✍️ Команда «Пантера Диджитал»
Представьте: утром вы открываете почту и видите письмо — хакеры сообщают, что скопировали базу ваших клиентов и зашифровали серверы. Требуют перевод в криптовалюте. Дают 48 часов. Такие атаки в 2026 году уже не редкость для малого и среднего бизнеса — не только для крупных корпораций. И первые несколько часов после получения подобного письма определяют всё: и шанс восстановить данные, и репутацию компании, и перспективы уголовного дела.
Ниже — конкретный алгоритм действий без паники и лишних слов.
Быстрый ответ: что делать прямо сейчас
Если вы уже получили требование выкупа — вот порядок действий:
- Передайте ситуацию профильным специалистам — самостоятельные действия в первые часы чаще всего уничтожают доказательную базу
- Не отвечайте на письмо и не подтверждайте получение требования — любой ответ фиксирует контакт и показывает, что адрес активен
- Изолируйте заражённые компьютеры и серверы от остальной сети — физически отключите кабели или отрубите Wi-Fi на конкретных машинах
- Сделайте скриншоты всего: письма с требованием, криптоадреса кошелька, любых сообщений от злоумышленников
- Не перезагружайте и не «лечите» серверы самостоятельно — до того как специалист снимет криминалистическую копию, любое вмешательство уничтожает следы атаки
- Подайте заявление в Управление «К» МВД РФ — это можно делать параллельно с восстановлением, одно другому не мешает
- Если в базе были персональные данные клиентов — уведомите Роскомнадзор в сроки, установленные законом о персональных данных
Какие бывают виды корпоративного кибершантажа 🔐
Прежде чем действовать, важно понять, с чем именно вы столкнулись. Это влияет на приоритеты в первые часы.
Шифрование серверов с требованием выкупа
Это классическая ransomware-атака (программа-вымогатель). Вредоносный код проникает в систему, шифрует файлы — и вы больше не можете открыть ни документы, ни базы данных. Хакеры требуют выкуп в криптовалюте за ключ дешифрования.
Проблема в том, что даже после оплаты никто не гарантирует, что ключ окажется рабочим. По данным исследований в этой области, значительная часть компаний, заплативших выкуп, так и не восстановила данные полностью.
Хакеры требуют выкуп за базу клиентов
Это extortionware — атака без шифрования. Злоумышленники просто копируют вашу базу клиентов и угрожают опубликовать её в открытом доступе или продать конкурентам. Серверы при этом могут работать нормально — вы можете даже не сразу заметить взлом.
Здесь давление строится на репутационном риске: утечка персональных данных клиентов грозит штрафами от регуляторов и потерей доверия аудитории.
Двойной шантаж
Наиболее распространённая схема в 2025–2026 годах — комбинация двух предыдущих. Хакеры одновременно шифруют серверы и копируют данные. Два рычага давления: «заплати за ключ» плюс «заплати, чтобы мы не слили базу». Даже если вы восстановите данные из резервных копий, угроза публикации никуда не девается.
Угроза публикации коммерческой тайны
Целевые атаки на R&D-документацию, договорную базу, финансовую отчётность. Сценарий особенно болезненный для производственных компаний и стартапов с уникальными разработками. Злоумышленники угрожают передать информацию конкурентам или журналистам.
Шантаж DDoS-атакой
DDoS-атака — это когда сайт или сервис намеренно «заваливают» огромным количеством запросов, и он перестаёт работать. Хакеры требуют регулярную «абонентскую плату» под угрозой повторных атак. Особенно актуально для интернет-магазинов и сервисов, где каждый час простоя — прямые финансовые потери.
Как отличить реальный слив от блефа
Прежде чем паниковать, проверьте: в требовании должен быть сэмпл данных — небольшой фрагмент базы в качестве доказательства. Если хакеры прислали реальные записи из вашей системы (имена, email, телефоны клиентов в правильном формате) — угроза реальна. Если требование голословное, без доказательств — высока вероятность блефа. Но даже в этом случае стоит проверить инфраструктуру на предмет взлома.
Алгоритм сдерживания: хронология первых 72 часов ⏱️
Это самый критичный период. Расписываем по часам.
Первый час: изоляция
Физически отключите скомпрометированные машины от сети. Не через программные настройки — именно физически: вытащите сетевой кабель, отключите Wi-Fi адаптер. Цель — остановить распространение шифровальщика на другие компьютеры и на резервные копии.
