Безопасность

Атака шифровальщика: что делать в первые часы

Опубликовано 25 октября 2026 г.· 6 мин чтения

Утром бухгалтер открывает 1С, а вместо базы видит файлы с незнакомым расширением и записку с требованием выкупа. Так атака шифровальщика выглядит в компании на 10–200 человек, где нет своего отдела безопасности и никто заранее не решил, кто что делает.

Короткий ответ, если читать некогда: отключите заражённые компьютеры от сети, но не выключайте их. Отсоедините всё, на чём лежат резервные копии. Звоните тому, кто будет разбираться, с мобильного, а не через корпоративную почту. Ничего не переустанавливайте и не платите в первый час. Дальше подробно и по порядку.

Первые 15 минут: отрезать от сети, а не обесточить

Вирус-шифровальщик попадает на одну машину и оттуда расходится по сетевым папкам и соседним серверам. Пока заражённый компьютер в сети, на общем диске шифруются всё новые файлы. Поэтому первое действие простое: выдернуть сетевой кабель и отключить Wi-Fi. Не понимаете, какие машины заражены? Отключайте коммутатор целиком или интернет. Час простоя офиса обойдётся дешевле зашифрованного файлового сервера.

Выключать питание не нужно, хотя есть оговорка. В памяти работающего компьютера остаются процессы, сетевые соединения, иногда ключи шифрования, и всё это нужно тому, кто будет расследовать. Но если вы видите, что сервер с данными шифруется прямо сейчас, а отрезать его от сети не получается, выключайте. Данные важнее улик.

Где сейчас ваши бэкапы

От ответа на этот вопрос зависит всё остальное. Шифровальщики ищут резервные копии целенаправленно, и копия на сетевом диске или на том же сервере обычно уходит вместе с данными. Есть внешний диск с бэкапом? Не подключайте его ни к одному компьютеру из этой сети, пока не станет ясно, что заражение вычищено. Одно подключение, и последняя чистая копия тоже зашифрована.

Если копии лежали в immutable-хранилище (его нельзя перезаписать или удалить до конца срока хранения) или вне офиса без постоянного сетевого доступа, позиция у вас хорошая. Разговор о выкупе тогда, скорее всего, не понадобится.

Первый час: один ответственный и связь мимо сети

Назначьте одного человека, который принимает решения. Директор, ИТ-руководитель или подрядчик, неважно, лишь бы один. Когда пятеро одновременно перезагружают серверы, «пробуют восстановить» и звонят знакомому программисту, следы стираются, а заражение иногда уходит дальше.

Корпоративную почту и всё, что завязано на домен, считайте скомпрометированными, пока не доказано обратное. Если атакующий сидит в сети не первый день, он вполне может читать вашу переписку о том, как вы с ним боретесь. Переходите на мобильные телефоны. Список номеров (ИТ-подрядчик, директор, главный бухгалтер, банк, юрист) должен быть на бумаге: файл с контактами на зашифрованном сервере вам не поможет.

Отдельный звонок в банк. Если на заражённых машинах стоял клиент-банк или ключи электронной подписи, считайте их украденными и просите банк придержать исходящие платежи до выяснения.

Что записать, пока свежо

Журнал вести скучно, но он потом нужен всем: тем, кто расследует, юристу, регулятору и вам самим на разборе. Пишите время каждого события и каждого действия. Кто первым заметил, какое расширение у файлов, как называется записка, какие машины и когда отключили. Записку сфотографируйте на телефон и не удаляйте. По её тексту и расширению файлов специалисты определяют семейство шифровальщика, а для части старых семейств есть бесплатные дешифраторы в проекте No More Ransom.

Чего не делать

Не переустанавливайте всё подряд. Чистая Windows вернёт людей за компьютеры, но уничтожит следы, по которым ищут точку входа. Не нашли вход, значит, ждите повторной атаки через ту же дверь.
Не запускайте «дешифраторы» с форумов. Часть из них сама вредоносная, другие портят файлы так, что их не расшифровать даже правильным ключом.
Не восстанавливайте бэкап в ту же сеть, пока не закрыт вход и не сменены пароли. Восстановленное зашифруют второй раз.
Не пишите вымогателям сами. Первое же письмо сообщает им, что вы прочитали записку и торопитесь.
Не ищите виноватого вслух. Сотрудник, который вчера открыл странное вложение, должен спокойно сказать об этом сегодня. Его признание экономит часы поиска.

