Nie każdy plik, którego nie da się otworzyć, oznacza atak ransomware. Błędy w oprogramowaniu szyfrującym dyski czy kopie zapasowe potrafią dawać bardzo podobne objawy — brak dostępu do danych — bez żadnego żądania okupu.

Objaw

Pliki nie otwierają się, system zgłasza błąd formatu lub uszkodzenia, ale w przeciwieństwie do typowego ataku ransomware nie pojawia się żadna informacja o okupie ani zmienione rozszerzenia plików wskazujące na konkretną grupę przestępczą.

Co sprawdzamy w pierwszej kolejności

Obecność jakiejkolwiek notatki lub żądania okupu — jej brak istotnie zawęża krąg możliwych przyczyn.
Historię ostatnich zmian w konfiguracji oprogramowania szyfrującego dysk lub kopie zapasowe.
Logi błędów wskazujące, w którym momencie doszło do uszkodzenia plików.
Dostępność nienaruszonej kopii zapasowej sprzed wystąpienia problemu.

Co robimy

Diagnoza w pierwszej kolejności odróżnia rzeczywisty atak od błędu technicznego — ma to kluczowe znaczenie dla dalszego postępowania. Przy potwierdzonym błędzie oprogramowania podejmowana jest próba naprawy uszkodzonych plików lub przywrócenia ich z kopii zapasowej.

Ile to trwa

Diagnoza to zwykle jedna wizyta. Naprawa lub odzyskiwanie danych mieści się w standardowym czasie do 3 dni.

Warunki

Diagnoza komputera stacjonarnego door-to-door kosztuje 200 zł i wlicza się w cenę naprawy. Dojazd na terenie Warszawy i okolic jest bezpłatny, a naprawa objęta jest gwarancją do 12 miesięcy.

Warianty problemu — różne źródła „zaszyfrowanych" plików

Objawy bywają identyczne — pliki nie dają się otworzyć, a system operacyjny wyświetla komunikat o uszkodzeniu lub nieznanym formacie — ale przyczyna może leżeć w zupełnie różnych mechanizmach. Warto je rozróżniać, ponieważ każdy wymaga innego podejścia naprawczego.

Pierwszym, najczęściej spotykanym wariantem jest błąd funkcji BitLocker — wbudowanego w Windows narzędzia do szyfrowania całych dysków. BitLocker przechowuje klucz odzyskiwania (Recovery Key) na koncie Microsoft, na pendrivie lub w wydruku. Jeśli po aktualizacji systemu, wymianie płyty głównej lub zmianie ustawień BIOS/UEFI moduł TPM (Trusted Platform Module — układ kryptograficzny wlutowany w płytę główną) przestaje rozpoznawać konfigurację sprzętową, dysk zostaje zablokowany. Pliki wciąż fizycznie istnieją, ale system odmawia ich odszyfrowania bez poprawnego klucza. Żądania okupu oczywiście nie ma — to wyłącznie kwestia konfiguracji.

Drugi wariant dotyczy oprogramowania do tworzenia kopii zapasowych, które szyfruje archiwa hasłem ustawionym przez użytkownika. Programy takie jak Acronis True Image, Veeam Agent czy EaseUS Todo Backup oferują opcję szyfrowania backupu algorytmem AES. Jeśli hasło zostanie zapomniane, zmienione przez przypadek albo plik konfiguracyjny programu ulegnie uszkodzeniu, kopie zapasowe stają się niedostępne. Objaw z perspektywy użytkownika wygląda tak samo jak po ataku — pliki są, ale nie da się ich odczytać.

Trzeci wariant to uszkodzenie kontenera szyfrowanego — na przykład woluminu VeraCrypt lub starszego TrueCrypt. Kontener to pojedynczy duży plik, wewnątrz którego przechowywane są zaszyfrowane dane. Wystarczy uszkodzenie kilku bajtów nagłówka kontenera (np. przez nagły zanik zasilania w trakcie zapisu), aby cała zawartość stała się nieczytelna. Ponownie — brak żądania okupu, brak zmienionych rozszerzeń, ale dane praktycznie niedostępne bez specjalistycznej interwencji.

Czwarty, rzadszy wariant wiąże się z szyfrowaniem na poziomie systemu plików — na przykład EFS (Encrypting File System) w Windows. EFS szyfruje poszczególne pliki lub foldery kluczem powiązanym z kontem użytkownika. Po reinstalacji systemu, przeniesieniu dysku do innego komputera lub utracie profilu użytkownika pliki pozostają na dysku, ale są zaszyfrowane kluczem, który nowy system nie posiada. Efekt jest szczególnie mylący, ponieważ część plików (nieszyfrowanych) działa normalnie, a część — nie.

Błędy przy próbie samodzielnej naprawy

Pierwszym odruchem wielu użytkowników jest uruchomienie narzędzia do naprawy dysku — wbudowanego polecenia chkdsk lub zewnętrznych programów naprawczych. W przypadku plików zaszyfrowanych przez BitLocker lub EFS jest to działanie ryzykowne. Narzędzia naprawcze mogą potraktować zaszyfrowane sektory jako uszkodzone i próbować je „naprawić", co w praktyce oznacza nadpisanie danych i trwałą utratę oryginalnej struktury pliku. Po takiej operacji szanse na odzyskanie danych spadają znacząco.

