Ransomware w długi weekend.

Case study kryzysowy dla sztabu zarządzania

Przygotowałem materiał edukacyjny ilustrujący znaczenie komunikacji i PR podczas incydentu/cyberataku. To fikcyjne case-study, ale pokazuje możliwe ścieżki reagowania przez rzecznika lub eksperta PR. Zdarzenia mają odpowiadać podobnym wydarzeniom historycznym. To materiał do warsztatów i symulacji. Jeżeli chcesz przygotować politykę komunikacji i manul na czas wydarzeń kryzysowych, skontaktuj się ze mną.

Dla kogo: zarząd i kadra kierownicza, CISO i zespół SOC, dział IT, dział prawny, HR, marketing i komunikacja, właściciele procesów operacyjnych (logistyka, sprzedaż).

Cel: przećwiczenie decyzji podejmowanych w warunkach niepełnej informacji, presji czasu i równoległej presji medialnej. Ćwiczenie nie sprawdza wiedzy technicznej, tylko jakość procesu decyzyjnego i spójność komunikacji.

Kluczowe pytanie ćwiczenia: jak sztab kryzysowy ma zachować się komunikacyjnie od momentu, w którym traci monopol na informację o własnym incydencie?

1. CASE STUDY: Ransomware, sztab kryzysowy i co dalej?

PROFIL FIRMY (fikcyjny)

333CARS Dystrybucja

• Dystrybutor części zamiennych dla branży motoryzacyjnej
• 430 pracowników, centrala + zakład konfekcjonowania + magazyn wysokiego składowania
• Roczny obrót: ok. 600 mln zł
• Kluczowe systemy: ERP, CRM, WMS (magazyn), system księgowy, EDI z partnerami
• Zespół IT: 9 osób. SOC: usługa hybrydowa, 1 analityk wewnętrzny + dostawca zewnętrzny
• Brak wydzielonej roli rzecznika prasowego. Marketing (4 osoby) odpowiada za komunikację produktową
• Firma prawdopodobnie kwalifikuje się jako podmiot ważny w rozumieniu znowelizowanej ustawy o KSC

PRZEBIEG

Faza 0. Rekonesans (6 miesięcy)

Zagraniczna grupa przestępcza specjalizująca się w ransomware i atakach DDoS prowadzi rozpoznanie rynku Europy Środkowej. Kryterium doboru celu: średnia dojrzałość zabezpieczeń przy wysokiej wrażliwości operacyjnej na przestój. Firmy logistyczne i dystrybucyjne mieszczą się w profilu idealnie, bo każda godzina postoju magazynu ma wymierną cenę, a to skraca czas do decyzji o zapłacie.

Po kilku miesiącach analiz grupa wybiera 333CARS Dystrybucja

Faza 1. Przygotowanie i insider w firmie

Napastnicy prowadzą OSINT: profile pracowników w serwisach rekrutacyjnych i na LinkedIn, ogłoszenia o pracę ujawniające system technologiczny, wycieki danych uwierzytelniających z wcześniejszych baz, zdjęcia z firmowych social mediów pokazujące układ biura i oznaczenia sprzętu.

Równolegle nawiązują kontakt z osobą współpracującą z firmą na umowie B2B. Po kilku tygodniach osoba ta przekazuje im dokumentację techniczną: schematy sieci, plany biura z rozmieszczeniem serwerowni, harmonogramy backupów, listę systemów krytycznych.

Punkt do dyskusji: ryzyko insiderskie nie jest w tym case’ie problemem IT. Jest problemem HR i procesu offboardingu współpracowników B2B.

Faza 2. Uderzenie – piątek, początek majowego długiego weekendu

Faza 3. Pierwsza narada sztabu – piątek po południu

Zwołany zostaje wewnętrzny zespół. Głos rozstrzygający mają prezes, dyrektor prawny i szef IT.

