Nota metodologiczna. Ranking grup należy traktować jako ocenę ryzyka opartą na publicznych danych z leak-site i raportach branżowych, nie jako pełny rejestr incydentów w Polsce. Publiczne wpisy DLS są niepełne: część ofiar nie jest publikowana, część wpisów bywa opóźniona, a część incydentów pozostaje niejawna.

Profil ofiar

Akira atakuje przede wszystkim sektor prywatny, produkcję, usługi profesjonalne, edukację, podmioty infrastrukturalne oraz organizacje, w których przestój systemów powoduje natychmiastowe koszty operacyjne. Raporty branżowe wskazują na aktywność w Ameryce Północnej, Europie i Australii, co czyni grupę istotną także dla polskich podmiotów działających w międzynarodowych łańcuchach dostaw.

Ofiary nie są wybierane wyłącznie według rozpoznawalności marki. Dla Akiry atrakcyjne są organizacje z dostępem VPN, kontami bez MFA, podatnymi urządzeniami brzegowymi, słabą segmentacją i kopią zapasową dostępną z tej samej domeny lub sieci administracyjnej.

Struktura działania

Akira działa jako dojrzały ekosystem ransomware-as-a-service. Rdzeń operacji rozwija szyfratory i infrastrukturę wymuszeń, a afilianci prowadzą włamania, kradzież danych i wdrożenia ransomware. W publicznych analizach grupa bywa łączona z doświadczeniem dawnych operatorów Conti, choć tego typu powiązania należy traktować jako ocenę wywiadowczą, a nie prostą tożsamość organizacyjną.

Mechanizm wymuszenia jest klasyczny dla nowoczesnego ransomware: kradzież danych, presja publikacyjna, szyfrowanie systemów oraz negocjacje prowadzone przez kanały wskazane w notatce okupu. Coraz większe znaczenie ma również atak na wirtualizację i backup, bo ich utrata skraca czas, w którym organizacja może samodzielnie przywrócić działanie.

Wykorzystywane narzędzia i techniki

W publicznych advisory dotyczących Akiry pojawiają się narzędzia używane legalnie w administracji i transferze plików, ale nadużywane przez atakujących: FileZilla, WinRAR, WinSCP, Rclone, AnyDesk, MobaXterm, RustDesk, Ngrok i Cloudflare Tunnel. Sama obecność takich programów nie jest dowodem ataku, ale w połączeniu z nietypowym kontem, godziną działania i dużą skalą transferu powinna być traktowana jako sygnał alarmowy.

Akira wykorzystuje również kompromitację kont, podatności w usługach VPN i backupowych, ruch lateralny, usuwanie lub obchodzenie mechanizmów odzyskiwania oraz szyfratory dla Windows, Linux, VMware ESXi i innych środowisk wirtualizacyjnych.

Wnioski dla organizacji

Najważniejszą lekcją z profilu Akiry jest konieczność traktowania dostępu zdalnego, backupu i wirtualizacji jako obszarów krytycznych. MFA dla VPN, ograniczenie ekspozycji usług, segmentacja, twarde kopie offline oraz testy odtwarzania nie są dodatkiem, tylko podstawowym warunkiem odporności na ten typ ataku.

Wytyczne NASK / CERT Polska po ataku ransomware

Poniższa lista jest syntetycznym ujęciem zaleceń CSIRT NASK i CERT Polska dotyczących pierwszych działań po wykryciu ransomware.

  • Odizolować zainfekowane urządzenia od sieci przewodowej i bezprzewodowej. Nie wyłączać systemów, jeżeli możliwe jest ich bezpieczne odłączenie — pamięć ulotna może mieć znaczenie dowodowe i techniczne.
  • Zabezpieczyć notatkę z żądaniem okupu, przykładowe zaszyfrowane pliki, logi z systemów i urządzeń bezpieczeństwa oraz — jeżeli to możliwe — próbkę złośliwego oprogramowania.
  • Ustalić i usunąć źródło infekcji przed przywracaniem produkcji. Samo odtworzenie backupu bez eliminacji wektora wejścia może doprowadzić do ponownego zaszyfrowania.
  • Zidentyfikować rodzinę ransomware, m.in. przez analizę notatki okupu i przykładowych plików oraz sprawdzenie dostępności dekryptora w serwisach No More Ransom lub ID Ransomware.
  • Przywracać systemy z czystych obrazów i sprawdzonych kopii zapasowych. Kopie powinny być wcześniej zweryfikowane pod kątem braku malware i realnej możliwości odtworzenia danych.
  • Zgłosić incydent do CSIRT NASK przez incydent.cert.pl albo kontakt cert@cert.pl. Do zgłoszenia warto dołączyć minimum dwa zaszyfrowane pliki oraz notatkę z żądaniem okupu.
  • Nie traktować zapłaty okupu jako gwarancji odzyskania danych. CERT Polska wskazuje, że zapłacenie okupu nie zawsze gwarantuje odzyskanie plików, a w swoich rekomendacjach nie zaleca płacenia przestępcom.

Co dalej?

Jeżeli chcesz przećwiczyć taki scenariusz w swojej organizacji, sprawdź ofertę szkoleń z ransomware, reagowania na incydenty, NIS 2 i KSC albo skontaktuj się w sprawie warsztatu tabletop.

Szkolenia z reagowania na incydenty · Zapytaj o warsztat

Źródła

  1. CISA / FBI / partners – #StopRansomware: Akira Ransomware
  2. Sophos – Akira, again: The ransomware that keeps on taking
  3. Picus Security – Akira Ransomware 2025/2026 updated TTP analysis
  4. Check Point Research – The State of Ransomware, Q1 2026
  5. CERT Polska / NASK – Poradnik ransomware
  6. CERT Polska – Rekomendacje bezpieczeństwa dotyczące kopii zapasowych i usług publicznych
  7. CERT Polska – Atak Petya/Mischa; rekomendacja niepłacenia okupu
Artykuł ma charakter analityczny i edukacyjny. Nie zawiera instrukcji przeprowadzenia ataku ani szczegółowych IoC służących do operacyjnego wykorzystania infrastruktury przestępczej. W przypadku potrzeby przygotowania ćwiczenia tabletop lub szkolenia dla zespołu IT przejdź do oferty szkoleń albo skorzystaj z zakładki Kontakt.