Krótko: Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy. Po ataku hakerskim na Państwa firmę potrzebują Państwo jako zarząd przede wszystkim osoby kontaktowej, która przejmie część techniczną, aby mogli Państwo podejmować decyzje. Pracujemy zdalnie, zabezpieczamy ślady, zamykamy drzwi włamania, oczyszczamy system i dokumentujemy, aż incydent zostanie zakończony.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Proszę także poprosić dział IT i hostingodawcę, aby na razie niczego nie zmieniali. Sprzątanie w pośpiechu niszczy dowody, których potrzebują Państwo dla ubezpieczenia, ochrony danych i policji. Zgłoś awarię, przejmujemy sprawę od pierwszej wiadomości.
Czy są Państwo dotknięci? Po czym zarząd poznaje atak
Atak hakerski rzadko zaczyna się od komunikatu z działu IT. Często pierwsza wskazówka przychodzi z zewnątrz:
- Klient lub partner biznesowy zgłasza dziwną wiadomość e-mail, przekierowanie lub ostrzeżenie w przeglądarce.
- Hostingodawca blokuje stronę lub pisze, że znaleziono złośliwy kod.
- Strona pokazuje obce treści, spam lub zachowuje się inaczej niż zwykle.
- Państwa dział IT zgłasza nieznane pliki, konta lub procesy na serwerze WWW.
- Pojawia się szantaż, oferta sprzedaży danych w sieci lub komunikat od urzędów.
Atak może mieć miejsce także bez jednoznacznego znaku. Od czasu opublikowania luk PHP2Shell w PHP BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji) ostrzega na poziomie 3 / pomarańczowym; próby ataku zaobserwowali według doniesień Cloudflare i Patchstack. To, czy Państwa firma jest dotknięta, chętnie wyjaśnimy, bez konieczności udowadniania podejrzenia. Oznaki techniczne znajdują się w artykule Czy już doszło do naruszenia?.
Co należy zrobić teraz
- Wyznaczyć decydenta. Jedna osoba może w imieniu firmy decydować o wyłączeniu, restartach i zmianie haseł i jest osiągalna.
- Niczego nie pozwalać zmieniać. Bez usuwania, bez ponownej instalacji, bez przywracania kopii zapasowych przed zabezpieczeniem śladów.
- Krótko zapisać sytuację. Co zauważono, kiedy i kto? Które systemy i dane mogą być dotknięte?
- Poinformować inspektora ochrony danych. Jeśli dotknięte są dane osobowe, być może biegnie termin. Proszę przeczytać o obowiązku zgłoszenia według RODO.
- Sprawdzić ubezpieczyciela. Jeśli istnieje cyberpolisa, często reguluje ona, kiedy i jak należy zgłosić szkodę. O co chodzi, opisuje strona Cyberubezpieczenie w razie szkody.
- Uzgodnić komunikację na zewnątrz. Kto rozmawia z klientami, prasą i pracownikami? Pomoc znajdą Państwo na stronie Komunikacja kryzysowa po ataku.
- Zgłosić się teraz. Proszę zadzwonić lub napisać na WhatsApp.
Co musi wyjaśnić zarząd, a co przejmujemy my
Atak hakerski to wydarzenie techniczne i przedsiębiorcze zarazem. Decyzje pozostają po Państwa stronie, pracę techniczną możemy wziąć na siebie.
| Pytanie | Kto odpowiada |
|---|---|
| Czy strona lub sklep zostaną czasowo wyłączone? | Państwo decydują, my pokazujemy skutki i alternatywy |
| Czy dane wypłynęły i które? | Dostarczamy fakty techniczne z logów i plików |
| Czy istnieje obowiązek zgłoszenia? | Inspektor ochrony danych lub prawnik, z naszym raportem |
| Czy składane jest zawiadomienie? | Państwo decydują, my wcześniej zabezpieczamy dowody |
| Jak informowani są klienci? | Państwo, z ekspertami od komunikacji; my dostarczamy stan faktyczny |
| Jak serwer wraca do czystego stanu? | My, w uzgodnieniu z Państwa działem IT |
Co do odpowiedzialności zarządu za luki w bezpieczeństwie nie udzielamy porad prawnych; ogólne informacje znajdują się na stronie Odpowiedzialność zarządu. Decyzję o zawiadomieniu o przestępstwie ułatwia strona o Centralnych punktach kontaktowych ds. cyberprzestępczości (ZAC).
Działalność firmy i incydent razem
Obok techniki w pierwszych godzinach naglące jest pytanie, jak firma ma działać dalej. Jeśli od strony zależą zlecenia, rezerwacje terminów lub zamówienia, działalność potrzebuje rozwiązania zastępczego: strony konserwacyjnej z numerem telefonu, formularza na czystym systemie lub obsługi telefonicznej i e-mailowej. Według doniesień medialnych urzędy w związku z sytuacją PHP2Shell prewencyjnie odłączyły swoje strony od sieci i pozostały osiągalne telefonicznie i e-mailowo; pokazuje to, że wyłączenie i dostępność mogą iść w parze.
