
Как остановить шантаж бывшего сотрудника, угрожающего сливом данных?
10.03.2026
Что делать, если вас шантажируют в Telegram?
10.03.2026Всем привет, меня зовут Антон Таранов, я ведущий специалист агентства Pantera Digital. Только за первые месяцы 2026 года мы помогли 38 клиентам успешно решить проблему с корпоративным шантажом и цифровыми угрозами — от экстренного удаления утечек до комплексной защиты корпоративной репутации и удаления компрометирующих материалов. Сегодня мы детально разберём, как действовать в такой ситуации.
Антон Таранов | Ведущий специалист по ORM
В этой статье я поделюсь алгоритмами и правовыми механизмами, которые наша команда применяет на практике прямо сейчас, в 2026 году. Никакой теории — только проверенные инструкции.
Ситуация, когда злоумышленники получили доступ к вашим данным и требуют деньги, — это не переговорная позиция. Это уголовное преступление. Паника здесь контрпродуктивна. Нужен алгоритм.
По данным за 2025 год, в открытый доступ утекло более 767 млн записей с персональными данными россиян — на 67,6% больше, чем годом ранее. При этом количество инцидентов снизилось: атак стало меньше, но каждая из них масштабнее. Telegram окончательно закрепился как основная площадка для публикации слитых баз — 80,7% всех публикаций размещается именно там.
Три сценария, с которыми я работаю чаще всего
🔐
Сценарий 1: Ransomware — шифрование серверов
Хакеры зашифровали файлы или базы данных (CRM, 1С, ERP) и требуют выкуп в криптовалюте за ключ расшифровки. Бизнес парализован.
📋
Сценарий 2: Угроза публикации базы клиентов
Злоумышленники скопировали базу данных и угрожают опубликовать её в Telegram или на теневых форумах, если компания не заплатит.
💥
Сценарий 3: Шантаж DDoS-атакой
Вымогатели угрожают обрушить сайт или инфраструктуру компании распределённой атакой, если требования не будут выполнены в срок.
Во всех трёх случаях правовая квалификация одинакова: ст. 163 УК РФ — вымогательство, которое в совокупности с несанкционированным доступом к данным образует тяжкий состав. Платить выкуп — значит финансировать преступную группу без каких-либо гарантий.
Экстренные действия в первые 24 часа
Первые сутки определяют всё: доказательную базу, возможность восстановления данных и юридическую позицию компании.
Шаг 1. Изоляция заражённых систем
Немедленно отключите скомпрометированные серверы и рабочие станции от корпоративной сети и интернета. Физически — выньте сетевые кабели, отключите Wi-Fi-адаптеры. Не выключайте машины полностью: оперативная память может содержать следы вредоносного ПО, которые понадобятся криминалистам.
Цель изоляции — остановить распространение угрозы, а не уничтожить улики.
Шаг 2. Сбор и фиксация доказательств
Это критический этап. Сделайте скриншоты всех сообщений от злоумышленников с отображением даты, времени и адреса отправителя. Сохраните системные логи серверов, журналы доступа, письма с угрозами. Если общение идёт через мессенджер — зафиксируйте ссылку на аккаунт, историю переписки, реквизиты криптокошелька.
Все материалы сохраняйте на изолированный носитель, не подключённый к заражённой инфраструктуре.
Шаг 3. Оповещение ключевых лиц
Немедленно уведомите: IT-директора, юридический отдел, генерального директора. Ограничьте круг осведомлённых — утечка информации об инциденте внутри компании может осложнить расследование. Внешним партнёрам и клиентам сообщайте только после консультации с юристом и только в той мере, которую требует закон.
Правовая механика: что говорит закон РФ
Статья 272 УК РФ — неправомерный доступ к компьютерной информации
Это базовая норма, под которую подпадает сам факт взлома. Неправомерный доступ к охраняемой компьютерной информации, повлёкший её копирование, блокирование или уничтожение, наказывается лишением свободы на срок до 7 лет. Если преступление совершено организованной группой — до 10 лет.
Статья 163 УК РФ — вымогательство
Требование передать имущество (деньги, криптовалюту) под угрозой распространения сведений, способных причинить существенный вред правам или законным интересам потерпевшего, — это вымогательство. Санкция по ч. 3 (организованная группа, крупный размер) — до 15 лет лишения свободы.
Закон № 525-ФЗ (2025 год)
Введена уголовная ответственность за использование, передачу, сбор и хранение незаконно полученных персональных данных, а также за создание ресурсов, распространяющих такие данные. Наказание — до 10 лет лишения свободы. Это напрямую касается тех, кто угрожает опубликовать вашу базу.
Защита коммерческой тайны и NDA
Если похищенные данные составляют коммерческую тайну (клиентские базы, условия договоров, финансовые показатели), компания обязана иметь задокументированный режим коммерческой тайны: соответствующие соглашения с сотрудниками (NDA), гриф на документах, ограниченный доступ. Без этого режима доказать ущерб в суде значительно сложнее.
