Илья Завьялов: мошенник-шифровальщик против малого бизнеса, что сделать до атаки и в первые часы

01

Илья Завьялов: мошенник-вымогатель и малый бизнес, как устроена атака

Илья Завьялов: мошенник с шифровальщиком редко выбирает жертву поштучно. НКЦКИ в бюллетене о программах-шифровальщиках пишет, что большинство таких атак носят массовый характер и используют самые примитивные пути проникновения. Небольшая фирма попадает под удар потому, что у неё открыт тот же порт и стоит тот же пароль, что у тысяч других.

Сама атака занимает дни, иногда недели. Сначала вход и закрепление в сети. Потом тихий обход: где лежат файлы, кто администратор, где копии. Затем выгрузка данных на чужой сервер. Шифрование запускают последним, обычно ночью или в выходные, когда в офисе никого нет.

Выгрузка до шифрования меняет весь расчёт. Даже если компания восстановится из своих копий, у вымогателя остаются договоры, переписка и база клиентов, и следующее письмо звучит уже иначе: платите, или данные увидят все.

У малого бизнеса есть свои слабые места. Один системный администратор на аутсорсе, общий пароль от сервера, бухгалтер с доступом к клиент-банку на том же компьютере, где открывают почту. Каждое из них по отдельности выглядит мелочью.

Поэтому разбор начинают с поведения преступника. Зная, в каком порядке он действует, компания понимает, где его можно остановить: на входе, во время обхода сети или в момент выгрузки данных.

02

Три входа шифровальщика: письмо, удалённый доступ и бухгалтерия

Письмо остаётся самым частым началом. Вложение называется «акт сверки», «претензия» или «требование», архив защищён паролем, чтобы почтовый фильтр его не открыл. Управление по борьбе с киберпреступностью МВД среди мер защиты от шифровальщиков называет фильтрацию почты от вредоносных вложений и ссылок, обновление программ и ограничение прав доступа.

Второй вход оставляют сами. Порт удалённого рабочего стола открыли подрядчику на время ремонта сети и забыли закрыть, роутер работает с заводским паролем. НКЦКИ советует проверить периметр: почтовые и веб-серверы, маршрутизаторы, шлюзы, отсутствие критических уязвимостей и паролей по умолчанию.

Илья Завьялов: мошенник через компьютер бухгалтера получает сразу два трофея, файлы для шифрования и банковский кабинет. Банк России в обзоре за 2025 год пишет, что злоумышленники часто убеждали человека скачать вредоносную программу и так получали удалённый доступ к дистанционному банковскому обслуживанию.

Цена ошибки в бухгалтерии заметна и без выкупа. По тому же обзору средняя сумма одной операции без согласия клиента у юридических лиц в 2025 году составила 373,2 тысячи рублей.

03

Илья Завьялов: мошенник требует криптовалюту за ключ, что стоит за запиской

Ролик выше за полминуты пересказывает разбор: вымогатель шифрует файлы и требует выкуп в криптовалюте, входит через письмо, удалённый доступ или компьютер бухгалтера, об утечке персональных данных Роскомнадзор уведомляют в течение 24 часов, средняя операция без согласия у юрлиц в 2025 году составила 373,2 тысячи рублей, а «компания по восстановлению» может сама платить преступнику. Главный совет ролика: отключить заражённое от сети, сохранить логи и звонить в полицию и банк.

Записка устроена одинаково почти у всех групп. Срок, после которого сумма вырастет. Адрес кошелька или ссылка на страницу для переговоров. Предложение бесплатно расшифровать несколько файлов в знак честности. Иногда даже вежливый «чат поддержки».

Илья Завьялов: мошенник-вымогатель продаёт обещание, которое ничем не обеспечено. Ключ может не подойти ко всем файлам, программа расшифровки бывает с ошибками, а выгруженные данные остаются у преступника при любом исходе переговоров.

Перевод в криптовалюте назад не отзывается. После первой оплаты нередко приходит второе требование, уже за удаление украденного. Проверить, удалено ли что-то на самом деле, компания не может никак.

