Kas ir izspiedējvīruss un kā no tā pasargāties

Kas ir izspiedējvīruss

Izspiedējvīruss (angļu val. ransomware) ir ļaunatūra, kas šifrē failus un sistēmas un prasa izpirkuma maksu par atšifrēšanu. Mūsdienās uzbrucēji reti aprobežojas ar šifrēšanu: vispirms tie nozog datus un pēc tam draud tos publiskot. To sauc par dubulto izspiešanu, un tā nozīmē, ka pat nevainojama rezerves kopija neatrisina visu problēmu – dati joprojām ir uzbrucēja rokās.

Sophos 2026. gada pētījumā, kurā aptaujāti uzņēmumi ar 100–5000 darbiniekiem 17 valstīs, 56 % uzbrukumu uzbrucējiem izdevās nošifrēt datus, un 16 % gadījumu dati tika gan nošifrēti, gan nozagti. Tas nozīmē arī pretējo: gandrīz pusē gadījumu uzbrukumu izdevās apturēt, pirms šifrēšana sākās. Izšķirošais ir laiks starp iekļūšanu un šifrēšanu – un tas, vai kāds šajā laikā uzbrukumu pamana.

Kā uzbrucējs iekļūst

Ilgus gadus galvenais izspiedējvīrusu cēlonis bija neaizlāpītas ievainojamības. 2026. gada datos aina ir mainījusies: pirmajā vietā atkal ir e-pasts un cilvēks, kas to atver. Tas maina prioritātes – tehniskā aizsardzība vien nepietiek, ja darbiniekam nav skaidra rīcības modeļa aizdomīgai vēstulei.

Uzmanību ir vērts pievērst vienam skaitlim: uzbrukumos, kuru cēlonis bija nozagti pieejas dati, daudzfaktoru autentifikācija kaut kādā veidā bija ieviesta 97 % gadījumu. MFA joprojām ir viens no spēcīgākajiem pasākumiem, taču “ieslēgts kaut kur” nav tas pats, kas “ieslēgts visur un izturīgs pret pikšķerēšanu”. Praktiskos soļus apkopojam ceļvedī kā pasargāties no kiberuzbrukumiem.

Kā notiek uzbrukums

1. Iekļūšana. Uzbrucējs iegūst pirmo piekļuvi – ar pikšķerēšanu, nozagtu paroli vai neaizlāpītu ievainojamību.
2. Nostiprināšanās. Tiek izveidots pastāvīgs kanāls atpakaļ uz sistēmu, lai piekļuvi nezaudētu pēc pārstartēšanas.
3. Tiesību paaugstināšana. Mērķis ir domēna administratora vai līdzvērtīgas tiesības, jo bez tām nevar šifrēt visu vidi vienlaikus.
4. Izpēte un pārvietošanās. Uzbrucējs kartē tīklu, meklē datubāzes, failu serverus un – pirmām kārtām – rezerves kopiju sistēmu.
5. Rezerves kopiju iznīcināšana. Tiek dzēstas momentuzņēmumu kopijas un pieejamās kopiju krātuves, lai atjaunošana nebūtu iespējama.
6. Datu nozagšana. Vērtīgākie dati tiek izvilkti ārā, bieži pa parastiem, atļautiem kanāliem, lai neizceltos.
7. Šifrēšana. Šifrēšana parasti notiek nakts vai brīvdienu stundās, kad reakcija ir vislēnākā.
8. Izspiešana. Seko izpirkuma prasība un termiņš, pēc kura dati tiek publiskoti noplūžu vietnē.

Cik tas maksā

Izpirkuma summa parasti ir mazākā izmaksu daļa. Sophos 2026. gada pētījumā vidējā (mediānas) prasītā summa bija 698 000 USD, bet faktiski samaksātā – 769 000 USD. Savukārt vidējās atkopšanas izmaksas bez izpirkuma bija 1 700 200 USD: dīkstāve, virsstundas, ārējie speciālisti, iekārtu pārinstalēšana, juridiskās un komunikācijas izmaksas.

Atkopšanas ilgums ir otrs skaitlis, ko vērts zināt jau iepriekš. 55 % organizāciju atguvās nedēļas laikā (16 % – nepilnas dienas laikā), 83 % – mēneša laikā, un tikai 3 % bija vajadzīgi vairāk nekā trīs mēneši. Nedēļa bez sistēmām ir tas, kam jāspēj izturēt uzņēmuma finanses un klientu attiecības.

