Ransomware w branży — jak zabezpieczyliśmy biuro rachunkowe w 5 dni

Konkurencyjne biuro rachunkowe w tym samym mieście zostało zaszyfrowane przez ransomware. Klienci stracili dostęp do swoich dokumentów na trzy tygodnie. Nasz klient zadzwonił następnego dnia. W ciągu pięciu dni roboczych jego firma miała backup 3-2-1, segmentowaną sieć, MFA wszędzie i pierwsze szkolenie z phishingu za sobą.

Kontekst: branża, w której dane to wszystko

Klient prowadzi biuro rachunkowe od czternastu lat. Dwunastoosobowy zespół obsługuje około 180 klientów — głównie małe firmy, jednoosobowe działalności, kilka większych podmiotów. Codziennie przechodzą przez biuro tysiące faktur, dziesiątki deklaracji, dane osobowe pracowników klientów. Dane, których utrata oznacza nie tylko paraliż firmy, ale też naruszenie RODO, sankcje UODO i — co dla biura rachunkowego najgorsze — utratę zaufania klientów, które buduje się latami.

Współpracę zaczęliśmy w nietypowych okolicznościach. Konkurencyjne biuro w tym samym województwie zostało zaatakowane ransomware. Atakujący zaszyfrowali wszystkie pliki na serwerze i komputerach pracowników, włącznie z lokalnymi backupami. Zażądali okupu w bitcoinach. Biuro nie zapłaciło, próbowało odzyskać dane z chmury Microsoft 365 — okazało się, że nie miało skonfigurowanych retencji, więc nawet OneDrive odzwierciedlił zaszyfrowane wersje plików. Trzy tygodnie zatrzymanej pracy, kilkudziesięciu klientów wystawionych na opóźnienia w deklaracjach, pierwsze pozwy.

Nasz klient zobaczył to, zadzwonił do nas i powiedział: „Co muszę zrobić, żeby u mnie to nie wyszło?"

Punkt startowy: wszystko na jednym dysku

Audyt zrobiliśmy w jeden dzień, rozkładając rzeczywistość na czynniki pierwsze. Stan zastany był typowy dla MŚP, które nigdy nie miały incydentu:

• Backup: jeden, lokalny, na dysku zewnętrznym pod biurkiem księgowej. Robiony „kiedy ktoś pamięta", ostatni z przeszłego kwartału.
• Hasła: typowe, wymieniane przez Excel, część zapisana na karteczkach pod monitorami.
• MFA: nigdzie. Dostęp do M365 — sam login + hasło.
• Sieć: jedna płaska sieć biurowa, wszystkie urządzenia w jednym VLAN, włącznie z drukarką, której firmware nie był aktualizowany od trzech lat.
• Endpoint protection: standardowy Windows Defender, bez centralnego zarządzania ani logów.
• Świadomość zespołu: zerowa — nikt nigdy nie przeszedł szkolenia z phishingu, otwierano każdy załącznik z faktur od „klientów".

Innymi słowy: gdyby ten sam atak co u konkurencji uderzył w tę firmę, skutek byłby identyczny. Może gorszy.

Priorytetyzacja: co naprawić najpierw

Pełne wdrożenie cybersecurity dla biura tej wielkości to projekt na kilka miesięcy — z polityką bezpieczeństwa, regularnymi pentestami, SIEM-em, monitorowaniem 24/7. Klient nie miał kilku miesięcy. Klient był w panice, słusznie. Ustaliliśmy więc pięciodniowy plan ratunkowy, który zamyka 80% realnego ryzyka, a resztę zostawia na późniejsze fazy.

Zasada doboru: zaczynamy od rzeczy, których brak oznacza, że w razie ataku jutro firma zostanie odcięta od danych. Reszta — ważna, ale może poczekać.

Rozwiązanie: 5 dni, 5 obszarów

Dzień 1 — Backup 3-2-1

Wdrożyliśmy strategię 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, jedna off-site. W praktyce: Veeam Backup for Microsoft 365 z retencją 90 dni (kopia w chmurze Veeam), NAS Synology w biurze (kopia lokalna z immutable snapshots — nawet ransomware nie skasuje), oraz codzienna replikacja NAS-a do drugiej lokalizacji u klienta. RPO 24h, RTO 4h dla najważniejszych danych.

Dzień 2 — Segmentacja sieci

Płaską sieć rozdzieliliśmy na cztery VLAN-y: stacje pracowników księgowych, administracja (lider biura), goście (Wi-Fi dla klientów), IoT (drukarki, kamery). Komunikacja między VLAN-ami tylko przez firewall, z jawnymi regułami. Drukarka, którą atakujący w 60% incydentów wykorzystują jako wektor wejścia, jest w izolowanym VLAN-ie bez dostępu do internetu.

Dzień 3 — MFA + menedżer haseł

Włączyliśmy MFA na wszystkich kontach: Microsoft 365, dostęp do banku, do programu księgowego, do panelu klienta. Wdrożyliśmy menedżer haseł (1Password Business) — koniec z karteczkami i Excel-haslami.txt. Każde hasło wygenerowane od nowa, długie, unikalne.

Dzień 4 — Endpoint protection + monitoring

Wymieniliśmy domyślny Defender na centralnie zarządzany endpoint security z konsolą, w której admin widzi w czasie rzeczywistym: kto jest zalogowany, jakie ma aktualizacje, czy nie wykryto nic podejrzanego. Włączyliśmy monitoring podstawowych zdarzeń (logowania, próby dostępu z zagranicy, instalacja oprogramowania) z alertami na maila administratora.

Dzień 5 — Szkolenie phishingowe

Ostatni dzień to szkolenie zespołu. Nie nudna prezentacja, tylko praktyczne ćwiczenia: pokazaliśmy realne maile phishingowe z ostatnich tygodni, omówiliśmy znaki rozpoznawcze, przeprowadziliśmy symulację — wysłaliśmy zespołowi fałszywego maila z „nową fakturą". Trzy osoby kliknęły. Po szkoleniu — przy następnej symulacji — kliknęła jedna. To realna różnica.

Wynik po 12 miesiącach od wdrożenia

Drobny epilog: pół roku po wdrożeniu przyszedł do biura mail z fałszywą fakturą zawierającą makro-malware. Zatrzymał go endpoint security, alert poszedł do administratora, sprawa zamknięta w 15 minut. Bez backupu i segmentacji ten sam mail mógł skończyć tak, jak u konkurencji rok wcześniej. Skończył się dwoma logami w konsoli.

Nie da się zagwarantować, że atak nigdy nie przyjdzie. Da się zagwarantować, że gdy przyjdzie, nie zatrzyma firmy na trzy tygodnie.

Co dalej

Po wdrożeniu wstępnym przeszliśmy do fazy utrzymaniowej: kwartalne testy odtwarzania backupu (raz na trzy miesiące jeden plik z chmury, sprawdzamy czy się odtworzy), miesięczne raporty z konsoli endpoint security, dwa razy w roku symulacja phishingowa dla zespołu. W 2026 planujemy wdrożenie polityki BYOD (klient zaczął zatrudniać zdalnie) oraz pełen DLP na danych osobowych klientów.

Cybersecurity to nie projekt z datą zamknięcia. To rytm — drobne, regularne czynności, które razem dają realną odporność. Ale ten rytm zaczyna się od tych pierwszych pięciu dni, w których przestajesz być łatwym celem.

← Wszystkie case studies