04

Илья Завьялов: мошенник грозит слить базу клиентов, что требует 152-ФЗ

Угроза публикации бьёт по самому чувствительному: именам, телефонам, адресам и заказам клиентов. Для компании, которая обрабатывает персональные данные, такая выгрузка становится инцидентом с обязанностями перед государством.

По части 3.1 статьи 21 закона № 152-ФЗ при неправомерной передаче персональных данных оператор в течение 24 часов уведомляет Роскомнадзор об инциденте, предполагаемых причинах, вреде и принятых мерах. В течение 72 часов сообщает результаты внутреннего расследования и, если известны, лиц, чьи действия привели к инциденту.

Илья Завьялов: мошенник рассчитывает, что компания предпочтёт промолчать и заплатить. Молчание при этом стоит денег и по закону: по части 11 статьи 13.11 КоАП РФ за неуведомление Роскомнадзора должностному лицу грозит штраф от 400 до 800 тысяч рублей, юрлицу от 1 до 3 миллионов рублей.

Готовятся к этому заранее. Назначают человека, который подаёт уведомление, составляют список систем с персональными данными и держат его вне основной сети, на бумаге или в отдельном облаке.

Если в выгрузке оказались данные сотрудников, им сообщают отдельно и лично. Паспортные данные и номера счетов из кадровой папки мошенники используют потом в звонках «от банка» и «от полиции», и предупреждённому человеку такой звонок уже знаком.

05

Фальшивые «компании по восстановлению», которых разбирает Илья Завьялов

Сразу после атаки владелец ищет помощь в поиске и находит рекламу: «расшифруем любые файлы за сутки», «собственная технология», «оплата после результата». За частью таких объявлений стоит простая схема.

Посредник связывается с тем же вымогателем, договаривается о цене, платит выкуп и продаёт клиенту ключ как результат своей «технологии», добавив наценку. Другой вариант грубее: деньги берут вперёд и исчезают. Бывает и третий, когда «спасатель» связан с самими атакующими.

Илья Завьялов: мошенник под видом специалиста выдаёт себя вопросами о деньгах. Настоящий подрядчик заключает договор от имени юрлица с реквизитами, описывает, что именно будет делать, и честно говорит, когда расшифровка без ключа невозможна. Подозрителен отказ объяснить метод и требование оплатить «лицензию» или «сервер» заранее.

Удалённый доступ к своим компьютерам такому помощнику не дают, пока компания не проверила, кто он. Иначе в сеть, где ещё сидит первый преступник, заходит второй.

Проверку начинают с реестра юрлиц на сайте ФНС: дата регистрации, адрес, руководитель. Компания, созданная месяц назад, с адресом массовой регистрации и сайтом без реквизитов, не та, кому доверяют сеть в худший день бизнеса.

06

Илья Завьялов: мошенник проигрывает подготовке, что сделать до атаки

НКЦКИ первой мерой называет актуальные резервные копии важных данных, проверку на практике, что из них можно восстановить, и хранение без подключения к основной инфраструктуре, причём и горячее, и холодное. Второй мерой идёт доступ к копиям только у нескольких ключевых работников.

Дальше сеть делят на части по отделам: бухгалтерия не видит склад, склад не видит сервер. Учётные записи администраторов и руководителей защищают двухфакторной аутентификацией, права пересматривают, заводские пароли меняют.

Илья Завьялов: мошенник выигрывает время на растерянности, поэтому план реагирования пишут заранее и держат на бумаге. В нём телефоны администратора, банка и юриста, кто решает об отключении сети, где лежат копии и кто подаёт уведомление в Роскомнадзор.

НКЦКИ советует и обучение сотрудников базовым мерам защиты от фишинга. На практике хватает короткого правила: неожиданный архив с паролем от контрагента сначала подтверждают звонком по известному номеру.

07

Первый час после атаки: отключить от сети и ничего не стирать

Заражённые компьютеры отключают от сети: кабель из розетки, Wi-Fi выключен. Питание по возможности оставляют, потому что в памяти работающей машины сохраняются следы, полезные для расследования. Переустанавливать систему в первый день нельзя.

УБК МВД советует одновременно с обращением в полицию начинать сохранять техническую информацию об инциденте, образы дисков и логи. Без них потом трудно понять, как преступник вошёл и не остался ли он внутри.