Proszę też porozmawiać z załogą. Kto wie o incydencie, nie da się nabrać na wiadomości phishingowe, które teraz często są podsyłane, i nie udzieli na zewnątrz informacji, które później będą wyglądać na sprzeczne. Wypowiedzi o incydencie proszę utrzymywać krótkie i możliwe do udowodnienia. Przypuszczenia nie należą do wiadomości do klientów; to, co wiemy na pewno, co przypuszczamy i co jest otwarte, wyraźnie rozdzielamy w naszym raporcie.
Jak PHP SOS pomaga w praktyce?
- Ocena sytuacji: W pierwszej rozmowie wyjaśniamy, co jest znane, które systemy mogą być dotknięte i co się na nich znajduje. Otrzymują Państwo krótką ocenę z kolejnymi krokami.
- Zabezpieczenie i zamknięcie: Pliki, baza danych i logi są zabezpieczane, zanim cokolwiek zostanie zmienione. Następnie powstrzymujemy atak i zamykamy punkt wejścia, w przypadku PHP2Shell poprawką i restartem wszystkich procesów.
- Sprawdzenie i oczyszczenie: Szukamy tylnych drzwi, obcych dostępów i zmanipulowanych plików i porządkujemy. Gdzie to konieczne, odbudowujemy z zaufanych źródeł.
- Wzmocnienie i raport: Otrzymują Państwo raport czytelny dla ochrony danych, ubezpieczyciela i partnerów biznesowych oraz zalecenia na czas po incydencie.
Jeśli incydent wykracza poza jeden serwer, przechodzimy do uporządkowanej reakcji na incydenty (Incident Response). Jeśli potrzebne jest wyjaśnienie wytrzymujące przed sądem, angażujemy wyspecjalizowanych partnerów od informatyki śledczej.
Co warto nam przesłać
- Imię i nazwisko oraz dane kontaktowe osoby decyzyjnej w firmie
- krótki opis: co zwróciło uwagę, kiedy, przez kogo?
- informacje o dotkniętym systemie oraz o hostingodawcy lub usługodawcy
- wskazówki o istniejącym cyberubezpieczeniu i właściwym organie ochrony danych
- dostęp do serwera lub zgodę na bezpośrednią rozmowę z hostingodawcą
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo jedną osobę kontaktową zamiast kolejki oczekujących. Pracujemy zdalnie, bez dojazdu, w całych Niemczech i w Europie. Każdy krok jest dokumentowany, także po to, aby mogli Państwo wykazać wobec ubezpieczyciela, organów ochrony danych i partnerów biznesowych, co się stało. Mówimy otwarcie, co jest udowodnione, a co tylko prawdopodobne, i nie obiecujemy niczego, czego nikt nie może dotrzymać. Ile może kosztować incydent, opisuje strona Pozycje kosztów włamania.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Im wcześniej ślady zostaną zabezpieczone, tym więcej da się później udowodnić. Przejmujemy sprawę od pierwszej wiadomości i zostajemy przy niej, aż incydent zostanie zakończony i udokumentowany. Zgłoś awarię teraz.
Częste pytania
Atak hakerski na firmę: co powinien zrobić zarząd w pierwszej kolejności?
Wyznaczyć jedną osobę jako decydenta i osobę kontaktową, niczego nie usuwać ani nie instalować od nowa oraz zasięgnąć pomocy technicznej. Równolegle należy poinformować inspektora ochrony danych oraz, jeśli istnieje, ubezpieczyciela cyberpolisy. Sytuację techniczną wyjaśniamy z Państwem.
Kiedy atak hakerski trzeba zgłosić?
Jeżeli dotknięte są dane osobowe, zgłoszenie do organu nadzorczego ds. ochrony danych w ciągu 72 godzin może być konieczne. To, czy obowiązek obowiązuje, oceniają inspektorzy ochrony danych lub prawnicy. My dostarczamy do tego fakty techniczne.
Czy po ataku hakerskim powinienem złożyć zawiadomienie?
Wiele firm to robi, także dlatego, że oczekują tego ubezpieczyciele lub partnerzy biznesowi. Policja ma w tym celu Centralne punkty kontaktowe ds. cyberprzestępczości (ZAC). Aby dowody pozostały przydatne, ślady należy wcześniej zabezpieczyć.
Czy jako firma potrzebujemy usługodawcy, jeśli mamy własny dział IT?
Często tak. Wewnętrzny dział IT zna normalną pracę systemów, ale rzadziej zabezpieczanie śladów i oczyszczanie po włamaniu. Współpracujemy z Państwa działem IT i przejmujemy tę część, na którą w firmie brakuje doświadczenia lub czasu.
Ile kosztuje firmę atak hakerski?
Zależy to od czasu trwania, sytuacji z danymi i przerwy w działalności. Typowe pozycje kosztów opisuje nasza strona o kosztach włamania. Nie podajemy kwoty, nie znając Państwa sytuacji.