Stanowiska w sporze:

• Szef bezpieczeństwa: nie negocjować, zgłosić incydent do CSIRT i CBZC, uruchomić odtwarzanie z backupów.
• Dyrektor sprzedaży i dyrektor operacyjny: po weekendzie rusza operacyjna część kontraktu o wartości 200 mln zł, odpowiadającego za ok. 35% obrotu. Wysyłka wymaga list przewozowych, planów załadunku, faktur, umów i kalendarzy dostaw. Naciskają na zapłatę.
• Marketing: nie rekomenduje żadnego komunikatu. Argument: „nie wywołujmy tematu, którego jeszcze nie ma”.
• Dyrektor prawny: wskazuje na obowiązki zgłoszeniowe, ale nie ma jeszcze podstaw do oceny, czy doszło do naruszenia ochrony danych osobowych.

Decyzja zostaje odroczona do soboty.

Faza 4. Sobota – utrata kontroli nad narracją

Pierwsze sygnały docierają do pracowników. Informacja wychodzi nieformalnym kanałem (grupa na komunikatorze) i trafia do lokalnego dziennikarza.

• 06:50 –  pierwszy wpis w serwisie X. Pod nim kilkadziesiąt komentarzy, w tym od osób podających się za pracowników
• 09:00 –  zapytania od redakcji lokalnych i serwisów branżowych
• 11:00 –  badacze OSINT lokalizują ogłoszenie grupy w serwisie wycieków: lista pracowników wraz z wynagrodzeniami, umowy handlowe, dane ponad 120 partnerów biznesowych
• 14:00 –  praca w zakładzie zostaje wstrzymana
• 16:30 –  główny klient, poinformowany bezpośrednio przez prezesa, żąda oficjalnego stanowiska i potwierdzenia terminu dostawy

Punkt zwrotny. Od momentu publikacji ogłoszenia o wycieku firma nie decyduje już o tym, czy komunikować. Decyduje wyłącznie o tym, czy będzie źródłem pierwszym, czy komentatorem cudzej wersji.

Faza 5. Niedziela – eskalacja medialna

Serwisy lokalne i branżowe nagłaśniają sprawę. Wieczorne wydania i publikacje online opisują zdarzenie jako poważny incydent bezpieczeństwa. Firma wciąż nie wydała żadnego oświadczenia. W próżni informacyjnej narrację budują: anonimowi „pracownicy”, eksperci komentujący bez dostępu do faktów oraz sami napastnicy.

W poniedziałek rano ma ruszyć operacyjna część kontraktu. Pracownicy podczas długiego urlopu są zestresowani, bo nie mają pełnej informacji od pracodawcy. Zaczyna się festiwal plotek..

Podsumowanie

Firma odzyskuje dostęp do danych po 20 dniach. Straty łączne: ok. 15 mln zł (przestój, kary umowne, odtworzenie środowiska, obsługa prawna i komunikacyjna, utracone kontrakty). Prezes przeprowadza kilka zwolnień, zamawia audyt u zewnętrznego dostawcy i podpisuje umowę z agencją PR.

OSIE NAPIĘCIA DO ROZEGRANIA

1. Operacje kontra bezpieczeństwo. 55 mln zł kontraktu przeciwko zasadzie niefinansowania przestępczości.
2. Cisza kontra transparentność. Rekomendacja marketingu „nie komentujemy” wobec faktu, że temat już żyje bez firmy.
3. Obowiązki kontra wizerunek. Zgłoszenie do CSIRT i UODO tworzy ślad formalny, ale jego brak tworzy odpowiedzialność osobistą kierownictwa.
4. Pracownicy jako pierwsza ofiara i pierwszy kanał wycieku. Ich dane płacowe są w wycieku, a oni sami dowiadują się o tym z X.
5. Zaufanie partnerów. 120 podmiotów, których dane wyciekły, to 120 osobnych relacji handlowych do uratowania.

CZĘŚĆ 2. SCENARIUSZE PRZEBIEGU

Cztery warianty rozwoju od soboty rano.

SCENARIUSZ A – „Zapłacić i przemilczeć”

Decyzja wyjściowa: zarząd zatwierdza zapłatę okupu w sobotę wieczorem. Komunikacja zewnętrzna: brak. Wewnętrzna: polecenie zachowania poufności.

Przebieg

Płatność realizowana w niedzielę przez pośrednika. W poniedziałek rano firma otrzymuje klucz deszyfrujący. Odszyfrowywanie 4 TB danych trwa jednak 6 dni, część plików jest uszkodzona. Kontrakt rusza z 9-dniowym opóźnieniem.

