Содержание
Обычно все начинается со звонка. На файловом сервере странные расширения у файлов, бухгалтерия не открывается, на экране записка с требованием денег. От того, что компания сделает в ближайшие часы, зависит, потеряет она день или месяц.
Программы-вымогатели нельзя назвать редкостью. В отчете Verizon за 2026 год они были частью 48% всех взломов. И злоумышленники действуют быстро: по данным Mandiant, время от первого проникновения до передачи доступа другой преступной группе сократилось до 22 секунд.
Первый час: остановить распространение
Отключите от сети, но не выключайте. Выньте сетевой кабель, отключите Wi-Fi, отсоедините пострадавшие машины от сети. Если затронуто много систем, отключите сеть на коммутаторе. Выключайте машину, только если ее нельзя отключить от сети: при выключении стираются следы, которые нужны следователям.
Назначьте одного ответственного. Решения принимает один руководитель, остальные докладывают ему. При серьезной атаке обычно руководит генеральный директор, а ИТ-команда ведет техническую работу.
Перейдите на канал, который злоумышленник не видит. Если почта или чат работают на пострадавших системах, считайте, что злоумышленник их читает. Пользуйтесь телефонами и отдельной группой в мессенджере, созданной для этого случая.
Начните журнал. Один документ, где записано время каждой находки, решения и действия. Он понадобится для регулятора, страховой компании и расследования.
Со второго по четвертый час: разобраться и защитить
Выясните, что затронуто, а что нет. Составьте список систем по важности для бизнеса и отметьте каждую: затронута, чистая, неизвестно.
Защитите резервные копии. Злоумышленники нацеливаются на них намеренно. По данным Sophos за 2024 год, преступники пытались повредить резервные копии в 94% атак и добились этого в 57% из них. Отключите систему резервного копирования, смените ее пароли администраторов и пока ничего не восстанавливайте.
Закройте дверь, через которую они вошли. Отключите VPN и удаленный доступ, пока не станет ясно, какая учетная запись или система была использована. Ищите новые учетные записи администраторов и инструменты, которых здесь быть не должно.
Позовите на помощь. Вашего ИТ-партнера или команду реагирования на инциденты, страховщика киберрисков (многие полисы требуют сообщить в течение нескольких часов) и киберполицию. В ЕС проверьте также свои сроки уведомления.
Первый день: решить, как восстанавливаться
Проверьте резервные копии, прежде чем восстанавливать. Когда они сделаны, полные ли они, чистые ли? Восстановление из зараженной копии вернет злоумышленника. Сначала расследование, потом восстановление.
Восстанавливайте по степени важности. Сначала системы, которые приносят деньги и обслуживают клиентов, остальное потом. Собирайте системы заново из чистых образов, а не чистите зараженные машины.
Смените пароли, начиная с администраторов. При этом сохраните рабочими учетные записи, нужные для восстановления.
Хорошо подумайте, прежде чем платить. Государственные агентства советуют не платить. Оплата не гарантирует возврат данных и показывает преступникам, что вы заплатите снова. Компании с рабочими резервными копиями все чаще восстанавливаются без выкупа: в опросе Sophos 2026 года резервные копии помогли восстановиться в 66% атак, где данные были зашифрованы, против 54% годом раньше.
Первая неделя: возврат к работе и выводы
Большинство компаний возвращаются к работе за неделю или за месяц: в опросе Sophos 55% восстановились за неделю и 83% за месяц. Используйте эту неделю с толком:
- Возвращайте системы поэтапно и внимательно следите, нет ли признаков злоумышленника.
- Вовремя отправьте отчеты, которых требует закон.
- Расскажите клиентам и партнерам, что произошло и что вы сделали, раньше, чем они узнают об этом от других.
- Запишите, что пошло не так: как злоумышленники проникли, что вас замедлило, что вы измените.
С чего начать, пока ничего не случилось
План работает, только если он есть до атаки. Четыре дела на этот месяц: запишите, кто руководит и кто кому звонит, держите офлайн-копию или неизменяемую копию резервных данных, проверьте восстановление и узнайте свои сроки уведомления. Короткий ИТ-разбор покажет, где вы находитесь по каждому пункту.
Источники: CISA #StopRansomware Guide; NCSC, первые действия после кибератаки; Sophos State of Ransomware 2026; Sophos, последствия поврежденных резервных копий (данные 2024 года); Verizon 2026 DBIR; Mandiant M-Trends 2026.