Что делать при атаке шифровальщика

Шифровальщик редко начинается с громкого уведомления. Сначала кто-то замечает, что не открывается папка с договорами, потом выясняется, что файлы на общем диске получили незнакомое расширение, а на рабочем столе лежит текстовый документ с требованием и таймером. От первого сигнала до остановки работы обычно проходит меньше часа — и именно в этот час решается, во что обойдётся инцидент: в сутки простоя или в две недели ручного восстановления.

Универсального ответа не существует, но последовательность действий известна заранее. Её описывают NIST SP 800-61 и материалы CISA по программе StopRansomware; ниже — рабочая версия для малого и среднего бизнеса (МСП), без терминов, за которыми нечего делать, и с расчётом на то, что ИТ-специалист в компании один, а решение принимать будет собственник.

Почему МСП оказывается в группе риска

Причина не в том, что малый бизнес кому-то интереснее крупного, а в экономике атаки: программа-шифровальщик распространяется по подписке, а вход почти всегда один и тот же — открытый RDP, украденные данные для входа в VPN, письмо с вложением.

По данным Verizon DBIR 2025, на шифровальщиков приходится 88% утечек в сегменте МСП против 39% у крупных организаций. Медианное требование в том же отчёте — около 115 тысяч долларов, при этом 64% пострадавших отказываются платить. FBI в отчёте IC3 за 2024 год зафиксировала 3 156 обращений, связанных с шифровальщиками, и оценила общий ущерб от киберпреступности в 16,6 млрд долларов.

Если компания из двадцати человек не может позволить себе неделю простоя, ей нужен документ, по которому люди действуют без обсуждений.

Что ломается, если плана нет

В первые минуты решения принимают не самые опытные, а самые испуганные. Набор ошибок повторяется из компании в компанию:

перезагрузка заражённой машины «чтобы проверить» — запускает отложенный этап шифрования и стирает содержимое памяти, нужное для анализа;
удаление файла с требованием и «подозрительных» программ — вместе с ними исчезают образцы, по которым определяют семейство;
попытка договориться напрямую, без юриста и страховщика, — переписка с преступниками добавляет юридический риск к техническому.

Каждая из этих ошибок стоит денег. План нужен ровно для того, чтобы их не совершать.

Первые 30 минут: остановить распространение

Задача этапа — не «понять, что случилось», а перестать терять данные. Порядок такой:

Подтвердить, что это шифровальщик: незнакомое расширение файлов, текстовый документ с требованием, недоступные общие папки.
Отключить заражённые машины от сети — вынуть кабель, выключить Wi-Fi и Bluetooth. Питание не выключать: в оперативной памяти остаются следы, по которым потом устанавливают точку входа.
Отключить от сети и от облачных сервисов всё, что хранит копии: NAS, внешние диски, агенты синхронизации. Шифровальщик ищет их целенаправленно.
Позвонить ответственному за реагирование, а не написать: почта может быть уже под контролем злоумышленника.
Сфотографировать экран с требованием и записать время обнаружения — с этого начинается хронология.

Первые два часа: оценить масштаб

Дальше нужно ответить на три вопроса: что затронуто, что за семейство, есть ли чем расшифровать.

По системам смотрят не только рабочие станции, но и серверы, общие диски, хранилище резервных копий, учётные записи в Microsoft 365 или Google Workspace. Отдельно выясняют, была ли выгрузка данных: современные шифровальщики чаще работают по схеме «сначала украсть, потом зашифровать», и от этого зависит, нужно ли уведомлять людей и регулятора.

Семейство определяют по расширению файлов, имени файла с требованием и образцу зашифрованного документа — через открытые каталоги вроде ID Ransomware или No More Ransom. Иногда для старой версии уже есть бесплатный дешифратор, и это меняет весь план.

Параллельно звонят страховщику: полис часто включает форензику и юриста, но только при своевременном уведомлении.

Кому сообщать и в какие сроки

Список зависит от юрисдикции и отрасли, но логика одна: чем раньше уведомление, тем дешевле последствия.

Кому	Когда	Зачем
Страховщик	В первые часы	Сохранение покрытия и доступ к подрядчикам
Юрист, ответственный за защиту данных	До любых публичных заявлений	Оценка обязанностей по уведомлению
Регулятор (GDPR, 152-ФЗ)	В установленный срок, для GDPR — 72 часа	Соблюдение требований при утечке персональных данных
Правоохранительные органы	После консультации с юристом	Фиксация факта и возможная помощь
Клиенты и партнёры	Если затронуты их данные или доступ	Договорные обязательства

Для прессы и сотрудников заранее выбирают одного человека и один текст: разные версии событий сами становятся новостью.