Dane i tak zostają opublikowane, bo grupa dokonała podwójnego wymuszenia i nie usunęła kopii. W środę pracownicy znajdują własne wynagrodzenia w sieci. Wewnętrzne przecieki nabierają charakteru wrogiego. Dziennikarz branżowy publikuje tekst o tym, że firma zapłaciła, na podstawie analizy ruchu w łańcuchu bloków i wypowiedzi trzech anonimowych pracowników.

Skutki

• Finansowe: 2,5 mln zł okupu + ok. 8 mln zł strat pozostałych. Ubezpieczyciel kwestionuje wypłatę z powodu braku zgłoszenia i braku zgody na płatność
• Prawne: brak zgłoszenia do CSIRT i UODO w terminie. Postępowanie wyjaśniające, ryzyko kary i odpowiedzialności osobistej kierownictwa na gruncie znowelizowanej ustawy o KSC. Dodatkowo ryzyko sankcyjne, jeśli odbiorca płatności figuruje na listach restrykcyjnych
• Reputacyjne: najgorszy możliwy wariant. Firma jest jednocześnie ofiarą i podmiotem, który ukrywał
• Wewnętrzne: rotacja w IT i finansach, spadek zaufania do zarządu

Czego uczy: zapłata nie kończy kryzysu, tylko przenosi go z warstwy technicznej do prawnej i wizerunkowej. Milczenie działa wyłącznie wtedy, gdy nikt inny nie mówi – a tu mówią już wszyscy.

SCENARIUSZ B – „Twarda linia i pełna transparentność”

Decyzja wyjściowa: nie negocjujemy. Sobota rano: zgłoszenie do CSIRT NASK i CBZC, policji, powołanie sztabu z jasnym podziałem ról, pierwsze oświadczenie publiczne przed południem.

Przebieg

Sobota 11:00 –  krótki komunikat potwierdzający incydent, bez szczegółów technicznych, z deklaracją aktualizacji co 12 godzin. Uruchomiona infolinia dla partnerów (dwa numery do dyrektorów sprzedaży, z wcześniejszym przygotowaniem oświadczeń + Q&A). Sobota po południu – bezpośredni kontakt z 15 największymi kontrahentami, zanim dowiedzą się z mediów.

Niedziela – firma jest cytowana jako źródło. Ton publikacji zmienia się z „skandal w firmie X” na „firma X zaatakowana, komunikuje na bieżąco”. Niebezpiecznik publikuje materiał, w którym opisuje reakcję jako wzorcową.

Poniedziałek – główny klient akceptuje przesunięcie terminu o 14 dni w zamian za rabat i pisemny plan naprawczy. Odtwarzanie z backupów trwa 20 dni. Zawiadomienie osób, których dane dotyczą, wysłane w ciągu tygodnia.

Skutki

• Finansowe: ok. 10 mln zł, bez kwoty okupu. Ubezpieczyciel wypłaca odszkodowanie
• Prawne: terminy dotrzymane, postępowania kończą się bez kary
• Reputacyjne: krótkoterminowo bolesne, długoterminowo neutralne lub dodatnie. Case bywa cytowany jako dobra praktyka
• Handlowe: traci się 2 mniejszych klientów, główny kontrakt zostaje utrzymany

Czego uczy: transparentność nie jest gestem etycznym, tylko techniką odzyskiwania kontroli nad przekazem. Cena to przyznanie się do niedojrzałości zabezpieczeń.

SCENARIUSZ C –  „Gra na czas” (wariant najbardziej prawdopodobny)

Decyzja wyjściowa: równolegle. Negocjator zewnętrzny (ściągnięty z rynku) nawiązuje kontakt z grupą w celu wydłużenia deadline’u i pozyskania dowodu na zakres eksfiltracji, bez intencji zapłaty. Jednocześnie startuje odtwarzanie ze środowiska zapasowego. Komunikacja: dozowana, potwierdzająca fakt incydentu bez ujawniania stanu negocjacji.

Przebieg

Negocjacje kupują 5 dni i dostarczają listę wykradzionych zbiorów, co pozwala precyzyjnie ustalić zakres naruszenia i przygotować zawiadomienia. Odtwarzanie idzie wolniej niż zakładano, bo kopia WMS jest niekompletna.

