Как защитить компанию от шифровальщика в 2026: план, цифры и что реально работает

Взлом и шифровальщики · 25.09.2026 · обновлено 13.10.2026 · 12 мин чтения · Команда НПП РЕКОРД

Шифровальщик участвует в 44% всех утечек данных, а в малом и среднем бизнесе — в 88% взломов. Разбираем на свежей статистике (Verizon, Sophos, IBM), через какие двери он заходит, почему бэкапы всё чаще не спасают и какой план из трёх шагов реально снижает риск.

Коротко. Шифровальщик участвует в 44% утечек данных, а в малом и среднем бизнесе — в 88% взломов. Заходит он чаще всего через украденные пароли, непропатченные уязвимости, фишинг и открытый в интернет RDP. Защита — три шага: закрыть вход (RDP только через VPN с двухфакторной аутентификацией, обновления, минимум прав), сделать бэкапы по правилу 3-2-1 с неизменяемой и офлайн-копией и обучить сотрудников распознавать фишинг. Первые два шага дают около 80% результата.

Шифровальщик — не «невезение» и не магия хакеров-гениев. Это цепочка обычных недосмотров, каждый из которых закрывается. И цифры это подтверждают: в 2025 году вымогатели участвовали в 44% всех подтверждённых утечек данных, и почти всегда заходили через двери, которые компания оставила открытой сама. Ниже — план, который реально снижает риск: со статистикой, по порядку и без покупки «серебряной пули» за миллионы.

• 44% — утечек данных связаны с шифровальщиком (+37% за год)
• 88% — взломов в малом и среднем бизнесе — вымогатели
• ≈24 дня — средний простой бизнеса после атаки
• $1,53 млн — средняя стоимость восстановления

Источник: Verizon Data Breach Investigations Report 2025; Sophos State of Ransomware 2025

Защита от шифровальщика — это не одна кнопка, а несколько простых рубежей

Почему это бьёт именно по малому и среднему бизнесу

Есть контринтуитивный факт: шифровальщик — проблема не столько корпораций, сколько небольших компаний. По данным Verizon, в крупных организациях вымогатель фигурирует в 39% взломов, а в малом и среднем бизнесе — в 88%. Причина проста: у корпораций есть бюджеты, SOC и отдельная служба ИБ, а у среднего бизнеса — один админ на всё и вечное «настроим потом». Злоумышленники это знают и массово бьют по тем, кто слабее защищён.

Через какие двери он заходит

Путей немного, и все они известны. Вот с чего чаще всего начинается взлом — по данным разбора реальных инцидентов за 2025 год.

С чего начинается взлом (доля от всех утечек)

• Украденные логины и пароли: 22%
• Эксплуатация уязвимостей (непропатченное ПО): 20%
• Фишинг (письмо-приманка): 16%

Источник: Verizon DBIR 2025

Отдельная беда — удалённый доступ. Открытый в интернет RDP (Remote Desktop Protocol — удалённый рабочий стол Windows) фигурирует в 90–95% расследований атак вымогателей, а по данным Coveware за III квартал 2025 скомпрометированные VPN-учётки стали начальной точкой входа уже в 48% случаев. Проще говоря: чаще всего заходят не «взломав» вас, а просто зайдя с вашим же логином.

Шаг 1. Закрыть вход

• Уберите RDP из интернета — только через VPN с обязательной двухфакторной аутентификацией (MFA — второй фактор помимо пароля: код или приложение).
• Обновляйте пограничные устройства и сервисы. Число уязвимостей в VPN и пограничном оборудовании выросло за год в 8 раз, при этом закрыто лишь 54% из них, а среднее время до установки патча — 32 дня. Это месяц открытой форточки.
• Ограничьте права: обычному сотруднику не нужны админские. Захватив рядовую учётку с лишними правами, злоумышленник разворачивается по всей сети.

Важно. RDP наружу боты подбирают за часы, а не за месяцы. Если он у вас «временно открыт с прошлого года» — считайте, что дверь уже дёргают прямо сейчас.

