Kas ir izspiedējvīruss un kā no tā pasargāties

Kas ir izspiedējvīruss

Izspiedējvīruss (angļu val. ransomware) ir ļaunatūra, kas šifrē failus un sistēmas un prasa izpirkuma maksu par atšifrēšanu. Mūsdienās uzbrucēji reti aprobežojas ar šifrēšanu: vispirms tie nozog datus un pēc tam draud tos publiskot. To sauc par dubulto izspiešanu, un tā nozīmē, ka pat nevainojama rezerves kopija neatrisina visu problēmu – dati joprojām ir uzbrucēja rokās.

Sophos 2026. gada pētījumā, kurā aptaujāti uzņēmumi ar 100–5000 darbiniekiem 17 valstīs, 56 % uzbrukumu uzbrucējiem izdevās nošifrēt datus, un 16 % gadījumu dati tika gan nošifrēti, gan nozagti. Tas nozīmē arī pretējo: gandrīz pusē gadījumu uzbrukumu izdevās apturēt, pirms šifrēšana sākās. Izšķirošais ir laiks starp iekļūšanu un šifrēšanu – un tas, vai kāds šajā laikā uzbrukumu pamana.

Kā uzbrucējs iekļūst

Ilgus gadus galvenais izspiedējvīrusu cēlonis bija neaizlāpītas ievainojamības. 2026. gada datos aina ir mainījusies: pirmajā vietā atkal ir e-pasts un cilvēks, kas to atver. Tas maina prioritātes – tehniskā aizsardzība vien nepietiek, ja darbiniekam nav skaidra rīcības modeļa aizdomīgai vēstulei.

Izspiedējvīrusu uzbrukumu tehniskie cēloņi

Cēlonis	Daļa uzbrukumu	Ko tas nozīmē praksē
Ļaunprātīgs e-pasts	26 %	Pielikums vai makro, ko atver darbinieks
Pikšķerēšana	24 %	Viltus lapa, kas savāc paroli vai sesijas žetonu
Nozagti pieejas dati	23 %	Parole no citas noplūdes vai infozagļa žurnāla
Izmantota ievainojamība	18 %	Neaizlāpīts internetā pieejams pakalpojums

Uzmanību ir vērts pievērst vienam skaitlim: uzbrukumos, kuru cēlonis bija nozagti pieejas dati, daudzfaktoru autentifikācija kaut kādā veidā bija ieviesta 97 % gadījumu. MFA joprojām ir viens no spēcīgākajiem pasākumiem, taču “ieslēgts kaut kur” nav tas pats, kas “ieslēgts visur un izturīgs pret pikšķerēšanu”. Praktiskos soļus apkopojam ceļvedī kā pasargāties no kiberuzbrukumiem.

Kā notiek uzbrukums

1. Iekļūšana. Uzbrucējs iegūst pirmo piekļuvi – ar pikšķerēšanu, nozagtu paroli vai neaizlāpītu ievainojamību.
2. Nostiprināšanās. Tiek izveidots pastāvīgs kanāls atpakaļ uz sistēmu, lai piekļuvi nezaudētu pēc pārstartēšanas.
3. Tiesību paaugstināšana. Mērķis ir domēna administratora vai līdzvērtīgas tiesības, jo bez tām nevar šifrēt visu vidi vienlaikus.
4. Izpēte un pārvietošanās. Uzbrucējs kartē tīklu, meklē datubāzes, failu serverus un – pirmām kārtām – rezerves kopiju sistēmu.
5. Rezerves kopiju iznīcināšana. Tiek dzēstas momentuzņēmumu kopijas un pieejamās kopiju krātuves, lai atjaunošana nebūtu iespējama.
6. Datu nozagšana. Vērtīgākie dati tiek izvilkti ārā, bieži pa parastiem, atļautiem kanāliem, lai neizceltos.
7. Šifrēšana. Šifrēšana parasti notiek nakts vai brīvdienu stundās, kad reakcija ir vislēnākā.
8. Izspiešana. Seko izpirkuma prasība un termiņš, pēc kura dati tiek publiskoti noplūžu vietnē.

Cik tas maksā

Izpirkuma summa parasti ir mazākā izmaksu daļa. Sophos 2026. gada pētījumā vidējā (mediānas) prasītā summa bija 698 000 USD, bet faktiski samaksātā – 769 000 USD. Savukārt vidējās atkopšanas izmaksas bez izpirkuma bija 1 700 200 USD: dīkstāve, virsstundas, ārējie speciālisti, iekārtu pārinstalēšana, juridiskās un komunikācijas izmaksas.

Atkopšanas ilgums ir otrs skaitlis, ko vērts zināt jau iepriekš. 55 % organizāciju atguvās nedēļas laikā (16 % – nepilnas dienas laikā), 83 % – mēneša laikā, un tikai 3 % bija vajadzīgi vairāk nekā trīs mēneši. Nedēļa bez sistēmām ir tas, kam jāspēj izturēt uzņēmuma finanses un klientu attiecības.

