Первые 10 минут: остановить распространение
- Отключите заражённые компьютеры от сети: выньте сетевой кабель, выключите Wi-Fi. Если видно, что файлы продолжают шифроваться прямо сейчас, а отключить сеть не получается — выключите питание.
- Проверьте общие ресурсы. Шифровальщик идёт по подключённым сетевым дискам и NAS. Если на файловом сервере появляются зашифрованные файлы, отключите сервер от сети.
- Не подключайте резервные диски и NAS с копиями к сети и компьютерам, пока не ясно, что заражение остановлено.
- Отключите удалённый доступ — VPN и опубликованный RDP, если через них мог войти злоумышленник.
Сохранить следы
Записка с требованием, несколько зашифрованных файлов и журналы нужны, чтобы определить вид шифровальщика и путь проникновения. Не удаляйте их и не переустанавливайте систему сразу.
- Сфотографируйте экран с запиской, запишите время, когда заметили проблему.
- Скопируйте записку и 2–3 зашифрованных файла небольшого размера на чистый носитель.
- Запишите, у каких сотрудников и на каких серверах проблема, что они делали накануне: открывали вложение, устанавливали программу, работали удалённо.
Для некоторых семейств шифровальщиков существуют бесплатные расшифровщики — их собирает проект No More Ransom. Проверять стоит до восстановления, но без надежды «на авось».
Учётные записи и пароли
Современные атаки чаще начинаются не с вложения, а с украденного пароля к VPN, RDP или почте. Поэтому с чистого устройства:
- смените пароли администраторов домена, серверов, роутера, резервного копирования и облачных сервисов;
- проверьте, не появились ли новые учётные записи с правами администратора;
- завершите активные сеансы в почте и облаках;
- отключите учётные записи, через которые, вероятно, вошли злоумышленники.
Кого уведомить
Если злоумышленники получили доступ к персональным данным клиентов или сотрудников и это повлекло нарушение их прав, оператор обязан уведомить Роскомнадзор: первичное уведомление — в течение 24 часов с момента выявления инцидента, результаты внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 закона № 152-ФЗ). Неисполнение этой обязанности штрафуется отдельно — подробнее в материале о штрафах за персональные данные.
Вымогательство — преступление; заявление можно подать в полицию. Решение о юридической квалификации и уведомлениях принимает руководитель организации; специалист предоставляет технические сведения.
Платить выкуп мы не рекомендуем: нет гарантии получить ключ, а заплатившая компания часто становится целью повторно.
Восстановление
Восстанавливаться можно, когда понятен путь проникновения и он закрыт. Иначе через несколько дней всё повторится.
- Найти последнюю резервную копию, созданную до заражения и недоступную шифровальщику: отключённый диск, отдельный сервер копий с ограниченным доступом, неизменяемое хранилище.
- Проверить копию: открывается ли она, нет ли в ней уже зашифрованных файлов.
- Переустановить заражённые системы или восстановить их из чистых образов; не «лечить» сервер антивирусом и не возвращать в работу.
- Восстановить данные, проверить работу 1С, почты и файлов вместе с сотрудниками.
- Закрыть причину: опубликованный RDP, VPN без второго фактора, устаревшее ПО, лишние права.
Если резервных копий нет или они зашифрованы вместе с данными, шансы резко падают. Поэтому главное — подготовиться заранее.
Как подготовиться заранее
| Мера | Зачем |
|---|---|
| Резервные копии по схеме 3-2-1, одна копия — отключённая или неизменяемая | Шифровальщик не сможет испортить все копии |
| Регулярное тестовое восстановление | Копия, которую не проверяли, может не восстановиться |
| Нет RDP в интернет, VPN с персональными учётными записями и вторым фактором | Закрывает самый частый вход в сеть |
| Обновления ОС, роутеров и программ | Убирает известные уязвимости |
| Пользователи без прав администратора | Ограничивает действие вредоносной программы |
| Разделение сети: сервер копий и управление отдельно от рабочих мест | Заражённый компьютер не доберётся до копий |
Как проверить, что копии действительно восстановятся, — в материале о проверке резервных копий. По прайсу от 30.08.2026: защита от шифровальщиков и hardening — от 4 500 ₽ в час, восстановление данных и сервисов из резервной копии — от 4 500 ₽ в час, настройка резервного копирования — от 4 000 ₽ в час. Подробности — на странице «Восстановление после сбоя».
Частые вопросы
Нужно ли выключать заражённый компьютер?
В первую очередь отключите его от сети. Если шифрование продолжается и остановить его иначе нельзя — выключите питание. Не перезагружайте компьютер многократно и не переустанавливайте систему до сохранения следов.
Поможет ли антивирус расшифровать файлы?
Антивирус может удалить вредоносную программу, но обычно не возвращает зашифрованные файлы. Для части семейств есть бесплатные расшифровщики; в остальных случаях данные восстанавливают из резервных копий.
Сколько времени занимает восстановление?
От нескольких часов до нескольких дней — зависит от объёма данных, числа систем и наличия проверенных копий. До начала работ мы оцениваем объём и порядок восстановления.