Пароли меняют с чистого компьютера

Шифровальщик в корпоративной сети почти всегда работает от имени чьей-то учётной записи, нередко администраторской. Поэтому после изоляции меняются пароли администраторов домена, VPN, удалённого доступа, бэкап-сервера, почты и облачных сервисов. Делать это с заражённой машины бессмысленно: новый пароль уйдёт туда же, куда ушёл старый. Берите заведомо чистый компьютер, лучше не из этой сети. Где ещё нет MFA, включайте её сейчас, начиная с почты, VPN и бэкапов.

Платить выкуп или нет

Наш совет: не платить. И дело тут не в морали. Оплата ничего не гарантирует, потому что дешифратор может не прийти, работать неделями или ломать часть файлов. Данные, если их успели выкачать, у вымогателей останутся в любом случае. А компания, которая заплатила однажды, становится известна как та, что платит. Есть и юридический риск: если группировка под санкциями, перевод ей может оказаться нарушением санкционного режима.

Решение всё равно за собственником. Только принимать его стоит не в первый час, а когда уже известно, что с бэкапами. Если чистая копия есть, вопрос обычно отпадает.

Персональные данные и CNPDCP

На зашифрованных серверах почти наверняка были персональные данные клиентов или сотрудников. В бухгалтерии они есть всегда. Часть современных шифровальщиков сначала копируют данные к себе и только потом шифруют, так что «зашифровали, но не украли» придётся доказать, а не предположить.

По закону Республики Молдова № 195/2024 о защите персональных данных, как и по GDPR, о такой утечке нужно уведомить CNPDCP в течение 72 часов с момента, когда вы о ней узнали. Если подробностей пока мало, уведомление подают с тем, что известно, и дополняют позже. Юриста зовите в первые сутки, а не на третьи.

Как это было у одного из наших клиентов

Завод хлебобулочной и кондитерской продукции в Молдове пришёл к нам уже в разгар кризиса. Вход нашли достаточно быстро: фишинговое письмо на корпоративный ящик. Зашифрованы были рабочие станции и часть Windows-серверов, операционная работа остановилась, пострадали несколько участков.

Учётная система уцелела. UNA работала на Oracle под Linux в отдельном сегменте сети, и шифровальщик, расходившийся по Windows-сегменту, до неё не дотянулся. Это не везение. Так была устроена архитектура, и в тот день она сработала.

Дальше всё шло по той же схеме, что описана выше. Заражённые станции вычистили, часть переустановили с эталонных образов. Зашифрованные данные восстановили из имеющихся копий, насколько это было возможно. Провели инвентаризацию: какие учётки скомпрометированы, какие пароли менять обязательно, какие сервисы перенастраивать. Потом закрыли вход: сеть перестроили с сегментацией по VLAN и FortiGate на периметре, на все станции и серверы поставили XDR, подняли новый почтовый сервер с проверкой вложений в песочнице и SPF/DKIM/DMARC. Подробности в описании кейса.

Что сделать до атаки

У подготовленной компании восстановление после шифровальщика идёт по плану. У неподготовленной оно превращается в поиск того, что ещё можно спасти. Подготовка короче, чем кажется:

Бэкапы по правилу 3-2-1: три копии на двух разных типах носителей, одна из них вне офиса. Хотя бы одна копия immutable или без постоянного доступа из сети.
Тестовое восстановление по расписанию. Пока из бэкапа ни разу не восстанавливались, вы не знаете, есть ли он у вас.
MFA на почте, VPN и особенно на бэкап-сервере.
Сегменты сети: бухгалтерия, производство, серверы и гостевой Wi-Fi отдельно друг от друга. Кейс выше показывает зачем.
Одна страница плана на бумаге: кто решает, кому звонить, где лежат копии и как их проверить.

Этим мы и занимаемся. В услуге резервного копирования и Disaster Recovery это Veeam и Proxmox Backup Server, immutable-хранилища, off-site копии и ежемесячная проверка восстановления критичных систем с отчётом. В информационной безопасности это FortiGate, EDR на конечных точках, MFA и разбор инцидентов с отчётом и рекомендациями.

Если у вас уже всё зашифровано, изолируйте машины по первому разделу и напишите или позвоните нам. Если пока всё работает, давайте проверим, переживут ли ваши бэкапы такую атаку. Первая встреча занимает 30 минут и ни к чему вас не обязывает.