ماذا تفعل عند هجوم برنامج الفدية: خطة استجابة خطوة بخطوة

إذا كنت تبحث عما يجب القيام به عند هجوم برنامج الفدية، يجب التصرف بسرعة، ولكن دون هلع. الهدف الرئيسي في الدقائق الأولى هو وقف انتشار البرمجيات الضارة، والحفاظ على الأدلة، وحماية النسخ الاحتياطية، وتحضير استعادة آمنة. في هذه المقالة، تم توضيح ترتيب العمل العملي للشركات والمستخدمين المنزليين: كيفية التعرف على برامج الفدية، ماذا تتوقف، لمن يجب الإبلاغ، هل يجب دفع الفدية وكيفية تقليل خطر هجوم متكرر.

برنامج الفدية، أو ransomware، يقيد الوصول إلى الملفات والأنظمة، ثم يطلب فدية مقابل مفتاح فك التشفير. أحيانًا يقوم المهاجمون أيضًا بسرقة البيانات وتهديد بنشرها. لذلك، يجب أن تأخذ الاستجابة في الاعتبار ليس فقط استعادة الملفات، ولكن أيضًا إمكانية تسرب المعلومات.

خطة قصيرة في أول 15 دقيقة

إليك خوارزمية مبسطة، تساعدك على كسب الوقت وتقليل الأضرار. هي مناسبة لمعظم الحالات عندما تظهر ملفات مشفرة على الكمبيوتر، أو ملاحظة تطلب فدية أو أخطاء جماعية في الوصول إلى البيانات.

1. عزل الجهاز المصاب عن الشبكة. قم بفصل كابل الإيثرنت، والواي فاي، وVPN. لا تقم بتوصيل الأقراص الخارجية.
2. لا تقم بحذف ملاحظة المهاجمين أو الملفات المشبوهة. قد تحتاج إليها للتحقيق وفتح فك التشفير.
3. لا تعيد تشغيل الكمبيوتر بدون توجيه من مختص. أحيانًا بعد إعادة التشغيل، تفقد آثار الهجوم أو يتواصل التشفير.
4. قم بإبلاغ المسؤول عن تكنولوجيا المعلومات أو الأمن المعلوماتي. إذا كنت في المنزل، وثق وقت وقوع الحادث والتقط صورة للشاشة.
5. قم بإيقاف المجلدات المشتركة والتخزين الشبكي، إذا كان هناك وصول. من المهم وقف الانتشار عبر SMB، RDP، VPN وقنوات أخرى.
6. تحقق من النسخ الاحتياطية، ولكن لا تقم بتوصيلها بالبيئة المصابة. يجب حماية النسخ الاحتياطية من الكتابة المتكررة والعدوى.
7. اجمع الحد الأدنى من البيانات. اسم الجهاز، المستخدم، وقت الكشف، امتدادات الملفات المشفرة، نص طلب الفدية.
8. لا تدفع على الفور. أولًا، قم بتقييم النطاق، وجود النسخ الاحتياطية، المخاطر القانونية وإمكانية فك التشفير مجانًا.

كيفية التعرف على أن هذا هجوم برنامج فدية

ليس كل تلف في الملف يعني ransomware. ومع ذلك، هناك علامات تشير إلى هجوم برنامج الفدية.

العلامات الرئيسية للإصابة

تبدو الأعراض النمطية كالتالي:

• الملفات حصلت على امتداد غير عادي جديد;
• الوثائق وقواعد البيانات والصور أو الأرشيفات توقفت عن الفتح;
• ظهرت في المجلدات ملفات تحتوي على تعليمات لدفع الفدية;
• تم تغيير خلفية المكتب إلى رسالة تهديد;
• قام مضاد الفيروسات، EDR أو SIEM بتوثيق تغيير جماعي في الملفات;
• بدأت الخوادم بالعمل ببطء، والأقراص تسجل البيانات بنشاط;
• فقد المستخدمون الوصول إلى المجلدات الشبكية;
• تم حظر الحسابات فجأة أو يتم استخدامها من عناوين غير معتادة;
• تظهر في السجلات اتصالات عبر RDP، PowerShell، PsExec أو سكربتات مشبوهة.

تكون الحالة خطيرة بشكل خاص عندما يحدث التشفير على عدة أجهزة كمبيوتر أو خادم ملفات في نفس الوقت. هذا يعني أن المهاجمين قد حصلوا بالفعل على حقوق إدارية.

