Rövid válasz: egy mentés csak akkor ér valamit, ha ki is próbáltad a visszaállítást. A zsarolóvírusos támadók ma már a mentéseket is keresik, és ha elérik, azokat is titkosítják vagy törlik. Ezért legalább egy példánynak a támadó számára elérhetetlennek kell lennie, és a helyreállítást rendszeresen gyakorolni kell. A legtöbb kkv-nál van mentés. Sokkal kevesebbnél van olyan mentés, amelyből egy hétfő reggel tényleg vissza lehet állni.
Mekkora a veszély?
Az ENISA, az Európai Unió kiberbiztonsági ügynöksége, a 2025-ös fenyegetettségi jelentésében a zsarolóvírust nevezte az unió legnagyobb hatású fenyegetésének. A vizsgált incidenseknél a támadók az esetek nagyjából 60%-ában adathalászattal jutottak be.
A Verizon 2026-os adatincidens-jelentése szerint az incidensek 48%-ában szerepet játszott zsarolóvírus, és a leggyakoribb belépési pont már a sérülékenységek kihasználása (31%).
A Sophos 2026-os felmérése (2158 megtámadott szervezet, 17 ország) szerint:
- a támadások 56%-ában titkosítottak adatot, egy évvel korábban 50%-ában;
- akiknél titkosítottak, azok 66%-a mentésből állt vissza;
- 48% fizetett váltságdíjat, a medián összeg 769 ezer dollár volt;
- a helyreállítás átlagos költsége 1,7 millió dollár;
- a 100–250 fős cégek csak 34%-a állította meg a támadást a titkosítás előtt, a 3001–5000 fősöknél ez 46%.
Az utolsó szám a legfontosabb egy kkv-nak: a kisebb cégek ritkábban veszik észre időben a támadást, ezért nekik a mentés gyakran az egyetlen út vissza.
Magyarországon a Sophos felmérése szerint 2023-ban minden ötödik céget ért zsarolóvírus-támadás, és csak 46%-uk használt mentést védekezésként.
Hogyan zajlik egy támadás?
Egy zsarolóvírus-támadás ritkán egy pillanat műve. A tipikus menet: a támadó egy adathalász levéllel, egy ellopott jelszóval vagy egy frissítetlen rendszer sérülékenységén keresztül bejut. Utána napokig vagy hetekig csendben feltérképezi a hálózatot, jogosultságokat szerez, megkeresi a mentéseket, és sokszor adatokat is kimásol. Csak a legvégén titkosít, jellemzően hétvégén vagy ünnep előtt, amikor a legkevesebben figyelnek.
Ebből két dolog következik. Az egyik, hogy a mentéseknek olyan régre is vissza kell nyúlniuk, amikor a támadó még nem volt bent. A másik, hogy a mentési rendszernek külön kell állnia a hálózat többi részétől, mert a támadó célzottan keresi.
Miért nem elég „van mentésünk”?
A Sophos 2025-ös felmérésében a mentésből való helyreállítás aránya hatéves mélypontra, 54%-ra esett. Ennek több oka van, és mindegyik elkerülhető:
- a mentés ugyanazon a hálózaton van, és a támadó azt is titkosítja;
- a mentés hiányos: egy fontos mappa, egy adatbázis vagy egy felhős szolgáltatás kimaradt;
- a mentés régi vagy sérült, és ez csak a visszaállításkor derül ki;
- senki nem tudja, hogyan kell visszaállítani, vagy mennyi ideig tart, és a helyreállítás napokig húzódik.
Az amerikai kiberbiztonsági ügynökség (CISA) útmutatója kifejezetten figyelmeztet: a támadók szándékosan felkutatják és törlik az elérhető mentéseket.
A 3-2-1-1-0 szabály
A klasszikus 3-2-1 szabályt a zsarolóvírusok korára kiegészítették. A szabály:
- 3 példány az adatokról (az éles adat és két mentés);
- 2 különböző típusú tárolón;
- 1 példány telephelyen kívül (például felhőben vagy egy másik helyszínen);
- 1 példány offline, a hálózattól elválasztva, vagy megváltoztathatatlan (immutable) tárolón, amelyet a támadó sem tud törölni vagy titkosítani;
- 0 hiba a visszaállítás ellenőrzésekor.
Az utolsó kettő a lényeg. A „+1” védi a mentést a támadótól, a „0” pedig azt biztosítja, hogy a mentés használható.
Mit és milyen gyakran ments?