Komunikacyjnie firma balansuje. W środę wycieka informacja, że „firma rozmawia z hakerami”. Trzeba doprecyzować przekaz: rozmowy prowadzone są w celu ustalenia zakresu wycieku i we współpracy z organami ścigania, a nie w celu zapłaty. Jeśli ten przekaz przyjdzie za późno, scenariusz zsuwa się w kierunku A.

Skutki

• Finansowe: ok. 10–11 mln zł. Koszt negocjatora i firmy forensic ok. 600 tys. zł
• Prawne: zgłoszenia terminowe, dokumentacja pełna. Współpraca z CBZC oceniona pozytywnie
• Reputacyjne: mieszane, zależne od jednego momentu – czy firma sama ujawniła fakt prowadzenia rozmów, czy została na nim przyłapana

Czego uczy: wariant dwutorowy jest operacyjnie najlepszy i komunikacyjnie najtrudniejszy. Wymaga zawczasu przygotowanej odpowiedzi na pytanie „czy negocjujecie z przestępcami”.

SCENARIUSZ D – „Rozpad sztabu”

Decyzja wyjściowa: brak decyzji. Zarząd nie rozstrzyga sporu między operacjami a bezpieczeństwem. Rolę rzecznika przejmują faktycznie trzy osoby naraz.

Przebieg

Sobota: dyrektor sprzedaży uspokaja klientów, obiecując dostawę w terminie. Szef IT w tym samym czasie mówi zespołowi, że odtworzenie zajmie „minimum dwa tygodnie”. Marketing publikuje na LinkedIn post o „drobnych utrudnieniach technicznych”.

Niedziela: dziennikarz zestawia trzy sprzeczne wersje w jednym materiale. To staje się głównym tematem, ważniejszym niż sam atak. Pracownicy, pozbawieni oficjalnej informacji, rozmawiają z mediami. Jeden z nich publikuje zrzut ekranu noty okupowej.

Poniedziałek: główny klient wstrzymuje kontrakt do czasu wyjaśnienia. Wysyła własny zespół audytowy.

Skutki

• Finansowe: 14–16 mln zł, głównie z powodu utraty kontraktu
• Prawne: zgłoszenia po terminie, bo nikt nie miał przypisanej odpowiedzialności
• Reputacyjne: trwałe. Firma zapamiętana nie jako ofiara ataku, lecz jako organizacja niezdolna do zarządzania
• Personalne: odejście szefa IT i dyrektora sprzedaży

Czego uczy: największym ryzykiem komunikacyjnym w kryzysie nie jest zła wypowiedź, tylko wiele wypowiedzi jednocześnie. Ustalenie jednego głosu jest decyzją ważniejszą niż jego treść.

Porównanie wariantów

CZĘŚĆ 3 DWA WARIANTY DZIAŁAŃ KOMUNIKACYJNYCH (PR)

Obie listy zaczynają się w sobotę o 07:00, czyli od momentu pojawienia się pierwszego wpisu w serwisie X.

WARIANT 1 – Proaktywna transparentność

„Chcemy być pierwszym i najlepszym źródłem informacji o własnym incydencie”

Kiedy wybrać: wyciek już jest publiczny, dane osobowe są w obiegu, firma ma stabilne ustalenia faktyczne i akceptuje krótkoterminowy koszt wizerunkowy.

Godzina 0–2

• Powołać sztab i zapisać skład na piśmie. Wyznaczyć jednego decydenta komunikacyjnego i jednego mówcę. Decydent PR musi mieć doświadczenie w komunikacji kryzysowej
• Wprowadzić zasadę: nikt spoza tych dwóch osób nie wypowiada się publicznie. Zakomunikować to na piśmie całej kadrze
• [Uruchomić kanał sztabu poza infrastrukturą firmy (zakładamy, że wewnętrzna jest skompromitowana)
• Spisać „ustalone fakty” i „niepotwierdzone” w dwóch kolumnach. Aktualizować co 4 godziny. Komunikować wyłącznie z pierwszej kolumny
• Zabezpieczyć dowody i logi przed rozpoczęciem jakichkolwiek działań naprawczych

