Tiedostot ovat salattuja ja ruudulla on lunnasvaatimus. Nyt ei ole aikaa paniikille, vaan järjestelmälliselle toiminnalle. Ensimmäinen ja tärkein sääntö: älä maksa lunnaita hätiköidysti. Harkitse tarkkaan laitteen sammuttamista, sillä se voi joissakin tapauksissa vaikuttaa muistissa oleviin tietoihin, jotka saattavat olla hyödyllisiä myöhemmässä analyysissä.

Käynnissä on aktiivinen hyökkäys. Seuraavat askeleet auttavat rajaamaan vahingot ja aloittamaan toipumisen hallitusti.

Välittömät toimet: Ensimmäiset 60 minuuttia

Kriisin alussa jokainen minuutti on tärkeä. Toimi nopeasti mutta harkitusti. Tavoitteena on estää haittaohjelman leviäminen ja suojata jäljellä oleva data.

1. Eristä tartunnan saaneet laitteet verkosta.
Tämä on kriittisin ensimmäinen askel. Irrota verkkokaapeli ja katkaise Wi-Fi-yhteys kaikista koneista, joissa havaitset salattuja tiedostoja tai lunnasviestin. Tämä estää haittaohjelmaa leviämästä verkon kautta muihin koneisiin, palvelimiin ja verkkolevyihin.

2. Katkaise yrityksen verkkoyhteys ulkomaailmaan.
Jos epäilet, että hyökkäys on laajempi, katkaise koko yritysverkon yhteys internetiin suoraan palomuurilta. Tämä pysäyttää hyökkääjien mahdollisen yhteydenpidon saastuneisiin laitteisiin ja estää heitä varastamasta lisää dataa.

3. Ota kuva lunnasvaatimuksesta.
Dokumentoi kaikki. Ota puhelimellasi kuva lunnasviestistä. Se sisältää tärkeitä tietoja, kuten hyökkääjän vaatiman summan, maksuohjeet ja yhteystiedot. Viestissä voi myös olla tietoja käytetystä haittaohjelmasta, mikä auttaa myöhemmässä analyysissä.

4. Tunnista kaikki tartunnan saaneet järjestelmät.
Älä oleta, että vain yksi kone on saastunut. Kirjaa ylös kaikki laitteet, palvelimet, verkkolevyt ja pilvitallennustilat, joihin haittaohjelma on vaikuttanut. Laaja tilannekuva on edellytys onnistuneelle palautukselle.

Tilannekuvan muodostaminen ja vahinkojen arviointi

Kun välitön uhka leviämisestä on hallinnassa, on aika selvittää, mitä tarkalleen on tapahtunut ja mitkä ovat vaihtoehdot.

Tarkista varmuuskopioiden tila – tämä on totuuden hetki.
Kaikki riippuu varmuuskopioista. Selvitä välittömästi:

• Ovatko varmuuskopiot olemassa ja ajan tasalla? Milloin viimeisin toimiva varmuuskopio on otettu?
• Ovatko ne erillään verkosta? Kiristyshaittaohjelmat yrittävät aktiivisesti etsiä ja salata myös verkon kautta saavutettavissa olevat varmuuskopiot. Jos varmuuskopiot ovat olleet kytkettynä verkkoon, ne ovat todennäköisesti myös salattuja.
• Onko palautusta testattu? Toimimaton varmuuskopio on yhtä hyödyllinen kuin ei varmuuskopiota lainkaan.

Toimivat ja verkosta erillään olevat varmuuskopiot ovat nopein ja luotettavin tie takaisin normaaliin toimintaan.

Arvioi liiketoiminnalle koituvat vahingot.
Mitä dataa menetettiin? Kuinka kauan yritys voi olla toimimatta ilman kriittisiä järjestelmiä? Vastaus tähän auttaa päättämään seuraavista askeleista ja viestimään tilanteesta henkilöstölle ja asiakkaille.

Palautussuunnitelma: Varmuuskopiot vai neuvottelu?

Edessä on kaksi pääpolkua: palautus omista varmuuskopioista tai äärimmäisen riskialtis neuvottelu rikollisten kanssa.

Vaihtoehto 1: Palautus varmuuskopioista (Suositeltu reitti)
Jos sinulla on toimivat varmuuskopiot, prosessi on selkeä:

1. Puhdista järjestelmät: Älä yritä poistaa virusta. Alusta tartunnan saaneiden laitteiden kiintolevyt kokonaan. Vain täysin puhdas asennus varmistaa, ettei järjestelmään jää takaportteja tai haittaohjelman rippeitä.
2. Paikkaa tietoturva-aukko: Ennen kuin palautat mitään, selvitä, miten hyökkääjä pääsi sisään. Olipa kyseessä vanhentunut ohjelmisto, heikko salasana tai onnistunut kalasteluviesti, tietoturva-aukkojen hallinta on välttämätöntä, jotta sama ei tapahdu uudelleen.
3. Palauta tiedostot: Palauta data puhtaisiin järjestelmiin varmuuskopioista.
4. Vahvista toiminta: Testaa, että kaikki järjestelmät toimivat ja data on eheää.

