Odzyskiwanie krytycznych danych miejskich bez płacenia okupu

październik 21, 2026
Andy Maus
Studia przypadków

Odzyskiwanie krytycznych danych miejskich

bez płacenia okupu

Klient:
Gmina

Recovery Challenges:
Deleted backups, partial overwriting, factory reset, and file-system damage

Wyniki:
Odzyskano dziesięć zestawów danych kopii zapasowych, w tym kopię zapasową serwera plików o rozmiarze 34 TB; sześć dodatkowych kopii zapasowych aplikacji odzyskano w 99–100%

Gmina stanęła w obliczu żądania okupu w związku z atakiem ransomware: jej produkcyjne maszyny wirtualne zostały zaszyfrowane, a wiele systemów kopii zapasowych zostało przejętych. Kopie zapasowe, które miały zapewnić drogę powrotu, zostały usunięte, częściowo nadpisane lub uczynione niedostępnymi. Odzyskanie krytycznych danych gminy bez płacenia okupu wymagało znalezienia użytecznych danych w tej uszkodzonej infrastrukturze kopii zapasowych.

DriveSavers odzyskał kopię zapasową serwera plików o rozmiarze 34 TB, dane kontroli dostępu, dwa dyski wirtualne serwerów WWW oraz sześć dodatkowych kopii zapasowych aplikacji. Gmina ostatecznie potwierdziła, że odzyskano wszystkie potrzebne dane, co dało alternatywę dla płacenia atakującym.

Sytuacja utraty danych

Atak dotknął zarówno produkcyjnych systemów przechowywania danych, jak i kilku warstw kopii zapasowych. Maszyny wirtualne na macierzy Dell SAN zostały zaszyfrowane, a systemy przechowujące dane kopii zapasowych stwarzały różne przeszkody dla odzyskiwania danych.

Serwer Dell z oprogramowaniem Veeam pozostał dostępny, ale jego 20-terabajtowy wolumin kopii zapasowych nie dawał się normalnie otworzyć. Zdalna ocena wykazała, że około 33% woluminu zostało nadpisane zerami.

System TrueNAS z ośmioma dyskami, zawierający kopie zapasowe, po usunięciu zawartości wyświetlał pusty system plików. Synology z 24 dyskami zostało przywrócone do ustawień fabrycznych. Inny Synology zawierał ocalałe pliki kopii zapasowych Veeam, ale brakujące komponenty uniemożliwiały pomyślne zaimportowanie.

Gmina dysponowała wieloma potencjalnymi źródłami odzyskiwania, ale nie miała prostej drogi do przywrócenia swoich krytycznych danych. Inżynierowie musieli ustalić, co pozostało w bazowym systemie przechowywania danych i które źródła mogą dostarczyć kopie zapasowe potrzebne klientowi.

Proces odzyskiwania

DriveSavers przeanalizował środowisko wspólnie z gminą i jej dostawcą usług reagowania na incydenty, wskazując, które systemy można ocenić zdalnie, a które wymagały badania w laboratorium. Gmina ustaliła swoje priorytety, aby inżynierowie mogli skupić się najpierw na jej najważniejszych zbiorach danych.

Odzyskiwanie priorytetowych kopii zapasowych

Synology przywrócone do ustawień fabrycznych zawierało 24 dyski skonfigurowane jako dwie macierze RAID 6 po 12 dysków każda. Analiza laboratoryjna wykazała uszkodzenia systemu plików BTRFS, ale skany pozwoliły zlokalizować kopie zapasowe Veeam priorytetowego serwera plików gminy oraz jej systemu kontroli dostępu.

Inżynierowie wyodrębnili kopię zapasową serwera plików o rozmiarze około 34 TB oraz kopię zapasową systemu kontroli dostępu o rozmiarze 46 GB.