Godzina 2–6

• Zgłoszenie do CSIRT właściwego dla podmiotu (wczesne ostrzeżenie). Zapisać godzinę zgłoszenia
• Zawiadomienie do CBZC / Policji
• Uruchomić ocenę, czy doszło do naruszenia ochrony danych osobowych –  zegar 72 godzin do UODO biegnie od stwierdzenia naruszenia
• Powiadomić ubezpieczyciela cyber. Przed jakąkolwiek decyzją o płatności lub wyborze dostawcy forensic
• Opublikować oświadczenie nr 1 (maks. 1 strona tekstu): potwierdzamy incydent, uruchomiliśmy procedury, współpracujemy ze służbami, kolejna informacja o godzinie X
• Wysłać ten sam komunikat wewnętrznie zanim pojawi się publicznie. Kolejność ma znaczenie
• Przygotować i obsadzić skrzynkę oraz numer kontaktowy dla mediów i partnerów
• Uruchomić monitoring mediów i social media, w tym wzmianek o firmie w kanałach branżowych

Godzina 6–24

• Telefony do 10–15 kluczowych kontrahentów. Bezpośrednio, przez opiekunów handlowych, ze wspólnym skryptem
• Rozmowa prezesa z głównym klientem: co wiemy, czego nie wiemy, kiedy podamy wiążący termin dostawy
• Spotkanie z załogą (online, bez nagrywania): przyznać, że dane płacowe mogły wyciec, zanim pracownicy znajdą je sami
• Przygotować pakiet wsparcia dla pracowników: instrukcja zastrzeżenia numeru PESEL, monitorowanie zdolności kredytowej, kontakt do wsparcia prawnego
• Odpowiedzieć na wpis w serwisie X z oficjalnego konta firmy. Krótko, z odesłaniem do oświadczenia. Nie wdawać się w polemikę w komentarzach
• Skontaktować się z serwisami branżowymi (Niebezpiecznik, Zaufana Trzecia Strona, Sekurak) i zaproponować rozmowę. Lepiej być cytowanym niż opisywanym
• Przygotować FAQ w trzech wersjach: dla pracowników, dla partnerów, dla mediów

Godzina 24–72

• Zawiadomienie do UODO, jeśli ocena potwierdziła naruszenie
• Zawiadomienie osób, których dane dotyczą (pracownicy, przedstawiciele partnerów), jeśli ryzyko jest wysokie
• Pisemne powiadomienie wszystkich 120 partnerów, których dane objął wyciek. Indywidualnie, nie wysłane zbiorczo
• Oświadczenie nr 2: zakres incydentu, co wiemy o danych, jakie kroki podjęliśmy, realistyczny harmonogram
• Podać wiążący, konserwatywny termin przywrócenia operacji. Lepiej podać 25 dni i skończyć w 20 niż odwrotnie

Dzień 4–20

• Cotygodniowa aktualizacja publiczna, nawet gdy nie ma postępu. Cisza jest interpretowana jako pogorszenie
• Codzienna aktualizacja wewnętrzna dla załogi

Rozmowy handlowe z partnerami o rekompensatach, prowadzone równolegle do odtwarzania systemów

• Przygotować komunikat zamykający: co się stało, co naprawiliśmy, co zmieniamy

Po zakończeniu

• Opublikować podsumowanie z listą wdrożonych zmian. To buduje wiarygodność bardziej niż wszystkie wcześniejsze komunikaty razem
• Zewnętrzny audyt bezpieczeństwa i jego streszczenie do wglądu dla kluczowych partnerów
• Przegląd powypadkowy sztabu bez szukania winnych
• Wpisać wnioski do planu ciągłości działania i przećwiczyć go w ciągu 90 dni

WARIANT 2 – Kontrolowana powściągliwość

„Potwierdzamy minimum, eskalujemy komunikację etapami, nie wyprzedzamy ustaleń”

Kiedy wybrać: zakres wycieku jest niepewny, trwają czynności organów ścigania, prawnicy wskazują na ryzyko odpowiedzialności kontraktowej, a firma nie ma jeszcze zweryfikowanych faktów. To wariant obronny, nie wariant milczenia. Milczenie to scenariusz D.