Kolejny częsty błąd to próba otwarcia zaszyfrowanego kontenera (np. VeraCrypt) na innym komputerze z inną wersją oprogramowania szyfrującego. Niezgodność wersji potrafi dodatkowo uszkodzić nagłówek kontenera, utrudniając późniejsze odzyskiwanie nawet za pomocą specjalistycznych narzędzi.

Formatowanie partycji „żeby pozbyć się problemu" to skrajny, ale niestety spotykany scenariusz. Użytkownik zakłada, że dane i tak są stracone, więc formatuje dysk i reinstaluje system. Tymczasem w wielu przypadkach pliki dałoby się jeszcze odzyskać — po sformatowaniu staje się to wielokrotnie trudniejsze, a czasem niemożliwe.

Wyłączanie modułu TPM w ustawieniach BIOS/UEFI bez wcześniejszego zawieszenia szyfrowania BitLocker to kolejna pułapka. TPM przechowuje część klucza szyfrującego — jego dezaktywacja sprawia, że system traci dostęp do klucza, a dysk przechodzi w tryb odzyskiwania. Jeśli klucz odzyskiwania nie został wcześniej zapisany, dostęp do danych zostaje zablokowany.

Warto również unikać wielokrotnego wpisywania niepoprawnych haseł do zaszyfrowanych archiwów. Niektóre programy po określonej liczbie błędnych prób wprowadzają opóźnienia lub dodatkowe zabezpieczenia, a w skrajnych przypadkach — kasują klucz. Lepiej wstrzymać się po dwóch-trzech próbach i skonsultować problem ze specjalistą.

Kiedy to jednak nie jest błąd oprogramowania

Nie każdy przypadek zaszyfrowanych plików bez widocznego żądania okupu oznacza błąd techniczny. Istnieją scenariusze, w których atak ransomware rzeczywiście miał miejsce, ale jego ślady są mniej oczywiste niż w klasycznym przypadku.

Niektóre warianty ransomware umieszczają żądanie okupu wyłącznie w jednym, łatwym do przeoczenia pliku tekstowym — na przykład w katalogu tymczasowym lub na pulpicie, który został od tego czasu wyczyszczony. Użytkownik widzi zaszyfrowane pliki, ale nie widzi notatki z żądaniem i błędnie zakłada, że to awaria oprogramowania.

Innym sygnałem ostrzegawczym jest zmiana rozszerzeń plików na losowe ciągi znaków — na przykład dokument „raport.xlsx" zmieniony na „raport.xlsx.k4x8q". Błędy BitLockera, EFS ani programów do backupu nie zmieniają rozszerzeń poszczególnych plików. Jeśli rozszerzenia zostały zmienione, prawdopodobieństwo ataku rośnie znacząco.

Trzecim wyróżnikiem jest zakres problemu. Błąd oprogramowania szyfrującego zazwyczaj dotyczy jednej partycji, jednego kontenera lub jednego typu plików. Jeśli niedostępne stały się jednocześnie pliki na wielu dyskach, w wielu lokalizacjach sieciowych i w różnych formatach — to wzorzec bardziej typowy dla ransomware niż dla awarii technicznej.

Właśnie dlatego pierwszym krokiem diagnostycznym jest zawsze jednoznaczne ustalenie, czy doszło do ataku, czy do błędu. Pomyłka w jedną lub drugą stronę prowadzi do niewłaściwych działań — próba odzyskiwania danych po ataku bez wcześniejszego zabezpieczenia systemu grozi ponownym zaszyfrowaniem, a traktowanie awarii technicznej jak ataku wprowadza niepotrzebny chaos i opóźnia naprawę.

Najczęstsze pytania

Czy zaszyfrowane pliki da się odzyskać bez klucza?

To zależy od mechanizmu szyfrowania. W przypadku BitLockera klucz odzyskiwania bywa zapisany na koncie Microsoft, co pozwala odszyfrować dysk bez żadnej dodatkowej interwencji — wystarczy go odnaleźć. W przypadku kontenerów VeraCrypt lub zaszyfrowanych archiwów sytuacja jest trudniejsza, ale jeśli uszkodzony jest tylko nagłówek kontenera (a nie same dane), istnieją narzędzia pozwalające odbudować nagłówek z kopii zapasowej nagłówka, którą VeraCrypt tworzy automatycznie. Przy pełnej utracie klucza i braku kopii zapasowej nagłówka szanse na odzyskanie danych są niestety minimalne — siła współczesnych algorytmów szyfrujących (AES-256) sprawia, że złamanie klucza metodą brute force jest w praktyce niewykonalne.

Czy powinienem odłączyć komputer od sieci, zanim przyjadą specjaliści?