Шаг 2. Подготовить отход: бэкапы, которые переживут атаку

Раньше бэкап был безотказным ответом вымогателю: зашифровали — восстановились. Теперь атакующие сначала охотятся именно за копиями. По данным Sophos, репозитории бэкапов пытаются достать в 96% атак и в 76% случаев успешно их повреждают или шифруют. Итог: доля тех, кто реально восстановился из копий, упала до 54% — минимума за шесть лет.

Что происходит с бэкапами при атаке

• Пытались добраться до бэкапов: 96%
• Успешно повредили или зашифровали копии: 76%
• Смогли восстановиться из бэкапа: 54%

Источник: Sophos State of Ransomware 2025

Копия, которую нельзя перезаписать (immutable), — главный аргумент против выкупа

Совет. Работает правило 3-2-1: три копии, два разных носителя, одна — вне площадки. Ключевое добавление к нему в эпоху шифровальщиков — неизменяемость (immutable / «только для чтения») и офлайн-копия, до которой вирус из сети физически не дотянется. И раз в месяц реально поднимайте данные из копии: «бэкап есть» и «бэкап восстанавливается» — разные вещи.

Шаг 3. Обучить людей — самый дешёвый рубеж

Человеческий фактор участвует в 60% взломов, а фишинг — самый частый первый шаг: на него приходится 16% всех атак при средней стоимости инцидента $4,8 млн (IBM). Хорошая новость: это чинится дешевле любого железа. По данным KnowBe4 (67,7 млн учебных симуляций у 14,5 млн сотрудников), регулярные тренировки снижают долю кликающих на фишинг с 33,1% до 4,1% за год — минус 40% уже за первые три месяца.

Доля сотрудников, кликающих на фишинг, после регулярных тренировок

• До обучения: 33,1%
• Через 3 месяца: ≈20%
• Через 12 месяцев: 4,1%

Источник: KnowBe4 Phishing by Industry Benchmarking 2025

Платить выкуп — это не план восстановления

Почти половина пострадавших в итоге платит, медианный размер выкупа — около $1 млн. Но выкуп — это покупка обещания, а не «кнопки восстановить»: ключ может не подойти, расшифровка — сработать частично, а вас внесут в список «платящих» и вернутся. Показательно, что 53% заплативших договорились на сумму меньше запрошенной — то есть цифра на экране изначально с запасом на торг.

Источник: Sophos State of Ransomware 2025; IBM Cost of a Data Breach 2025

Для сравнения масштаба: средняя стоимость инцидента с вымогательством по данным IBM — $5,08 млн, а средний простой — около 24 дней. Даже если у вас цифры на порядок меньше, недели простоя для большинства компаний означают сорванные обязательства и ушедших клиентов.

План на одну страницу

1. Убрать RDP из интернета, вход — только через VPN с MFA.
2. Настроить обновления пограничных устройств и серверов, закрыть известные уязвимости.
3. Урезать права: минимум необходимого каждому сотруднику.
4. Сделать бэкапы по правилу 3-2-1 с неизменяемой и офлайн-копией.
5. Раз в месяц проверять восстановление из копии — не на словах, а реально.
6. Поставить EDR (защита по поведению, а не только по сигнатурам антивируса).
7. Запустить регулярные тренировки на фишинг для сотрудников.
8. Подключить мониторинг 24/7 — чтобы поймать атаку на этапе разведки, до шифрования.

Совет. Если делать по порядку — первые два шага (убрать RDP и сделать неизменяемые бэкапы) дают около 80% результата. Остальное усиливает защиту, но начинать нужно именно с них.

Защита от шифровальщика — это гигиена, а не разовый подвиг. Закрыли вход, подготовили копии, которые нельзя перезаписать, обучили людей — и вы перестали быть лёгкой целью, ради которой стоит стараться.

Теги: шифровальщик, защита, чек-лист, бэкап, фишинг, статистика