Що робити при атаці ransomware: повний посібник з відновлення даних 2026
Ваш сервер зашифровано, на екрані — вимога викупу у криптовалюті. Бізнес-процеси зупинено, дані недоступні. Що робити? У цьому посібнику — покроковий план дій, підкріплений реальною статистикою 2025-2026 років та 17-річним досвідом IT-Premium у відновленні після кібератак.
Ransomware у 2025-2026: масштаб проблеми
Програми-вимагачі залишаються найбільшою кіберзагрозою для бізнесу. Статистика вражає:
- Кількість атак зросла на 34% у 2025 році порівняно з 2024 — понад 7 200 публічно зафіксованих інцидентів (Chainalysis)
- 88% усіх зламів МСБ включають ransomware-компонент (Sophos State of Ransomware 2025)
- Дві третини атак спрямовані на компанії з менш ніж 500 працівниками
- 75% малих бізнесів не зможуть продовжити роботу, якщо стануть жертвою ransomware
- 60% постраждалих МСБ закриваються протягом 6 місяців після атаки
Ситуація в Україні
Україна — один із найбільш кібератакованих регіонів. За даними CERT-UA:
- 4 315 кіберінцидентів у 2024 році — зростання на 70% порівняно з 2023
- ~15 кіберінцидентів щодня фіксується CERT-UA у 2025 році
- 46% малих та середніх бізнесів в Україні вже зазнали кібератаки (дослідження Mastercard)
- Кожен п’ятий постраждалий бізнес був змушений припинити роботу
Крок 1: Перші 30 хвилин — ізоляція та фіксація
Перші хвилини після виявлення атаки критично важливі. Діяти треба швидко, але методично.
Що робити негайно
- Ізолюйте заражені системи — відключіть мережевий кабель, вимкніть Wi-Fi. НЕ вимикайте сервер: оперативна пам’ять може містити ключі шифрування
- Зафіксуйте час виявлення — це знадобиться для звіту правоохоронцям та страховій компанії
- Збережіть повідомлення зловмисників — скріншоти вимог, адреси криптогаманців, контактні дані
- Оцініть масштаб — які сервери, робочі станції та дані зачеплено?
- Перевірте резервні копії — чи доступні бекапи? Чи не заражені вони?
Чого НЕ робити
- ❌ Не платити викуп (детальніше нижче)
- ❌ Не запускати антивірус на зашифрованих файлах — він може видалити файли вірусу, необхідні для розшифрування
- ❌ Не відновлювати дані на заражений сервер
- ❌ Не спілкуватися зі зловмисниками без консультації з фахівцями
Крок 2: Ідентифікація вірусу
Не всі ransomware однакові. Деякі мають відомі вразливості та безкоштовні дешифратори.
Як визначити тип ransomware
- Зверніть увагу на розширення зашифрованих файлів:
.locky,.wannacry,.petya,.ryuk,.lockbit - Перевірте No More Ransom — проєкт Europol з 170+ безкоштовними дешифраторами
- Завантажте зразок на ID Ransomware для автоматичної ідентифікації
- Збережіть зразки зашифрованих файлів та повідомлення-вимоги для аналізу
Типи ransomware, з якими стикається Україна
| Тип | Характеристика | Дешифрування |
|---|---|---|
| LockBit | Найпоширеніший у 2024-2025, автоматизований | Обмежене |
| Petya/NotPetya | Історична атака 2017 року на Україну | Знищує дані, не шифрує |
| Cl0p | Цільові атаки на великий бізнес | Рідко |
| BlackCat/ALPHV | Подвійне вимагання — шифрування + витік даних | Ні |
| Akira | Активний у 2025, через VPN-вразливості | Частково |
Крок 3: Чому НЕ варто платити викуп
Статистика однозначна — оплата викупу не вирішує проблему:
- Лише 29% жертв отримують робочий ключ, що відповідає початковим вимогам (Sophos)
- Лише 8% МСБ повністю відновлюють дані після оплати
- 80% компаній, що заплатили — стають мішенню повторної атаки
- Середній викуп для МСБ — $84 000 у 2026 році, але загальні витрати на відновлення — $1,53 млн (Sophos)
- Оплата фінансує злочинну діяльність і може порушувати санкційне законодавство
Досвід IT-Premium: за 17 років практики ми жодного разу не рекомендували клієнтам платити викуп. У 100% випадків вдавалося або відновити дані з резервних копій, або мінімізувати втрати іншими методами.
