Вымогатели-шифровальщики
Илья Завьялов: мошенник-шифровальщик против ФЛП и ТОВ в Украине, что сделать до атаки и в первый час
Илья Завьялов: мошенник-шифровальщик в Украине чаще всего добирается до ФЛП и небольших ТОВ через письмо будто бы от налоговой, удалённый доступ, открытый для подрядчика, или ноутбук бухгалтера с ключом банка. Потом файлы недоступны, а за ключ просят криптовалюту и грозят выложить переписку с клиентами. Консультант по цифровой безопасности разбирает поведение вымогателя, поддельных помощников, которые пишут даже от имени CERT-UA, и порядок действий до атаки и в первый час: киберполиция, банк, НБУ и закон о защите персональных данных.
Версия на русском языке для Украины.
01
Илья Завьялов: мошенник-вымогатель и ФЛП, почему под удар попадают небольшие фирмы
Илья Завьялов: мошенник-вымогатель ищет беспечность, размер компании ему почти безразличен. У небольшой фирмы нет дежурного администратора, обновления ставят «когда будет время», а один ноутбук служит и для почты, и для банка, и для учёта.
Атака развивается в несколько этапов. Преступник входит, осматривается, находит общие папки и место, где лежат архивы, копирует то, что можно продать или показать в угрозе, и лишь в конце запускает шифрование всего, до чего дотянулся.
Для владельца это выглядит внезапно: в понедельник у файлов странное расширение, на рабочем столе текстовый файл с инструкцией. На деле преступник провёл в сети несколько дней, и часть данных уже вне компании.
Для ФЛП на упрощённой системе удар двойной: учёт, накладные и переписка с покупателями часто лежат в одной папке на одном ноутбуке. Потеря этой папки останавливает работу полностью, хотя сам компьютер исправен.
Подрядчик на аутсорсе обычно появляется раз в месяц, и тревожные признаки до него не доходят: медленная работа сети, незнакомая программа в автозагрузке, ночные входы в систему. Заметить их может только тот, кто каждый день сидит за этими компьютерами.
02
Письмо «от налоговой» и другие входы шифровальщика
В октябре 2024 года CERT-UA выявил рассылку якобы от налоговой: вложенный документ ставил программу удалённого управления, и от заражения до кражи денег иногда проходило не больше часа. Бухгалтер открывает такие письма по работе, поэтому они и срабатывают.
Второй путь технический. Удалённый рабочий стол оставили открытым для подрядчика, который настраивал кассу или учётную программу, а пароль с тех пор не меняли. Такой вход находят автоматические сканеры очень быстро.
Илья Завьялов: мошенник-шифровальщик ценит и третий путь, компьютер с ключами клиент-банка. Оттуда можно и зашифровать файлы, и попытаться отправить платёж, пока внимание владельца занято запиской.
Отдельный компьютер или хотя бы отдельная учётная запись для банка закрывает большую часть риска. Почту и мессенджеры на нём не открывают вовсе.
Подрядчикам, которые обслуживают кассы и учётные программы, дают доступ на время работ и под отдельной учётной записью. После завершения запись отключают и отмечают это в коротком журнале доступов.
03
Илья Завьялов: мошенник-шифровальщик и записка о выкупе, что в ней на самом деле
Короткий ролик выше показывает то же для Украины: письмо будто бы от налоговой, после которого до кражи денег иногда проходит не больше часа, записка с выкупом в криптовалюте, поддельные помощники от имени CERT-UA, две копии данных, одна из которых отключается после копирования, и первый шаг при атаке: отключить компьютер от интернета и локальной сети, затем банк и киберполиция.
Текст записки рассчитан на испуг и спешку. Таймер, обещание поднять сумму после срока, адрес кошелька, иногда «бесплатная проверка» на одном файле. Всё это должно заставить заплатить раньше, чем компания поймёт, что у неё осталось.
