Вас зашифровали. Что делать в первый час — пошаговый план по минутам

Взлом и шифровальщики · 20.08.2026 · обновлено 13.10.2026 · 13 мин чтения · Команда НПП РЕКОРД

Файлы получили странное расширение, на рабочих столах записка с выкупом, 1С не открывается. В первый час решается, потеряете вы неделю или всё. Разбираем по минутам: как остановить распространение, кого собрать, что зафиксировать, как проверить бэкапы, кого уведомить по закону и каких действий избегать.

Коротко. В первый час после атаки шифровальщика задача не «всё починить», а остановить распространение и не уничтожить шансы на восстановление. Отключите заражённые машины от сети, но не выключайте их и не перезагружайте серверы. Соберите штаб и общайтесь по каналу вне корпоративной сети. Зафиксируйте записку и время, не удаляйте файлы. Проверьте бэкапы, не подключая их к заражённой сети. Если утекли персональные данные, у вас 24 часа на первичное уведомление Роскомнадзора. Выкуп до оценки ущерба не платите.

Сначала главное: вы не первые и не последние. Через это проходят и небольшие магазины, и производства на сотни человек. Разница между «потеряли неделю и часть данных» и «потеряли всё» почти всегда закладывается в первый час: как быстро остановили распространение, не затёрли ли следы, не подключили ли резервные копии к заражённой сети. Ниже — план по минутам, который мы используем сами, когда нам звонят с этой проблемой.

• 44% — утечек данных связаны с шифровальщиком
• 96% — атак вымогателей нацелены и на бэкапы
• 76% — таких попыток успешны (копии повреждены или зашифрованы)
• $1,53 млн — средняя стоимость восстановления

Источник: Verizon Data Breach Investigations Report 2025; Sophos State of Ransomware 2025

Записка с требованием выкупа на рабочем столе — типичный первый признак атаки шифровальщика

Минуты 0–10: остановить распространение

Шифровальщику нужна сеть, чтобы добраться до соседних компьютеров, сервера 1С и хранилищ. Поэтому первое действие — изоляция, а не лечение.

1. Отключите заражённые компьютеры от сети: выдерните сетевой кабель, выключите Wi-Fi. Если заражённых много или непонятно какие — отключите сегмент целиком на коммутаторе.
2. Отключите удалённый доступ: VPN, проброшенный наружу RDP, доступы подрядчиков. Через них атакующий может продолжать работу.
3. Отключите от сети сетевые хранилища и серверы с резервными копиями, если они ещё не зашифрованы.
4. Не выключайте заражённые машины кнопкой питания. В оперативной памяти могут оставаться следы атаки, а иногда и ключи шифрования. Выключать стоит только то, что невозможно отключить от сети иначе, — так рекомендует и CISA в руководстве по атакам вымогателей.
5. Не перезагружайте серверы «чтобы стало лучше»: перезагрузка запускает шифрование незаконченных файлов и стирает следы.

Важно. Не пытайтесь «полечить» заражённую систему антивирусом прямо сейчас и не запускайте программы-«расшифровщики» из интернета. Это затирает следы, по которым потом находят точку входа, а поддельные «расшифровщики» сами бывают вредоносными.

Минуты 10–20: собрать штаб и перейти на «чистый» канал связи

Решения в ближайшие часы — не только технические. Нужны люди, которые могут их принимать: руководитель или собственник, ответственный за IT, юрист или ответственный за персональные данные и, если он есть, внешний подрядчик по реагированию на инциденты.

• Общайтесь по каналу вне корпоративной сети: телефон, личный мессенджер. Корпоративная почта и чаты могут быть под контролем атакующего.
• Назначьте одного человека, который ведёт хронологию: кто, что и во сколько сделал.
• Сразу позвоните специалистам по реагированию. Чем раньше они подключатся, тем больше следов сохранится.

