# Zsarolóvírus ellen: mentés, ami tényleg visszaállít

URL: https://casterconsulting.hu/zsarolovirus-mentesi-strategia/
Published: 2026-10-15
Updated: 2026-10-15
Author: Caster Consulting

> Egy mentés csak akkor ér valamit, ha ki is próbáltad a visszaállítást. A zsarolóvírusos támadók ma már a mentéseket is keresik, ezért legalább egy példánynak a támadó számára elérhetetlennek kell lennie, és a helyreállítást rendszeresen gyakorolni kell.

**Rövid válasz: egy mentés csak akkor ér valamit, ha ki is próbáltad a visszaállítást.** A zsarolóvírusos támadók ma már a mentéseket is keresik, és ha elérik, azokat is titkosítják vagy törlik. Ezért legalább egy példánynak a támadó számára elérhetetlennek kell lennie, és a helyreállítást rendszeresen gyakorolni kell. A legtöbb kkv-nál van mentés. Sokkal kevesebbnél van olyan mentés, amelyből egy hétfő reggel tényleg vissza lehet állni.

## Mekkora a veszély?

Az ENISA, az Európai Unió kiberbiztonsági ügynöksége, a 2025-ös fenyegetettségi jelentésében a zsarolóvírust nevezte az unió legnagyobb hatású fenyegetésének. A vizsgált incidenseknél a támadók az esetek nagyjából 60%-ában adathalászattal jutottak be.

A Verizon 2026-os adatincidens-jelentése szerint az incidensek 48%-ában szerepet játszott zsarolóvírus, és a leggyakoribb belépési pont már a sérülékenységek kihasználása (31%).

A Sophos 2026-os felmérése (2158 megtámadott szervezet, 17 ország) szerint:

- a támadások 56%-ában titkosítottak adatot, egy évvel korábban 50%-ában;
- akiknél titkosítottak, azok 66%-a mentésből állt vissza;
- 48% fizetett váltságdíjat, a medián összeg 769 ezer dollár volt;
- a helyreállítás átlagos költsége 1,7 millió dollár;
- **a 100–250 fős cégek csak 34%-a állította meg a támadást a titkosítás előtt**, a 3001–5000 fősöknél ez 46%.

Az utolsó szám a legfontosabb egy kkv-nak: a kisebb cégek ritkábban veszik észre időben a támadást, ezért nekik a mentés gyakran az egyetlen út vissza.

Magyarországon a Sophos felmérése szerint 2023-ban minden ötödik céget ért zsarolóvírus-támadás, és csak 46%-uk használt mentést védekezésként.

## Hogyan zajlik egy támadás?

Egy zsarolóvírus-támadás ritkán egy pillanat műve. A tipikus menet: a támadó egy adathalász levéllel, egy ellopott jelszóval vagy egy frissítetlen rendszer sérülékenységén keresztül bejut. Utána napokig vagy hetekig csendben feltérképezi a hálózatot, jogosultságokat szerez, megkeresi a mentéseket, és sokszor adatokat is kimásol. Csak a legvégén titkosít, jellemzően hétvégén vagy ünnep előtt, amikor a legkevesebben figyelnek.

Ebből két dolog következik. Az egyik, hogy a mentéseknek olyan régre is vissza kell nyúlniuk, amikor a támadó még nem volt bent. A másik, hogy a mentési rendszernek külön kell állnia a hálózat többi részétől, mert a támadó célzottan keresi.

## Miért nem elég „van mentésünk”?

A Sophos 2025-ös felmérésében a mentésből való helyreállítás aránya hatéves mélypontra, 54%-ra esett. Ennek több oka van, és mindegyik elkerülhető:

- **a mentés ugyanazon a hálózaton van,** és a támadó azt is titkosítja;
- **a mentés hiányos:** egy fontos mappa, egy adatbázis vagy egy felhős szolgáltatás kimaradt;
- **a mentés régi vagy sérült,** és ez csak a visszaállításkor derül ki;
- **senki nem tudja, hogyan kell visszaállítani,** vagy mennyi ideig tart, és a helyreállítás napokig húzódik.

Az amerikai kiberbiztonsági ügynökség (CISA) útmutatója kifejezetten figyelmeztet: a támadók szándékosan felkutatják és törlik az elérhető mentéseket.

## A 3-2-1-1-0 szabály

A klasszikus 3-2-1 szabályt a zsarolóvírusok korára kiegészítették. A szabály:

- **3** példány az adatokról (az éles adat és két mentés);
- **2** különböző típusú tárolón;
- **1** példány telephelyen kívül (például felhőben vagy egy másik helyszínen);
- **1** példány offline, a hálózattól elválasztva, vagy megváltoztathatatlan (immutable) tárolón, amelyet a támadó sem tud törölni vagy titkosítani;
- **0** hiba a visszaállítás ellenőrzésekor.

Az utolsó kettő a lényeg. A „+1” védi a mentést a támadótól, a „0” pedig azt biztosítja, hogy a mentés használható.

