Nota metodologiczna. Ranking grup należy traktować jako ocenę ryzyka opartą na publicznych danych z leak-site i raportach branżowych, nie jako pełny rejestr incydentów w Polsce. Publiczne wpisy DLS są niepełne: część ofiar nie jest publikowana, część wpisów bywa opóźniona, a część incydentów pozostaje niejawna.

Profil ofiar i znaczenie dla Polski

Qilin uderza w organizacje, których przestój operacyjny jest kosztowny: ochronę zdrowia, edukację, administrację lokalną, przemysł, energetykę i usługi profesjonalne. Z perspektywy Polski istotne jest to, że są to sektory szeroko reprezentowane także w krajowym krajobrazie ryzyka: produkcja przemysłowa, jednostki samorządowe, dostawcy usług medycznych i podmioty pracujące na infrastrukturze hybrydowej.

Najbardziej znanym przykładem skali oddziaływania Qilin pozostaje atak na Synnovis w Wielkiej Brytanii, który zakłócił pracę wielu placówek NHS i doprowadził do ujawnienia wrażliwych danych. Nie chodzi tu o prostą analogię do Polski, ale o pokazanie mechanizmu: atak na jednego dostawcę usług może sparaliżować większy ekosystem zależnych organizacji.

Struktura działania

Qilin funkcjonuje jako ransomware-as-a-service. Operatorzy utrzymują markę, infrastrukturę, panel afiliacyjny, stronę wyciekową i narzędzia szyfrujące, natomiast afilianci odpowiadają za część włamań, eskalację uprawnień, kradzież danych i wdrożenie szyfratora.

Model biznesowy opiera się na podziale zysków i podwójnej wymuszeniowości: najpierw wykradane są dane, następnie szyfrowane są systemy, a presja na ofiarę budowana jest groźbą publikacji informacji. W nowszych opisach Qilin pojawia się również presja negocjacyjna oparta na argumentacji prawnej i ryzyku regulacyjnym, co jest szczególnie istotne dla podmiotów objętych RODO, KSC lub NIS2.

Wykorzystywane narzędzia i techniki

Publiczne raporty wskazują na rozwijany zestaw narzędzi i technik: wykorzystywanie podatności w usługach publicznych, kradzież poświadczeń, nadużywanie legalnych narzędzi administracyjnych oraz szybkie przejście od rozpoznania do kradzieży danych. W opisach technicznych Qilin pojawiają się także informacje o ewolucji kodu między Go i Rust, kradzieży danych przeglądarkowych oraz próbach obchodzenia detekcji.

Dla obrony ważniejsze od samej nazwy grupy jest więc monitorowanie zachowań: nietypowe logowania do VPN, masowe odczyty udziałów sieciowych, archiwizowanie dużej liczby plików, ruch do usług chmurowych, nietypowe użycie narzędzi administracyjnych oraz próby wyłączenia zabezpieczeń.

Wnioski dla organizacji

Qilin jest przykładem grupy, która nie opiera się wyłącznie na szyfrowaniu. Kluczowy jest pełny cykl wymuszenia: dostęp początkowy, eskalacja, kradzież danych, presja prawna i reputacyjna oraz dopiero na końcu szyfrowanie. Organizacje w Polsce powinny traktować tę grupę jako scenariusz ćwiczeń dla zarządu, działu IT, komunikacji i ochrony danych.

Wytyczne NASK / CERT Polska po ataku ransomware

Poniższa lista jest syntetycznym ujęciem zaleceń CSIRT NASK i CERT Polska dotyczących pierwszych działań po wykryciu ransomware.

  • Odizolować zainfekowane urządzenia od sieci przewodowej i bezprzewodowej. Nie wyłączać systemów, jeżeli możliwe jest ich bezpieczne odłączenie — pamięć ulotna może mieć znaczenie dowodowe i techniczne.
  • Zabezpieczyć notatkę z żądaniem okupu, przykładowe zaszyfrowane pliki, logi z systemów i urządzeń bezpieczeństwa oraz — jeżeli to możliwe — próbkę złośliwego oprogramowania.
  • Ustalić i usunąć źródło infekcji przed przywracaniem produkcji. Samo odtworzenie backupu bez eliminacji wektora wejścia może doprowadzić do ponownego zaszyfrowania.
  • Zidentyfikować rodzinę ransomware, m.in. przez analizę notatki okupu i przykładowych plików oraz sprawdzenie dostępności dekryptora w serwisach No More Ransom lub ID Ransomware.
  • Przywracać systemy z czystych obrazów i sprawdzonych kopii zapasowych. Kopie powinny być wcześniej zweryfikowane pod kątem braku malware i realnej możliwości odtworzenia danych.
  • Zgłosić incydent do CSIRT NASK przez incydent.cert.pl albo kontakt cert@cert.pl. Do zgłoszenia warto dołączyć minimum dwa zaszyfrowane pliki oraz notatkę z żądaniem okupu.
  • Nie traktować zapłaty okupu jako gwarancji odzyskania danych. CERT Polska wskazuje, że zapłacenie okupu nie zawsze gwarantuje odzyskanie plików, a w swoich rekomendacjach nie zaleca płacenia przestępcom.

Co dalej?

Jeżeli chcesz przećwiczyć taki scenariusz w swojej organizacji, sprawdź ofertę szkoleń z ransomware, reagowania na incydenty, NIS 2 i KSC albo skontaktuj się w sprawie warsztatu tabletop.

Szkolenia z reagowania na incydenty · Zapytaj o warsztat

Źródła

  1. Check Point Research – The State of Ransomware, Q1 2026
  2. FortiGuard Labs – Qilin Ransomware threat actor profile
  3. DeXpose – Qilin Ransomware: Group Profile, TTPs, IOCs & Defense
  4. CERT Polska / NASK – Poradnik ransomware
  5. CERT Polska – Rekomendacje bezpieczeństwa dotyczące kopii zapasowych i usług publicznych
  6. CERT Polska – Atak Petya/Mischa; rekomendacja niepłacenia okupu
Artykuł ma charakter analityczny i edukacyjny. Nie zawiera instrukcji przeprowadzenia ataku ani szczegółowych IoC służących do operacyjnego wykorzystania infrastruktury przestępczej. W przypadku potrzeby przygotowania ćwiczenia tabletop lub szkolenia dla zespołu IT przejdź do oferty szkoleń albo skorzystaj z zakładki Kontakt.