. Pentru pătrundere au fost exploatate vulnerabilități ale furnizorilor, conturi VPN compromise fără autentificare multifactor și metode de inginerie socială. Aceste cazuri confirmă necesitatea protejării simultane a serverului, accesului la distanță, conturilor și sistemelor de stocare a copiilor de rezervă.

Cum pătrunde ransomware-ul în infrastructura unei companii

Solicitările adresate serviciului de asistență tehnică Torgsoft și discuțiile publice ale persoanelor afectate descriu în mod repetat aceleași situații: toate arhivele erau stocate pe calculatorul infectat; discul extern rămânea conectat; sarcina de backup se încheia de mult timp cu eroare; contul cloud nu avea protecție multifactor; de pe server a putut fi recuperat doar un fișier .mdf învechit. Într-o discuție publică ucraineană despre copiile de rezervă, utilizatorii descriu și pierderea simultană a fișierelor principale și a copiilor accesibile, precum și preluarea conturilor Google fără verificare în doi pași. Aceste mesaje descriu cazuri individuale; recomandările tehnice de mai jos se bazează pe materialele NIST, CISA, NCSC, Microsoft și CERT-UA.

Ce trebuie făcut dacă serverul a fost deja criptat

Primele 15 minute

1. Izolați calculatorul afectat. Scoateți cablul de rețea, dezactivați Wi-Fi și deconectați calculatorul de la VPN. Deconectați de la rețea și celelalte calculatoare pe care apar aceleași semne.
2. Opriți răspândirea. Administratorul de sistem trebuie să blocheze conturile compromise, sesiunile active la distanță, accesul la dosarele partajate și traficul extern suspect.
3. Nu conectați mediile cu copii de rezervă. Suspendați sincronizarea automată și sarcinile de backup dacă acestea pot suprascrie o copie validă cu date deteriorate.
4. Nu ștergeți urmele. Fotografiați mesajul de răscumpărare și notați extensiile fișierelor criptate, ora detectării, ultimele acțiuni ale utilizatorilor și erorile cunoscute. Nu redenumiți fișierele și nu rulați instrumente de decriptare necunoscute.
5. Dacă procesul de criptare continuă și dispozitivul nu poate fi izolat de rețea, opriți-l. Dacă este disponibil un specialist în criminalistică digitală, consultați-l înainte de oprire, deoarece memoria operativă poate conține probe utile.

În prima oră

1. Desemnați o persoană responsabilă de incident. Aceasta înregistrează ora, deciziile, persoanele implicate, dispozitivele afectate și starea copiilor de rezervă.
2. Apelați la un specialist în răspuns la incidente. O scanare obișnuită cu antivirusul nu este suficientă pentru a verifica dacă în sistem au rămas conturi străine, servicii, sarcini, chei de acces sau alte mecanisme de revenire.
3. Schimbați parolele de pe un dispozitiv verificat și curat. Începeți cu conturile administratorilor, e-mailul, VPN-ul, serviciile de acces la distanță, contul Google cu arhive și conturile furnizorului cloud. Închideți sesiunile active și emiteți din nou cheile de acces.
4. Verificați întregul mediu. Lista include serverul, stațiile de lucru, casele, routerul, dispozitivele de stocare din rețea, e-mailul, conturile cloud și calculatoarele contractanților care s-au conectat la distanță.
5. Raportați incidentul. Informațiile despre conținutul malițios pot fi transmise prin formularul de pe site-ul CERT-UA. O sesizare privind o infracțiune cibernetică poate fi depusă prin sistemul electronic de sesizări al Poliției Cibernetice. Dacă este posibil să fi fost divulgate date cu caracter personal, date de plată sau date contractuale, evaluați separat obligațiile legale și contractuale de notificare.

Cum se verifică posibilitatea decriptării

Păstrați copii ale datelor criptate, mesajul de răscumpărare și câteva perechi formate dintr-un «fișier criptat — originalul său intact», dacă acestea sunt disponibile. Serviciul Crypto Sheriff ajută la identificarea familiei de ransomware și la verificarea existenței unui instrument gratuit de decriptare. Lucrați cu o copie a datelor sub supravegherea unui specialist. Uneori apar ulterior chei noi, de aceea este recomandat să păstrați fișierele criptate chiar dacă momentan nu există o soluție.