A mentési terv két számmal kezdődik, amelyet a vezetésnek kell meghatároznia, nem az informatikusnak:
- Mennyi adatot veszíthetünk el legfeljebb? (RPO, helyreállítási pont.) Ha egy napnyi munka elvesztése elfogadható, elég a napi mentés. Ha csak egy óra, gyakrabban kell.
- Mennyi ideig állhat a rendszer? (RTO, helyreállítási idő.) Ha egy nap kiesés is komoly kár, a visszaállításnak órák alatt meg kell történnie, és ezt ki kell próbálni.
Ne felejtsd el a felhőt sem. A Microsoft 365 vagy a Google Workspace adatai, a CRM, a könyvelőprogram adatai is a te adataid, és a szolgáltató nem feltétlenül véd meg attól, ha egy feltört fiókból valaki törli őket.
A visszaállítás kipróbálása
A CISA kis- és középvállalatoknak szóló útmutatója szerint a mentéseket rendszeresen ki kell próbálni egy valós helyreállítási helyzetben. A gyakorlatban:
- havonta állíts vissza egy véletlenszerűen kiválasztott fájlt vagy mappát;
- negyedévente állíts vissza egy teljes rendszert (például egy szervert vagy egy adatbázist) egy elkülönített környezetbe, és mérd meg, mennyi ideig tartott;
- évente tartsatok egy asztali gyakorlatot: ki mit csinál, ha hétfő reggel minden titkosítva van.
Mi a saját szervereinken napi helyi mentést, telephelyen kívüli, felhős mentést és havi automatikus visszaállítási próbát futtatunk. Nem azért, mert ez bonyolult, hanem mert e nélkül nem tudnánk, hogy a mentés valóban működik.
Egy tipikus kkv-s mentési felállás
Hogy kézzelfogható legyen, egy 20–50 fős cég ésszerű felállása például így nézhet ki:
- Fájlszerver vagy közös tárhely: óránkénti vagy napi pillanatkép (snapshot) a szerveren, napi mentés egy külön mentési eszközre, és heti vagy napi másolat egy felhős tárolóba, megváltoztathatatlan beállítással.
- Ügyviteli rendszer, könyvelés, adatbázisok: napi mentés adatbázis-szinten, nem csak fájlként, mert egy futó adatbázis fájlmásolata gyakran használhatatlan.
- Microsoft 365 vagy Google Workspace: külön mentési szolgáltatás a levelezésre és a dokumentumokra, mert a szolgáltató lomtára és verziókezelése nem helyettesíti a mentést.
- Laptopok: a fontos fájlok a céges felhőben legyenek, ne csak a gépen. Egy elveszett vagy titkosított laptop így nem jelent adatvesztést.
- Megőrzés: a napi mentésekből legalább néhány hét visszamenőleg, mert egy zsarolóvírus napokig vagy hetekig lapulhat, mielőtt titkosít.
Ennek a költsége egy kkv-nál általában töredéke annak, amibe egy napos leállás kerülne. A pontos felállás a cég rendszereitől függ, de a logika mindenhol ugyanaz: több példány, több helyen, legalább egy elérhetetlen a támadónak, és mindegyik kipróbálva.
Öt gyakori hiba
„A RAID az mentés.” Nem az. A RAID a lemezhibától véd, a törléstől és a titkosítástól nem: ha a fájl titkosítódik, a tükrözött példány is.
„A szinkronizált mappa az mentés.” Szintén nem. Ha a helyi fájlt titkosítja a zsarolóvírus, a szinkronizálás a felhőbe is felviszi a titkosított változatot. A verzióelőzmények segíthetnek, de nem helyettesítik a mentést.
Egyetlen ember tudja, hogyan kell visszaállítani. Ha ő szabadságon van vagy elérhetetlen, a helyreállítás napokat csúszik. Legyen leírva, és legalább ketten próbálják ki.
A mentés riasztása senkihez nem jut el. Ha egy mentés hetek óta hibával fut, és erről senki nem tud, a mentés nem létezik. Kell egy értesítés, amelyet valaki olvas is.
Senki nem tudja, mennyi ideig tart a visszaállítás. Egy több terabájtos visszaállítás a felhőből napokig is tarthat. Ezt a próbán kell megtudni, nem élesben.
Mit kérdezz az informatikai partneredtől?
Ha az üzemeltetést külső partner végzi, öt kérdés gyorsan megmutatja, hol tart a mentésed:
- Melyik rendszerünkről, milyen gyakran készül mentés, és hol tárolódik?
- Van-e offline vagy megváltoztathatatlan példány?
- Mikor volt az utolsó visszaállítási próba, és mennyi ideig tartott?
