Что делать, если хакеры требуют выкуп за базу данных вашей компании?

Последнее обновление: март 2026 года

Всем привет, меня зовут Антон Таранов, я ведущий специалист агентства Pantera Digital. Только за первые месяцы 2026 года мы помогли 38 клиентам успешно решить проблему с корпоративным шантажом и цифровыми угрозами — от экстренного удаления утечек до комплексной защиты корпоративной репутации и удаления компрометирующих материалов. Сегодня мы детально разберём, как действовать в такой ситуации.

Ситуация, когда злоумышленники получили доступ к вашим данным и требуют деньги, — это не переговорная позиция. Это уголовное преступление. Паника здесь контрпродуктивна. Нужен алгоритм.

По данным за 2025 год, в открытый доступ утекло более 767 млн записей с персональными данными россиян — на 67,6% больше, чем годом ранее. При этом количество инцидентов снизилось: атак стало меньше, но каждая из них масштабнее. Telegram окончательно закрепился как основная площадка для публикации слитых баз — 80,7% всех публикаций размещается именно там.

Три сценария, с которыми я работаю чаще всего

Во всех трёх случаях правовая квалификация одинакова: ст. 163 УК РФ — вымогательство, которое в совокупности с несанкционированным доступом к данным образует тяжкий состав. Платить выкуп — значит финансировать преступную группу без каких-либо гарантий.

Экстренные действия в первые 24 часа

Первые сутки определяют всё: доказательную базу, возможность восстановления данных и юридическую позицию компании.

Шаг 1. Изоляция заражённых систем

Немедленно отключите скомпрометированные серверы и рабочие станции от корпоративной сети и интернета. Физически — выньте сетевые кабели, отключите Wi-Fi-адаптеры. Не выключайте машины полностью: оперативная память может содержать следы вредоносного ПО, которые понадобятся криминалистам.

Цель изоляции — остановить распространение угрозы, а не уничтожить улики.

Шаг 2. Сбор и фиксация доказательств

Это критический этап. Сделайте скриншоты всех сообщений от злоумышленников с отображением даты, времени и адреса отправителя. Сохраните системные логи серверов, журналы доступа, письма с угрозами. Если общение идёт через мессенджер — зафиксируйте ссылку на аккаунт, историю переписки, реквизиты криптокошелька.

Все материалы сохраняйте на изолированный носитель, не подключённый к заражённой инфраструктуре.

Шаг 3. Оповещение ключевых лиц

Немедленно уведомите: IT-директора, юридический отдел, генерального директора. Ограничьте круг осведомлённых — утечка информации об инциденте внутри компании может осложнить расследование. Внешним партнёрам и клиентам сообщайте только после консультации с юристом и только в той мере, которую требует закон.

Правовая механика: что говорит закон РФ

Статья 272 УК РФ — неправомерный доступ к компьютерной информации

Это базовая норма, под которую подпадает сам факт взлома. Неправомерный доступ к охраняемой компьютерной информации, повлёкший её копирование, блокирование или уничтожение, наказывается лишением свободы на срок до 7 лет. Если преступление совершено организованной группой — до 10 лет.

Статья 163 УК РФ — вымогательство

Требование передать имущество (деньги, криптовалюту) под угрозой распространения сведений, способных причинить существенный вред правам или законным интересам потерпевшего, — это вымогательство. Санкция по ч. 3 (организованная группа, крупный размер) — до 15 лет лишения свободы.

Закон № 525-ФЗ (2025 год)

Введена уголовная ответственность за использование, передачу, сбор и хранение незаконно полученных персональных данных, а также за создание ресурсов, распространяющих такие данные. Наказание — до 10 лет лишения свободы. Это напрямую касается тех, кто угрожает опубликовать вашу базу.

Защита коммерческой тайны и NDA

Если похищенные данные составляют коммерческую тайну (клиентские базы, условия договоров, финансовые показатели), компания обязана иметь задокументированный режим коммерческой тайны: соответствующие соглашения с сотрудниками (NDA), гриф на документах, ограниченный доступ. Без этого режима доказать ущерб в суде значительно сложнее.