ما لا يجب اعتباره دليلاً في حد ذاته

ملف واحد تالف، خطأ في القرص أو عطل في البرنامج لا يرتبط دائمًا بالهجمات. لذلك، من المهم عدم اتخاذ استنتاجات متسرعة. تحقق أولًا من السجلات وأحداث مضاد الفيروسات، وسجلات الدخول وحالة الأجهزة الأخرى. ولكن إذا كانت هناك ملاحظة تطلب الفدية وإعادة تسمية جماعية للملفات، استجوب كما لو كان حادثًا حقيقيًا.

استجابة خطوة بخطوة للحادث

عند هجوم ransomware، من المهم اتخاذ خطوات متسلسلة. الأفعال العشوائية تعرقل التحقيق وقد تزيد من الأضرار. أدناه هو ترتيب عملي يمكن استخدامه كقائمة فحص.

الخطوة 1. تعيين منسق

يجب أن يكون هناك منسق مسؤول واحد في الشركة: مدير تكنولوجيا المعلومات، مختص بالأمن المعلوماتي، قائد التحول في الخدمة أو خبير خارجي. يقوم بتوثيق القرارات، توزيع المهام ومنع الأفعال المتضاربة.

بالنسبة للمستخدم المنزلي، تكون مهمة المنسق أبسط: قم بتوثيق وقت الاكتشاف، ما حدث قبل الحادث، ما الأجهزة التي كانت متصلة وما الملفات التي تأثرت.

الخطوة 2. عزل الأنظمة المصابة

العزل هو الأولوية الأولى. قم بفصل الشبكة عن الأجهزة المصابة، ولكن لا تبدأ بإيقاف تشغيل كل شيء بشكل عشوائي دون خطة. إذا كان التشفير يتواصل على خادم الملفات، قد تحتاج إلى إيقاف واجهة الشبكة على الفور أو منع الوصول إلى الموارد المشتركة.

ماذا تفعل:

• فصل كابلات الشبكة عن محطات العمل المصابة;
• إيقاف الواي فاي وعميل VPN;
• حظر الحسابات المشبوهة;
• تقييد RDP وSMB والاتصالات الإدارية مؤقتًا;
• إيقاف مزامنة المجلدات السحابية إذا كانت تنشر ملفات مشفرة;
• فصل الخوادم الحساسة عن شبكة المستخدم.

ماذا يجب تجنبه: لا تقم بتوصيل الأقراص المحمولة، والأقراص الخارجية ووسائط النسخ الاحتياطي بالكمبيوتر المصاب. قد يؤدي ذلك إلى تشفير النسخة الوحيدة من البيانات.

الخطوة 3. حفظ الأدلة

تساعد الأدلة في فهم مسار الاختراق واختيار طريقة الاستعادة. لا تقم بحذف ملاحظة المهاجمين أو الملفات التنفيذية المشبوهة أو الأرشيفات أو السكربتات أو السجلات. إذا كان ذلك ممكنًا، قم بعمل صورة للقرص أو لقطة افتراضية.

من المفيد الاحتفاظ بـ:

• لقطات شاشة لرسائل المهاجمين;
• مثال لملف مشفر وأصله، إذا كان متاحًا;
• نص طلب الفدية;
• سجلات Windows، Linux، VPN، جدار الحماية، بوابة البريد الإلكتروني وEDR;
• قائمة العمليات النشطة والاتصالات الشبكية;
• معلومات عن وقت النشاط الأول.

لا ترسل ملفات حساسة إلى مواقع عشوائية للتحقق. استخدم فقط خدمات موثوقة واحذف البيانات الشخصية أو التجارية مسبقًا إذا كان ذلك ممكنًا.

الخطوة 4. إيقاف الحسابات المستخدمة من قبل المهاجمين

الكثير من الهجمات الحديثة تستخدم ransomware لا تبدأ من ملف فيروسي، بل من كلمة مرور مسروقة. يدخل المهاجمون عبر VPN، RDP، أو لوحة سحابية، البريد الإلكتروني أو حساب المدير. لذا، يجب التحقق من الدخول المشبوه بسرعة.

الإجراءات:

• إيقاف الحسابات التي لوحظت في الدخول المشبوه;
• تغيير كلمات مرور المديرين من جهاز نظيف;
• إلغاء جلسات VPN النشطة والرموز;
• التحقق من قواعد إعادة توجيه البريد;
• تفعيل المصادقة متعددة العوامل حيثما كانت غير موجودة;
• التحقق من الحسابات الجديدة والتغييرات في مجموعة المدراء.