- Kap-e valaki értesítést, ha egy mentés hibával fut?
- Le van-e írva, mi a teendő egy zsarolóvírus-támadás esetén, és ki dönt?
Ha bármelyikre bizonytalan a válasz, az már önmagában teendő. Egy jó partner ezekre néhány perc alatt, dokumentációval együtt válaszol.
A megelőzés legolcsóbb lépései
A mentés a végső védvonal. Néhány olcsó lépéssel ritkábban kell majd használni:
- többfaktoros hitelesítés minden fiókon, különösen a levelezésen és a távoli hozzáféréseken;
- frissítések: a sérülékenységek kihasználása a leggyakoribb belépési pont, ezért a rendszereket rendszeresen frissíteni kell;
- adathalászat elleni képzés: a támadások nagy része egy levéllel kezdődik;
- a jogosultságok szűkítése: ne dolgozzon mindenki rendszergazdai joggal;
- a mentési rendszer külön hitelesítése: a mentéshez ne ugyanazzal a jelszóval lehessen hozzáférni, mint a hálózat többi részéhez.
Fizessünk-e, ha megtörtént?
A Sophos szerint a megtámadott szervezetek 48%-a fizetett. A fizetés azonban nem garancia: nem biztos, hogy minden adat visszajön, és semmi nem garantálja, hogy a támadó nem tér vissza. A legjobb helyzet az, amikor nem kell erről dönteni, mert van működő, kipróbált mentés.
Ha mégis megtörténik: ne kapcsold ki ész nélkül a gépeket, válaszd le őket a hálózatról, értesítsd az informatikai partneredet, és vizsgáld meg, kell-e adatvédelmi incidenst bejelenteni. Ha a cég a NIS2 hatálya alá tartozik, a jelentős incidenst 24 órán belül jelezni kell a hatóságnak.
Mit tegyél most?
- Határozd meg a vezetéssel, mennyi adatvesztés és mennyi kiesés fogadható el.
- Készíts leltárt: milyen adat hol van, a felhős szolgáltatásokat is beleértve.
- Alkalmazd a 3-2-1-1-0 szabályt, legalább egy offline vagy megváltoztathatatlan példánnyal.
- Válaszd le a mentést a hálózat többi részétől, külön hitelesítéssel.
- Próbáld ki a visszaállítást havonta egy fájllal, negyedévente egy teljes rendszerrel.
- Tarts évente egy asztali gyakorlatot a csapattal.
- Írd le a vészhelyzeti teendőket egy oldalon, és tedd olyan helyre, amely egy támadás alatt is elérhető, például kinyomtatva vagy egy külön fiókban.
Ha szeretnéd, hogy valaki felmérje a mentéseidet, és beállítsa a rendszeres visszaállítási próbát, nézd meg az infrastruktúra és üzemeltetés szolgáltatásunkat.
GYIK
Elég-e a felhőbe menteni?
Önmagában nem mindig. Ha a felhős mentés ugyanazzal a fiókkal elérhető, amelyet a támadó megszerzett, azt is törölheti. Kell legalább egy offline vagy megváltoztathatatlan példány, külön hitelesítéssel.
Milyen gyakran kell menteni?
Attól függ, mennyi adat elvesztése fogadható el. Ha egy napnyi munka elvesztése még kezelhető, a napi mentés elég. Ha csak néhány óra, gyakrabban kell menteni.
Milyen gyakran kell kipróbálni a visszaállítást?
Javasolt havonta egy fájl vagy mappa, negyedévente egy teljes rendszer visszaállítása, és évente egy asztali gyakorlat. Egy ki nem próbált mentés csak remény.
Mi az a 3-2-1-1-0 szabály?
Három példány, két különböző tárolón, egy telephelyen kívül, egy offline vagy megváltoztathatatlan, és nulla hiba a visszaállítás ellenőrzésekor.
Fizessünk váltságdíjat?
A legjobb, ha nem kell erről dönteni, mert van kipróbált mentés. A fizetés nem garantálja, hogy minden adat visszajön, és a céget visszatérő célponttá teheti.
Források
- Sophos – The State of Ransomware 2026
- Sophos – Nearly Half of Companies Opt to Pay the Ransom (2025)
- ENISA – ETL 2025: EU consistently targeted by diverse yet convergent threat groups
- Verizon – 2026 Data Breach Investigations Report
- CISA – #StopRansomware Guide
- CISA – Back Up Business Data (small and medium businesses)
- Infostart / MTI – Zsarolják a magyar vállalkozásokat
- Veeam – 3-2-1-1-0 Rule (best practices)