Jeśli nie ma pewności, czy problem wynika z błędu oprogramowania, czy z ataku — tak, odłączenie od sieci jest rozsądnym środkiem ostrożności. Ransomware potrafi rozprzestrzeniać się na inne urządzenia w sieci lokalnej, więc izolacja zainfekowanego komputera ogranicza potencjalne szkody. Wystarczy odłączyć kabel sieciowy lub wyłączyć Wi-Fi. Samego komputera lepiej nie wyłączać — w pamięci operacyjnej mogą znajdować się dane przydatne przy diagnostyce.

Czy aktualizacja systemu mogła spowodować zablokowanie BitLockera?

Tak, i jest to jeden z częstszych scenariuszy. Aktualizacje Windows — szczególnie duże aktualizacje funkcjonalne (np. przejście z jednej wersji głównej na kolejną) — potrafią zmienić konfigurację rozruchową na tyle, że moduł TPM uznaje ją za nieautoryzowaną modyfikację i blokuje dostęp do klucza szyfrującego. Microsoft zaleca zawieszenie szyfrowania BitLocker przed dużymi aktualizacjami, ale informacja ta jest mało widoczna i wielu użytkowników o niej nie wie.

Ile kosztuje odzyskiwanie danych z zaszyfrowanego dysku?

Koszt zależy od rodzaju szyfrowania, stopnia uszkodzenia i objętości danych. Nie ma jednej stałej stawki, ponieważ złożoność takich napraw bywa bardzo różna — od prostego odszukania klucza BitLocker na koncie Microsoft (kilkanaście minut pracy) po wielogodzinną rekonstrukcję nagłówka kontenera. Diagnoza pozwala dokładnie określić zakres problemu i oszacować czas naprawy przed podjęciem decyzji o dalszych krokach.

Czy mogę kontynuować pracę na komputerze do przyjazdu serwisanta?

Jeśli problem dotyczy tylko wybranych plików lub jednej partycji, a system operacyjny działa normalnie, kontynuowanie pracy na niezaszyfrowanych zasobach jest zazwyczaj bezpieczne. Warto jednak unikać zapisywania czegokolwiek na dysku lub partycji, gdzie znajdują się problematyczne pliki — każdy zapis zmniejsza szansę na skuteczne odzyskanie danych, jeśli konieczne okaże się sięgnięcie po narzędzia niskopoziomowe.

Profilaktyka — jak zmniejszyć ryzyko utraty dostępu do zaszyfrowanych danych

Szyfrowanie dysków i kopii zapasowych to dobra praktyka, ale wymaga pewnej dyscypliny organizacyjnej. Samo włączenie BitLockera lub zaszyfrowanie archiwum hasłem nie wystarczy — równie istotne jest zabezpieczenie kluczy i haseł na wypadek awarii.

Klucz odzyskiwania BitLocker powinien być zapisany w co najmniej dwóch niezależnych miejscach — na przykład na koncie Microsoft i w formie wydruku przechowywanego poza komputerem. Poleganie wyłącznie na module TPM oznacza, że każda zmiana konfiguracji sprzętowej (wymiana płyty głównej, aktualizacja firmware) może zablokować dostęp.

Hasła do zaszyfrowanych archiwów i kontenerów warto przechowywać w menedżerze haseł — takim jak KeePass — a sam plik bazy haseł trzymać na osobnym nośniku lub w chmurze. Zapisywanie haseł na karteczkach przyklejonych do monitora lub w pliku tekstowym na tym samym zaszyfrowanym dysku mija się z celem.

Regularne testowanie kopii zapasowych to nawyk, który pozwala wykryć problemy z szyfrowaniem, zanim staną się krytyczne. Raz na kilka tygodni warto spróbować otworzyć lub przywrócić losowo wybrany plik z backupu, aby upewnić się, że archiwum nie jest uszkodzone, a hasło jest poprawne.

Przed każdą dużą aktualizacją systemu Windows rozsądne jest ręczne zawieszenie BitLockera — opcja ta jest dostępna w Panelu sterowania, w sekcji zarządzania szyfrowaniem. Po zakończeniu aktualizacji i ponownym uruchomieniu komputera szyfrowanie aktywuje się ponownie automatycznie.

Zaszyfrowane dane to nie zawsze powód do paniki

Utrata dostępu do plików budzi zrozumiały niepokój, szczególnie gdy pierwsze skojarzenie prowadzi do ransomware. W praktyce znaczna część takich przypadków okazuje się błędem konfiguracji lub awarią oprogramowania szyfrującego, a nie efektem ataku. Precyzyjna diagnoza podczas wizyty serwisanta pozwala szybko ustalić przyczynę i dobrać odpowiednie narzędzia naprawcze — bez ryzyka pogorszenia sytuacji przez pochopne działania na własną rękę. Kontakt pod numerem 22 378 48 09 jest dostępny całą dobę, siedem dni w tygodniu — również wtedy, gdy problem pojawi się w nocy lub w weekend, bez żadnych dopłat za porę zgłoszenia.

22 378 48 09

Zaszyfrowane pliki bez okupu — błąd oprogramowania, nie atak