من المهم تغيير كلمات المرور فقط بعد عزل الأنظمة المصابة. إذا كان هناك برنامج ضار يعمل على الكمبيوتر، فقد يستطيع التقاط بيانات الاعتماد الجديدة.

الخطوة 5. تحديد نطاق الهجوم

قبل الاستعادة، يجب أن تفهم بالضبط ما الذي تم إصابته. خلاف ذلك، قد تخاطر بعودة النظام الذي لا يزال يحتمل وجود المهاجم فيه.

تحقق من:

• محطات عمل المستخدمين;
• خوادم الملفات والمجلدات الشبكية;
• وحدات التحكم في النطاق;
• خوادم النسخ الاحتياطي;
• المحاكيات ومستودعات الآلات الافتراضية;
• الأدلة السحابية وخدمات SaaS;
• صناديق البريد وقواعد إعادة التوجيه;
• سجلات VPN وfirewall والوكيل.

قم بإعداد قائمة بالأنظمة في ثلاث فئات: مصابة، مشبوهة، نظيفة شرطيًا. ثم قم بتحديثها مع تقدم التحقيق.

الخطوة 6. حماية النسخ الاحتياطية

النسخ الاحتياطية هي المورد الرئيسي عند استعادة النقاط بعد برنامج الفدية. لكن العديد من الهجمات تستهدف بشكل متعمد خوادم النسخ الاحتياطي. لذا، لا تبدأ الاستعادة حتى تتأكد من عدم تلف النسخ وأنها غير متاحة للمهاجمين.

تحقق مما إذا كان هناك:

• نسخ غير متصلة على وسائط مفصولة;
• نسخ لا يمكن تغييرها، مثل التخزين الثابت;
• نسخ قبل تاريخ الاختراق;
• حسابات منفصلة لنظام النسخ الاحتياطي;
• سجلات الحذف أو الكتابة المتكررة أو المهام غير الناجحة للنسخ الاحتياطية.

إذا كانت النسخ الاحتياطية محفوظة على السحاب، تحقق من تاريخ الإصدارات، سلة المهملات، إعدادات الوصول وسجلات الدخول.

الخطوة 7. اختر استراتيجية الاستعادة

هناك ثلاث خيارات رئيسية: استعادة من النسخ الاحتياطية، فك التشفير باستخدام أداة متاحة أو إعادة تثبيت كاملة مع نقل البيانات النظيفة. غالبًا ما يتم استخدام تركيبة.

الوضع	أفضل إجراء	ما يجب تجنبه
هناك نسخ احتياطية نظيفة	إعادة تثبيت الأنظمة واستعادة البيانات من النسخ	استعادة فوق نظام التشغيل المصاب
هناك فك تشفير معروف	تحقق منه على نسخ الملفات	تشغيل أدوات غير موثوقة من مؤلفين غير معروفين
لا توجد نسخ احتياطية	احتفظ بصور الأقراص واطلب المساعدة من المختصين	حذف الملفات المشفرة وتنسيق الأقراص فورًا
هناك علامات على تسرب البيانات	اتصل بالمحامين والإدارة	إخفاء الحادث عن المسؤولين
البنية التحتية للنطاق مصابة	استعادة البيئة الموثوقة من جديد أو من نسخ نظيفة	مجرد تغيير كلمات المرور وإعادة تشغيل الخوادم

هل ينبغي دفع الفدية

الإجابة القصيرة: لا ينبغي الدفع حتى يتم استنفاد الخيارات الآمنة. الدفع لا يضمن فك التشفير، ولا يضمن حذف البيانات المسروقة وقد يخلق مخاطر قانونية وسمعة إضافية. بالإضافة إلى ذلك، تُظهر للمجرمين أن المنظمة مستعدة للدفع.

لكن في الحياة الواقعية، يتم أحيانًا النظر في هذا القرار، إذا كان الأمر يتعلق بالبنية التحتية الحرجة، تهديد حياة الناس أو عدم وجود نسخ استعادودية. في هذه الحالة، يجب أن تتخذ الإدارة القرار مع المحامين، المتخصصين في الأمان، وعند الضرورة، الهيئات القانونية. من المهم مراعاة القيود العقابية وخطر تمويل المجموعات الإجرامية.

قبل اتخاذ أي قرار، تحقق مما يلي:

• هل هناك نسخ احتياطية تعمل;
• هل نوع ransomware معروف;
• هل هناك فك تشفير مجاني موجود;
• هل كانت البيانات مسروقة;
• ما هي القوانين والالتزامات التعاقدية المطبقة;
• كيف سيؤثر الدفع على الأمان في المستقبل.