Восстановление: копии, доступы, точка входа

Восстановление — самая длинная часть: важно не торопиться и не возвращать в сеть непроверенное.

Проверка резервных копий

Сначала убеждаются, что копии не зашифрованы и не содержат следов присутствия злоумышленника. Восстанавливают выборочно: несколько файлов, затем каталог, затем систему целиком. Копия, снятая за сутки до детонации, часто уже содержит закладку, поэтому нужна точка до появления злоумышленника в сети, а не «последняя доступная». Копия, физически отключённая от сети, спасает; копия на сетевом диске шифруется вместе с остальным.

Сброс доступов

Меняют все пароли без исключения: доменные, локальные, сервисные, почтовые, доступы к VPN и облачным панелям. Включают MFA везде, где её ещё нет, и проверяют список администраторов: новые учётные записи появляются именно в такие моменты. Токены и ключи приложений отзывают — украденный токен живёт дольше пароля.

Закрытие точки входа

Пока причина входа не устранена, восстановление бессмысленно. Чаще всего это открытый в интернет RDP, устаревшее VPN-устройство, украденная сессия или письмо с вредоносным вложением. Проверить вход можно только по журналам, поэтому их сохранность важнее скорости переустановки.

Ошибки, которые дороже выкупа

Платить, не проверив альтернативы. Оплата не гарантирует рабочий ключ, а в отчётах правоохранительных органов регулярно встречаются случаи, когда дешифратор не работает или работает частично.
Восстанавливать всё сразу. Одновременный запуск всех сервисов на непроверенных системах приводит ко второй волне.
Экономить на разборе. Без анализа через месяц повторится тот же сценарий: точка входа осталась прежней.
Молчать до последнего. Клиенты узнают о проблеме раньше, чем появится объяснение.

Шаблон на одну страницу

Документ не должен занимать двадцать страниц: в стрессе их не читают.

Этап	Время	Ответственный	Результат
Изоляция	0–30 минут	ИТ, дежурный	Заражённые системы отключены от сети
Оценка	30–120 минут	ИТ и внешний подрядчик	Известны масштаб и семейство
Уведомления	2–24 часа	Руководитель, юрист	Страховщик и регулятор в курсе
Восстановление	1–3 суток	ИТ и подрядчик	Критичные сервисы работают
Разбор	до 14 дней	Все участники	План обновлён

К таблице прикладывают бумажный список контактов: руководитель, ИТ, юрист, страховщик, внешняя команда, провайдер.

Как проверить план до инцидента

План, который ни разу не проверяли, — это гипотеза. Соберите участников на два часа, возьмите реальный сценарий («зашифрован файловый сервер в пятницу вечером») и пройдите по шагам, не подглядывая в ответы: обычно выясняется, что половина контактов неактуальна, а копии никто не восстанавливал больше года. После учения документ правят, а через полгода повторяют — заодно проверяя практикой время восстановления из копии, которое на бумаге всегда меньше.

Итог

Реагирование на шифровальщик — это не про героические действия, а про заранее принятые решения. Изоляция в первые полчаса, честная оценка масштаба, уведомления в срок и восстановление из проверенных копий закрывают большую часть ущерба.

Если нужно проверить готовность компании к такому сценарию или собрать план под вашу инфраструктуру, обсудить с командой можно без обязательств.

Частые вопросы

Нужно ли платить, если без ключа работа встанет полностью? Решение принимает собственник вместе с юристом и страховщиком. Практика показывает, что оплата не гарантирует восстановление, а деньги уходят на следующую атаку. Сначала оцените копии, возможность частичного восстановления и наличие бесплатного дешифратора.

Сколько времени занимает восстановление? С проверенными копиями и готовым планом критичные сервисы обычно поднимают за 48–72 часа. Без копий счёт идёт на недели, а часть данных не возвращается вовсе.

Обязательно ли обращаться в правоохранительные органы? В большинстве юрисдикций это не обязанность, а рекомендация, но при утечке персональных данных уведомление регулятора обязательно. Для GDPR срок — 72 часа с момента, когда об инциденте стало известно.

Можно ли обойтись без внешней команды? Небольшой компании с одним системным администратором — редко. Внешняя команда нужна не для «взлома обратно», а для форензики, работы с копиями и переговоров, на которые у своих сотрудников нет ни времени, ни опыта.

Что делать в первую очередь, если зашифрован бухгалтерский сервер? Отключить его от сети, не перезагружать, зафиксировать время и состояние, затем понять, какие копии существуют и где они физически лежат. Параллельно — звонок страховщику и юристу: бухгалтерские данные почти всегда содержат персональные.

Шифровальщик в малом бизнесе: чек-лист первых дней