Защита 1С от шифровальщика нужна почти каждой компании, где учёт, склад и зарплата живут в одной базе. Если её зашифровали, бизнес останавливается целиком. Не выставляются счета, не отгружается товар, не уходит зарплата. По опыту 4sec, простой учёта и отгрузок после шифрования обычно длится около недели. Ниже восемь мер, которые снижают риск, и план на случай, если атака уже случилась.
Почему сервер 1С самая частая цель
Злоумышленник считает просто. Чем больнее компании без данных, тем выше шансы получить выкуп. База 1С подходит идеально. В ней вся финансовая жизнь компании, а копию часто хранят на том же сервере или в той же сети.
Типовой сценарий атаки на 1С повторяется из раза в раз. Сервер с базой открыт в интернет через удалённый рабочий стол, чтобы бухгалтер мог работать из дома. Злоумышленник автоматически подбирает пароль или использует украденный. Затем вручную осматривается в сети, находит базы и копии и запускает шифрование ночью или в выходные.
Второй популярный путь это обман пользователя. Встречаются шифровальщики, которые маскируются под обновления платформы 1С. Бухгалтер видит знакомое название, запускает файл, и шифрование начинается с его же правами.
Масштаб проблемы заметен по статистике. По данным F6, в 2025 году российские организации пережили более 450 атак программ-вымогателей, обычные суммы выкупа составляли 4-40 млн ₽ (Anti-Malware со ссылкой на F6). Средний ущерб малого и среднего бизнеса от одного инцидента, по опыту 4sec, 2-5 млн ₽.
Антивирус не спасает
В одном из наших случаев злоумышленники зашли во внешний сервер консалтинговой фирмы под логином и паролем бухгалтера и запустили свежий шифровальщик. Лицензионный антивирус распознал его через два дня, когда данные уже были потеряны.
Безопасность 1С без бюджета
Первые пять мер требуют только времени администратора. Их можно начать сегодня.
- Закройте удалённый доступ из интернета. Сервер 1С не должен быть доступен по удалённому рабочему столу напрямую из интернета. Сотрудники подключаются через VPN, а прямой доступ к серверу остаётся только из внутренней сети. Это самая важная мера из списка, потому что она убирает основной путь атаки.
- Поставьте сложные пароли и второй фактор. Пароль из 8 символов с годом рождения подбирается автоматически. Нужны длинные уникальные пароли и подтверждение входа вторым фактором для VPN и администраторов. Заодно настройте блокировку учётной записи после нескольких неудачных попыток.
- Разделите учётные записи. У каждого сотрудника своя учётная запись без прав администратора. Учётная запись администратора используется только для администрирования, а не для ежедневной работы в 1С. Общие логины вроде «buh» и доступы уволенных сотрудников удалите.
- Обновляйте систему и платформу. Устанавливайте обновления операционной системы и платформы 1С по расписанию. Обновления 1С берите только из официальных источников, никогда не из письма или мессенджера, даже если отправитель выглядит знакомым.
- Сделайте копию вне сети и проверьте восстановление. Копия на соседнем диске шифруется вместе с базой. Правильная схема обратная, хранилище само забирает данные с сервера, а у сервера нет доступа к хранилищу. Раз в месяц или квартал восстанавливайте базу из копии на тестовой машине и засекайте время. Подробная схема описана в статье про резервную копию, которую не зашифрует хакер.
Защита 1С от шифровальщика с бюджетом
Следующие три меры требуют денег, но стоят меньше одного дня простоя.
- Защищённое хранилище копий. Отдельный узел резервного копирования, где копии нельзя изменить или удалить даже с правами администратора. Например, Кибер.Сейф разворачивается в вашем контуре или ставится агентом на существующее хранилище.
- Контроль поведения на сервере 1С. Антивирус ищет известные образцы, а шифровальщик под конкретную компанию собирают заново. Защита должна замечать само поведение атаки, например массовое переписывание файлов баз, и останавливать его за секунды. Ночью и в выходные это особенно важно, потому что дежурного администратора нет.
- Контроль внешнего периметра. Регулярная проверка того, какие ваши сервисы видны из интернета. Часто выясняется, что удалённый рабочий стол открыт на сервере, о котором все забыли.
Для седьмой меры мы сделали отдельное решение. 1С под защитой ставит агент Tessera на сервер 1С, он обнаруживает и останавливает шифровальщика на самом сервере. Стоимость 8 900 ₽ в месяц, помощь в восстановлении уже включена.
Как проверить, что защита базы 1С работает
Меры на бумаге и меры на сервере часто расходятся. Раз в квартал полезно пройти короткую проверку вместе с администратором или подрядчиком.
- можно ли подключиться к серверу 1С по удалённому рабочему столу из дома без VPN
- сколько учётных записей имеют права администратора и кому они принадлежат
- когда последний раз устанавливались обновления системы и платформы
- где лежит последняя копия базы и может ли сервер её удалить
- когда последний раз базу восстанавливали из копии и сколько это заняло времени
Если хотя бы на один вопрос ответ звучит как «не знаю», с этого пункта и стоит начать. Особенно внимательно отнеситесь к последнему вопросу. Копия, из которой ни разу не восстанавливались, остаётся надеждой, а не планом. Когда выясняется, что восстановление занимает три дня, а бизнес готов ждать максимум один, это повод пересмотреть схему копирования до атаки, а не после.
Проверку периметра удобнее поручить сервису. Кибер.Радар непрерывно смотрит, какие ваши сервисы видны из интернета, и подсказывает, как закрыть найденные уязвимости.
Если базу 1С уже зашифровали
Если утром бухгалтер не может зайти в базу, а на рабочем столе сервера лежит текстовый файл с инструкцией и контактами, это не сбой диска. Это записка вымогателей, и шифровальщик уже отработал. Дальше действуйте по порядку.
- Отключите заражённые машины от сети, но не выключайте их. В памяти и журналах остаются следы атаки.
- Не удаляйте записку с требованием выкупа. По ней специалисты определяют группировку и инструменты.
- Не восстанавливайте копии на тот же сервер, пока не найден путь проникновения. Иначе базу зашифруют повторно.
- Не вступайте в переговоры сами. Больше половины компаний, заплативших выкуп, не получают рабочий ключ.
- Позвоните специалистам по реагированию.
Подробный разбор первых часов есть в статье о том, что делать, если зашифровали бухгалтерию или 1С. Если нужна помощь прямо сейчас, Кибер.Спасатель восстанавливает критические процессы за 24 часа, дежурная команда работает 24/7 по телефону 8 800 222 1337.
Многие клиенты приходят к нам уже после атаки. Восемь мер из этой статьи обходятся дешевле одной недели без учёта, и половину из них можно сделать до конца рабочего дня.