Не выключайте серверы полностью — в оперативной памяти могут находиться следы атаки, которые нужны для расследования.
Первые четыре часа: криминалистическая фиксация
До любых действий с заражёнными системами специалист должен снять криминалистический образ — это точная копия содержимого диска и оперативной памяти в момент атаки. Аналог слепка места преступления до прихода следователей.
Если вы или ваш IT-специалист начнёте «лечить» систему раньше — доказательная база для уголовного дела будет уничтожена. Это одна из самых частых ошибок, которую мы видим в нашей практике.
Первые 12 часов: оценка масштаба
Нужно понять: что именно зашифровано или скопировано? Какие данные пострадали? Есть ли в базе персональные данные клиентов — и если да, то сколько записей? От ответов зависят дальнейшие юридические обязательства и коммуникационная стратегия.
Первые 24 часа: проверка резервных копий
Проверьте, изолированы ли ваши резервные копии от атаки. Если бэкапы хранились в той же сети — они могут быть тоже зашифрованы. Это критический момент: именно здесь многие компании обнаруживают, что «запасного парашюта» нет.
24–48 часов: переговоры только через посредника
Если принято решение вступить в контакт с вымогателями — только через профессионального переговорщика, никогда напрямую. Самостоятельные переговоры, как правило, ухудшают позицию: вы раскрываете информацию о своих возможностях и намерениях.
48–72 часа: восстановление
Поэтапное восстановление из чистых резервных копий с одновременным усилением защиты периметра. Восстанавливать систему в том же состоянии, в котором она была взломана — бессмысленно.
Важно: самостоятельное восстановление систем без предварительной криминалистической фиксации необратимо уничтожает доказательную базу для уголовного дела. Неправильная изоляция сети может распространить шифровальщик на резервные копии — и тогда восстановление станет невозможным.
Почему не стоит платить выкуп
Три причины, которые мы объясняем каждому клиенту:
- Нет гарантий. Данные уже скопированы. Даже получив деньги, хакеры могут продать базу или опубликовать её позже
- Вы финансируете следующие атаки. На вас и на других
- Юридические риски. Криптовалютные транзакции в адрес санкционных группировок могут создать проблемы с регуляторами
PR-антикризис: как общаться с клиентами при угрозе публикации базы
Репутационный ущерб от кибератаки часто оказывается серьёзнее технического. Но его можно существенно снизить правильной коммуникацией.
Когда молчать, а когда говорить
До подтверждения факта реальной утечки — не делайте публичных заявлений. Если угроза публикации коммерческой тайны или базы клиентов окажется блефом, преждевременное сообщение само по себе нанесёт репутационный удар.
После подтверждения — говорите первыми. Клиенты, узнавшие об утечке из СМИ, а не от вас, воспринимают это как предательство. Компании, которые сами сообщили о проблеме и описали меры защиты, теряют значительно меньше доверия, чем те, кого «поймали» на замалчивании.
Три аудитории — три уровня детализации
Клиенты, чьи данные под угрозой: факт инцидента, какие именно данные могли пострадать, что вы уже сделали для защиты, что им рекомендуется предпринять (сменить пароль, следить за подозрительной активностью).
Партнёры и контрагенты: более детальная картина с акцентом на то, что их данные и совместные проекты в безопасности или находятся под контролем.
Медиа: краткое официальное заявление без технических деталей уязвимости. Факт инцидента, меры реагирования, контакт для запросов.
Что категорически нельзя говорить публично
- Размер требуемого выкупа
- Факт переговоров с вымогателями
- Технические детали уязвимости, через которую произошёл взлом
- Точный объём и состав скомпрометированных данных до завершения расследования
Последнее особенно важно: публичное раскрытие деталей атаки до завершения расследования может навредить уголовному делу.
Взаимодействие с МВД и регуляторами
Управление «К» МВД РФ
Это специализированное подразделение занимается преступлениями в сфере компьютерной информации. Заявление можно подать через территориальный отдел полиции или напрямую через сайт МВД.
Применимые статьи Уголовного кодекса РФ:
- Статья 163 — вымогательство
- Статья 272 — неправомерный доступ к компьютерной информации
- Статья 273 — создание и использование вредоносных программ
Что нужно предоставить следователю: логи сетевой активности за период атаки, полную переписку с вымогателями, криптоадреса кошельков из требования, криминалистические образы дисков. Чем полнее пакет — тем выше шанс возбуждения дела.