Kāpēc nemaksāt

Maksāšanas īpatsvars krītas: 2026. gada pētījumā izpirkumu samaksāja 48 % no tiem, kam dati bija nošifrēti, – zemākais rādītājs pēdējos trīs gados. Vienlaikus 66 % atguva datus no rezerves kopijām. Tā ir galvenā prakses maiņa nozarē: sagatavota organizācija vienkārši nav spiesta sarunāties.

Pirms jebkādām sarunām ir vērts pārbaudīt, vai attiecīgajam izspiedējvīrusa paveidam jau nav publiski pieejams atšifrētājs. Europol un partneru uzturētā No More Ransom iniciatīva uztur bezmaksas atšifrēšanas rīku repozitoriju, un tas ir pieejams arī latviešu valodā.

Kā to pamanīt, pirms sākas šifrēšana

Starp pirmo iekļūšanu un šifrēšanu parasti paiet dienas, dažkārt nedēļas. Šis logs ir vienīgā reālā iespēja uzbrukumu apturēt, un tajā uzbrucējs atstāj pēdas, kuras var pamanīt bez dārgiem rīkiem: jauni administratora konti, kas neatbilst nevienam darbiniekam; pieteikšanās administratora kontā ārpus darba laika vai no neparastas valsts; masveida piekļuve failu serverim no vienas darbstacijas.

Tāpat vērts sekot mēģinājumiem izslēgt pretvīrusu aizsardzību vai dzēst notikumu žurnālus, kā arī neparasti lielai izejošai datplūsmai uz failu apmaiņas pakalpojumiem – tā bieži ir datu nozagšana pirms šifrēšanas. Ja rezerves kopiju sistēmā parādās neveiksmīgi vai atcelti darbi, ko neviens nav plānojis, tas ir jāuztver kā incidents, nevis kā tehniska kļūme.

Kā pasargāties

• Uztur vismaz vienu bezsaistes vai nemaināmu (immutable) rezerves kopiju un regulāri testē tieši atjaunošanu, ne tikai kopēšanu.
• Ieslēdz pret pikšķerēšanu izturīgu daudzfaktoru autentifikāciju visiem attālinātās piekļuves un administratora kontiem.
• Aizlāp internetā pieejamos pakalpojumus – VPN, e-pasta vārtejas, failu apmaiņas serverus – prioritārā kārtībā.
• Segmentē tīklu, lai viena inficēta darbstacija nedotu ceļu uz serveriem un rezerves kopijām.
• Atsevišķi konti rezerves kopiju sistēmai: administratora parole no darba vides tur nedrīkst darboties.
• Uzraugi žurnālus un brīdinājumus arī naktīs un brīvdienās – tieši tad notiek šifrēšana.
• Sagatavo un izspēlē reaģēšanas plānu ar konkrētiem vārdiem, tālruņu numuriem un lēmumu pieņēmējiem.

Ko darīt pirmajās stundās

Rīcības secība ir svarīga: vispirms izolē skartās sistēmas, tikai pēc tam izslēdz. Izslēgta iekārta zaudē operatīvajā atmiņā esošos pierādījumus, kas var būt vienīgais veids, kā saprast, kā uzbrucējs iekļuva. Saglabā žurnālus un nepārinstalē serverus, pirms ir savākts pierādījumu materiāls.

Latvijā Nacionālās kiberdrošības likuma 34. pants nosaka, ka nozīmīga kiberincidenta gadījumā subjektam ne vēlāk kā 24 stundu laikā jāiesniedz agrīnais brīdinājums un 72 stundu laikā – ziņojums kompetentajai kiberincidentu novēršanas institūcijai; galaziņojums seko mēneša laikā. Ja uzņēmums ietilpst likuma tvērumā, šie termiņi ir jāzina pirms incidenta, ne tā laikā.

Biežākās kļūdas

• Kopijas glabājas tajā pašā domēnā. Ja rezerves kopiju serverim var piekļūt ar domēna administratora kontu, tā nav rezerves kopija, bet vēl viena mape.
• Testēta tiek kopēšana, nevis atjaunošana. Zaļš indikators pierāda tikai to, ka darbs izpildījās, nevis to, ka faili ir izmantojami.
• Plāns eksistē tikai dokumentā. Ja plānu nekad nav izspēlējuši cilvēki, kuriem tas jāizpilda, incidenta naktī tas nedarbosies.
• Uzmanība tikai šifrēšanai. Dubultās izspiešanas gadījumā datu noplūde ir atsevišķs notikums ar atsevišķām juridiskām sekām.
• Sarunas sākas pirms novērtējuma. Pirms jebkādas saziņas ar uzbrucēju ir jāzina, kas tieši ir nozagts un vai kopijas ir derīgas.