Zsarolóvírus-támadás a cégnél: mit tegyél az első órákban?

Reggel a munkatársak nem tudják megnyitni a fájljaikat, a képernyőn váltságdíjat követelő üzenet jelenik meg. Zsarolóvírus-támadásnál az első órák döntései határozzák meg, hogy a cég napok vagy hetek alatt áll-e helyre, és hogy mennyi bizonyíték marad a nyomozáshoz. A legfontosabb: a fertőzött gépeket le kell választani a hálózatról, a mentéseket meg kell védeni, és időben be kell jelenteni a hatóságoknak.

Mi történik egy zsarolóvírus-támadásnál?

A zsarolóvírus (ransomware) olyan kártevő, amely titkosítja a cég adatait, és a visszafejtésért váltságdíjat követel, jellemzően kriptovalutában. A Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézetének (NKI) tájékoztatója szerint a támadások egyre célzottabbak: a támadók hozzáférést szereznek, hosszabb ideig feltérképezik a rendszert, és a váltságdíjat a szervezet „értékéhez” igazítják. Gyakori, hogy titkosítás előtt adatot is lopnak, és a nyilvánosságra hozatallal is zsarolnak.

A támadás ezért általában nem a zsarolóüzenet megjelenésekor kezdődik, hanem napokkal vagy hetekkel korábban. Ez két dolgot jelent: a támadó még a hálózatban lehet, és a mentések is fertőzöttek lehetnek.

Az első órák teendői sorrendben

1. Izolálás. Válaszd le a fertőzött gépeket a hálózatról: húzd ki a hálózati kábelt, kapcsold ki a wifit. Ha a fertőzés több gépen látszik, a teljes hálózatot érdemes leválasztani az internetről, és a távoli hozzáféréseket (VPN, távoli asztal) letiltani.
2. Ne kapcsold ki vaktában a gépeket. A memóriában olyan nyomok lehetnek (futó folyamatok, hálózati kapcsolatok, néha titkosítási kulcsok), amelyek kikapcsoláskor elvesznek. A kikapcsolásról az incidenskezelő szakértő döntsön; kivétel, ha a titkosítás szemmel láthatóan még tart, és leválasztani nem tudod a gépet.
3. Mentések védelme. Azonnal válaszd le a mentőszervereket és a hálózati tárolókat. Ne indíts visszaállítást, amíg nem tudod, hogyan jutott be a támadó, mert a tiszta mentés is újrafertőződhet.
4. Bizonyítékmegőrzés. Fotózd le a zsarolóüzenetet, őrizd meg a naplókat, ne töröld a fertőzött fájlokat. Az NKI ajánlása szerint helyreállítás előtt bitazonos másolatot kell készíteni az érintett adathordozókról.
5. Válságcsapat összehívása. Vezető, informatika, jog, kommunikáció, adatvédelmi tisztviselő. Ha a levelezés is érintett, tartalék csatornán (telefon, külön üzenetküldő) egyeztessetek.
6. Szakértő bevonása. Egész hálózatra kiterjedő fertőzésnél az NKI is külső kiberbiztonsági szakértő segítségét javasolja. Ha van kiberbiztosításod, a biztosítót azonnal értesítsd, mert a kötvény gyakran előírja a kijelölt incidenskezelő használatát (erről bővebben: céges biztosítások).
7. Felmérés. Mely rendszerek érintettek, van-e személyes adat a titkosított vagy kiszivárgott állományok között, működik-e a termelés, a számlázás, az ügyfélszolgálat.

Kinek és mikor kell bejelenteni?

A NAIH-bejelentés a hatóság online incidensbejelentő rendszerén tehető meg. Ha 72 órán belül még nem ismert minden részlet, szakaszos bejelentés is lehetséges: az első jelentést később ki lehet egészíteni. A GDPR 33. cikk (1) bekezdése szerint a bejelentés indokolatlan késedelem nélkül, lehetőleg 72 órán belül esedékes, késés esetén indokolni kell; a (4) bekezdés kifejezetten megengedi a részletekben történő közlést. A 33. cikk (5) bekezdése szerint az incidenst akkor is dokumentálni kell a belső nyilvántartásban, ha nem kell bejelenteni. Zsarolóvírusnál a személyes adat szinte mindig érintett, hiszen a bérszámfejtés, az ügyféladatbázis és a levelezés is személyes adat.

