10 признаков компрометации компании

Начать стоит с неприятной цифры: по отраслевым оценкам, между проникновением в инфраструктуру и его обнаружением проходят месяцы, а в части инцидентов счёт идёт на сотни дней. Всё это время ничего не ломается: злоумышленник изучает сеть, собирает доступы и готовит следующий шаг, а служба безопасности видит ровный график и зелёные индикаторы.

Поэтому признаки компрометации почти никогда не выглядят как взлом из кино. Это мелкие несоответствия, которые по отдельности объясняются сбоем, обновлением или ошибкой подрядчика, а вместе складываются в картину, которую опасно игнорировать. Ниже десять индикаторов, которые чаще всего подтверждаются в расследованиях, и порядок действий на первые сутки. Общий контекст угроз — в обзоре статистики кибербезопасности за 2026 год.

Почему счёт идёт на дни

Обнаружение запаздывает по структурной причине: атакующий работает по одной цели и умеет ждать, а защита закрывает сотни задач одновременно. Пока инцидент не проявился разрушительно — шифрованием или требованием выкупа, — он выглядит как обычная административная активность.

Ждать явного сигнала поздно: к моменту, когда файлы переименованы, данные обычно уже вывезены. Работать нужно с ранними признаками и понимать свой этап цепочки — для этого держите под рукой карту тактик и техник атакующих.

Десять признаков компрометации

Список не заменяет диагностику, но помогает говорить с ИТ на одном языке.

1. Новая учётная запись администратора

Появляется пользователь вида admin_temp или support_user, которого не создавал никто из команды. Это закрепление в системе: даже после закрытия исходной уязвимости аккаунт останется обходным путём.

2. Резкий рост исходящего трафика

Мониторинг показывает гигабайты, уходящие наружу в два часа ночи. Так выглядит вывоз данных, и обычно он происходит до шифрования: после него вывозить уже нечего.

3. Административные инструменты там, где их быть не должно

Средства удалённого доступа на ноутбуке сотрудника отдела кадров — не ошибка инвентаризации: формально всё разрешено, и антивирус молчит.

4. Антивирус отключается сам

Защита перестаёт запускаться, агент исчезает из консоли. Значит, у злоумышленника высокие привилегии и он ослепляет защиту перед основным этапом.

5. Массовые блокировки учётных записей

Десятки сотрудников жалуются на повторный вход: похоже на перебор или распыление паролей по каталогу. Один звонок ничего не значит, двадцать за утро — значит.

6. Подозрительные расширения в браузере

Новые панели, изменённая домашняя страница, неизвестные расширения. Это не мелочь: через браузер уводят сессионные cookie и попадают в облачные панели без пароля.

7. Сеть тормозит, а провайдер говорит, что всё в норме

Либо ваши системы включили в ботнет, либо идёт массовая передача файлов. Ёмкость ботнета позже развернут против вас.

8. Файлы с новыми расширениями

На общем диске появляются otchet.xlsx.locked или foto.jpg.enc. Это последняя стадия: шифрование началось. Изолируйте сегменты сети, не пытаясь открыть файл.

9. Перезагрузки серверов без причины

Сервер уходит в перезагрузку вне окна обновлений. Иногда так активируют компонент, загружаемый при старте, или очищают журналы со следами.

10. Письма от вашего домена, которых вы не писали

Клиенты отвечают на счёт, который вы не отправляли. Значит, почта под контролем, и от вашего имени ведут кампанию против партнёров.

Первые сутки: порядок важнее скорости

Команды, которые переустанавливают системы в первый час, обычно уничтожают журналы и память — ответ на вопрос, как далеко продвинулся чужой. Фиксируйте время, решение и того, кто его утвердил: этот журнал станет основой отчётов страховщику и регулятору.

Три роли до того, как выдернут кабель

Руководитель инцидента — держит хронологию, утверждает действия, останавливающие сервисы, и говорит от лица компании.
Хранитель доказательств — решает, кто прикасается к машине, и ведёт лист цепочки хранения по каждому устройству и образу памяти.
Владелец бизнеса — принимает компромисс между изоляцией и потерей выручки и подписывает остановку сервиса.

Если занять это место внутри компании некому, пробел закрывает договор на сопровождение.

Часы 0–2: остановить кровотечение

Изолируйте узлы через порт коммутатора или карантинный сегмент. Выключение питания — крайняя мера: она стирает оперативную память.
Отзовите активные сессии и обновите токены. Смена пароля сама по себе оставляет украденные cookie работоспособными.
Приостановите массовое удаление, ротацию резервных копий и скрипты очистки, чтобы не затереть следы и точки восстановления.
Скажите сотрудникам одно: о подозрительном письме сообщать, а не удалять его.