Роскомнадзор: уведомление об утечке персональных данных
Если в скомпрометированной базе были персональные данные клиентов (имена, телефоны, email, адреса) — вы обязаны уведомить Роскомнадзор. Сроки и порядок уведомления регулирует Федеральный закон № 152-ФЗ «О персональных данных». Нарушение сроков — административная ответственность, которая добавляется к уже имеющимся проблемам.
ФСТЭК России
Если ваша компания относится к объектам критической информационной инфраструктуры (КИИ) — энергетика, финансы, здравоохранение, транспорт и ряд других отраслей — уведомление ФСТЭК обязательно. Регулятор также может оказать методическую помощь в реагировании на инцидент.
Главный принцип
Взаимодействие с МВД идёт параллельно с восстановлением систем — не вместо него. Не нужно ждать возбуждения уголовного дела, чтобы начать восстанавливать бизнес.
История из нашей практики 💼
К нам обратилась производственная компания — дистрибьютор промышленного оборудования. Утром в понедельник руководитель открыл почту и увидел письмо: хакеры сообщали, что скопировали базу 80 000 клиентов и зашифровали часть серверов. Требовали перевод в биткоинах. В качестве доказательства прислали фрагмент базы — реальные данные с именами и телефонами клиентов. Угрожали передать базу конкурентам и опубликовать внутреннюю переписку с поставщиками через 48 часов.
IT-директор, не дожидаясь никого, перезапустил серверы — «чтобы проверить, работают ли». Этим он уничтожил данные оперативной памяти, в которых могли быть следы атаки. Это была главная ошибка первого часа.
Когда подключилась наша команда, мы сразу изолировали оставшиеся узлы, сняли образы дисков и начали параллельно три процесса: техническое восстановление из резервных копий (они оказались чистыми — хранились изолированно), подготовку пакета документов для МВД и разработку коммуникационной стратегии для клиентов.
Клиентам отправили письмо через 36 часов после начала инцидента — честное, без технических деталей, с конкретными рекомендациями. Большинство отреагировало спокойно: люди ценят, когда им говорят правду напрямую.
Выкуп компания не платила. Уголовное дело было возбуждено. Серверы восстановлены за четыре дня. Репутационные потери оказались минимальными — именно потому, что коммуникация была выстроена правильно и своевременно.
Частые вопросы
Платить ли выкуп, если хакеры требуют деньги за базу клиентов?
Наша позиция однозначная: нет. Данные уже скопированы до момента требования — оплата не гарантирует их удаления. Вы просто финансируете следующую атаку: либо на себя, либо на другую компанию. Кроме того, транзакции в адрес ряда группировок могут создать юридические проблемы. Вместо выкупа — восстановление из резервных копий и работа с последствиями утечки.
Что грозит компании, если база данных клиентов утекла в открытый доступ?
Сразу несколько последствий. Административная ответственность по КоАП за нарушение требований закона о персональных данных. Гражданские иски от клиентов, чьи данные пострадали. Репутационный ущерб и отток аудитории. Регуляторные санкции от Роскомнадзора. Масштаб последствий во многом зависит от того, насколько быстро и правильно компания отреагировала и уведомила пострадавших.
Как доказать факт шантажа DDoS-атакой для подачи заявления в МВД?
Нужно зафиксировать требование до начала атаки — скриншоты письма или сообщения с криптоадресом и суммой. Затем собрать логи сетевой активности от вашего хостинг-провайдера или интернет-провайдера: они фиксируют аномальный трафик с временными метками. Провайдер в этом случае выступает техническим свидетелем. Чем раньше вы обратитесь к нему за выгрузкой логов — тем больше данных сохранится.
Обязана ли компания уведомлять клиентов об утечке их данных?
Да, если речь идёт о персональных данных. Порядок и сроки уведомления регулируются российским законодательством о персональных данных. Уведомлять нужно как регулятора, так и самих пострадавших. Игнорирование этой обязанности создаёт дополнительные юридические риски поверх уже существующих.
Можно ли восстановить зашифрованные данные без выплаты выкупа?
Иногда — да. Для некоторых известных шифровальщиков существуют дешифраторы, которые публикуют в открытом доступе исследователи безопасности и правоохранительные органы. Именно поэтому важно не торопиться с оплатой и сначала проконсультироваться со специалистами: возможно, ключ уже есть в открытом доступе. Также многое зависит от наличия чистых резервных копий.