Минуты 20–40: зафиксировать и оценить масштаб

1. Сфотографируйте на телефон записку о выкупе, расширения зашифрованных файлов и экраны с ошибками.
2. Запишите время, когда заметили проблему, и что происходило перед этим: письма, звонки, странные входы, предупреждения антивируса.
3. Не удаляйте записки, зашифрованные и «вирусные» файлы — это улики и материал для возможной расшифровки.
4. Составьте список: какие компьютеры, серверы и сервисы затронуты, что критично для работы прямо сейчас.

Совет. Проверьте записку о выкупе и расширение файлов на проекте No More Ransom (nomoreransom.org) — это совместная инициатива Европола и компаний по кибербезопасности с бесплатными расшифровщиками для ряда семейств вымогателей. Шанс невелик, но проверка занимает несколько минут.

Минуты 40–60: решения и уведомления

К концу первого часа у вас должно быть понимание масштаба и решение, что делать дальше. Параллельно нужно выполнить обязанности по закону — их часто забывают в суматохе.

• Персональные данные. Если атака затронула персональные данные клиентов или сотрудников, по 152-ФЗ оператор обязан уведомить Роскомнадзор об инциденте в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.
• Критическая информационная инфраструктура. Субъекты КИИ обязаны сообщить об инциденте в НКЦКИ (ГосСОПКА) в установленные сроки.
• Полиция. Заявление о преступлении (неправомерный доступ к компьютерной информации) нужно для расследования и для страховой.
• Страховая. Если есть полис киберстрахования, уведомите страховщика как можно раньше: у полисов бывают жёсткие сроки.
• Клиенты и партнёры. Решите, что и когда им сообщить, — лучше от вас, чем из новостей или от самих вымогателей.

Платить ли выкуп

Решение о выкупе — последнее, а не первое. Выкуп покупает обещание, а не гарантию: ключ может не подойти, расшифровка может пройти частично, а компания попадает в список «платящих». По данным Sophos за 2025 год, медианный выкуп — около $1 млн, а 53% заплативших договорились на сумму меньше запрошенной. Сначала оцените, что реально зашифровано и есть ли целые копии, и только потом, вместе со специалистами и юристом, обсуждайте варианты.

Что дальше: после первого часа

Дальнейшая работа идёт по классической схеме реагирования на инциденты (её описывает, например, стандарт NIST SP 800-61): сдерживание, устранение, восстановление и разбор. Главное — не торопиться возвращать систему в работу, пока не найдена дверь, через которую зашли.

1. Расследование: как атакующий вошёл (чаще всего фишинг, открытый RDP, украденные пароли или незакрытая уязвимость) и что он успел сделать.
2. Устранение: удаление закреплений злоумышленника, смена всех паролей и ключей, в первую очередь администраторов и сервисных учётных записей.
3. Восстановление из чистых копий — сначала в изолированной среде, с проверкой, что копия не содержит вредоноса.
4. Закрытие точки входа: двухфакторная аутентификация, обновления, отказ от RDP наружу.
5. Мониторинг после восстановления: атакующие нередко возвращаются через оставленные лазейки.
6. Разбор: что сработало, что нет, и что изменить в защите и плане реагирования.

Важно. Если причину не нашли и не закрыли, атака часто повторяется через неделю-другую — уже по проторенному пути и иногда с теми же учётными записями.

Подготовиться заранее: пять пунктов, которые решают исход

• Резервные копии по правилу 3-2-1 с неизменяемой или офлайн-копией, которые регулярно проверяются восстановлением.
• Распечатанный план реагирования и список контактов: IT, руководство, подрядчик, юрист, страховая. В день атаки файлы с планом могут оказаться зашифрованы.
• Договорённость со специалистами по реагированию до инцидента, а не в момент паники.
• Двухфакторная аутентификация на VPN, почте и всех внешних входах.
• Мониторинг, который замечает подготовку атаки: массовые входы, отключение антивируса, необычную активность ночью.

Скорость и холодная голова в первый час важнее любых денег. Изолируйте, соберите штаб, зафиксируйте, проверьте копии, не подключая их к сети, — и зовите тех, кто разбирал такое не раз.

Теги: шифровальщик, инцидент, реагирование, вымогатели, бэкап, 152-ФЗ