Шифровальщик в компании: что делать в первые 24 часа

Утро понедельника. Бухгалтер не может открыть базу 1С, у менеджеров вместо документов файлы с непонятным расширением, на рабочем столе — текстовый файл с требованием выкупа и адресом для связи. Так обычно выглядит атака программы-вымогателя. В этот момент от первых решений зависит, вернётся ли компания к работе через день или через месяц, и придётся ли ещё отвечать перед Роскомнадзором за утечку клиентской базы.

Угроза не теоретическая. По данным «Лаборатории Касперского», представленным на ПМЭФ-2026, число обнаруженных инцидентов с шифровальщиками в первом квартале 2026 года выросло на 20% к первому кварталу 2025-го. Компания F6 ещё по итогам 2024 года фиксировала более 500 атак шифровальщиков на российские организации, причём под удар попадают не только крупные компании, но и бухгалтерские фирмы, клиники, производства, магазины. Этот материал — план действий для небольшой компании без собственного отдела безопасности. Распечатайте его заранее: в момент атаки доступа к файлам может не быть.

Первый час: остановить распространение

1. Отключите заражённые компьютеры от сети. Выдерните сетевой кабель, отключите Wi-Fi. Не выключайте питание: в оперативной памяти могут остаться ключи шифрования и следы, нужные для расследования.
2. Отключите общие папки и сетевые диски. Шифровальщик обычно идёт по всем доступным сетевым ресурсам. Если есть сетевое хранилище (NAS) — отключите его от сети, а не выключайте.
3. Отключите удалённый доступ. RDP, VPN, удалённые помощники — частый вход для атакующих. Закройте их до выяснения.
4. Не запускайте антивирусную «чистку» вслепую. Она может уничтожить следы и затруднить расшифровку, если для этого семейства есть бесплатный дешифратор.
5. Зафиксируйте время. Когда заметили, на каких машинах, что видно на экране. Сфотографируйте записку с требованием выкупа.
6. Соберите штаб. Руководитель, ответственный за ИТ, бухгалтер, юрист или внешний подрядчик по безопасности. Назначьте одного человека, который принимает решения и общается вовне.

Часы 1–6: оценить масштаб

Проект No More Ransom, созданный правоохранительными органами и антивирусными компаниями, позволяет определить семейство шифровальщика по образцу зашифрованного файла и записке и проверить, есть ли бесплатный инструмент расшифровки. Шансов немного — свежие семейства обычно не взламываются, — но проверка занимает минуты.

Часы 6–24: уведомления и юридическая часть

Если шифровальщик затронул системы с персональными данными клиентов или сотрудников, а есть признаки кражи данных, это может быть неправомерная передача персональных данных. По статье 21 закона № 152-ФЗ оператор обязан уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента, а в течение 72 часов — сообщить о результатах внутреннего расследования. За неуведомление предусмотрен отдельный штраф до 3 млн рублей для юрлиц, а сама утечка с 2025 года наказывается штрафами с градацией по числу пострадавших. Подробно — в статье об оборотных штрафах за утечку.

• Подайте заявление в полицию: это фиксирует факт преступления и понадобится для страховки, налоговых и судебных вопросов.
• Если компания является субъектом критической информационной инфраструктуры, действуют отдельные обязанности по информированию ГосСОПКА.
• Предупредите ключевых контрагентов и клиентов, если от вас могли уйти заражённые письма или пострадали их данные.
• Проверьте условия киберстрахования, если оно есть: многие полисы требуют уведомить страховщика сразу и согласовывать подрядчиков.

Платить ли выкуп

Короткий ответ: не стоит, и это не только вопрос принципа. Оплата не гарантирует получения рабочего ключа, не гарантирует, что украденные данные не будут опубликованы или проданы, и делает компанию мишенью для повторных атак. Кроме того, передача средств преступникам может создать для компании юридические риски. Решение о переговорах — крайняя мера, которую принимают только с юристом и специалистами по реагированию, когда восстановление из копий невозможно, а остановка бизнеса угрожает его существованию.

Восстановление: правильный порядок

1. Закройте вход. Пока не понятно, как атакующие попали внутрь, восстановленные системы будут зашифрованы снова. Смените все пароли администраторов, отключите неиспользуемые учётные записи, закройте RDP из интернета.
2. Подготовьте чистую среду. Переустановите операционные системы на заражённых машинах с нуля, а не «вылечите» их. Серверы — так же.
3. Проверьте резервные копии. Восстановите копию сначала в изолированной среде и убедитесь, что в ней нет вредоносных файлов и что данные целы.
4. Восстанавливайте по приоритету. Сначала системы, без которых бизнес стоит: учёт, кассы, CRM, почта. Потом — всё остальное.
5. Мониторьте. Первые недели внимательно смотрите на журналы входа и необычную активность: атакующие часто оставляют запасной вход.

Если резервных копий нет или они зашифрованы

Это самый тяжёлый сценарий, и, к сожалению, частый: бэкапы хранились на том же сервере или на сетевом диске, доступном с заражённых машин. Что можно попробовать:

• Проверить облачные сервисы с историей версий файлов: часть документов можно вернуть на состояние до шифрования.
• Восстановить учётные данные из внешних источников: банк-клиент, ОФД, ЭДО, маркетплейсы, почтовый архив у провайдера.
• Проверить ноутбуки сотрудников, которые были вне сети во время атаки.
• Обратиться к специалистам по восстановлению: иногда шифровальщик повреждает не весь файл, а только часть, и базы данных удаётся частично восстановить.
• Проверить бесплатные дешифраторы для выявленного семейства.

Как подготовиться заранее

Всё, что написано выше, проходит в десять раз проще, если подготовка сделана заранее. Минимальный набор для компании на 10–50 человек:

Отдельно о резервных копиях, которые шифровальщик не может достать, мы написали в статье невидимые резервные копии, а базовая схема бэкапов описана в материале как настроить резервные копии. Типичные векторы атак на небольшие компании разобраны в статье кибератаки на малый бизнес в 2026 году.

Шаблон плана реагирования на одну страницу

• Кто руководит реагированием и его заместитель — имена и телефоны.
• Внешний подрядчик по ИТ и безопасности — контакт, доступный круглосуточно.
• Где лежат резервные копии и кто умеет их восстанавливать.
• Список критичных систем в порядке восстановления.
• Контакты для уведомлений: Роскомнадзор (портал), полиция, страховщик, ключевые клиенты.
• Шаблон уведомления Роскомнадзора об инциденте с персональными данными.
• Правило: заражённые машины отключаем от сети, но не выключаем; бэкапы к заражённой сети не подключаем.

Сколько стоит простой: посчитайте заранее

Решения в первые часы атаки принимаются легче, если руководитель заранее знает цену простоя. Посчитайте, сколько компания теряет за день без учётной системы, CRM и почты: недополученная выручка, оплата сотрудникам, которые не могут работать, штрафы за срыв поставок. Сравните это с затратами на изолированные резервные копии и регулярную проверку восстановления — почти всегда профилактика оказывается дешевле одного дня простоя. Для расчёта можно использовать наш калькулятор ущерба от инцидента.

Если вы хотите проверить, выдержит ли ваша инфраструктура атаку шифровальщика, закажите аудит безопасности: проверим периметр, удалённый доступ, права и резервные копии. Если атака уже произошла, свяжитесь с нами — поможем с изоляцией, восстановлением и закрытием входа. Для сайтов и CRM мы ведём бэкапы и мониторинг в рамках технической поддержки.