## Mit és milyen gyakran ments?

A mentési terv két számmal kezdődik, amelyet a vezetésnek kell meghatároznia, nem az informatikusnak:

- **Mennyi adatot veszíthetünk el legfeljebb?** (RPO, helyreállítási pont.) Ha egy napnyi munka elvesztése elfogadható, elég a napi mentés. Ha csak egy óra, gyakrabban kell.
- **Mennyi ideig állhat a rendszer?** (RTO, helyreállítási idő.) Ha egy nap kiesés is komoly kár, a visszaállításnak órák alatt meg kell történnie, és ezt ki kell próbálni.

Ne felejtsd el a felhőt sem. A Microsoft 365 vagy a Google Workspace adatai, a CRM, a könyvelőprogram adatai is a te adataid, és a szolgáltató nem feltétlenül véd meg attól, ha egy feltört fiókból valaki törli őket.

## A visszaállítás kipróbálása

A CISA kis- és középvállalatoknak szóló útmutatója szerint a mentéseket rendszeresen ki kell próbálni egy valós helyreállítási helyzetben. A gyakorlatban:

- **havonta** állíts vissza egy véletlenszerűen kiválasztott fájlt vagy mappát;
- **negyedévente** állíts vissza egy teljes rendszert (például egy szervert vagy egy adatbázist) egy elkülönített környezetbe, és mérd meg, mennyi ideig tartott;
- **évente** tartsatok egy asztali gyakorlatot: ki mit csinál, ha hétfő reggel minden titkosítva van.

Mi a saját szervereinken napi helyi mentést, telephelyen kívüli, felhős mentést és havi automatikus visszaállítási próbát futtatunk. Nem azért, mert ez bonyolult, hanem mert e nélkül nem tudnánk, hogy a mentés valóban működik.

## Egy tipikus kkv-s mentési felállás

Hogy kézzelfogható legyen, egy 20–50 fős cég ésszerű felállása például így nézhet ki:

- **Fájlszerver vagy közös tárhely:** óránkénti vagy napi pillanatkép (snapshot) a szerveren, napi mentés egy külön mentési eszközre, és heti vagy napi másolat egy felhős tárolóba, megváltoztathatatlan beállítással.
- **Ügyviteli rendszer, könyvelés, adatbázisok:** napi mentés adatbázis-szinten, nem csak fájlként, mert egy futó adatbázis fájlmásolata gyakran használhatatlan.
- **Microsoft 365 vagy Google Workspace:** külön mentési szolgáltatás a levelezésre és a dokumentumokra, mert a szolgáltató lomtára és verziókezelése nem helyettesíti a mentést.
- **Laptopok:** a fontos fájlok a céges felhőben legyenek, ne csak a gépen. Egy elveszett vagy titkosított laptop így nem jelent adatvesztést.
- **Megőrzés:** a napi mentésekből legalább néhány hét visszamenőleg, mert egy zsarolóvírus napokig vagy hetekig lapulhat, mielőtt titkosít.

Ennek a költsége egy kkv-nál általában töredéke annak, amibe egy napos leállás kerülne. A pontos felállás a cég rendszereitől függ, de a logika mindenhol ugyanaz: több példány, több helyen, legalább egy elérhetetlen a támadónak, és mindegyik kipróbálva.

## Öt gyakori hiba

**„A RAID az mentés.”** Nem az. A RAID a lemezhibától véd, a törléstől és a titkosítástól nem: ha a fájl titkosítódik, a tükrözött példány is.

**„A szinkronizált mappa az mentés.”** Szintén nem. Ha a helyi fájlt titkosítja a zsarolóvírus, a szinkronizálás a felhőbe is felviszi a titkosított változatot. A verzióelőzmények segíthetnek, de nem helyettesítik a mentést.

**Egyetlen ember tudja, hogyan kell visszaállítani.** Ha ő szabadságon van vagy elérhetetlen, a helyreállítás napokat csúszik. Legyen leírva, és legalább ketten próbálják ki.

**A mentés riasztása senkihez nem jut el.** Ha egy mentés hetek óta hibával fut, és erről senki nem tud, a mentés nem létezik. Kell egy értesítés, amelyet valaki olvas is.

**Senki nem tudja, mennyi ideig tart a visszaállítás.** Egy több terabájtos visszaállítás a felhőből napokig is tarthat. Ezt a próbán kell megtudni, nem élesben.

## Mit kérdezz az informatikai partneredtől?

Ha az üzemeltetést külső partner végzi, öt kérdés gyorsan megmutatja, hol tart a mentésed:

1. Melyik rendszerünkről, milyen gyakran készül mentés, és hol tárolódik?
2. Van-e offline vagy megváltoztathatatlan példány?
3. Mikor volt az utolsó visszaállítási próba, és mennyi ideig tartott?
4. Kap-e valaki értesítést, ha egy mentés hibával fut?
5. Le van-e írva, mi a teendő egy zsarolóvírus-támadás esetén, és ki dönt?

Ha bármelyikre bizonytalan a válasz, az már önmagában teendő. Egy jó partner ezekre néhány perc alatt, dokumentációval együtt válaszol.