A kiberbiztonsági bejelentés akkor kötelező, ha a cég a 2024. évi LXIX. törvény hatálya alá tartozik. A 418/2024. Korm. rendelet 77. §-a szerint az első bejelentés határideje 24 óra, jelentős incidensnél a központot telefonon is haladéktalanul értesíteni kell. Hogy érintett-e a céged, azt a NIS2-kötelezettségekről szóló cikkünk segít eldönteni. Nem kötelezett szervezet a törvény 67. §-a szerint önkéntesen is jelenthet; az ilyen bejelentést a központ a rendelkezésére álló erőforrások szerint, a veszély súlyát mérlegelve kezeli. A bejelentés az NKI oldaláról elérhető incidensbejelentő felületen tehető meg.

A rendőrségi feljelentéshez az NKI azt javasolja, hogy készülj fel a kérdésekre: mely rendszerek érintettek, milyen védelmi eszközök voltak, volt-e előzetes fenyegetés, mekkora a becsült gazdasági és reputációs kár, érintettek-e személyes adatok, és milyen helyreállítás történt.

Fizessünk váltságdíjat?

Az NKI álláspontja egyértelmű: nem javasolja a váltságdíj megfizetését. Az indokai:

• nincs garancia arra, hogy a cég megkapja a visszafejtő kulcsot;
• a visszafejtő eszköz gyakran hibásan működik, és a helyreállítás akár lehetetlen is lehet;
• előfordult, hogy a támadók a fizetés után újabb követeléssel álltak elő, vagy ugyanaz a zsarolóvírus újra titkosította az adatokat;
• a kiszivárgott adatok a fizetés után is a támadónál maradnak;
• a fizetés a további támadásokat finanszírozza.

A fizetés a bejelentési kötelezettségek alól sem mentesít. Mielőtt bármilyen tárgyalás indulna, érdemes megnézni a rendőri és biztonsági szervezetek közös No More Ransom kezdeményezését, ahol egyes zsarolóvírus-családokhoz ingyenes visszafejtő is elérhető. Ha a vezetés mégis a fizetés felé hajlik, azt csak jogász, a biztosító és incidenskezelő szakértő bevonásával, dokumentáltan tegye.

Kommunikáció a támadás alatt

A zsarolóvírus egyben kommunikációs válság is: a munkatársak, az ügyfelek és gyakran a sajtó is gyorsan értesül arról, hogy a cég nem működik. Néhány alapszabály:

• Belül először: a munkatársak tudják, mit szabad és mit nem (ne kapcsolják be a gépeket, ne nyilatkozzanak).
• Csak ellenőrzött tényt közölj; azt, hogy „adat nem sérült”, ne mondd ki, amíg a vizsgálat ezt nem igazolja.
• Az érintettek tájékoztatásánál legyen konkrét, mit tegyenek (jelszócsere, gyanús levelek).

Az első nap kommunikációs teendőit a válságkommunikáció első 24 órájáról, az érintettek tájékoztatását az adatvédelmi incidens kommunikációjáról szóló cikk részletezi.

Megelőzés: mit érdemes most megcsinálni?

Az NKI ajánlásai és a gyakorlati tapasztalatok alapján a legtöbb támadás néhány alapintézkedéssel megnehezíthető:

1. 3-2-1 mentés: minden adatról legalább három mentés, legalább két különböző adathordozón, ebből egy fizikailag elkülönítve (offline). Teszteld a visszaállítást, és mérd, mennyi ideig tart.
2. Frissítések: operációs rendszer, böngésző, VPN és távoli elérés naprakészen; a nyilvánosan ismert sérülékenységek a fő belépési pontok közé tartoznak.
3. Távoli hozzáférés: csak VPN-en át, kétlépcsős azonosítással; a nyitott RDP-port kiemelt kockázat.
4. Hálózati szegmentálás: a termelési, irodai és mentési hálózat legyen elválasztva, hogy a támadó ne jusson tovább.
5. Adminisztrátori jogok korlátozása: a munkatársak napi munkájukhoz ne használjanak rendszergazdai fiókot.
6. Adathalászat elleni védelem: SPF, DKIM, DMARC beállítása, spamszűrés, rendszeres adathalász-teszt és egyszerű bejelentési folyamat a munkatársaknak.
7. Naplózás és észlelés: központi naplózás, végpontvédelem (EDR), riasztási szabályok.
8. Incidenskezelési terv: kinek a telefonszáma kell éjjel kettőkor, ki dönt a leállásról, hol van a papíron is elérhető kapcsolattartói lista. Évente legalább egyszer gyakorold.

A szabályok 2026 novemberi állapotot tükröznek; konkrét ügyben kérd jogász véleményét.