Odzyskiwanie dwóch serwerów WWW

System TrueNAS zawierał osiem dysków w konfiguracji RAID 5 z systemem plików ZFS. Skany pozwoliły zlokalizować dwie kopie zapasowe serwerów WWW o rozmiarach około 32 GB i 2,1 GB.

Dodatkowe prace rozwojowe pozwoliły inżynierom odzyskać oba dyski wirtualne serwerów WWW z jedynie niewielkimi uszkodzeniami.

Rozszerzenie zakresu odzyskiwania

Gmina zwróciła się następnie o odzyskanie sześciu dodatkowych kopii zapasowych aplikacji, obejmujących oprogramowanie do zarządzania sprawami sądowymi, systemy informacji geograficznej oraz archiwum wiadomości.

Inżynierowie zlokalizowali wszystkie sześć na 24-dyskowym Synology i zakończyli ich wyodrębnianie. Obejmowały one kopie zapasowe hostingu GIS, portalu, SQL i serwisu WWW, a także kopie zapasowe systemu zarządzania sprawami sądowymi i archiwum wiadomości. Trzy odzyskano w całości, a trzy po 99%.

Wyniki odzyskiwania

Dane były dostarczane etapami, w miarę postępu odzyskiwania, za pomocą transferów elektronicznych oraz wysyłanych nośników do przechowywania danych. Gmina potwierdziła, że wszystkie potrzebne dane zostały pomyślnie odzyskane bez płacenia okupu.

Odzyskane dane

Rezultat

Priorytetowa kopia zapasowa serwera plików

Wyodrębniono około 34 TB

Kopia zapasowa systemu kontroli dostępu

Wyodrębniono 46 GB

Kopia zapasowa systemu kontroli dostępu

Odzyskane z jedynie niewielkimi uszkodzeniami

Kopie zapasowe hostingu GIS, SQL i serwisu WWW

Odzyskano 100% każdej

Kopie zapasowe portalu GIS, systemu zarządzania sprawami sądowymi i archiwum wiadomości

Odzyskano 99% każdej

Podsumowanie odzysku danych

Droga do odzyskania danych prowadziła przez dane kopii zapasowych, które przetrwały atak, ale nie były już dostępne za pomocą standardowych metod przywracania. Odnalezienie i wyodrębnienie tych danych wymagało pracy na wielu platformach przechowywania danych, w różnych konfiguracjach RAID i systemach plików.

Pracując na uszkodzonych systemach kopii zapasowych i nadając priorytet najbardziej krytycznym danym gminy, DriveSavers odzyskał wszystko, co klient uznał za potrzebne, zamieniając naruszone kopie zapasowe w drogę wyjścia po ataku.

Znajdujesz się w podobnej sytuacji? Skontaktuj się z DriveSavers pod numerem 1 (888) 282-2227.

Andy Maus

Andy Maus pełni funkcję kierownika ds. partnerstw strategicznych i usług odzyskiwania danych po cyberatakach w firmie DriveSavers, gdzie kieruje inicjatywami pomagającymi organizacjom w odzyskiwaniu krytycznych danych po cyberincydentach, atakach ransomware i innych naruszeniach bezpieczeństwa. Dołączył do DriveSavers w 2023 roku po ponad dwóch latach pracy w firmie Arete Incident Response, gdzie wprowadził usługi odzyskiwania danych do oferty firmy oraz nawiązał strategiczne partnerstwa z firmami SentinelOne, Dell i Presidio.
Wcześniej, w firmie Ontrack Data Recovery, kierował działem sprzedaży globalnej, wspierając złożone projekty odzyskiwania danych dla klientów w 22 krajach. Dzięki ponad trzydziestoletniemu doświadczeniu w branży technologicznej — w tym na stanowiskach kierowniczych w firmach Dell, Mitel i Level 3 Communications — Andy wnosi bogate doświadczenie w zakresie reagowania na incydenty cyberbezpieczeństwa, metodologii odzyskiwania danych oraz operacji technicznych na dużą skalę.