إذا أرسل المهاجمون ما يُسمى بدليل فك التشفير لملف واحد، فهذا لا يضمن استعادة كل البنية التحتية.

أين تبحث عن فك التشفير

أحيانًا يمكن استعادة الملفات بدون دفع فدية. تُنشر فكوك التشفير المجانية لأسرة معينة من ransomware. يمكنك البدء بمشاريع معروفة لمكافحة الفدية، مثل No More Ransom، مواقع مصنعي البرمجيات المضادة للفيروسات وتوصيات المراكز الوطنية للأمن السيبراني.

قبل استخدام فك التشفير:

1. قم بعمل نسخ للملفات المشفرة.
2. احتفظ بالملفات الأصلية كما هي.
3. قم بتشغيل الأداة على جهاز معزول.
4. تحقق من مصدر التنزيل.
5. اختبر فك التشفير على مجموعة بيانات صغيرة.

لا تثق بالمواقع التي تعد بفك تشفير شامل لجميع برامج الفدية. لا يوجد فك تشفير عالمي.

الاستعادة بعد هجوم برنامج الفدية

الاستعادة ليست مجرد استعادة الملفات. يجب التأكد من أن المهاجم لم يعد لديه الوصول، وأن الثغرة الأمنية التي حدثت من خلالها الهجوم قد تم إغلاقها.

استعاد فقط في بيئة نظيفة

أفضل نهج هو نشر أنظمة جديدة أو استعادتها من صور نظيفة مسبقًا. ثم تثبيت التحديثات، وتجهيز الحماية، وتغيير كلمات المرور و فقط بعد ذلك نقل البيانات من النسخ الاحتياطية الموثوقة.

لا تقم ببساطة بحذف الملف الضار واستئناف العمل. غالبًا ما تترك مجموعات برامج الفدية عدة طرق للدخول مرة أخرى: حسابات جديدة، مهام المجدول، web shell، سياسات معدلة، رموز وصول وأدوات تحكم عن بعد مخفية.

تحقق من تاريخ الاختراق

قد يبدأ الاختراق قبل أيام أو أسابيع من التشفير. إذا استعدت نسخة حديثة جدًا، فقد تعيد إلى الشبكة نظامًا تم اختراقه بالفعل. لذا ابحث عن علامات مبكرة: أول دخول مشبوه، تشغيل سكربت، إنشاء حساب جديد، تعطيل الحماية، مسح الشبكة.

اختبر البيانات قبل إعادة تشغيل الأعمال

قبل إعادة الأنظمة إلى العمل، تحقق من سلامة قواعد البيانات، حقوق الوصول، عمل التطبيقات وملاءمة التكوينات. بالنسبة للخدمات الحرجة، قم بإجراء اختبار في منطقة معزولة.

ترتيب مفيد:

1. استعادة الخدمات الأساسية: نطاق، DNS، DHCP، التعريف.
2. استعادة أنظمة الأمان: EDR، SIEM، السجلات، النسخ الاحتياطية.
3. رفع التطبيقات الحرجة للأعمال.
4. تحقق من البيانات وحقوق الوصول.
5. قم بتوصيل المستخدمين حسب المجموعات، وليس الجميع دفعة واحدة.
6. راقب الشبكة بعد الإطلاق.

ماذا تفعل الشركات عند هجوم ransomware

للمؤسسة، يؤثر حادث برنامج الفدية ليس فقط على تكنولوجيا المعلومات. بل يؤثر على العمليات، العملاء، العقود، البيانات الشخصية والمالية. لذا من المهم إدخال الدائرة الإدارية والقانونية مباشرة.

نظم الاتصالات

حدد المسؤولين عن الرسائل الداخلية، والتواصل مع العملاء، والشركاء والمقاولين. لا تقدم وعود غير موثوقة. من الأفضل إبلاغ الحقائق: ما الخدمات غير متاحة، ما الذي تم إنجازه بالفعل، ومتى سيكون التحديث التالي.

يحتاج الموظفون إلى شرح:

• ما الأنظمة التي ينبغي عدم تشغيلها;
• إلى أين يبلغون عن الملفات والرسائل الغريبة;
• ما إذا كان يمكن استخدام الأجهزة الشخصية;
• ما هي القنوات التي تُعتبر رسمية;
• من يتخذ القرارات بشأن الاستعادة.