Илья Завьялов: мошенник-вымогатель обещает ключ, но проверить его слово нечем. Расшифровка может оказаться частичной, а копии украденных документов останутся у него вне зависимости от оплаты.
Криптовалютный перевод не вернуть через банк. Поэтому сумму из записки рассматривают как вопрос на потом, а сначала занимаются сетью, следами и деньгами на счёте.
Переговоры с вымогателем, если до них дойдёт, ведёт один человек и только после разговора с полицией. Каждое сообщение сохраняют: эти тексты потом лягут в материалы дела.
04
Угроза выложить данные клиентов: что говорит закон о персональных данных
Шантаж публикацией направлен на клиентов: их телефоны, адреса доставки, суммы заказов. Компания отвечает за эти данные как их владелец и после атаки должна понимать, что именно ушло.
По статьям 22 и 23 закона о защите персональных данных контроль в этой сфере осуществляет, в том числе, Уполномоченный Верховной Рады по правам человека, который принимает жалобы граждан и проверяет владельцев данных. Клиент, чьи данные выложили, может пожаловаться именно туда.
Илья Завьялов: мошенник-вымогатель пользуется тем, что фирма боится огласки больше, чем самой утечки. Честное письмо клиентам с объяснением, какие данные затронуты, снимает часть этой силы.
Готовят такое письмо заранее: черновик, список систем с данными клиентов, человек, который отвечает на вопросы. В день атаки на это не будет ни времени, ни спокойной головы.
Отдельно думают о партнёрах. Если в украденной переписке есть их договоры и цены, им тоже сообщают, чтобы письма от имени фирмы с новыми условиями не застали их врасплох.
| Норма | О чём | Что значит для фирмы |
|---|---|---|
| Статья 361 УК Украины, часть 1 | Вмешательство в работу систем | Штраф до 3000 необлагаемых минимумов |
| Статья 361 УК Украины, часть 3 | Утечка или блокирование информации | От трёх до восьми лет лишения свободы |
| Статьи 22 и 23 закона о данных | Контроль Уполномоченного | Клиент может подать жалобу |
| Советы НБУ | Угроза деньгам | Банк и ticket.cyberpolice.gov.ua |
05
Илья Завьялов: мошенник под видом помощи, поддельные спасатели и письма от CERT-UA
В марте 2026 года рассылались письма якобы от CERT-UA с инструментом защиты, который на деле оказывался программой удалённого управления, и среди получателей были финансовые учреждения. Название госкоманды здесь служило ключом к доверию.
По той же логике работают «компании по восстановлению данных» из рекламы. Часть из них просто договаривается с вымогателем, платит ему и продаёт ключ клиенту дороже. Другие берут предоплату в гривнах или криптовалюте и пропадают.
Илья Завьялов: мошенник в роли спасателя торопит и требует удалённый доступ сразу. Настоящий специалист работает по договору с ФЛП или ТОВ, называет метод и не обещает расшифровку там, где без ключа она невозможна.
Любое письмо с «утилитой для защиты» от госоргана проверяют на официальном сайте этого органа. Программу из вложения не запускают, пока сама госкоманда не подтвердила такую рассылку.
Проверка специалиста занимает час: поиск фирмы в государственном реестре юрлиц, звонок по номеру с её сайта, договор с описанием работ. Помощник, который торопит и обходит эти шаги, выдаёт себя сам.
| Признак | Поддельный помощник | Настоящий специалист |
|---|---|---|
| Первое сообщение | Письмо с утилитой во вложении | Вы обращаетесь к нему сами |
| Договор | Чат и предоплата | Договор с ФЛП или ТОВ |
| Обещание | Расшифруем всё | Честно о том, что возможно |
| Доступ | Удалённый вход сразу | После проверки и согласования |
06
Подготовка до атаки по Илье Завьялову: две копии и отдельный носитель
Киберполиция в своих советах о вирусах-вымогателях рекомендовала держать две копии данных: в облаке с автоматической синхронизацией и на физическом носителе, который отключают после копирования. Отключённый диск шифровальщик не достанет.
