Шифровальщик зашифровал базу 1С: что делать в первые два часа
База 1С не открывается, файлы переименованы, на сервере появилась записка вымогателя. Первые два часа распределены по ролям: бухгалтер фиксирует последствия, администратор сдерживает атаку и восстанавливает учет из файловой копии, выгрузки .dt или копии СУБД.
1.10–15 минут: остановить распространение
Если заражена рабочая станция. Бухгалтер отключает на своём компьютере сетевой кабель или Wi-Fi, не перезагружает его и не пытается снова открыть 1С. Запишите время и передайте администратору или подрядчику по 1С признаки сбоя: появились переименованные файлы, записка вымогателя или ошибка открытия базы.
Администратор определяет расположение базы и доступ заражённой станции к общим папкам. Если файловая база 1Cv8.1CD находится на сервере, закройте доступ заражённой станции к папке базы и к резервным копиям. Отключите или изолируйте доступные из рабочей сети носители с копиями. Если повреждение затронуло общую базу, не разрешайте коллегам открывать её до проверки.
Если заражён сервер. Сначала изолируйте сервер от сети и отдельно защитите резервное хранилище. Сетевая изоляция прекращает распространение по сети, но не останавливает процесс, который уже шифрует локальные диски. Если после изоляции файлы продолжают изменяться, остановите дальнейшую работу сервера; отключение питания допустимо как вынужденная мера, когда иначе локальное шифрование остановить не получается. Универсально выключать изолированный сервер не нужно: если шифрование уже прекратилось, в памяти могут оставаться полезные для разбора следы атаки. 1
После локализации не запускайте 1С и СУБД поверх повреждённых файлов. Сохраните исходные файлы и журналы такими, как они есть, а диагностику и восстановление выполняйте на копиях. Если нужно сохранить материалы для последующего разбора, просто не очищайте журналы и не перезаписывайте исходные диски до консультации с администратором.
1.215–60 минут: определить базу и найти целые копии
Алгоритм относится к 1С:Предприятию 8.3. Определите вариант размещения: от него зависят выбор копии и точка восстановления.
Вариант базы | Где данные | Из чего восстанавливать |
|---|---|---|
Файловая |
| Целая копия файла или выгрузка |
Microsoft SQL Server | Файлы данных и журнала, обычно | Полная копия; при наличии — разностная и подходящая цепочка копий журнала |
PostgreSQL | Файлы в структуре кластера СУБД | Логическая копия |
Выгрузку .dt создают в Конфигураторе: «Администрирование → Выгрузить информационную базу», при монопольном доступе. Восстановление — «Загрузить информационную базу». Позднейшие документы восстанавливают отдельно; платформу и лицензии готовят независимо от выгрузки.
В SQL Server простая модель восстановления не поддерживает копии журнала транзакций и возврат на произвольный момент. Полная модель позволяет приблизиться к моменту сбоя, если сохранена необходимая цепочка копий. Разностную копию применяют к соответствующей полной, а не к любому найденному бэкапу. 2
У PostgreSQL нет единственного переносимого файла базы, аналогичного 1Cv8.1CD. pg_dump — логическая копия; восстановление на момент времени по WAL требует базовой физической копии и непрерывной последовательности всех WAL-сегментов, необходимых для выбранной точки восстановления. Один pg_dump нельзя «докрутить» архивом WAL. 3
Выберите последнюю заведомо чистую точку по хронологии атаки: дата записки вымогателя не равна дате проникновения. Не перезаписывайте старые копии до проверки. Бухгалтер фиксирует последние проведённые документы и завершённые обмены для сверки восстановленного учёта.
1.3Второй час: развернуть копию в чистой среде
Восстановление начинают после локализации атаки. Второй час — ориентир порядка работ, а не обещание вернуть любую базу за час.
Подготовьте среду. Используйте чистый сервер или полностью переустановленный прежний узел после устранения причины компрометации. Разверните базу без пользователей и автоматических обменов. Смените скомпрометированные пароли, включая служебные записи и доступ к копиям.
Проверьте лицензии. Для собственных поставок ПРОФ/КОРП при замене оборудования, к которому привязана программная лицензия, может потребоваться её восстановление. Подготовьте регистрационный номер, сведения первоначальной активации и резервный пин-код. Проверьте наличие клиентских лицензий и лицензии сервера 1С. Если их выдаёт сохранившийся сервер, перенос базы сам по себе не лишает её лицензирования.
При отсутствии резервного пин-кода обратитесь в Центр лицензирования 1С: для ПРОФ/КОРП предусмотрены сервисы получения сведений о лицензии и резервного кода. Реестр храните отдельно от рабочего сервера, с ограниченным доступом. 4
Проверьте файловую базу. Копия 1Cv8.1CD, снятая во время записи, может оказаться несогласованной. До запуска chdbfl.exe закройте проверяемую базу в режимах «1С:Предприятие» и «Конфигуратор». Проверяйте дубликат без исправления ошибок. После завершения утилиты откройте в Конфигураторе «Администрирование → Тестирование и исправление», сначала только тестирование. Исправляйте после анализа и сохранения ещё одной копии. Эти средства не расшифровывают файлы. 4
Бухгалтер проверяет учёт. Откройте базу без других пользователей, сформируйте оборотно-сальдовую ведомость, сверьте остатки и последние документы с первичкой. Определите последний успешный обмен с ЗУП, Бухгалтерией или интернет-магазином.