Cum se restabilește Torgsoft după un atac

1. Pregătiți un mediu curat. Folosiți un calculator nou sau reinstalați Windows pe serverul compromis după păstrarea probelor necesare. Instalați toate actualizările de securitate și configurați protecția și accesul la distanță.
2. Găsiți cea mai recentă copie validă. Verificați arhiva cloud, discurile deconectate, copiile păstrate într-o altă locație și celelalte sisteme de stocare. Data arhivei determină câte operațiuni vor trebui restabilite manual.
3. Verificați copia înainte de instalare. Arhiva trebuie să se deschidă, să corespundă dimensiunii și datei așteptate și să treacă verificarea pentru programe malițioase. Restabilirea trebuie efectuată într-un mediu izolat.
4. Contactați serviciul de asistență tehnică Torgsoft. După pregătirea unui server sigur și a unei arhive valide, specialiștii vă vor ajuta să instalați programul și să restaurați baza de date.
5. Verificați evidența. Comparați data ultimelor vânzări, stocurile, documentele de casă, mișcările de mărfuri, utilizatorii, șabloanele și fotografiile. Înregistrați perioada pierdută și planul de restabilire a acesteia pe baza documentelor primare.

Migrarea pe un server închiriat necesită, de asemenea, o bază de date sau o arhivă validă. Noul mediu restabilește posibilitatea de a continua activitatea, iar datele de evidență pentru perioada anterioară pot fi recuperate numai dintr-o copie disponibilă.

De ce o copie păstrată pe același server nu oferă protecție

NCSC recomandă separarea administrării sistemului de backup de rețeaua principală, utilizarea unor date administrative de autentificare separate, solicitarea autentificării multifactor pentru acțiunile distructive, utilizarea mediilor deconectate sau a copiilor imuabile și păstrarea versiunilor anterioare pentru o perioadă stabilită.

O schemă practică de backup pentru un magazin

Pentru companiile mici și mijlocii este potrivit modelul 3–2–1–1–0:

• 3 copii ale datelor: baza de date de lucru și cel puțin două copii de rezervă;
• 2 medii de stocare diferite: de exemplu, un disc local pentru recuperare rapidă și un spațiu de stocare cloud;
• 1 copie în afara sediului principal sau a serverului;
• 1 copie offline sau într-un sistem de stocare imuabil;
• 0 erori neverificate: jurnalele de backup sunt monitorizate, iar restabilirea este testată periodic.

Cum se configurează o copie automată pe un disc protejat

1. Rezervați mediul de stocare exclusiv pentru copii de rezervă. Nu păstrați pe acesta documente de lucru și nu rulați programe.
2. Nu mențineți mediul conectat permanent. Conectați discul pentru copierea controlată, deconectați-l corect după finalizare și păstrați-l separat.
3. Folosiți prin rotație cel puțin două discuri. În timp ce un dispozitiv primește o copie nouă, celălalt rămâne deconectat într-un alt loc sigur.
4. Limitați drepturile. Utilizatorii obișnuiți și casierii nu trebuie să aibă permisiunea de a șterge copiile de rezervă. Datele de autentificare pentru backup nu trebuie folosite în activitatea zilnică.
5. Protejați prin criptare datele de pe mediul de stocare. Păstrați cheia de recuperare separat de server și de disc.
6. Automatizați monitorizarea. Persoana responsabilă primește notificări despre erori și verifică zilnic data ultimei copii și spațiul disponibil.
7. Testați restabilirea. Verificați lunar deschiderea unei arhive recente într-un mediu izolat; efectuați trimestrial o restabilire de test completă și înregistrați durata și rezultatul.

Backupul automat pe disc nu trebuie să ducă la menținerea mediului de stocare conectat întreaga zi. Dacă procesul nu poate fi organizat în mod consecvent, este indicat un sistem de stocare cu versiuni imuabile și administrare separată.

Cum se configurează «Arhiva de date în cloud» în Torgsoft

Arhiva de date în cloud | Licență pentru 1 an creează automat o arhivă a bazei de date sau a directorului programului Torgsoft și o trimite în Google Drive conform unui program stabilit. Copiile sunt păstrate în dosarul TORGSOFT_CLOUD. Pentru sincronizarea fotografiilor se utilizează un dosar separat, TORGSOFT_CLOUD_SYNC.