Godzina 0–2

• Powołać sztab, wyznaczyć jednego mówcę, wprowadzić zakaz wypowiedzi dla pozostałych
• Ustalić z działem prawnym listę tematów objętych całkowitym embargiem (kwota okupu, stan negocjacji, szczegóły techniczne, nazwa grupy)
• Przygotować oświadczenie dla mediów i mieć gotowe zanim ktokolwiek zadzwoni: 2–3 zdania potwierdzające, że badamy sytuację, plus termin kolejnej informacji
• Uruchomić zewnętrzny kanał sztabu

Godzina 2–8

• Zgłoszenia formalne (CSIRT, CBZC, ubezpieczyciel) –  identycznie jak w wariancie 1.
• Wydać oświadczenie dla mediów w odpowiedzi na zapytania dziennikarzy. Nie publikować proaktywnie
• Komunikat wewnętrzny do załogi: potwierdzić awarię, wskazać, kiedy będzie więcej informacji, wprost poprosić o niekomentowanie na zewnątrz i wyjaśnić dlaczego
• Kontakt telefoniczny wyłącznie z głównym klientem i 3–5 najważniejszymi partnerami
• Wyznaczyć próg eskalacji: co konkretnie musi się wydarzyć, żeby przejść na wariant 1. Zapisać go. Bez tego progu powściągliwość przechodzi w paraliż

Godzina 8–24

• Monitoring mediów i serwisu X co godzinę
• Przygotować pełne oświadczenie „do szuflady”, gotowe do publikacji w 15 minut
• Przygotować scenariusz odpowiedzi na trzy najtrudniejsze pytania: czy płacicie, czy wyciekły dane pracowników, kiedy wznowicie dostawy
• Zweryfikować autentyczność i zakres ogłoszenia o wycieku, zanim się do niego odniesiemy
• Zapewnić spójność: wszyscy handlowcy dostają jedną, krótką formułkę i nic ponad nią

Godzina 24–72

• Gdy zakres jest potwierdzony – przejść do komunikacji pełnej. Bez wyjątków.
• Zawiadomienie do UODO i osób, których dane dotyczą, jeśli naruszenie potwierdzone
• Powiadomienie partnerów objętych wyciekiem
• Oświadczenie z konkretnym zakresem i harmonogramem
• Jeśli prowadzone są rozmowy z napastnikami – ujawnić ten fakt samodzielnie i wyjaśnić cel, zanim zrobi to ktoś inny

Ryzyka tego wariantu, do omówienia z zespołem

• Każda godzina bez oficjalnego stanowiska to godzina, w której narrację budują pracownicy, eksperci zewnętrzni i sami napastnicy
• Powściągliwość bywa nieodróżnialna od ukrywania. Różnicę tworzy wyłącznie zapowiedziany i dotrzymany termin kolejnej informacji
• Jeśli zdefiniowany próg eskalacji zostanie przekroczony, a firma nie przejdzie na wariant 1, scenariusz automatycznie zsuwa się w kierunku D

Materiał powstał na podstawie:

– Własnych doświadczeń w PR i materiałów roboczych

– Sesji pracy z LLM

– Analizy i roli kuratora treści (odpowiada: Łukasz Zając).

Zobacz także:

Komunikacja incydentu a KSC

Wymagania DORA a plan komunikacji

Utrata zaufania i ryzyko reputacyjne w firmach

Łukasz Zając

Łukasz Zając – ekspert PR, socjolog, specjalizuje się w cyberbezpieczeństwie. Właściciel butiku 1983 PR. Zdobywał doświadczenie się w kilku obszarach: komunikacji korporacyjnej, digital PR, design doing i zarządzaniu kryzysowym. Od 2013 roku prowadzi firmę doradczą z zakresu PR i Public Affairs. Doradza firmom w zakresie sposobów komunikacji: rozwoju biznesu, budowania marki, relacji z mediami oraz bezpieczeństwa energetycznego i cyberbezpieczeństwa. Autor książki „Po co jest PR?” i artykułów o public relations. Członek Polskiego Stowarzyszenia PR oraz koordynator „Klubu Public Affairs” (2023-2026). Absolwent socjologii w Akademii Górniczo-Hutniczej, WSE im. Ks. J. Tischnera; studiów podyplomowych Total Design Management, kursu International Academy of Public Affairs i uczestnik Kursu kreatywnego pisania w PAN. Posiada studia MBA (Zarządzanie Cyberbezpieczeństwem w WAT) Kontakt: [email protected].

See Full Bio