152-ФЗ «О персональных данных» обязывает оператора уведомить Роскомнадзор об утечке в течение 24 часов с момента обнаружения. 149-ФЗ «Об информации» устанавливает общие требования к защите информационных систем. Нарушение этих норм влечёт административную ответственность для самой компании — независимо от того, кто виновен в взломе.
Пошаговый маршрут решения
Шаг 1. Заявление в МВД

Обращайтесь в подразделение по борьбе с киберпреступлениями (Управление «К» МВД России) — лично или через официальный сайт МВД. Заявление подаётся незамедлительно: чем раньше возбуждено дело, тем выше шанс установить злоумышленников по цифровым следам.
Шаг 2. Внутреннее расследование
Параллельно с обращением в МВД проведите форензик-анализ (forensics — цифровая криминалистика, исследование следов атаки на оборудовании). Задача: установить точку входа, масштаб компрометации, какие именно данные были скопированы или зашифрованы. Это нужно как для восстановления систем, так и для уголовного дела.
Шаг 3. Юридическое сопровождение
Привлеките юристов, специализирующихся на защите данных и киберпреступлениях. Они определят объём обязательных уведомлений (Роскомнадзор, клиенты), оценят риски по 152-ФЗ и выстроят позицию компании на случай претензий со стороны пострадавших субъектов данных.
Шаг 4. Восстановление данных
Если атака была типа ransomware (программа-вымогатель, которая шифрует файлы и требует ключ за деньги), не приступайте к восстановлению самостоятельно. Неквалифицированные действия могут уничтожить зашифрованные данные безвозвратно. Специалисты по кибербезопасности сначала снимают образы дисков, затем работают с копиями.
Шаблоны ключевых документов
Заявление в МВД о киберпреступлении
Внутренний отчёт о киберинциденте
Столкнулись с такой же проблемой?
Самостоятельные действия при корпоративном шантаже нередко уничтожают доказательную базу и усугубляют репутационный ущерб. Мы проведём бесплатный первичный анализ ситуации и определим приоритетные шаги.
Когда без внешних специалистов не обойтись
Есть ситуации, когда внутренних ресурсов компании объективно недостаточно.
Привлеките специалистов по кибербезопасности, если:
- Атака затронула производственные или критические системы
- Масштаб заражения неизвестен или продолжает расширяться
- Требуется форензик-анализ для уголовного дела
- Данные зашифрованы и резервных копий нет
Привлеките юристов по защите данных, если:
- Утекли персональные данные клиентов (обязательное уведомление по 152-ФЗ)
- Злоумышленники угрожают публикацией данных, составляющих коммерческую тайну
- Компания получила претензии от клиентов или партнёров
- Необходимо взаимодействие с Роскомнадзором
Если угроза касается публикации данных в Telegram — дополнительно изучите механику противодействия в нашем материале о том, что делать при шантаже в Telegram.
Оцифрованный мини-кейс из практики. В нашей практике был случай с производственной компанией: злоумышленники зашифровали сервер с базой из 47 000 записей клиентов и потребовали 1,2 млн рублей в биткоинах. Клиент обратился к нам на третьи сутки после атаки. Мы помогли зафиксировать доказательную базу, подготовить заявление в МВД и параллельно организовали форензик-анализ. Через 11 дней данные были восстановлены из резервной копии, которую злоумышленники не обнаружили. Выкуп не выплачивался. Уголовное дело возбуждено.
Превентивные меры: как не оказаться в этой ситуации
Большинство успешных атак эксплуатируют одни и те же уязвимости. Устранить их несложно — если делать это системно.
Технические меры
- Резервное копирование по правилу 3-2-1: три копии данных, на двух разных носителях, одна — офлайн или в изолированном облаке. Это единственная реальная защита от ransomware.
- Регулярное обновление ПО: большинство атак используют известные уязвимости, для которых патчи уже выпущены. Несвоевременное обновление — это открытая дверь.
- Сегментация сети: разделите корпоративную сеть на изолированные сегменты. Если злоумышленник проник в один, он не получит автоматический доступ ко всей инфраструктуре.
- Многофакторная аутентификация (MFA): обязательна для всех административных учётных записей и удалённого доступа.
Организационные меры
- Обучение сотрудников: фишинговые письма — точка входа в большинстве атак. Регулярные тренинги по распознаванию социальной инженерии снижают риск.
- Режим коммерческой тайны: задокументируйте, какие данные являются конфиденциальными, подпишите NDA с сотрудниками, ограничьте доступ по принципу минимальных привилегий.
- План реагирования на инциденты: у компании должен быть готовый алгоритм действий до того, как атака произошла. Разрабатывать его в момент кризиса — поздно.
Более широкий контекст противодействия цифровому шантажу — в нашем материале о шантаже личными данными в интернете.