Vaihtoehto 2: Lunnasrahojen maksaminen (Viimeinen oljenkorsi)
Viranomaiset ja tietoturva-asiantuntijat suosittelevat yksimielisesti, ettei lunnaita makseta. Maksaminen ei takaa tiedostojen palautusta, rahoittaa järjestäytynyttä rikollisuutta ja tekee yrityksestäsi houkuttelevan kohteen tuleville hyökkäyksille.

Jos varmuuskopioita ei ole ja liiketoiminnan jatkuvuus on vaakalaudalla, jotkut päätyvät tähän vaihtoehtoon. Se on kuitenkin valtava riski. Jos harkitset tätä, käytä ammattilaisapua neuvottelussa ja teknisessä toteutuksessa.

Jälkityöt ja tulevaisuuden ennaltaehkäisy

Kun välitön kriisi on ohi, työ vasta alkaa. Nyt on aika varmistaa, ettei vastaavaa pääse enää koskaan tapahtumaan.

• Tee rikosilmoitus: Kiristyshaittaohjelmahyökkäys on vakava rikos. Tee aina ilmoitus poliisille ja Kyberturvallisuuskeskukselle. Organisaatioiden on myös selvitettävä, onko tapauksesta tehtävä ilmoitus tietosuojavaltuutetulle ja/tai NIS-ilmoitus.
• Analysoi hyökkäysreitti: Selvitä juurisyy. Miten hyökkääjä pääsi sisään? Yleisimpiä reittejä ovat sähköpostin liitteet, suojaamattomat etätyöpöytäyhteydet (RDP) ja ohjelmistojen haavoittuvuudet.
• Vahvista puolustusta: Nykyaikainen kyberturvallisuus yritykselle vaatii monikerroksista suojaa. Varmista, että perusasiat ovat kunnossa:
  • Nykyaikainen päätelaitesuojaus: Perinteinen virustorjunta ei riitä. Tarvitset ratkaisun, joka tunnistaa ja pysäyttää epäilyttävää toimintaa, kuten WithSecure EDR.
  • Henkilöstön koulutus: Suurin osa iskuista alkaa inhimillisestä virheestä. Säännöllinen kyberturvallisuuskoulutus on paras sijoitus tietoturvaan.
  • Verkon suojaus: Varmista, että yrityksen palomuuri on ajan tasalla ja oikein konfiguroitu.
  • Pilvipalveluiden suojaus: Oletusasetukset eivät riitä. Varmista Microsoft 365 -ympäristön tietoturva koventamalla asetuksia.
  • Toimiva varmuuskopiointi: Ota käyttöön 3-2-1-sääntö (kolme kopiota, kahdella eri medialla, yksi ulkopuolisessa sijainnissa) ja testaa palautusta säännöllisesti.

Kiristyshaittaohjelmahyökkäys on traumaattinen kokemus, mutta siitä voi selvitä. Järjestelmällinen toiminta, toimivat varmuuskopiot ja ammattitaitoinen apu ovat avain onnistuneeseen toipumiseen.

Usein kysytyt kysymykset

Kannattaako lunnaita maksaa?

Ei. Virallinen suositus on olla maksamatta. Maksaminen ei takaa tiedostojen palautumista, ja se merkitsee sinut kohteeksi, joka on valmis maksamaan. Tämä lisää riskiä joutua uudelleen uhriksi. Maksaminen on aina viimeinen ja riskialttein vaihtoehto, johon ei tule ryhtyä ilman perusteellista harkintaa ja asiantuntija-apua.

Miten nopeasti toiminta saadaan palautettua?

Toipumisaika vaihtelee tunneista viikkoihin. Se riippuu täysin varmuuskopioiden laadusta, vahinkojen laajuudesta ja palautusprosessin monimutkaisuudesta. Jos ajantasaiset ja testatut varmuuskopiot ovat helposti saatavilla, kriittisimmät toiminnot voidaan saada pystyyn jopa päivässä. Laajassa tartunnassa koko verkon uudelleenrakennus voi kestää huomattavasti kauemmin.

Mistä tiedän, ovatko varmuuskopioni turvassa hyökkäykseltä?

Turvallinen varmuuskopio on fyysisesti tai loogisesti erotettu pääverkosta (air-gapped). Tämä tarkoittaa esimerkiksi pilvipalvelua, joka tukee muuttumattomia (immutable) varmuuskopioita, tai ulkoista kiintolevyä, jota ei pidetä jatkuvasti kytkettynä. Jos varmuuskopio näkyy verkkolevynä, kiristyshaittaohjelma yrittää salata myös sen.