Обновления системы и программ ставят по графику, без откладывания. Пароль удалённого доступа меняют после каждого подрядчика, а сам доступ закрывают, когда работа сделана.
Права в сети раздают по задачам: бухгалтер не администратор, продавец не видит архив договоров. Чем меньше видит заражённая учётная запись, тем меньше зашифрует преступник.
Отдельная строка в плане: кто в фирме решает отключить сеть и кому звонить первым. Телефоны банка, подрядчика и юриста хранят на бумаге, ведь в день атаки компьютер с контактами может быть зашифрован.
Время от времени копию проверяют делом: открывают несколько файлов с отключённого диска на другом компьютере. Копия, из которой никто ни разу ничего не достал, остаётся надеждой.
07
Илья Завьялов: мошенник ещё внутри сети, первый час после шифрования
Тот же совет киберполиции касается первой минуты: при подозрительном процессе компьютер сразу отключают от интернета и локальной сети. Это останавливает распространение на соседние машины.
Илья Завьялов: мошенник-шифровальщик может читать почту компании, поэтому дальше договариваются по телефону. Пароли меняют с устройства, которого в заражённой сети не было.
Ничего не форматируют и не переустанавливают до разговора с полицией. Фотографируют записку, переписывают адрес кошелька, записывают время, когда заметили атаку и что успели сделать.
Если среди заражённых есть компьютер с ключами банка, его отключают первым. Следом отключают сетевое хранилище с копиями, чтобы шифровальщик не добрался до архива.
Владельцу в этот час полезен помощник с блокнотом: он записывает, кто что сделал и когда. Через неделю этот листок ответит на вопросы банка и следователя.
08
Киберполиция и НБУ: куда обращаться в Украине после атаки
НБУ советует при угрозе деньгам заблокировать карту по номеру банка на её обороте и обращаться в киберполицию онлайн через ticket.cyberpolice.gov.ua. Для фирмы это значит звонок в свой банк и заявление с приложенными следами атаки.
Вмешательство в работу компьютерных систем само по себе преступление. По части 1 статьи 361 Уголовного кодекса Украины за него грозит штраф от 1000 до 3000 необлагаемых минимумов, пробационный надзор или ограничение свободы до трёх лет, а если оно привело к утечке или блокированию информации, по части 3 лишение свободы от трёх до восьми лет.
Илья Завьялов: мошенник оставляет в заявлении следователю много зацепок: адрес кошелька, ссылку на страницу переговоров, записку, журналы подключений. Их собирают в одну папку на чистом носителе.
Заявление подают даже тогда, когда фирма восстановилась из копий сама. Данные о кошельке и записке помогают связать атаку с другими эпизодами, а подтверждение подачи пригодится в разговоре с банком.
Кроме полиции, атаку обсуждают с юристом: нужно ли уведомлять клиентов и партнёров письменно, что сказать страховщику, если полис есть, как оформить простой в работе. Эти вопросы проще решить в первые дни, пока события свежи.
09
Счёт фирмы и платёжки в гривнах после атаки
Если шифровальщик был на компьютере с ключами банка, доступ к интернет-банку блокируют звонком в банк, ключи отзывают, выписку за последние дни просматривают построчно.
Илья Завьялов: мошенник с доступом к учёту может подменить реквизиты в шаблонах платёжек в гривнах и ждать, пока бухгалтер отправит очередной платёж поставщику. Шаблоны сверяют с договорами вручную.
Новые ключи создают только на чистом компьютере. До этого платежи подписывает владелец с другого устройства, а смена реквизитов контрагента требует звонка ему по известному номеру.
Выписку смотрят за несколько дней до обнаружения атаки, потому что преступник мог действовать задолго до записки. Подозрительный платёж обсуждают с банком сразу, пока деньги, возможно, ещё не ушли дальше.