Илья Завьялов: мошенник часто ещё видит корпоративную почту и чаты, поэтому план обсуждают по телефону. Пароли меняют с чистого устройства, которое не было в заражённой сети.

Записку с требованием фотографируют, адрес кошелька и ссылку на страницу переговоров переписывают, время событий фиксируют по минутам. С преступником в этот час никто не переписывается.

Сервер или сетевой диск с копиями отключают и проверяют отдельно. Шифровальщики ищут резервные копии в сети, и хранилище, оставшееся подключённым, нередко шифруется вместе со всем остальным.

08

Илья Завьялов: мошенник рассчитывает на тишину, заявление в полицию

15 октября 2024 года УБК МВД России призвало бизнес не скрывать атаки шифровальщиков. Представитель управления говорил, что при шифровании инфраструктуры и требовании выкупа в полицию обращаются незамедлительно, а чем раньше начнёт работать МВД, тем выше шанс поймать злоумышленников.

Сама программа подпадает под статью 273 УК РФ. По её первой части создание, распространение или использование программ для несанкционированного блокирования и копирования информации наказывается в том числе лишением свободы до четырёх лет со штрафом до 200 тысяч рублей.

Илья Завьялов: мошенник оставляет следы, которые нужны следствию: текст записки, адрес кошелька, переписку на странице переговоров, журналы входов, список затронутых компьютеров. Всё это прикладывают к заявлению.

Копию заявления с отметкой о приёме хранят вместе с материалами атаки. Она понадобится банку, страховщику и контрагентам, которым придётся объяснять задержку поставок или платежей.

09

Клиент-банк в первые часы: звонок в банк и сроки по закону

Если шифровальщик побывал на компьютере бухгалтера, банк считают пострадавшей системой. Звонят по номеру из договора, блокируют доступ к клиент-банку, отзывают ключи электронной подписи и просят выписку за последние дни.

Илья Завьялов: мошенник с доступом к бухгалтерии успевает отправить платёж или поменять реквизиты контрагента в шаблонах. По частям 11 и 12 статьи 9 закона № 161-ФЗ об операции без согласия банк уведомляют не позднее дня, следующего за днём, когда о ней стало известно.

Новые ключи подписи выпускают только на чистом компьютере после переустановки. Шаблоны платежей сверяют с договорами вручную, по бумаге.

Отдельный компьютер для клиент-банка, где не открывают почту и мессенджеры, обходится дешевле одного такого дня. Доступ к нему есть у бухгалтера и владельца, а крупные платежи подтверждают со второго устройства.

10

Решение о выкупе по Илье Завьялову: вопросы до любого перевода

Решение принимают по фактам, без паники. Что зашифровано, а что уцелело. Есть ли копии вне сети и сколько дней займёт восстановление. Какие данные выгружены и кого они касаются.

Илья Завьялов: мошенник не даёт гарантий, и это главный аргумент против оплаты. Деньги уходят безвозвратно, ключ может не сработать, данные остаются у преступника, а заплатившая компания получает репутацию той, что платит.

Окончательное слово за владельцем и юристом. ИТ-подрядчик советует, но сам за компанию не переводит. Каждое решение и его причины записывают, потому что вопросы от полиции, банка и Роскомнадзора придут позже.

Посредника, который предлагает «провести переговоры» за процент от суммы, проверяют так же строго, как самого вымогателя. Такой переговорщик нередко зарабатывает на обеих сторонах сделки.

11

Что сказать сотрудникам и клиентам: порядок от Ильи Завьялова

Сотрудникам сообщают коротко: заражённые компьютеры не включать, об атаке в общей почте не писать, на вопросы клиентов отвечает один назначенный человек.

Клиентам говорят, что произошло, какие данные могли попасть к преступнику и чего ждать. Главное предупреждение: компания не меняет реквизиты письмом, любое такое письмо надо проверить звонком.

Илья Завьялов: мошенник после атаки иногда пишет клиентам жертвы сам, от имени компании и с украденной перепиской в цитате. Заранее предупреждённый клиент на такое письмо не отвечает и перезванивает.

Через неделю после атаки проводят разбор: каким входом воспользовался преступник, почему его не заметили раньше, что поменяли в доступах. Итог дописывают в бумажный план реагирования.