Cum îți dai seama că e un atac
- fișierele nu se mai deschid sau au extensii ciudate; apare un mesaj care cere bani;
- clienții primesc de pe adresa ta e-mailuri pe care nu le-ai trimis;
- primești alerte de autentificare din alte țări sau cereri MFA pe care nu le-ai inițiat;
- calculatorul e foarte lent, antivirusul a fost dezactivat, apar conturi noi;
- banca te sună despre o plată pe care nu o recunoști.
Primele 30 de minute
- Păstrează-ți calmul și notează ora și ce ai observat — vei avea nevoie de aceste detalii.
- Izolează dispozitivele afectate: scoate cablul de rețea și oprește Wi-Fi-ul. Nu le opri — memoria conține dovezi.
- Anunță persoana sau firma care se ocupă de IT și conducerea.
- Dacă e vorba de bani: sună imediat banca pentru blocarea sau rechemarea transferului.
- Schimbă parolele conturilor critice (e-mail, banking) de pe un dispozitiv curat, nu de pe cel afectat.
Ce să NU faci
- nu plăti răscumpărarea și nu negocia singur cu atacatorii;
- nu șterge fișiere, e-mailuri sau jurnale și nu reinstala Windows „ca să scapi” — se pierd dovezile și cauza;
- nu conecta backup-urile la rețeaua afectată până nu e sigur;
- nu comunica public detalii înainte să știi ce s-a întâmplat.
Cea mai frecventă greșeală: restaurarea din backup înainte de a afla pe unde a intrat atacatorul. Fără închiderea ușii, atacul se repetă în câteva zile.
Pe cine trebuie să anunți
- DNSC — poți raporta orice incident cibernetic; pentru firmele sub NIS2, raportarea este obligatorie (avertizare în 24 de ore, notificare în 72 de ore);
- ANSPDCP — dacă sunt afectate date personale (clienți, angajați), în cel mult 72 de ore, cu excepția cazului în care riscul pentru persoane este puțin probabil;
- Poliția — pentru fraudă, șantaj sau furt de date;
- Asigurătorul, dacă ai poliță cyber, și — când e cazul — clienții și partenerii afectați.
Revenirea la lucru în siguranță
- Se identifică punctul de intrare și se închide (parolă furată, server expus, sistem neactualizat).
- Se curăță sau se reinstalează sistemele afectate și se schimbă toate parolele, cu MFA.
- Se restaurează datele din backup-ul verificat ca fiind curat.
- Se monitorizează atent rețeaua în săptămânile următoare.
- Se notează lecțiile învățate și se actualizează planul de răspuns.
Pregătește-te dinainte: printează această pagină, scrie pe ea numerele de telefon ale firmei IT, ale băncii și ale conducerii și păstreaz-o la îndemână. În timpul unui atac, calculatoarele s-ar putea să nu funcționeze.
Abonează-te la alertele DNSC → · Backup și Disaster Recovery → · Contactează SSIT →