Платить ли выкуп хакерам, директор обычно решает в первые сутки после атаки, в состоянии, когда решения принимать хуже всего. Учёт стоит, клиенты звонят, а в записке на сервере написано, что всё можно вернуть за деньги. К нам регулярно приходят компании с одной и той же просьбой. Можете просто расшифровать? Мы честно отвечаем, что нет. Ниже объясняем почему, кто на самом деле расшифровывает файлы и что делать вместо оплаты.
Почему мы не обещаем расшифровку
Современные шифровальщики используют те же алгоритмы, на которых держатся банковские платежи, покупки в интернете и защищённая связь. Эти алгоритмы математически стойкие. Подобрать ключ перебором за разумное время нельзя ни у нас, ни у крупных лабораторий. Если бы это было возможно, первыми перестали бы работать платёжные системы, а не бухгалтерия вашей компании.
Расшифровать файлы после шифровальщика без ключа удаётся в редких случаях.
- Ошибки самих вымогателей. Устаревший инструмент, ключи которого уже опубликованы, или ошибка в реализации шифрования.
- Ключ в оперативной памяти. Если машины не выключали, специалисты иногда извлекают ключ прямо из памяти. Поэтому после атаки мы просим не выключать серверы.
- Частичное шифрование. Ради скорости некоторые шифровальщики шифруют только часть большого файла, и остальное можно спасти.
Мы можем попробовать, у нас есть подходящие специалисты. Сначала определяем семейство шифровальщика по записке и образцам файлов, затем проверяем, известны ли для него ошибки или опубликованные ключи. Но по нашему опыту шанс успеха невелик, и в большинстве случаев деньги на попытку лучше потратить на восстановление из уцелевших копий. Тот, кто даёт гарантию расшифровки, либо ошибается, либо знает, у кого купить ключ.
Кто обещает расшифровать за сутки
В выдаче по запросу о расшифровке файлов много компаний, которые обещают вернуть данные быстро и с гарантией. Иногда с фиксированной ценой и оплатой по факту.
Как это работает на самом деле, хорошо показало расследование ProPublica. Журналисты выяснили, что две компании по восстановлению данных, обещавшие собственные технологии расшифровки, на деле платили выкуп вымогателям и добавляли сверху свою наценку. Клиенты при этом часто не знали, что их деньги ушли преступникам (ProPublica, 2019).
Признаки такого посредника.
- Гарантия расшифровки любого шифровальщика без анализа образца.
- Срок «за сутки» независимо от объёма данных и типа атаки.
- Оплата только в криптовалюте или через непрозрачные схемы.
- Нет вопросов о том, как вошли атакующие и остались ли они в сети.
Единственный, кто может с высокой вероятностью расшифровать ваши данные, это тот, кто их зашифровал. Посредник не меняет этот факт, он только делает выкуп дороже и скрывает его от вас.
Платить ли выкуп хакерам. Что вы покупаете за эти деньги
Кибервымогательство давно стало бизнесом с переговорами, скидками и службой поддержки. По данным F6, в 2025 году российские организации пережили более 450 атак программ-вымогателей. Обычные суммы первоначального выкупа составляли 4-40 млн ₽, а максимальная достигла 400 млн ₽ (Anti-Malware, октябрь 2025).
За эти деньги вы получаете обещание, а не результат.
- Ключ может не сработать. По нашей практике, больше половины компаний, заплативших выкуп, не получают рабочий ключ.
- Файлы могут быть повреждены. Даже рабочий инструмент вымогателей не гарантирует, что большие базы расшифруются целиком. Часть файлов бьётся в процессе.
- Расшифровка идёт медленно. Инструменты вымогателей рассчитаны на массовость, а не на скорость. Восстановление десятков серверов растягивается на дни.
- Атакующий остаётся в сети. Выкуп не закрывает дыру, через которую вошли, и не удаляет оставленные лазейки.
- Данные уже могли украсть. Оплата не гарантирует, что выгруженную информацию не продадут или не опубликуют.
Есть и ещё одна причина. По тем же данным F6, в 15% атак целью была диверсия, а не выкуп. В таких случаях платить просто некому, ключ никто не собирался отдавать. Записка о выкупе в такой атаке служит декорацией, а реальная задача атакующих в том, чтобы остановить работу компании как можно дольше.
Выкуп не покупает время
Расшифровка инструментом вымогателей нередко идёт дольше, чем восстановление из защищённой копии. Деньги уходят, а простой продолжается.
Почему выплата делает вас мишенью
Компания, которая заплатила один раз, сообщает рынку две вещи. У неё есть деньги, и она готова их отдать. Информация о платёжеспособных жертвах ценится в преступной среде. А если точку входа не закрыли, повторно войти можно тем же способом.
Есть и юридическая сторона. Деньги уходят анонимным получателям, часто в криптовалюте, и компании потом сложно объяснить этот платёж в бухгалтерии, банку и проверяющим. Решение о выкупе всегда стоит обсуждать с юристом, а не принимать в одиночку под давлением таймера в записке.
Вымогатели требуют выкуп. Что делать вместо оплаты
Если вымогатели уже требуют выкуп, у вас есть время до любого решения о деньгах. Используйте его на шаги, которые работают при любом исходе.
- Изолируйте поражённые машины, но не выключайте их. Это останавливает распространение и сохраняет шанс найти ключ в памяти. Подробная инструкция в статье о том, что делать, если взломали сервер.
- Не вступайте в переговоры сами. Первое сообщение вымогателям показывает, насколько вы напуганы и сколько готовы заплатить.
- Найдите все копии. Облако, внешние диски, старые серверы, ноутбуки. Часто данные удаётся собрать из нескольких источников.
- Позовите специалистов по реагированию. Их задача остановить атаку, восстановить работу и найти точку входа. Если зашифрована бухгалтерия, пригодится отдельный разбор о том, как восстановить 1С после шифровальщика.
- Оцените, что реально восстанавливается. Только после этого можно трезво решать, нужен ли разговор с вымогателями вообще.
Кибер.Спасатель поднимает критические процессы за 24 часа. Дежурная команда работает 24/7, телефон 8 800 222 1337.
Как сделать так, чтобы вопрос о выкупе не возник
Выкуп работает только тогда, когда компании не из чего восстановиться. Поэтому вымогатели первым делом ищут и уничтожают резервные копии. Если копии изолированы и их нельзя удалить даже с правами администратора, записка с требованием выкупа превращается из катастрофы в неприятность.
Платформа 4sec сочетает защищённые копии, наблюдение за серверами и восстановление за 48 часов. Если после шифровальщика данные из копий сервиса не восстановлены за 48 часов, действует финансовая гарантия, и компенсацию выплачивает Ингосстрах.
Мы не обещаем расшифровку, потому что не можем её гарантировать. Мы обещаем восстановление, потому что строим его заранее.