Как шифровальщик попадает в сеть: 5 путей и как закрыть каждый

Взлом и шифровальщики · 05.07.2026 · обновлено 14.10.2026 · 12 мин чтения · Команда НПП РЕКОРД

Шифровальщик не появляется в сети сам по себе — его приводят через одну из пяти известных дверей. Разбираем на данных Verizon и Sophos, через что вымогатели заходят чаще всего, как выглядит каждый путь на практике, как понять, что дверь у вас открыта, и что сделать, чтобы её закрыть. Отдельно — что происходит между входом и шифрованием и где атаку ещё можно остановить.

Коротко. Шифровальщики попадают в сеть пятью основными путями: украденные или подобранные пароли, уязвимости VPN и пограничных устройств, фишинговые письма, открытый в интернет RDP и доступы подрядчиков. По данным Verizon за 2025 год, украденные учётные данные — самый частый первый шаг (22% взломов), уязвимости — 20%, фишинг — 16%. Закрываются эти двери известными мерами: двухфакторная аутентификация на всех внешних входах, быстрые обновления пограничных устройств, обучение сотрудников, отказ от RDP наружу и контроль доступов подрядчиков. Между входом и шифрованием обычно проходят дни — это время, когда атаку ещё можно поймать.

Шифровальщик — последний шаг атаки, а не первый. Сначала злоумышленник должен попасть в сеть, осмотреться, получить права администратора, найти и испортить резервные копии и только потом запустить шифрование. И почти всегда он входит через одну из пяти хорошо известных дверей. Хорошая новость: все пять закрываются, и для этого не нужна «серебряная пуля» за миллионы.

• 22% — взломов начинаются с украденных учётных данных
• 20% — с эксплуатации уязвимостей
• 16% — с фишинга
• 30% — взломов связаны с подрядчиками и третьими сторонами (вдвое больше, чем годом ранее)

Источник: Verizon Data Breach Investigations Report 2025

Шифрование — финальный шаг: до него злоумышленник днями работает внутри сети

Путь 1. Украденные и подобранные пароли

Самый частый первый шаг. Злоумышленнику не нужно ничего взламывать — он просто входит с чужим логином и паролем. Пароли покупают в утечках других сервисов (люди годами используют один пароль везде), выманивают фишингом или подбирают автоматически, если вход открыт в интернет.

• Как понять, что дверь открыта: VPN, почта или удалённый доступ защищены только паролем; у сотрудников одинаковые пароли в разных сервисах; нет блокировки после неудачных попыток.
• Как закрыть: двухфакторная аутентификация на всех внешних входах, запрет повторного использования паролей, проверка паролей по базам утечек, блокировка после серии неудачных входов.

Путь 2. Уязвимости VPN и пограничных устройств

VPN-шлюзы, межсетевые экраны и другие устройства на границе сети открыты в интернет и ведут прямо внутрь. По данным Verizon, доля атак через их уязвимости за год выросла почти в восемь раз — с 3% до 22% всех эксплуатируемых уязвимостей. При этом полностью закрывают лишь 54% таких уязвимостей, а медианный срок установки исправления — 32 дня.

• Как понять, что дверь открыта: прошивки пограничных устройств не обновлялись месяцами; никто не следит за бюллетенями безопасности производителя; панели управления устройствами доступны из интернета.
• Как закрыть: обновлять пограничные устройства в течение дней после выхода исправлений, подписаться на бюллетени производителя, закрыть доступ к панелям управления из интернета, вести перечень всего, что открыто наружу.

Путь 3. Фишинговые письма

Письмо «от налоговой», «от поставщика» или «от директора» с вложением или ссылкой. Открытое вложение запускает загрузчик, который даёт злоумышленнику первую точку опоры, а поддельная страница входа собирает пароли для пути № 1. Человеку в среднем нужно меньше минуты, чтобы попасться.

• Как понять, что дверь открыта: сотрудников никогда не учили распознавать фишинг; нет кнопки «сообщить о подозрительном письме»; почта не проверяет вложения.
• Как закрыть: регулярные учебные рассылки и короткие уроки, фильтрация почты и проверка вложений, записи SPF, DKIM и DMARC, запрет макросов в документах из интернета, двухфакторная аутентификация, чтобы украденный пароль был бесполезен.

Путь 4. Открытый в интернет RDP

Удалённый рабочий стол, проброшенный прямо в интернет, — классическая дверь для вымогателей: по расследованиям Sophos, RDP использовался примерно в 90% атак. Боты находят открытый порт за часы и начинают подбирать пароли, а учётные данные от RDP продаются на теневых площадках.

• Как понять, что дверь открыта: на роутере настроен проброс порта RDP; в журнале безопасности Windows тысячи неудачных входов (событие 4625) с внешних адресов.
• Как закрыть: убрать RDP из интернета, оставить доступ только через VPN или шлюз удалённых рабочих столов с двухфакторной аутентификацией.

Путь 5. Подрядчики и третьи стороны

Внешний бухгалтер, программист 1С, обслуживающая компания, поставщик оборудования — у всех них бывает доступ в вашу сеть. Если подрядчика взломали или его учётные данные утекли, злоумышленник заходит к вам «легально». По данным Verizon за 2025 год, доля взломов с участием третьих сторон выросла вдвое — до 30%.

• Как понять, что дверь открыта: у подрядчиков общий логин с правами администратора; доступы не отключаются после окончания работ; программы удалённого доступа установлены «на всякий случай».
• Как закрыть: именные учётные записи с минимальными правами, доступ на время работ, двухфакторная аутентификация, журналирование действий подрядчиков, отключение доступа в день окончания работ.

Что происходит между входом и шифрованием

После входа злоумышленник обычно несколько дней работает незаметно. Он ищет учётные записи администраторов, перемещается между серверами, отключает антивирус, находит и удаляет резервные копии, часто выгружает данные для двойного вымогательства. Только потом запускает шифрование — обычно ночью или в выходные. Именно этот промежуток — главный шанс поймать атаку.

• Подозрительные входы: ночью, из других стран, под администратором с рабочих компьютеров.
• Появление программ удалённого доступа и утилит для работы с паролями, которых раньше не было.
• Отключение антивируса и очистка журналов событий.
• Массовая архивация файлов и большой исходящий трафик.
• Удаление теневых копий и резервных копий.

Совет. Если некому смотреть на эти признаки ночью и в выходные, их увидит только мониторинг: SIEM и SOC, которые круглосуточно разбирают события. Компании, которые обнаруживают взлом сами, делают это в разы быстрее тех, кому сообщает внешняя сторона.

Шифровальщик не взламывает вашу сеть магией — он входит через дверь, которую оставили открытой. Закройте пять известных дверей и поставьте охрану на время между входом и шифрованием, и вы перестанете быть лёгкой целью.

Теги: шифровальщик, взлом, сеть, RDP, VPN, фишинг, уязвимости