تقييم خطر تسرب البيانات

إذا كان لدى المهاجمين وصول إلى الشبكة، فلا يمكن استبعاد إمكانية سرقة المعلومات. تحقق من حركة المرور الصادرة، الأرشيفات، التحميلات السحابية، سجلات الوكيل، البريد والإجراءات المتعلقة بالحسابات المميزة. إذا كانت البيانات الشخصية أو الأسرار التجارية أو بيانات العملاء قد تعرضت لخطر، اتصل بالمحامين وحدد المسؤوليات عن الإخطار.

تختلف المتطلبات في البلدان والصناعات المختلفة. لذا، لا توجد صيغة عالمية للإخطار. لكن إخفاء الحادث داخل المنظمة يعد خطرًا: فهو يُعيق التحقيق الدقيق ويزيد من خطر الهجوم المتكرر.

اتصل بالمتخصصين إذا لم يكن لديك خبرة

إذا كانت الخوادم، النطاق، النسخ الاحتياطية أو عدة مواقع مصابة، فمن الأفضل جلب فريق استجابة الحوادث. سيقوم المتخصصون بالمساعدة في حفظ الأدلة، العثور على نقطة الدخول، تقييم التسرب وبناء خطة استعادة آمنة.

ماذا تفعل المستخدم المنزلي

إذا هجم برنامج فدية على الكمبيوتر الشخصي، فالإجراء أبسط، لكن المبادئ تبقى كما هي.

قم بما يلي:

1. فصل الكمبيوتر عن الإنترنت والشبكة المحلية.
2. لا تقم بتوصيل القرص الخارجي مع الصور أو الأرشيفات.
3. التقط صورة لرسالة المهاجمين.
4. انسخ عدة ملفات مشفرة وملاحظة على وسائط منفصلة إذا طُلب منك ذلك من قبل المختص.
5. تحقق من الأجهزة الأخرى في المنزل.
6. غيّر كلمات مرور البريد الإلكتروني والبنك والخدمات السحابية ووسائل التواصل الاجتماعي من جهاز نظيف.
7. تحقق من التخزين السحابي وتاريخ إصدارات الملفات.
8. تحقق إذا كان هناك فك تشفير مجاني لنوع ransomware الخاص بك.
9. أعد تثبيت النظام أو اتصل بخدمة إذا لم تكن متأكدًا من سلامة الكمبيوتر.

إذا تمت مزامنة ملفات مشفرة على السحاب، لا تتعجل في تنظيف المجلدات. تسمح العديد من الخدمات باستعادة الإصدارات السابقة أو التراجع عن الحالة.

كيف تمنع هجوم متكرر

بعد الاستعادة، يجب إغلاق أسباب الحادث. خلاف ذلك، قد تتكرر الهجمة مرة أخرى عبر نفس بيانات الاعتماد أو الثغرة.

قم بتكوين نسخ احتياطية موثوقة

استراتيجية النسخ الاحتياطي الجيدة تعتمد على مبدأ النسخ المتعددة المستقلة. معيار عملي هو تخزين البيانات في أماكن مختلفة على الأقل واحتواء نسخة لا يمكن تغييرها بسرعة من الشبكة العملية.

تحقق من:

• انتظام النسخ الاحتياطية;
• الاختبار التلقائي لاستعادة النسخ;
• حسابات منفصلة للنسخ الاحتياطية;
• الحماية من الحذف والكتابة المتكررة;
• النسخ غير المتصلة أو المستحيلة التغيير;
• الوثائق الخاصة باستعادة الأنظمة الحرجة.

لا يمكن اعتبار النسخ الاحتياطية التي لم يتم التحقق منها موثوقة.

تعزيز الوصول والحسابات

أغلب الضرر ينتج عن حقوق المستخدمين المميزة. قيد الوصول الإداري، استخدم المصادقة متعددة العوامل، عطل الحسابات غير المستخدمة وتحقق من مجموعات المستخدمين المميزين بانتظام.

عطِ اهتمامًا خاصًا لـ RDP وVPN. لا تترك RDP مفتوحًا على الإنترنت. استخدم VPN، المصادقة متعددة العوامل، قيود IP ومراقبة الدخول للوصول عن بعد.

قم بتحديث وتجزئة الشبكة

التحديثات تغلق الثغرات المعروفة، بينما تمنع التجزئة برنامج الفدية من الوصول بسرعة إلى جميع الأنظمة. قسّم أجهزة الكمبيوتر الشخصية والخوادم والنسخ الاحتياطية والأنظمة الإنتاجية ومحطات العمل الإدارية.