Kāpēc nemaksāt

Maksāšanas īpatsvars krītas: 2026. gada pētījumā izpirkumu samaksāja 48 % no tiem, kam dati bija nošifrēti, – zemākais rādītājs pēdējos trīs gados. Vienlaikus 66 % atguva datus no rezerves kopijām. Tā ir galvenā prakses maiņa nozarē: sagatavota organizācija vienkārši nav spiesta sarunāties.

Pirms jebkādām sarunām ir vērts pārbaudīt, vai attiecīgajam izspiedējvīrusa paveidam jau nav publiski pieejams atšifrētājs. Europol un partneru uzturētā No More Ransom iniciatīva uztur bezmaksas atšifrēšanas rīku repozitoriju, un tas ir pieejams arī latviešu valodā.

Kā to pamanīt, pirms sākas šifrēšana

Laiks starp iekļūšanu un šifrēšanu atšķiras. Agrīna atklāšana palīdz ierobežot kaitējumu, taču reaģēt ir svarīgi arī pēc šifrēšanas sākuma. Pārbaudi negaidītus administratora kontus, neparastas pieteikšanās, aizsardzības izslēgšanu un neierastu masveida piekļuvi failiem. Šīs pazīmes jāizmeklē kontekstā; tās ne vienmēr nozīmē uzbrukumu.

Tāpat vērts sekot mēģinājumiem izslēgt pretvīrusu aizsardzību vai dzēst notikumu žurnālus, kā arī neparasti lielai izejošai datplūsmai uz failu apmaiņas pakalpojumiem – tā bieži ir datu nozagšana pirms šifrēšanas. Ja rezerves kopiju sistēmā parādās neveiksmīgi vai atcelti darbi, ko neviens nav plānojis, tas nekavējoties jāpārbauda: cēlonis var būt gan tehniska kļūme, gan uzbrukums.

Kā pasargāties

• Uztur vismaz vienu bezsaistes vai nemaināmu (immutable) rezerves kopiju un regulāri testē tieši atjaunošanu, ne tikai kopēšanu.
• Ieslēdz pret pikšķerēšanu izturīgu daudzfaktoru autentifikāciju visiem attālinātās piekļuves un administratora kontiem.
• Aizlāp internetā pieejamos pakalpojumus – VPN, e-pasta vārtejas, failu apmaiņas serverus – prioritārā kārtībā.
• Segmentē tīklu, lai viena inficēta darbstacija nedotu ceļu uz serveriem un rezerves kopijām.
• Atsevišķi konti rezerves kopiju sistēmai: administratora parole no darba vides tur nedrīkst darboties.
• Uzraugi žurnālus un brīdinājumus arī naktīs un brīvdienās – tieši tad notiek šifrēšana.
• Sagatavo un izspēlē reaģēšanas plānu ar konkrētiem vārdiem, tālruņu numuriem un lēmumu pieņēmējiem.

Ko darīt pirmajās stundās

Pirmo soļu secība ir apkopota sadaļā Pirmās 60 minūtes. Nekavējoties iesaisti IT vai incidentu reaģēšanas speciālistu. Skarto sistēmu tīkla izolēšana var ierobežot izplatīšanos, bet tās ietekme jāizvērtē, īpaši kritiskos pakalpojumos. Neizslēdz un nerestartē ierīci automātiski: var pazust operatīvās atmiņas pierādījumi. Ja situācija prasa izslēgšanu drošības vai izplatīšanās ierobežošanas dēļ, lēmumu dokumentē. Pirms dzēšanas vai pārinstalēšanas saskaņo pierādījumu saglabāšanu.

Latvijā Nacionālās kiberdrošības likuma 34. pants nosaka, ka nozīmīga kiberincidenta gadījumā subjektam ne vēlāk kā 24 stundu laikā jāiesniedz agrīnais brīdinājums un 72 stundu laikā – ziņojums kompetentajai kiberincidentu novēršanas institūcijai; noslēguma ziņojums jāiesniedz mēneša laikā pēc sākotnējā ziņojuma. Uzticamības pakalpojumu sniedzējiem sākotnējā ziņojuma termiņš ir 24 stundas. Ja uzņēmums ietilpst likuma tvērumā, šie termiņi ir jāzina pirms incidenta, ne tā laikā.

Biežākās kļūdas

• Kopijas glabājas tajā pašā domēnā. Ja rezerves kopiju serverim var piekļūt ar domēna administratora kontu, tā nav rezerves kopija, bet vēl viena mape.
• Testēta tiek kopēšana, nevis atjaunošana. Zaļš indikators pierāda tikai to, ka darbs izpildījās, nevis to, ka faili ir izmantojami.
• Plāns eksistē tikai dokumentā. Ja iesaistītie cilvēki plānu nav izmēģinājuši, incidentā var atklāties neskaidras lomas, trūkstoša piekļuve un neizpildāmi soļi.
• Uzmanība tikai šifrēšanai. Dubultās izspiešanas gadījumā datu noplūde ir atsevišķs notikums ar atsevišķām juridiskām sekām.
• Sarunas sākas pirms novērtējuma. Pirms jebkādas saziņas ar uzbrucēju ir jāzina, kas tieši ir nozagts un vai kopijas ir derīgas.