Крок 4: Відновлення даних
Варіант А: Відновлення з резервних копій
Це найнадійніший шлях. Що потрібно:
- Перевірте цілісність бекапів — перш ніж відновлювати, переконайтеся, що резервні копії не заражені
- Відновлюйте на чисту систему — перевстановіть ОС, оновіть усі патчі безпеки
- Відновлюйте поступово — спочатку критичні системи, потім решту
- Верифікуйте — перевірте цілісність відновлених даних
Компанії, що проводять квартальне тестування бекапів, відновлюються на 48% швидше.
Варіант Б: Професійне відновлення без бекапів
Якщо актуальних резервних копій немає, зверніться до фахівців. IT-Premium може:
- Провести діагностику заражених систем та оцінити можливості відновлення
- Використати спеціалізовані інструменти для дешифрування (якщо доступні)
- Відновити дані з тіньових копій (Volume Shadow Copies), якщо вони не були видалені
- Провести forensic-аналіз для встановлення вектору атаки
Варіант В: Часткове відновлення
Навіть без повного бекапу можна відновити:
- Файли з хмарних сервісів — Google Drive, OneDrive зберігають версії файлів
- Дані з електронної пошти — листування, вкладення, контакти
- Бази даних — якщо використовувалася реплікація
Крок 5: Ліквідація вразливостей
Після відновлення даних критично важливо закрити «двері», через які потрапив вірус.
Обов’язковий чек-лист після інциденту
- Перевстановити ОС на всіх уражених серверах
- Оновити всі системи та ПЗ до останніх версій
- Змінити ВСІ паролі — доменні, локальні, адмін-акаунти, VPN, email
- Відключити RDP-доступ ззовні або перевести на VPN
- Увімкнути MFA (багатофакторну автентифікацію) на всіх сервісах
- Провести ІТ-аудит для виявлення інших вразливостей
- Повідомити Кіберполіцію України (https://cyberpolice.gov.ua/) та CERT-UA
Превентивний захист: план на майбутнє
Найкращий спосіб боротьби з ransomware — не допустити атаку. Вартість превентивного захисту — в рази менша за вартість відновлення.
Правило 3-2-1 резервного копіювання
- 3 копії ваших даних
- 2 різних типи носіїв (диск + хмара)
- 1 копія зберігається офлайн (air-gapped), недоступна з мережі
Налаштуйте надійне резервне копіювання →
Технічні заходи захисту
- Регулярне оновлення — 60% атак використовують відомі вразливості з доступними патчами
- Сегментація мережі — ізолюйте критичні системи, щоб вірус не поширювався
- EDR/XDR рішення — замість простого антивірусу використовуйте рішення з поведінковим аналізом
- Контроль привілейованих акаунтів — мінімальні необхідні права, окремі адмін-акаунти
- Email-фільтрація — блокування підозрілих вкладень і посилань
Навчання персоналу
- Регулярні тренінги з розпізнавання фішингу — основного вектору атак
- Імітаційні фішинг-тести
- Чіткі інструкції «що робити при підозрілому листі»
Вартість бездіяльності
Порівняння витрат яскраво демонструє, чому превентивний захист — це інвестиція, а не витрата:
| Превентивний захист | Відновлення після атаки | |
|---|---|---|
| Бекап-система | від $200/міс | — |
| ІТ-аудит | від $500 одноразово | — |
| Середній простій | — | 21-24 дні |
| Викуп (МСБ) | — | $84 000 |
| Загальні витрати | — | $1,53 млн |
| Ризик закриття | — | 60% за 6 місяців |
Висновок
Ransomware-атака — серйозна криза, але не кінець. Головне — діяти швидко, не платити викуп та звертатися до професіоналів. А ще краще — інвестувати у превентивний захист, щоб атака ніколи не відбулася.
IT-Premium допоможе:
- 🔍 ІТ-аудит безпеки — знайдемо вразливості до того, як це зроблять зловмисники
- 💾 Резервне копіювання — налаштуємо систему, що витримає будь-яку атаку
- 🛡️ ІТ-підтримка — постійний моніторинг та захист вашої інфраструктури
- 📞 Гаряча лінія: +380 44 545 7732 — екстрена допомога при кіберінцидентах