Шифровальщик в выходные: какие дыры хостинга пускают его в базу 1С

Уязвимости хостинга открывают путь к базе 1С в четырёх местах: RDP, открытый в интернет со слабыми паролями, необновлённая система, бэкапы на том же сервере и лишние права пользователей. Закрывают их доступом по VPN, двухфакторной аутентификацией, обновлениями и копиями на отдельном хранилище. Если хостинг этого не делает, базу стоит перенести.

Почему возникает риск для данных 1С на хостинге 🔓

Пятница, 18:40. Бухгалтер выходит из терминала и уходит домой. В понедельник в 8:30 база не открывается, а на рабочем столе сервера лежит текстовый файл с адресом почты и требованием выкупа. Файлы баз и выгрузки .dt зашифрованы и не открываются.

Администратор открывает журнал входов: в субботу в 03:12 кто-то зашёл по RDP под учётной записью бухгалтера. Пароль состоял из названия компании и года. Порт 3389 был открыт в интернет, потому что так проще подключать сотрудников из дома. Блокировку после неудачных попыток никто не включил, поэтому бот перебирал пароли всю ночь, и ничто его не останавливало.

Сценарий знакомый: сервер арендован, 1С работает, а защитой никто не занимается, потому что «и так работает». Дальше четыре места, с которых такие истории начинаются.

Открытый RDP и простые пароли

Автоматические сканеры обходят публичные адреса круглосуточно, и сервер с открытым портом 3389 попадает в их список без чьего-либо интереса к вашей компании. Пароль из словаря, одна учётная запись на троих бухгалтеров и отсутствие блокировки превращают подбор в вопрос времени.

Система без обновлений

Исправления безопасности для Windows Server выходят регулярно, но на арендованных серверах их откладывают: боятся, что после перезагрузки не запустится служба сервера 1С или слетит лицензия. Откладывать опаснее. Описание уязвимости уже опубликовано, а готовые инструменты для известных дыр найти несложно. Поэтому сервер, который не обновляли, взламывают проще свежего.

Бэкапы рядом с базой

Копия лежит на диске D: того же сервера или в сетевой папке, подключённой к нему. Шифровальщик не отличает рабочую базу от резервной и шифрует всё, до чего дотянется. Копия, которую сервер может изменить, перестаёт быть копией.

Лишние права и соседи по серверу

Когда у каждого сотрудника права администратора, вирус с одного ноутбука получает те же права на сервере. Если несколько клиентов делят одну операционную систему без жёсткой изоляции, ошибка соседа становится вашей проблемой. Поэтому у хостинга стоит спросить, как разведены клиенты: по виртуальным машинам или по учётным записям одной системы.

Что теряет компания, если уязвимость не закрыть

Первым останавливается склад. Пока база зашифрована, нельзя выписать счёт, провести отгрузку и принять оплату: менеджеры обзванивают клиентов и переносят отгрузки, бухгалтерия сидит с калькулятором. Сроки сдачи отчётности при этом не сдвигаются, а за просроченную отчётность штраф начисляют независимо от причины.

Второй удар приходится на персональные данные. В зарплатной базе лежат ФИО, паспорта и СНИЛС сотрудников, в торговой контакты клиентов. По 152-ФЗ компания отвечает за их защиту как оператор (статья 19) и при утечке уведомляет Роскомнадзор в течение 24 часов. Хостинг эту ответственность с вас не снимает.

Выкуп ничего не гарантирует. Ключ могут не прислать или прислать с ошибками, а обязанности перед сотрудниками и клиентами останутся. Закрыть вход заранее дешевле.

Как исправить: что закрыть на сервере в первую очередь 🛠

Порядок важен: сначала закрывают вход, потом чинят остальное.

1. ✓Закройте порт 3389 от интернета. Пользователи подключаются через VPN или шлюз удалённых рабочих столов, прямой доступ остаётся только внутри закрытой сети.
2. ✓Включите двухфакторную аутентификацию для входа на сервер. Украденный пароль перестанет открывать дверь сам по себе.
3. ✓Заведите каждому сотруднику отдельную учётную запись, уберите права администратора у тех, кому они не нужны, и включите блокировку после нескольких неудачных попыток входа.
4. ✓Установите накопленные обновления Windows Server. Сначала проверьте их на копии, затем ставьте в нерабочее окно, например в ночь на воскресенье.
5. ✓Вынесите бэкапы на отдельное хранилище, которое сервер видит только на чтение или не видит совсем. Раз в квартал разворачивайте копию и проверяйте, что база открывается.
6. ✓Включите журнал входов и просматривайте ночные подключения. Вход в 03:12 под учётной записью сотрудника, который работает с девяти, и есть сигнал тревоги.

Если штатного администратора нет, эти работы можно заказать как разовую настройку сервера 1С. Оплата идёт по часам, час системного администратора стоит 3800 руб.

