Шифровальщик снёс базу 1С через RDP: бэкап был на том же диске

Минимум защиты сервера 1С от шифровальщика — закрыть удалённый доступ по RDP (только через VPN или шлюз с многофакторной проверкой), хранить резервную копию базы на отдельном сервере, куда шифровальщик физически не дотянется, и не пускать всех сотрудников под общей учётной записью администратора. Без этих трёх пунктов бэкап шифруется вместе с базой — восстанавливать нечего.

как шифровальщик оказался на сервере 1С

Оптовая компания в Подмосковье, 14 рабочих мест, один физический сервер в подсобке — на нём терминальный доступ к 1С и файлы баз, никакого отдельного сервера под резервные копии не было. Года три назад бухгалтеру разрешили заходить в базу из дома: на роутере пробросили порт 3389 наружу, настроили за полчаса и забыли — с тех пор никто не проверял, открыт ли он до сих пор. Пароль администратора сервера остался тот же, что при установке Windows Server — восьмизначный, без спецсимволов, его не меняли три года.

Похожие случаи повторяются у компаний с одним сервером на весь бизнес и без выделенного IT-специалиста в штате: сисадмин приходит по вызову, а не следит за сервером постоянно, поэтому открытый порт или отключённый антивирус замечают только после того, как база перестала открываться.

В пятницу вечером на сервер посыпались попытки подбора пароля — это видно только задним числом, по логам. К субботней ночи перебор сработал. Дальше — стандартный сценарий: шифровальщик отключил защитник Windows, обошёл антивирус, который не обновлялся несколько месяцев, и начал шифровать файлы на дисках C: и D:.

В понедельник в 9:12 бухгалтер открывает базу — 1С выдаёт ошибку, что файл повреждён или не является файлом базы данных. Через десять минут выясняется: файл 1Cv8.1CD переименован, расширение сменилось на незнакомое, на рабочем столе сервера — текстовый файл с требованием заплатить за расшифровку.

почему резервная копия тоже не открылась

Бэкап в компании делали — раз в сутки, штатными средствами 1С, на диск D: того же сервера. Логика была простая: если откажет диск C:, копия останется на соседнем. Но шифровальщик, получивший контроль над сервером, обошёл оба диска за один проход. Резервная копия оказалась зашифрована вместе с базой — по факту бэкапа не существовало с той минуты, когда сервер попал под чужой контроль.

Подрядчик по IT предложил обсудить оплату выкупа. Директор отказался: оплата не гарантирует ключ расшифровки, а факт перевода денег вымогателям создаёт отдельные юридические риски. Восстанавливать было нечего — ни один файл вне сервера не сохранился.

признаки атаки и что делать в первый час

Шифровальщик редко бьёт мгновенно по всей сети — обычно проходит несколько часов или дней между проникновением и запуском шифрования, пока злоумышленник осматривается и отключает защиту. Есть сигналы, которые можно поймать раньше, чем 1С откажется открываться:

• ✓в диспетчере задач или логах появляются процессы с незнакомыми именами, которые грузят диск на 100% ночью, когда сервером никто не пользуется;
• ✓антивирус или защитник Windows внезапно отключён, а служба не запускается заново;
• ✓в журнале RDP видны успешные подключения в нерабочее время или с незнакомых IP;
• ✓на файлах базы или в соседних папках появляются файлы с непривычным расширением ещё до того, как перестаёт открываться сама 1С.

Если сервер уже зашифрован, первое действие — физически отключить его от сети, кабелем, а не программным отключением, чтобы шифровальщик не успел добраться до соседних машин и общих папок. Дальше — не переустанавливать систему поверх зашифрованных файлов и не пытаться расшифровать их инструментами из интернета: часть таких утилит дозашифровывает файлы окончательно. Резервную копию, если она хранится отдельно, поднимают на чистом сервере, а зашифрованный диск сохраняют — на случай, если позже появится рабочий дешифратор для конкретного семейства вредоноса.

что компания потеряла за три дня

Три рабочих дня без доступа к 1С — это не абстрактный простой. Отгрузки оформляли вручную в таблицах, потом переносили в базу заново, когда её подняли, — двойная работа для склада и менеджеров. Часть клиентов, которым не подтвердили отгрузку день в день, перенесли заказы к другому поставщику — этого никто заранее не считал риском простоя. Бухгалтерия не успела закрыть месяц в срок и рисковала пропустить дату сдачи отчётности. Менеджеры обзванивали клиентов, чтобы вручную свериться по остаткам и отгрузкам, потому что база была недоступна.

Восстановление силами стороннего специалиста заняло больше рабочего дня: переустановка операционной системы, установка платформы 1С заново, настройка сервера с нуля, ручной ввод операций, которые не попали ни в один сохранившийся файл. К этому добавились три дня простоя склада и бухгалтерии — часы, которые никто заранее не считал риском. Часть операций при повторном ручном вводе задвоили, и потребовалась дополнительная сверка склада — ещё один день работы, который в исходный простой никто не закладывал.

