Зміст
Зазвичай усе починається з дзвінка. На файловому сервері дивні розширення файлів, бухгалтерська програма не відкривається, на екрані записка з вимогою грошей. Те, що компанія зробить у наступні кілька годин, вирішує, чи вона втратить день, чи місяць.
Програми-вимагачі не рідкість. За звітом Verizon 2026 року, вони були у 48% усіх зламів. І зловмисники діють швидко: Mandiant з’ясував, що час від першого проникнення до передачі доступу іншому злочинному угрупованню скоротився до 22 секунд.
Перша година: зупинити поширення
Відключайте, а не вимикайте. Висмикніть мережевий кабель, вимкніть Wi-Fi, від’єднайте уражені комп’ютери від мережі. Якщо уражено багато систем, вимкніть мережу на комутаторі. Вимикайте комп’ютер, лише якщо його неможливо від’єднати: вимкнення стирає сліди, потрібні слідчим.
Призначте одного відповідального. Рішення ухвалює одна людина, решта звітує їй. Під час серйозної атаки зазвичай керує генеральний директор, а ІТ веде технічну роботу.
Перейдіть у канал, якого не бачить зловмисник. Якщо пошта чи чат працюють на уражених системах, вважайте, що зловмисник їх читає. Користуйтеся телефонами й окремою групою в месенджері, створеною саме для цього.
Ведіть журнал. Один документ, де записано час кожної знахідки, рішення і дії. Він знадобиться для регулятора, страховика і розслідування.
Від першої до четвертої години: зрозуміти і захистити
З’ясуйте, що уражено, а що ні. Складіть список систем за важливістю для бізнесу і позначте кожну: уражена, чиста, невідомо.
Захистіть резервні копії. Зловмисники цілять у них навмисно. За даними Sophos за 2024 рік, злочинці намагалися пошкодити резервні копії в 94% атак і в 57% із них досягли мети. Від’єднайте систему резервного копіювання, змініть її паролі адміністраторів і поки нічого не відновлюйте.
Зачиніть двері, через які вони зайшли. Вимкніть VPN і віддалений доступ, доки не знатимете, який обліковий запис чи система були використані. Пошукайте нові облікові записи адміністраторів і сторонні інструменти.
Покличте допомогу. Вашого ІТ-партнера або команду реагування на інциденти, страховика від кіберризиків (багато полісів вимагають повідомити протягом кількох годин) і кіберполіцію. У ЄС також перевірте свої терміни звітування.
Перший день: вирішити, як відновлюватися
Перевірте резервні копії до відновлення. Коли їх зроблено, чи вони повні, чи чисті? Відновлення із зараженої копії повертає зловмисника. Спершу розслідування, потім відновлення.
Відновлюйте за важливістю. Спершу системи, які заробляють гроші й обслуговують клієнтів, решту потім. Розгортайте з чистих образів, а не чистьте заражені машини.
Змініть паролі, починаючи з адміністраторів. Облікові записи, потрібні для відновлення, мають при цьому працювати.
Добре подумайте, перш ніж платити. Державні агенції радять не платити. Оплата не гарантує повернення даних і показує злочинцям, що ви заплатите знову. Компанії з робочими резервними копіями дедалі частіше відновлюються без оплати: в опитуванні Sophos 2026 року резервні копії допомогли відновитися в 66% атак, де дані зашифрували, проти 54% роком раніше.
Перший тиждень: повернення до роботи й висновки
Більшість компаній повертається до роботи за тиждень або місяць: в опитуванні Sophos 55% відновилися за тиждень, 83% за місяць. Використайте цей тиждень з користю:
- Повертайте системи крок за кроком і уважно стежте, чи немає ознак зловмисника.
- Вчасно надішліть звіти, яких вимагає закон.
- Розкажіть клієнтам і партнерам, що сталося і що ви зробили, перш ніж вони почують це від інших.
- Запишіть, що пішло не так: як вони зайшли, що вас гальмувало, що ви зміните.
З чого почати, поки нічого не сталося
План працює, лише якщо він є до атаки. Чотири справи на цей місяць: запишіть, хто керує і хто кому дзвонить, тримайте офлайн-копію або незмінну копію резервних даних, перевірте відновлення і знайте свої терміни звітування. Короткий ІТ-огляд покаже, де ви стоїте за кожним пунктом.
Джерела: CISA #StopRansomware Guide; NCSC, перші дії після кібератаки; Sophos State of Ransomware 2026; Sophos, як пошкоджені резервні копії впливають на наслідки атаки (дані 2024 року); Verizon 2026 DBIR; Mandiant M-Trends 2026.