Что делать, если взлом или сбой повторяется

Базу подняли из копии, пароли поменяли, а через три недели в журнале снова ночной вход. Значит, при первом взломе в систему оставили закладку: новую учётную запись, задание в планировщике или программу удалённого доступа. Смена паролей её не убирает, поэтому история и повторяется.

Чинить тот же сервер бессмысленно. Порядок такой:

1. ✓Разверните чистый сервер с нуля. Образ системы восстанавливать нельзя: в нём может сидеть та же закладка.
2. ✓Перенесите только данные: выгрузку базы в .dt и документы, проверенные антивирусом.
3. ✓Смените все пароли, а не только от Windows: пользователи 1С, почта, банк-клиент. Если ключи электронной подписи лежали на сервере, перевыпустите сертификаты.
4. ✓Разберите журнал и найдите, откуда зашли. Без этого новый сервер получит ту же дыру. Если в базе были персональные данные, уведомление в Роскомнадзор уходит в течение 24 часов.

Когда сервер стоит в офисе без резервного канала и администратора, а в базе персональные данные, разумный шаг — переезд в аренду. Для баз с повышенными требованиями к изоляции подойдёт выделенный сервер в аренду: соседей по железу на нём нет.

Как предотвратить взлом: что требовать от хостинга 1С

Защита 1С зависит от того, кто закреплён за портами, обновлениями, копиями и наблюдением. Таблица показывает, где эти задачи остаются без хозяина.

Малому бизнесу без своего администратора обычно хватает виртуального сервера для 1С: защита и обновления входят в обслуживание, а цена считается за пользователя.

Прежде чем подписывать договор с любым хостингом, в том числе с нами, задайте шесть вопросов:

• ✓Закрыт ли RDP от интернета и как подключаются пользователи?
• ✓Где лежат копии и может ли сервер их удалить?
• ✓Кто ставит обновления Windows и платформы 1С и по какому графику?
• ✓Есть ли двухфакторная аутентификация при входе?
• ✓В каком городе стоят серверы? Персональные данные россиян по 152-ФЗ хранят в базах на территории России.
• ✓Что договор говорит о реакции на инцидент и сроках ответа?

Сколько стоит безопасный хостинг для 1С 💰

Аренда сервера 1С начинается от 1 100 ₽ в месяц за пользователя. Для команды из десяти человек это от 11 000 ₽ в месяц. Вход по VPN, двухфакторную аутентификацию, обновления по графику и копии на отдельном хранилище мы настраиваем при подключении, а не оставляем клиенту.

Теперь прикиньте, сколько стоит день, когда десять человек получают зарплату, но не могут открыть базу. Эту сумму и сравнивайте с абонентской платой. Разовые работы по защите уже работающего сервера считаются по часам: 3800 руб за час системного администратора.

Если база сейчас живёт на чужом сервере, начните с проверки. Выясните, как подключаются пользователи, где лежат копии и когда в последний раз ставили обновления. Если на два вопроса из трёх ответа нет, это повод обсудить перенос.

❓ Частые вопросы

Как узнать, что к серверу с 1С уже подключались посторонние?

Откройте журнал безопасности Windows Server и найдите события входа (код 4624) и неудачных попыток (4625). Подозрительны ночные входы, подключения с незнакомых адресов, сотни неудачных попыток подряд и новые учётные записи, которых вы не создавали. Если находите такое, смените пароли и проверьте планировщик заданий.

Безопасно ли хранить базу 1С на арендованном сервере?

Безопасно, если хостинг закрыл RDP от интернета, настроил вход по VPN или с двухфакторной аутентификацией, ставит обновления и хранит копии на отдельном хранилище. Без этих мер риск не ниже, чем у сервера в офисе. Просите у хостинга конкретные ответы по каждой мере и фиксируйте их в договоре.

Нужно ли уведомлять Роскомнадзор, если базу 1С с персональными данными зашифровали?

Если произошла неправомерная передача или доступ к персональным данным, нарушившие права людей, оператор уведомляет Роскомнадзор в течение 24 часов, а через 72 часа сообщает результаты внутреннего расследования (статья 21 закона 152-ФЗ). Для зашифрованной базы сначала нужно установить, был ли доступ к данным. Хостинг не снимает эту обязанность с вашей компании.

Сколько стоит перенести 1С на безопасный арендованный сервер?

Аренда сервера 1С стоит от 1 100 ₽ в месяц за пользователя, для десяти человек это от 11 000 ₽ в месяц. Разовые работы по настройке и переносу считаются по часам: час системного администратора стоит 3800 руб. Точную сумму называем после оценки размера базы и числа пользователей.

Чем выделенный сервер безопаснее виртуального для 1С?

На выделенном сервере вся физическая машина принадлежит одному клиенту, поэтому нагрузка и ошибки соседей на базу не влияют. Виртуальный сервер дешевле и подходит малому бизнесу с обычной нагрузкой, но делит гипервизор с другими клиентами. Для баз с персональными данными и ERP разумно рассматривать выделенный.