Карты фирмы, привязанные к тому же кабинету, тоже проверяют. Если данные карты могли попасть к преступнику, её перевыпускают, а лимиты на интернет-платежи временно снижают до минимума.
10
Илья Завьялов: мошенник ждёт выкупа, как принять решение без спешки
Перед любым разговором о деньгах собирают картину: что зашифровано, что уцелело, есть ли копия на отключённом диске, какие данные клиентов ушли.
Илья Завьялов: мошенник-вымогатель не несёт никаких обязательств, и это решающий довод. Оплата не гарантирует ключ, не удаляет украденное и сообщает преступнику, что эта фирма платит.
Решает владелец вместе с юристом, подрядчик здесь только советует. Решение и его причины записывают: вопросы банка и полиции появятся позже.
Тот, кто предлагает «договориться» с вымогателем за долю от суммы, проходит ту же проверку, что и поддельный спасатель. Такие посредники бывают связаны с обеими сторонами.
Сумма выкупа обычно подобрана под размер фирмы, чтобы владелец подумал, что дешевле заплатить. Расчёт честнее вести иначе: сколько стоит восстановление из копий, сколько дней простоя и что будет, если ключ не придёт.
11
Сотрудники и клиенты: что сообщить по совету Ильи Завьялова
Сотрудники получают короткую инструкцию: заражённые компьютеры не включать, об атаке в рабочих чатах не писать, клиентам отвечает один человек.
Клиентов предупреждают, что фирма не меняет реквизиты письмом и что сообщения от её имени с новыми счетами в эти дни надо проверять звонком. Украденная переписка часто становится материалом для следующего обмана.
Илья Завьялов: мошенник после шифрования нередко продаёт или использует базу дальше, поэтому предупреждение клиентам защищает и их деньги, и отношения с ними.
Спустя несколько дней собирают короткий разбор атаки: через какой вход пришёл преступник, что помешало заметить его раньше, какие доступы и копии изменили. Выводы вносят в план на бумаге.
Сотрудников, которые открыли заражённое письмо, не наказывают публично. Иначе в следующий раз о странном вложении промолчат, а ранний звонок администратору стоит дороже любого выговора.
| Вход | Как выглядит | Что закрывает |
|---|---|---|
| Письмо «от налоговой» | Документ ставит удалённое управление | Проверка отправителя, запрет архивов |
| Удалённый рабочий стол | Доступ подрядчика не закрыт | Закрыть после работ, новый пароль |
| Ноутбук с ключами банка | Почта и банк на одной машине | Отдельный компьютер для банка |
| «Утилита от CERT-UA» | Программа во вложении | Сверка на официальном сайте |
| Копия на том же диске | Шифруется вместе со всем | Второй носитель, отключённый |
Вопросы и ответы
Илья Завьялов: мошенник зашифровал файлы фирмы, стоит ли платить?
Оплата не гарантирует ключ и не возвращает украденные данные. Криптовалютный перевод не отзывается. Сначала отключить компьютеры от сети, сохранить следы, позвонить в банк и обратиться в киберполицию.
Илья Завьялов: мошенник прислал «утилиту от CERT-UA», что делать?
Не запускать. В марте 2026 года под видом таких писем рассылали программу удалённого управления. Любое письмо от госоргана проверяют на его официальном сайте.
Как советует хранить копии Илья Завьялов?
Две копии: в облаке и на физическом носителе, который отключают после копирования, как советовала киберполиция. Отключённый диск шифровальщик не достанет.
Куда обращаться в Украине после атаки шифровальщика?
В свой банк для блокировки доступа и в киберполицию онлайн через ticket.cyberpolice.gov.ua, так советует НБУ.
Что грозит автору шифровальщика по закону Украины?
По статье 361 Уголовного кодекса Украины штраф, ограничение свободы, а при утечке или блокировании информации лишение свободы от трёх до восьми лет.
Куда может пожаловаться клиент, чьи данные выложили?
К Уполномоченному Верховной Рады по правам человека, который контролирует защиту персональных данных.