Часы 2–12: собрать доказательства до перестройки

Память — процессы, активные соединения, открытые сессии, образы с наиболее пострадавших узлов.
Доступ — журналы аутентификации, свежие учётные записи, изменения групп и выдачи привилегий.
Закрепление — задачи планировщика, службы, автозапуск, удалённый контроль без заявки.
Почта — правила, адреса пересылки и отправленные письма из скомпрометированных ящиков.

Целевое вторжение редко раскрывает масштаб в первые сутки. Собранное сейчас позволит ответить, какие записи прочитали и какие данные ещё заслуживают доверия.

Целевая атака или массовое вредоносное ПО

Ответ меняет бюджет и сроки.

Массовое вредоносное ПО шумное и случайное: один файл на десятках машин, типовые записки о выкупе, перебор по всему каталогу.
Управляемое человеком вторжение тихое: несколько машин в продуманном порядке, разведка в нерабочие часы, легитимные административные средства, правила пересылки счетов, точечное удаление журналов.

Трёх признаков второго типа достаточно, чтобы вести дело как целевое: это означает более длинное расследование, широкий сброс учётных данных и осторожное восстановление.

Когда запускается таймер уведомлений

Обязанности по уведомлению привязаны к моменту подтверждения утечки, а не к завершению уборки.

По GDPR уведомление надзорного органа требуется, как правило, в течение 72 часов с момента, когда организация узнала об инциденте. В других юрисдикциях сроки иные, а иногда их нет вовсе.
Договоры часто строже закона: соглашения с клиентами, условия платёжных провайдеров и полисы киберстрахования требуют сообщения в течение часов, а страховщик — согласовать подрядчика до начала расходов.
Аудитория не одна: пострадавшие люди, отраслевой регулятор, правоохранительные органы и иногда общественность идут по отдельным графикам.

Закрепите момент осведомлённости доказательством: заголовок письма надёжнее воспоминания. Каждое решение об уведомлении оформляйте письменно вместе с юридической консультацией — срок ведёт юрист, а техническая команда поставляет факты.

Сколько стоит реагирование на инцидент

Ориентиры зависят от страны, отрасли и масштаба.

Срочный выезд — ставки консультантов измеряются тысячами за день, инцидент на одном узле закрывается за несколько дней.
Расследование и восстановление — десятки тысяч в среднем контуре, шестизначные суммы с юридическими расходами и простоем.
Требования выкупа — без гарантии, что инструмент расшифровки сработает, а данные удалят. Поэтому выплата — деловое и юридическое решение, а не техническое.

Чего делать нельзя

Отвечать атакой. Незаконно и ускоряет уничтожение данных.
Переустанавливать системы до снятия копий журналов и памяти.

Если собственной экспертизы нет, разумнее привлечь сертифицированную команду по договору. Как проверить подрядчика и не связаться с посредниками, разбираем в материале где нанять этичных хакеров.

Кому звонить и как готовиться заранее

Договор с группой реагирования заключается до инцидента, а не в ночь, когда всё горит: время прибытия, эскалация, отчётность для страховщика и границы работ. Заранее подготовьте схему сети, перечень критичных сервисов и контакты дежурных.

Профилактика дешевле восстановления

Три вещи снижают вероятность дожить до шифрования: пересмотр привилегированных учётных записей; резервные копии, физически отделённые и проверенные на восстановление; обнаружение на конечных точках с журналами, которые нельзя удалить с самой машины.

Отдельный слой — проверка того, заметит ли ваша команда атаку. Это задача red team и blue team в связке, а базовая гигиена проверяется в ходе оценки уязвимостей или теста на проникновение.

Итог

Признаки компрометации редко выглядят драматично. Их сила в совокупности: новая учётная запись, ночной трафик и отключившийся антивирус вместе означают не совпадение, а работу чужого в вашей сети. Дальше решают не инструменты, а порядок: изоляция без выключения, доказательства, письменные решения и сроки уведомления.

Частые вопросы

Сколько признаков достаточно, чтобы считать компанию скомпрометированной?

Формального порога нет. Два независимых индикатора в один период — повод для проверки, особенно если один связан с привилегиями или трафиком.

Мы перезагрузили сервер до приезда специалистов. Всё потеряно?

Не всё: память частично утрачена, но остаются журналы на серверах сбора, сетевые записи и артефакты в каталоге.

Обязательно ли уведомлять регулятора сразу?

Решение принимает юрист по конкретным фактам. По GDPR срок обычно 72 часа с момента подтверждения утечки персональных данных, а договоры с клиентами могут требовать более быстрого сообщения.

Можно ли обойтись силами своего ИТ-отдела?

Для изоляции и первичного сбора — да, если есть план. Для расследования масштаба и отчётности страховщику нужна внешняя команда с процессом.

Что делать в первую очередь, если файлы уже шифруются?

Изолировать затронутые сегменты, остановить синхронизацию с резервными копиями и позвонить в группу реагирования. Питание и переустановку — только после консультации.

Если вы видите несколько признаков и хотите проверить гипотезу — Обсудить с командой.

10 признаков, что компанию взломали, и что делать