Если в зашифрованной базе хранятся персональные данные клиентов — контакты, реквизиты для договоров, адреса доставки, — инцидент не ограничивается простоем. По требованиям 152-ФЗ о защите персональных данных компания обязана оценить, произошла ли утечка, и при необходимости уведомить Роскомнадзор. Это отдельная работа, которая накладывается на восстановление сервера, а не заменяет его.

🔒 обязательный минимум защиты сервера 1С от шифровальщиков

Из разбора этого случая и похожих обращений складывается короткий список мер, без которого сервер 1С остаётся открытой мишенью:

• ✓RDP закрыт от прямого доступа из интернета: подключение только через VPN или терминальный шлюз с многофакторной проверкой, порт 3389 наружу не проброшен;
• ✓резервная копия хранится не на том сервере, где база: отдельная машина, отдельное хранилище или облачный контур, куда шифровальщик не доберётся вместе с продакшеном;
• ✓хотя бы одна версия бэкапа недоступна для перезаписи из сети — офлайн-копия или хранилище с историей версий, которое нельзя зашифровать поверх;
• ✓учётные записи с правами администратора не используются для повседневной работы: у каждого сотрудника свой логин, общий пароль «на всех» исключён;
• ✓операционная система и платформа 1С обновляются регулярно, а не «когда дойдут руки» — многие шифровальщики заходят через уязвимости, патч для которых вышел месяцами раньше атаки;
• ✓логи доступа и подключений кто-то периодически просматривает, а не только поднимает их постфактум, когда база уже не открывается.

Ни один из пунктов не требует специального бюджета на безопасность — это настройка, а не покупка. Но настроить один раз и забыть — тот же путь, который привёл к порту 3389, открытому три года без единой проверки. Саму резервную копию стоит время от времени пробовать развернуть на другом сервере: бэкап, который никогда не разворачивали, не гарантированно рабочий — в примере выше об этом узнали бы раньше понедельника.

сервер в офисе или в аренде: где бэкап переживёт атаку

Разница не в марке железа, а в том, кто отвечает за пункты из списка выше и проверяет их не по памяти.

Если сервер стоит физически в офисе, никто не мешает закрыть эти пункты своими силами — это вопрос настройки сервера 1С, а не обязательного переезда. Вопрос в том, кто и как часто будет это проверять после того, как всё однажды настроят и забудут — как случилось с портом 3389 в примере выше.

как устроена защита на арендованном сервере у нас

Когда база переезжает на арендованный сервер 1С, доступ по умолчанию закрыт: RDP наружу не публикуется, подключение идёт через защищённый канал, а резервная копия хранится не на том же диске, что база, а в отдельном хранилище. Обновления ОС и платформы 1С — часть сопровождения, а не разовая задача, о которой вспоминают после инцидента, и логи доступа проверяет сисадмин, а не приходящий специалист раз в квартал.

Для компании с одним-двумя десятками рабочих мест обычно достаточно виртуального сервера для 1С — от 1 100 ₽/мес за пользователя за сам сервер и аренду 1С от 1100 руб/мес. Если база большая, работает под нагрузкой нескольких десятков одновременных пользователей или требует изолированных ресурсов, есть смысл смотреть на выделенный сервер в аренду, где мощности не делятся с другими клиентами. Разовые работы — перенос базы, настройка резервного копирования, разбор инцидента — сопровождение и сисадмин считаются по факту, от 3800 руб/час.

Компания из примера в итоге перенесла базу на арендованный сервер именно из-за этого случая: не потому что своё железо хуже, а потому что за проверку доступа и бэкапов теперь отвечает не «когда-нибудь потом», а конкретный регламент сопровождения.

❓ Частые вопросы

Может ли антивирус на сервере полностью защитить от шифровальщика?

Нет: антивирус ловит известные сигнатуры вредоноса, а против подбора пароля по RDP он бессилен. Нужен закрытый доступ по VPN с многофакторной проверкой в дополнение к антивирусу, а не вместо него.

Как часто нужно делать бэкап базы 1С, чтобы не потерять данные при атаке?

Минимум раз в сутки, для активной торговли — несколько раз в день. Расписание вторично: главное, чтобы копия хранилась не на том же диске и сервере, что рабочая база, иначе шифровальщик заденет и её.

Стоит ли платить вымогателям, если шифровальщик добрался до сервера 1С?

Оплата не гарантирует ключ расшифровки, а перевод денег вымогателям создаёт отдельные юридические риски для компании. Надёжнее восстанавливать базу из копии, хранящейся отдельно от заражённого сервера.

Можно ли защитить сервер 1С от шифровальщика, если он уже стоит в офисе, без переезда в аренду?

Да: закрытый RDP через VPN, бэкап на отдельном хранилище и регулярные обновления работают на любом железе. Аренда сервера просто снимает эту работу с компании и делает её частью сопровождения.

Сколько стоит держать сервер 1С с защищённым бэкапом в аренде?

Аренда сервера под 1С — от 1 100 ₽/мес за пользователя, аренда самой 1С — от 1100 руб/мес. Разовые работы вроде переноса базы или настройки резервного копирования оплачиваются по факту, от 3800 руб/час.