podwójne wymuszenie

Podwójne wymuszenie (double extortion) to taktyka ransomware, w której przestępcy przed zaszyfrowaniem danych kopiują je na własne serwery, a potem żądają okupu za dwie rzeczy: za odszyfrowanie i za niepublikowanie. CISA opisuje, że atakujący z czasem zaczęli nie tylko szyfrować dane, ale też je wykradać i naciskać na ofiary groźbą ich ujawnienia; połączenie obu metod nazywa się właśnie podwójnym wymuszeniem ^[1]. Taktyka ma zmusić do zapłaty także ofiarę, która ma sprawną kopię zapasową (backup).

Jak działa

Klasyczny ransomware szyfruje pliki i żąda pieniędzy za klucz. Na taki atak dobrą odpowiedzią jest kopia zapasowa: ofiara odtwarza dane i nie płaci. Podwójne wymuszenie odbiera tę przewagę, bo dodaje drugi etap, eksfiltrację danych, zanim zacznie się szyfrowanie. Nawet po odtworzeniu systemu przestępcy nadal mają kopię danych i mogą ją opublikować.

CyberDefence24 streszcza mechanizm krótko: dane organizacji są wykradane przed zaszyfrowaniem, razem z groźbą publikacji ^[4]. Kolejność etapów pokazuje schemat poniżej.

RYS. 1Przebieg podwójnego wymuszenia

Eksfiltracja zwykle korzysta z legalnych narzędzi i protokołów, żeby nie wzbudzać podejrzeń. CISA wymienia wśród typowych narzędzi Rclone, Rsync, internetowe usługi przechowywania plików oraz FTP i SFTP ^[1]. Jako sygnał ostrzegawczy podaje nietypowo dużą ilość danych wysyłanych na zewnątrz dowolnym portem ^[1].

CISA zwraca też uwagę na związek z wcześniejszymi infekcjami. Operatorzy złośliwego oprogramowania takiego jak Dridex, Emotet czy QakBot często sprzedają dostęp do sieci. Kupujący wykradają dane, grożą ich publikacją, a dopiero potem szyfrują systemy ^[1]. Rolę pośrednika pełni wtedy broker początkowego dostępu (initial access broker).

Odmiany

Ostatnia odmiana pokazuje, że szyfrowanie nie jest konieczne. CISA zauważa, że część przestępców wykrada dane i grozi ich ujawnieniem jako jedyną formą wymuszenia, w ogóle bez ransomware ^[1]. W potrójnym wymuszeniu dodatkowym narzędziem nacisku bywa DDoS ^[4].

W WordPressie

Strona WordPress często przechowuje dane osobowe: konta użytkowników, komentarze, zgłoszenia z formularzy, a w sklepach także zamówienia. Podręcznik wtyczek WordPressa każe autorom ustalić, czy wtyczka zbiera dane osobowe i gdzie je przechowuje, i wymienia jako możliwe miejsca dane i metadane użytkowników, opcje, metadane wpisów, własne tabele oraz pliki ^[6]. Dane leżą więc w wielu miejscach bazy i katalogu strony, a atakujący, który uzyska dostęp do serwera, może skopiować je razem.

Dla właściciela strony z tego wynikają dwa wnioski.

• Kopia zapasowa nie rozwiązuje całego problemu. Przywraca działanie strony, ale nie cofa wycieku. Jeśli dane zostały skopiowane, incydent pozostaje wyciekiem danych także po pełnym odtworzeniu witryny.
• Kopia musi być odizolowana. EDPB opisuje przypadek, w którym kopia zapasowa istniała, ale została zaszyfrowana w tym samym ataku. Wskazuje, że w dobrze zaprojektowanym systemie kopii wiele kopii przechowuje się bezpiecznie, bez dostępu z głównego systemu ^[5]. Kopia trzymana na tym samym serwerze co WordPress takiego warunku nie spełnia. Rozwiązaniem jest kopia niezmienna (immutable backup) poza serwerem strony.

Zagrożenia i skutki

Podwójne wymuszenie zamienia incydent dostępności w incydent poufności. EDPB wyjaśnia, że atak ransomware zwykle jest naruszeniem dostępności danych, ale często dochodzi też do naruszenia poufności ^[5]. W przypadku z wykradzeniem danych EDPB uznaje, że naruszenie dotyczy nie tylko dostępności, ale też poufności, bo atakujący mógł skopiować dane z serwera, a to oznacza wysokie ryzyko ^[5].

Z tego wynikają obowiązki z RODO. Naruszenie ochrony danych osobowych zgłasza się bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin ^[5]. W opisanym przez EDPB przypadku ransomware z wykradzeniem danych obowiązkowe są zarówno zgłoszenie do organu nadzorczego, jak i zawiadomienie osób, których dane dotyczą ^[5]. EDPB zwraca też uwagę, że brak śladów w dziennikach nie dowodzi braku eksfiltracji, jeśli złośliwe oprogramowanie potrafi usuwać wpisy z logów ^[5].

Zapłata okupu nie gwarantuje, że dane nie zostaną opublikowane ani sprzedane. Dane pozostają u przestępców niezależnie od ich obietnic.

Jak się bronić

• Kopie zapasowe odizolowane i okresowe. EDPB zaleca, by kopie były robione cyklicznie i przechowywane w izolacji, bo ransomware może przez wiele dni powoli szyfrować rzadko używane dane ^[5].
• Wykrywanie eksfiltracji. Obserwacja nietypowo dużych transferów wychodzących i narzędzi takich jak Rclone ^[1] daje szansę zatrzymać atak przed szyfrowaniem.
• Mniej danych. Czego nie ma na serwerze, tego nie da się wykraść. Podręcznik WordPressa zachęca, by ograniczać dane osobowe zapisywane choćby w dziennikach błędów ^[6].
• Plan reakcji z procedurą zgłoszenia naruszenia. CISA zaleca przygotowanie i ćwiczenie planu reagowania na incydenty z procedurami powiadamiania na wypadek ransomware i wycieku danych ^[1].

Historia i przykłady

MITRE ATT&CK opisuje podwójne wymuszenie jako praktykę wielu grup. Akira wykrada pliki, a potem je szyfruje, żeby skłonić ofiary do zapłaty; tak samo używany jest ransomware Embargo ^[2]. Grupa Play żąda okupu zarówno za odszyfrowanie systemów, jak i za niepublikowanie danych wykradzionych z sieci ofiary ^[2]. Storm-0501 kontaktuje się bezpośrednio z poszkodowanymi, gdy główna ofiara odmawia zapłaty, i publikuje dane na stronie z wyciekami ^[2].

Sekurak 22 lipca 2025 roku opisał darmowy dekryptor dla ransomware Phobos i 8Base, przygotowany przez japońską policję we współpracy z FBI ^[3]. Grupa 8Base stosowała podwójne wymuszenie: nie tylko szyfrowała pliki, ale też kradła dane i groziła ich ujawnieniem, jeśli nie dostanie okupu ^[3]. Dekryptor rozwiązuje problem zaszyfrowanych plików, ale nie odzyskuje kontroli nad danymi, które wcześniej wyciekły. Model, w którym twórcy udostępniają ransomware innym przestępcom, to ransomware-as-a-service (RaaS) ^[4].