Зашифровали бухгалтерию, и это почти всегда выясняется утром. Бухгалтер пытается открыть 1С, программа сообщает, что база повреждена или не найдена. Через полчаса выясняется, что не работает не только 1С, но и общие папки, а на сервере вместо привычных файлов лежат файлы с непонятным расширением. Отгрузки стоят, зарплату провести нельзя, клиенты ждут счетов. Разберём, как вернуть данные, в каком порядке действовать и что изменить, чтобы это не повторилось.
Зашифровали бухгалтерию или это сбой. Как понять
Сбой базы 1С случается и без всяких хакеров. Отказал диск, оборвалось обновление, переполнился журнал. Поэтому сначала стоит убедиться, что дело в шифровальщике.
- В каталоге базы файл 1Cv8.1CD переименован и получил чужое расширение, часто с адресом почты или набором символов.
- Не открываются не только базы 1С, но и документы Word и Excel в общих папках.
- На сервере или рабочих столах появился текстовый файл с требованием выкупа.
- Резервные копии на том же сервере или на сетевом диске тоже не открываются.
- Перестал работать сервер СУБД, если базы клиент-серверные.
Записка с требованием выкупа самый надёжный признак. Сломанный сервер молчит, а зашифрованный оставляет вам инструкцию, куда писать и как платить. Если вы её видите, это не сбой, и чинить базу штатными средствами бессмысленно.
Почему базы 1С главная цель шифровальщиков
Для вымогателя ценность данных измеряется тем, сколько компания готова заплатить за их возврат. Базы 1С здесь вне конкуренции. В них учёт, склад, зарплата, расчёты с контрагентами за несколько лет. Без них компания не может ни отгрузить товар, ни сдать отчётность.
Сервер 1С к тому же часто оказывается самым доступным. Бухгалтерия работает из дома, поэтому удалённый рабочий стол открыт в интернет. Пароль простой, вход не ограничен по адресам. Типовой сценарий атаки, который мы видим, выглядит так. Злоумышленник подбирает пароль к удалённому рабочему столу, входит на сервер, отключает антивирус, удаляет локальные копии и шифрует базы.
Второй сценарий связан с поддельными обновлениями. Шифровальщики маскируются под обновления платформы 1С Предприятие, и сотрудник сам запускает вредоносный файл, думая, что обновляет конфигурацию.
По данным F6, за 2025 год программы-вымогатели атаковали российские организации более 450 раз (Anti-Malware, октябрь 2025). Для атакующего сервер 1С с открытым удалённым доступом остаётся одной из самых дешёвых целей.
Откуда берутся данные для восстановления после шифровальщика
Первый вопрос, который нам задают, звучит так. Можете просто расшифровать? Честный ответ почти всегда отрицательный. Современное шифрование математически стойкое, и подобрать ключ без ошибки самих вымогателей нельзя. Почему расшифровку не гарантирует никто, кроме самих злоумышленников, мы разобрали в статье платить ли выкуп хакерам.
Поэтому восстановление после шифровальщика строится на поиске уцелевших данных. Источники обычно такие.
- Резервные копии вне атакованной сети. Облако, отдельное хранилище, внешний диск, который был отключён. Лучший вариант, если копии свежие и проверенные.
- Копии, которые атакующий не нашёл. Старый сервер, ноутбук главного бухгалтера, выгрузки в формате dt, которые кто-то делал перед обновлением.
- Частично зашифрованные файлы. Некоторые шифровальщики ради скорости шифруют только часть большого файла. Из такой базы иногда удаётся извлечь значительную часть данных.
- Внешние источники. Банковские выписки, данные ЭДО, отчёты в налоговую. Из них восстанавливают остатки и обороты, если базу вернуть не удалось.
Шифровальщики знают о копиях не хуже вас. По данным Veeam, 96% атак шифровальщиков нацелены на резервные копии (Veeam, 2024). Копия на том же сервере или на сетевом диске, подключённом к нему, обычно шифруется вместе с базой.
Что не стоит делать
Не запускайте тестирование и исправление базы на зашифрованных файлах и не копируйте их поверх уцелевших копий. Одна неосторожная операция может уничтожить последний шанс на восстановление.
Порядок работ, если взломали 1С
Что делать, если взломали 1С, по шагам. Первые действия те же, что и при любом взломе, и они подробно описаны в инструкции о том, что делать, если взломали сервер. Коротко порядок такой.
- Изолировать сервер 1С и рабочие места бухгалтерии от сети. Машины не выключать, записку о выкупе сфотографировать.
- Найти все возможные копии и защитить их. Внешние диски отключить от заражённых машин, облачные копии не трогать до проверки.
- Подготовить чистую среду. Восстанавливать базы на тот же сервер, через который вошли атакующие, нельзя. Сначала новый или полностью переустановленный сервер с закрытым доступом извне.
- Восстановить критичные базы. Обычно первыми идут торговля и склад, чтобы возобновить отгрузки, затем бухгалтерия и зарплата.
- Сверить данные. Определить, какой период потерян с момента последней копии, и дозаполнить его по первичным документам, выпискам и данным ЭДО.
- Найти и закрыть точку входа. Сменить все пароли, закрыть удалённый доступ из интернета, проверить учётные записи администраторов.
По нашему опыту, без подготовки этот путь занимает 7-10 дней, а простой учёта и отгрузок длится около недели. Если нужна помощь прямо сейчас, Кибер.Спасатель поднимает критические процессы за 24 часа. Дежурная команда работает 24/7, телефон 8 800 222 1337.
Что делать, если зашифровали данные и копий нет
Такое бывает чаще, чем хочется. Копии делались на тот же сервер, или их не делали вовсе. В этом случае шансы зависят от того, какой шифровальщик использован и насколько полно он отработал. Иногда помогает частичное шифрование больших файлов, иногда находятся старые выгрузки, иногда учёт приходится собирать заново из внешних источников.
Важно не принимать решение о выкупе в первый час и в одиночку. Оплата не гарантирует рабочий ключ, а файлы после расшифровки вымогателями нередко оказываются повреждены. Сначала стоит получить оценку специалистов, что реально можно восстановить и за какой срок.
Как не попасть второй раз
Многие клиенты приходят к нам уже после атаки. Если не закрыть точку входа, тот же способ сработает снова, иногда той же группировкой. Минимальный набор мер для сервера 1С такой.
- Закрыть удалённый рабочий стол из интернета. Доступ только через VPN и с двухфакторной проверкой.
- Хранить резервные копии там, где их нельзя удалить или изменить с сервера 1С, даже с правами администратора.
- Регулярно проверять, что база действительно восстанавливается из копии, а не только что копия создаётся.
- Поставить на сервер защиту, которая замечает и останавливает шифрование сама, без ожидания администратора.
Последние два пункта мы собрали в решение 1С под защитой. Агент Tessera на сервере 1С обнаруживает и останавливает шифровальщик, а помощь в восстановлении уже включена в стоимость 8 900 ₽ в месяц. Это дешевле одного дня простоя бухгалтерии.
Для защищённого хранения копий подходит Кибер.Сейф. Копии в нём нельзя изменить даже администратору, поэтому атакующий с правами на сервере 1С до них не дотянется.