كما أن:

• EDR أو حماية مضادة للفيروسات عالية الجودة;
• تجميع مركزي للسجلات;
• تصفية البريد والمرفقات;
• حظر الماكروز من الإنترنت;
• التحكم في تشغيل السكربتات;
• مبدأ أقل حقوق;
• تدريب الموظفين على التصيد;
• خطة استجابة للحوادث.

الأسئلة المتكررة حول هجوم برنامج الفدية

هل يمكن إيقاف الكمبيوتر عند وجود برنامج الفدية

إذا كان التشفير مستمرًا، فإن العزل عن الشبكة هو الأمر الأكثر أهمية. في بعض الأحيان، يساعد الإيقاف الكامل في وقف العملية، ولكنه قد يدمر البيانات في الذاكرة التي تحتاجها التحقيقات. في الشركات، من الأفضل أولًا فصل الشبكة واستدعاء مختص. في المنزل، إذا كانت العملية تشفر الملفات بوضوح وليس هناك مساعدة، فإن الإيقاف يمكن أن يكون إجراءً معقولًا لوقف الأضرار.

هل يجب حذف الفيروس على الفور

لا تتعجل. احفظ الأدلة وأمثلة الملفات أولاً. ثم قم بحذف البرمجيات الضارة أو إعادة تثبيت النظام. إذا قمت بحذف كل شيء دفعة واحدة، سيكون من الصعب فهم كيفية وقوع الهجوم وما البيانات التي قد تأثرت.

هل يمكن استعادة الملفات بدون نسخة احتياطية

أحيانًا، نعم، إذا كان هناك فك تشفير لأسر معينة من ransomware أو إذا كانت البيانات محفوظة في نسخ ظلية، أو إصدارات سحابية، أو مرفقات بريدية، أو على أجهزة أخرى. لكن لا يوجد ضمان. لذلك، تبقى النسخ الاحتياطية هي الوسيلة الرئيسية للحماية.

هل سيساعد مضاد الفيروسات بعد الإصابة

يمكن لمضاد الفيروسات إيقاف بعض العمليات الضارة والعثور على بقايا البرمجيات الضارة. لكنه لا يفك دائمًا تشفير الملفات ولا يعوض عن التحقيق. بعد الهجوم، من المهم فهم نقطة الدخول، وتغيير بيانات الاعتماد المهددة، واستعادة الأنظمة من مصدر نظيف.

ماذا تفعل إذا تم تشفير خادم 1С أو قاعدة بيانات

أولاً، عزل الخادم ووقف وصول المستخدمين. ثم احفظ نسخة من قاعدة البيانات المشفرة، السجلات والنسخ الاحتياطية. استعد القاعدة فقط في بيئة نظيفة وتأكد من التحقق من سلامة البيانات. إذا كان الخادم جزءًا من النطاق، تحقق أيضًا من الحسابات، المجلدات الشبكية والخوادم المجاورة.

كيف يمكن معرفة ما إذا كانت البيانات قد سُرقت

يجب تحليل سجلات حركة المرور الصادرة، نشاطات الحسابات، أرشفة الملفات، الاتصالات مع الخدمات السحابية وأدوات المهاجمين. غياب الدليل الواضح لا يعني دائمًا عدم حدوث تسرب. إذا كانت البيانات حساسة، من الأفضل إجراء تحقيق شامل.

إلى من يجب الاتصال بعد الهجوم

يجب على الشركات الاتصال بالمتخصصين في استجابة الحوادث، المحامين، شركة التأمين في حالة وجود تأمين إلكتروني، وعند الضرورة، الهيئات القانونية. يمكن للمستخدم المنزلي التواصل مع مركز خدمة موثوق والبحث عن فك تشفير في مصادر موثوقة.

خطة العمل النهائية

عند هجوم برنامج الفدية، من الأهم عدم الدفع في حالة من الذعر وعدم استعادة الأنظمة بشكل أعمى. أولاً، عزل الأجهزة المصابة، حفظ الأدلة، حماية النسخ الاحتياطية وتحديد مدى الحادث. ثم استعادة البيانات فقط في بيئة نظيفة، تغيير بيانات الوصول المهددة وإغلاق نقطة الدخول. ابدأ بعزل الوضع الآن، وثق علامات الهجوم وأشرك المختصين إذا تأثرت الخوادم أو النسخ الاحتياطية أو البيانات الهامة.