Запишите фактическую точку восстановления. Сопоставьте платежи с банк-клиентом, составьте список документов для повторного ввода. После сверки возвращайте пользователей и регламентные задания.
1.4Параллельно: выкуп и уведомление регулятора
Выплата не гарантирует рабочий дешифратор, полное восстановление данных или отсутствие повторного шантажа. Требование выкупа не отменяет обычный порядок реагирования: изоляцию систем, сохранение исходных данных, проверку резервных копий и расследование. 1
До перевода денег руководитель согласует с юристом и банком допустимость операции и её банковские, налоговые, санкционные и другие правовые риски.
F6, российский разработчик технологий для борьбы с киберпреступностью, в предварительных итогах 2025 года указывает диапазон первоначального выкупа в среднем от 4 до 40 млн рублей; для малого и среднего бизнеса — от 240 тыс. до 4 млн рублей. 5
Атака может включать кражу данных до шифрования и шантаж их публикацией. Сопоставьте признаки передачи данных наружу, затронутые файлы и доказательства, предъявленные вымогателем. Его заявление само по себе ещё не устанавливает состав инцидента, но игнорировать его на основании «нас только зашифровали» нельзя. 1
Если установлен факт неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлекший нарушение прав субъектов, отсчитайте от выявления такого инцидента 24 часа на первичное уведомление Роскомнадзора и 72 часа на результаты внутреннего расследования. За неуведомление или несвоевременное уведомление часть 11 статьи 13.11 КоАП РФ предусматривает для юридического лица штраф от 1 до 3 млн рублей. Полный порядок — в статье о персональных данных в 1С:ЗУП. 6
1.5После: проверить копии и порядок восстановления
Копия на том же сервере, доступная на запись с рабочих станций папка и постоянно подключённый внешний диск могут пострадать вместе с базой. Географически отдельная площадка тоже не помогает от удаления, если злоумышленник получил управляющую учётную запись.
Правило 3-2-1: рабочие данные и две резервные копии, два разных типа носителей, одна копия вне основной площадки. Для защиты от шифровальщика добавьте условие: хотя бы одну копию нельзя изменить или удалить из скомпрометированного контура. Это может быть отключённый носитель или хранилище с настроенной защитой от изменения и удаления. 1
Стартовый вариант регламента: ежедневные копии за две недели, еженедельные за два-три месяца. Частоту выбирайте по допустимой потере работы, глубину — с учётом позднего обнаружения атаки.
Бухгалтер: сверить последние документы, платежи и обмены; составить список операций для повторного ввода.
Бухгалтер: зафиксировать точку восстановления базы и перечень отчётов для повторной проверки.
Бухгалтер: записать, у кого хранятся регистрационные номера и резервные пин-коды, и контакты сопровождающего специалиста.
Администратор: убрать общий доступ «для всех» к папке файловой базы и отделить права на резервное хранилище.
Администратор: обеспечить отдельную защищённую копию и несколько точек восстановления; не оставлять одну перезаписываемую выгрузку
.dtв качестве всей схемы защиты.Совместно: назначить ежемесячное тестовое восстановление с открытием базы, сверкой документов и замером времени.
Администратор: настроить уведомления об ошибках резервного копирования и назначить ответственного за реакцию.
Руководитель: назначить ответственного за уведомление регулятора; обеспечить доступ к аварийному плану и контактам вне основной сети.
Основные источники
CISA и Microsoft: изоляция, сдерживание атаки и защита копий. #StopRansomware Guide · Реагирование
Microsoft Learn: модели восстановления SQL Server. Документация
PostgreSQL: логическое резервное копирование и восстановление по WAL. SQL Dump · Continuous Archiving / PITR
Фирма «1С»: лицензирование и проверка файловой базы. Поддержка · Руководство Бухгалтерии · chdbfl: руководство платформы 8.3.24
F6: предварительные итоги 2025 года, 16.12.2025. Первоисточник · Публикация самой F6 на РБК Компании
152-ФЗ, ч. 3.1 ст. 21; КоАП РФ, ч. 11 ст. 13.11. Уведомление · Ответственность
Если проверка показала, что копии доступны из того же контура, где работает 1С, имеет смысл вынести их на отдельную площадку. В LanCloud для этого используется сервис Cloud Backup на базе Veeam Cloud Connect. Права на удаление и схему хранения нужно согласовать отдельно.
Реклама: ООО «ЛАНКЕЙ ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ», ИНН 9705008196, erid 2W5zFJATpcz