1. Creați un cont Google separat pentru arhive. Nu utilizați contul personal al unui angajat. Proprietarul companiei trebuie să controleze metodele de recuperare a accesului.
2. Activați autentificarea multifactor. Este recomandată utilizarea unei chei de acces sau a unei chei hardware de securitate. Păstrați codurile de rezervă offline.
3. Nu instalați pe server clientul de sincronizare Google Drive pentru acest dosar. Arhiva cloud trebuie să rămână separată de discurile și dosarele de rețea Windows obișnuite.
4. Activați opțiunea. În Torgsoft, deschideți Setări → Sarcini programate → Arhivare în spațiul de stocare cloud.
5. Adăugați o sarcină. Selectați tipul: arhiva bazei de date, directorul programului sau sincronizarea fotografiilor. Pentru o restabilire completă sunt necesare, de regulă, sarcini separate pentru baza de date și fișierele de lucru importante.
6. Specificați perioada de păstrare. Păstrați mai multe copii din date diferite. Dacă este necesar, activați mutarea arhivelor vechi în coșul de gunoi în locul ștergerii definitive.
7. Activați comprimarea arhivei bazei de date. Aceasta reduce volumul datelor transferate și spațiul utilizat în sistemul de stocare.
8. Configurați un program zilnic. Arhivarea locală și cea în cloud nu trebuie să înceapă la aceeași oră. Dacă arhiva locală este creată la 17:00, programați sarcina cloud cel mai devreme la 17:10. Lăsați un interval de cel puțin 20 de minute între mai multe sarcini cloud.
9. Autorizați contul Google, activați sarcina și salvați-o. Nu adăugați fișiere personale în TORGSOFT_CLOUD, deoarece programul aplică acestui dosar perioada de păstrare configurată.
10. Verificați rezultatul. Consultați jurnalul de execuție, confirmați că o arhivă recentă a apărut în Google Drive, apoi efectuați o restabilire de test.

Arhiva cloud păstrează o copie în afara serverului și reduce riscul pierderii simultane a bazei de date de lucru și a arhivelor locale. Rezistența acesteia depinde de securitatea contului Google, perioada de păstrare, monitorizarea erorilor și drepturile de acces la cloud. Pentru datele critice, păstrați o copie offline sau imuabilă suplimentară.

Cum se protejează un server Windows pe care funcționează Torgsoft

În acest material, prin server se înțelege calculatorul Windows pe care este stocată baza de date Torgsoft. Chiar dacă este un calculator obișnuit din magazin, acesta trebuie să funcționeze ca un server dedicat.

În recomandările de securitate pentru SQL Server, Microsoft subliniază în mod separat protejarea RDP, închiderea porturilor prin firewall, instalarea la timp a actualizărilor, reducerea numărului de instrumente instalate și păstrarea unei copii de rezervă astfel încât un cont administrativ comun să nu o poată șterge. Pentru Windows, Microsoft recomandă și autentificarea multifactor, protecția împotriva modificărilor neautorizate, regulile de reducere a suprafeței de atac și instalarea rapidă a actualizărilor critice.

Plan minim de protecție pentru 30 de zile

Răspunsuri scurte la întrebările clienților

Serverul și toate arhivele au fost criptate. Poate Torgsoft să recupereze baza de date?

Numai dacă a rămas o arhivă validă sau un fișier intact al bazei de date. Serviciul de asistență tehnică nu dispune de un instrument universal pentru decriptarea datelor afectate de ransomware.

A fost recuperat un fișier .mdf. Poate fi restabilită activitatea?

Specialiștii pot verifica posibilitatea conectării acestuia. Fișierul trebuie să fie intact și să conțină date actuale. Dacă a fost creat cu câteva luni în urmă, evidența ulterioară acelei date va lipsi.

Va ajuta migrarea pe un server închiriat?

Acesta oferă un mediu nou pentru activitatea ulterioară. Istoricul evidenței este transferat dintr-o bază de date sau o arhivă validă, de aceea trebuie găsită mai întâi o copie adecvată.

Este suficientă «Arhiva de date în cloud»?

Aceasta reprezintă un nivel important de protecție de bază. Pentru datele critice, adăugați o copie offline sau imuabilă separată, protecție multifactor pentru contul Google, monitorizarea jurnalelor și teste periodice de restabilire.

Cât de des trebuie creată o arhivă?

Frecvența depinde de numărul operațiunilor și de volumul acceptabil de date pierdute. Pentru un magazin activ, o copie zilnică reprezintă nivelul minim. Dacă pierderea unei zile de lucru este inacceptabilă, este necesar un program mai frecvent, convenit cu un specialist IT și serviciul de asistență tehnică Torgsoft.

Serverul poate fi curățat cu un antivirus după atac și apoi folosit în continuare?

Acest lucru nu este suficient pentru o recuperare sigură. Atacatorul poate să fi creat conturi, sarcini, servicii și canale ascunse de acces suplimentare. O abordare sigură presupune investigarea incidentului, eliminarea metodei de pătrundere și instalarea pe un sistem curat.