## A megelőzés legolcsóbb lépései

A mentés a végső védvonal. Néhány olcsó lépéssel ritkábban kell majd használni:

- **többfaktoros hitelesítés** minden fiókon, különösen a levelezésen és a távoli hozzáféréseken;
- **frissítések:** a sérülékenységek kihasználása a leggyakoribb belépési pont, ezért a rendszereket rendszeresen frissíteni kell;
- **adathalászat elleni képzés:** a támadások nagy része egy levéllel kezdődik;
- **a jogosultságok szűkítése:** ne dolgozzon mindenki rendszergazdai joggal;
- **a mentési rendszer külön hitelesítése:** a mentéshez ne ugyanazzal a jelszóval lehessen hozzáférni, mint a hálózat többi részéhez.

## Fizessünk-e, ha megtörtént?

A Sophos szerint a megtámadott szervezetek 48%-a fizetett. A fizetés azonban nem garancia: nem biztos, hogy minden adat visszajön, és semmi nem garantálja, hogy a támadó nem tér vissza. A legjobb helyzet az, amikor nem kell erről dönteni, mert van működő, kipróbált mentés.

Ha mégis megtörténik: ne kapcsold ki ész nélkül a gépeket, válaszd le őket a hálózatról, értesítsd az informatikai partneredet, és vizsgáld meg, kell-e adatvédelmi incidenst bejelenteni. Ha a cég a NIS2 hatálya alá tartozik, a jelentős incidenst 24 órán belül jelezni kell a hatóságnak.

## Mit tegyél most?

1. **Határozd meg a vezetéssel,** mennyi adatvesztés és mennyi kiesés fogadható el.
2. **Készíts leltárt:** milyen adat hol van, a felhős szolgáltatásokat is beleértve.
3. **Alkalmazd a 3-2-1-1-0 szabályt,** legalább egy offline vagy megváltoztathatatlan példánnyal.
4. **Válaszd le a mentést** a hálózat többi részétől, külön hitelesítéssel.
5. **Próbáld ki a visszaállítást** havonta egy fájllal, negyedévente egy teljes rendszerrel.
6. **Tarts évente egy asztali gyakorlatot** a csapattal.
7. **Írd le a vészhelyzeti teendőket** egy oldalon, és tedd olyan helyre, amely egy támadás alatt is elérhető, például kinyomtatva vagy egy külön fiókban.

Ha szeretnéd, hogy valaki felmérje a mentéseidet, és beállítsa a rendszeres visszaállítási próbát, nézd meg az [infrastruktúra és üzemeltetés](/infrastruktura/) szolgáltatásunkat.

## GYIK

### Elég-e a felhőbe menteni?

Önmagában nem mindig. Ha a felhős mentés ugyanazzal a fiókkal elérhető, amelyet a támadó megszerzett, azt is törölheti. Kell legalább egy offline vagy megváltoztathatatlan példány, külön hitelesítéssel.

### Milyen gyakran kell menteni?

Attól függ, mennyi adat elvesztése fogadható el. Ha egy napnyi munka elvesztése még kezelhető, a napi mentés elég. Ha csak néhány óra, gyakrabban kell menteni.

### Milyen gyakran kell kipróbálni a visszaállítást?

Javasolt havonta egy fájl vagy mappa, negyedévente egy teljes rendszer visszaállítása, és évente egy asztali gyakorlat. Egy ki nem próbált mentés csak remény.

### Mi az a 3-2-1-1-0 szabály?

Három példány, két különböző tárolón, egy telephelyen kívül, egy offline vagy megváltoztathatatlan, és nulla hiba a visszaállítás ellenőrzésekor.

### Fizessünk váltságdíjat?

A legjobb, ha nem kell erről dönteni, mert van kipróbált mentés. A fizetés nem garantálja, hogy minden adat visszajön, és a céget visszatérő célponttá teheti.

## Sources

- [Sophos – The State of Ransomware 2026](https://www.sophos.com/en-us/blog/sophos-state-of-ransomware-2026)
- [Sophos – Nearly Half of Companies Opt to Pay the Ransom (2025)](https://www.sophos.com/en-us/press/press-releases/2025/06/nearly-half-companies-opt-pay-ransom-sophos-report-finds)
- [ENISA – ETL 2025: EU consistently targeted by diverse yet convergent threat groups](https://www.enisa.europa.eu/news/etl-2025-eu-consistently-targeted-by-diverse-yet-convergent-threat-groups)
- [Verizon – 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/reports/dbir/)
- [CISA – #StopRansomware Guide](https://www.cisa.gov/stopransomware/ransomware-guide)
- [CISA – Back Up Business Data (small and medium businesses)](https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/back-up-business-data)
- [Infostart / MTI – Zsarolják a magyar vállalkozásokat](https://infostart.hu/gazdasag/2024/08/04/zsaroljak-a-magyar-vallalkozasokat)
- [Veeam – 3-2-1-1-0 Rule (best practices)](https://bp.veeam.com/vb365/guide/design/3-2-1)