Nota metodologiczna. Ranking grup należy traktować jako ocenę ryzyka opartą na publicznych danych z leak-site i raportach branżowych, nie jako pełny rejestr incydentów w Polsce. Publiczne wpisy DLS są niepełne: część ofiar nie jest publikowana, część wpisów bywa opóźniona, a część incydentów pozostaje niejawna.

Profil ofiar

Microsoft obserwował wpływ The Gentlemen na organizacje z sektorów edukacji, transportu, ochrony zdrowia i finansów w Ameryce Północnej, Ameryce Południowej, Europie, Afryce i Azji. Z punktu widzenia Polski najbardziej istotne są sektory o dużej zależności od dostępności systemów: logistyka, przemysł, edukacja, medycyna, finanse i usługi publiczne.

W raportach za 2026 r. podkreślano, że grupa nie musi działać według klasycznego modelu selekcji najbogatszych ofiar. Jeżeli operatorzy dysponują zapasem gotowych dostępów do urządzeń brzegowych, atakują tam, gdzie już mają wejście, a niekoniecznie tam, gdzie wcześniej zaplanowali kampanię.

Struktura działania

The Gentlemen jest opisywana jako ransomware-as-a-service, w którym centralny operator utrzymuje platformę i szyfrator, a afilianci przeprowadzają włamania. Microsoft śledzi operatorów jako Storm-2697. Operacja miała zacząć jako grupa zamknięta, a następnie przejść w model rekrutacji afiliantów.

Istotnym elementem jest powiązanie z ekosystemem brokerów dostępu. Dla obrońców oznacza to, że pierwsze oznaki ataku mogą pojawić się znacznie wcześniej niż samo szyfrowanie: w postaci nietypowego logowania do VPN, użycia konta serwisowego, zmian konfiguracji urządzenia brzegowego albo uruchamiania narzędzi do ruchu lateralnego.

Wykorzystywane narzędzia i techniki

Microsoft opisał The Gentlemen jako szyfrator napisany w Go, zaciemniany narzędziem Garble, wykorzystujący silne szyfrowanie plików oraz agresywne metody rozprzestrzeniania w środowisku. Grupa stosuje podwójne wymuszenie: kradzież danych i szyfrowanie systemów.

Raporty branżowe wskazują także na znaczenie podatnych urządzeń Fortinet/FortiGate i gotowych dostępów VPN. W praktyce organizacje powinny traktować urządzenia brzegowe jako kluczowy element powierzchni ataku: aktualizować je, centralnie logować, wymuszać MFA i ograniczać konta administracyjne.

Wnioski dla organizacji

The Gentlemen pokazuje, że nowa grupa może w krótkim czasie osiągnąć skalę porównywalną ze starszymi markami ransomware, jeżeli połączy dojrzały model afiliacyjny z gotowymi dostępami do infrastruktury. Dla Polski oznacza to konieczność monitorowania nie tylko klasycznych kampanii phishingowych, ale także urządzeń VPN, firewalli, paneli administracyjnych i zewnętrznych usług zdalnych.

Wytyczne NASK / CERT Polska po ataku ransomware

Poniższa lista jest syntetycznym ujęciem zaleceń CSIRT NASK i CERT Polska dotyczących pierwszych działań po wykryciu ransomware.

  • Odizolować zainfekowane urządzenia od sieci przewodowej i bezprzewodowej. Nie wyłączać systemów, jeżeli możliwe jest ich bezpieczne odłączenie — pamięć ulotna może mieć znaczenie dowodowe i techniczne.
  • Zabezpieczyć notatkę z żądaniem okupu, przykładowe zaszyfrowane pliki, logi z systemów i urządzeń bezpieczeństwa oraz — jeżeli to możliwe — próbkę złośliwego oprogramowania.
  • Ustalić i usunąć źródło infekcji przed przywracaniem produkcji. Samo odtworzenie backupu bez eliminacji wektora wejścia może doprowadzić do ponownego zaszyfrowania.
  • Zidentyfikować rodzinę ransomware, m.in. przez analizę notatki okupu i przykładowych plików oraz sprawdzenie dostępności dekryptora w serwisach No More Ransom lub ID Ransomware.
  • Przywracać systemy z czystych obrazów i sprawdzonych kopii zapasowych. Kopie powinny być wcześniej zweryfikowane pod kątem braku malware i realnej możliwości odtworzenia danych.
  • Zgłosić incydent do CSIRT NASK przez incydent.cert.pl albo kontakt cert@cert.pl. Do zgłoszenia warto dołączyć minimum dwa zaszyfrowane pliki oraz notatkę z żądaniem okupu.
  • Nie traktować zapłaty okupu jako gwarancji odzyskania danych. CERT Polska wskazuje, że zapłacenie okupu nie zawsze gwarantuje odzyskanie plików, a w swoich rekomendacjach nie zaleca płacenia przestępcom.

Co dalej?

Jeżeli chcesz przećwiczyć taki scenariusz w swojej organizacji, sprawdź ofertę szkoleń z ransomware, reagowania na incydenty, NIS 2 i KSC albo skontaktuj się w sprawie warsztatu tabletop.

Szkolenia z reagowania na incydenty · Zapytaj o warsztat

Źródła

  1. Microsoft Security – The Gentlemen ransomware: Dissecting a self-propagating Go encryptor
  2. Check Point Research – The State of Ransomware, Q1 2026
  3. Halcyon – Threat Assessment: The Gentlemen ransomware group
  4. CERT Polska / NASK – Poradnik ransomware
  5. CERT Polska – Rekomendacje bezpieczeństwa dotyczące kopii zapasowych i usług publicznych
  6. CERT Polska – Atak Petya/Mischa; rekomendacja niepłacenia okupu
Artykuł ma charakter analityczny i edukacyjny. Nie zawiera instrukcji przeprowadzenia ataku ani szczegółowych IoC służących do operacyjnego wykorzystania infrastruktury przestępczej. W przypadku potrzeby przygotowania ćwiczenia tabletop lub szkolenia dla zespołu IT przejdź do oferty szkoleń albo skorzystaj z zakładki Kontakt.