152-ФЗ «О персональных данных» обязывает оператора уведомить Роскомнадзор об утечке в течение 24 часов с момента обнаружения. 149-ФЗ «Об информации» устанавливает общие требования к защите информационных систем. Нарушение этих норм влечёт административную ответственность для самой компании — независимо от того, кто виновен в взломе.

Пошаговый маршрут решения

Шаг 1. Заявление в МВД

Обращайтесь в подразделение по борьбе с киберпреступлениями (Управление «К» МВД России) — лично или через официальный сайт МВД. Заявление подаётся незамедлительно: чем раньше возбуждено дело, тем выше шанс установить злоумышленников по цифровым следам.

Шаг 2. Внутреннее расследование

Параллельно с обращением в МВД проведите форензик-анализ (forensics — цифровая криминалистика, исследование следов атаки на оборудовании). Задача: установить точку входа, масштаб компрометации, какие именно данные были скопированы или зашифрованы. Это нужно как для восстановления систем, так и для уголовного дела.

Шаг 3. Юридическое сопровождение

Привлеките юристов, специализирующихся на защите данных и киберпреступлениях. Они определят объём обязательных уведомлений (Роскомнадзор, клиенты), оценят риски по 152-ФЗ и выстроят позицию компании на случай претензий со стороны пострадавших субъектов данных.

Шаг 4. Восстановление данных

Если атака была типа ransomware (программа-вымогатель, которая шифрует файлы и требует ключ за деньги), не приступайте к восстановлению самостоятельно. Неквалифицированные действия могут уничтожить зашифрованные данные безвозвратно. Специалисты по кибербезопасности сначала снимают образы дисков, затем работают с копиями.

Шаблоны ключевых документов

Заявление в МВД о киберпреступлении

Внутренний отчёт о киберинциденте

Когда без внешних специалистов не обойтись

Есть ситуации, когда внутренних ресурсов компании объективно недостаточно.

Привлеките специалистов по кибербезопасности, если:

• Атака затронула производственные или критические системы
• Масштаб заражения неизвестен или продолжает расширяться
• Требуется форензик-анализ для уголовного дела
• Данные зашифрованы и резервных копий нет

Привлеките юристов по защите данных, если:

• Утекли персональные данные клиентов (обязательное уведомление по 152-ФЗ)
• Злоумышленники угрожают публикацией данных, составляющих коммерческую тайну
• Компания получила претензии от клиентов или партнёров
• Необходимо взаимодействие с Роскомнадзором

Если угроза касается публикации данных в Telegram — дополнительно изучите механику противодействия в нашем материале о том, что делать при шантаже в Telegram.

Оцифрованный мини-кейс из практики. В нашей практике был случай с производственной компанией: злоумышленники зашифровали сервер с базой из 47 000 записей клиентов и потребовали 1,2 млн рублей в биткоинах. Клиент обратился к нам на третьи сутки после атаки. Мы помогли зафиксировать доказательную базу, подготовить заявление в МВД и параллельно организовали форензик-анализ. Через 11 дней данные были восстановлены из резервной копии, которую злоумышленники не обнаружили. Выкуп не выплачивался. Уголовное дело возбуждено.

Превентивные меры: как не оказаться в этой ситуации

Большинство успешных атак эксплуатируют одни и те же уязвимости. Устранить их несложно — если делать это системно.

Технические меры

• Резервное копирование по правилу 3-2-1: три копии данных, на двух разных носителях, одна — офлайн или в изолированном облаке. Это единственная реальная защита от ransomware.
• Регулярное обновление ПО: большинство атак используют известные уязвимости, для которых патчи уже выпущены. Несвоевременное обновление — это открытая дверь.
• Сегментация сети: разделите корпоративную сеть на изолированные сегменты. Если злоумышленник проник в один, он не получит автоматический доступ ко всей инфраструктуре.
• Многофакторная аутентификация (MFA): обязательна для всех административных учётных записей и удалённого доступа.

Организационные меры

• Обучение сотрудников: фишинговые письма — точка входа в большинстве атак. Регулярные тренинги по распознаванию социальной инженерии снижают риск.
• Режим коммерческой тайны: задокументируйте, какие данные являются конфиденциальными, подпишите NDA с сотрудниками, ограничьте доступ по принципу минимальных привилегий.
• План реагирования на инциденты: у компании должен быть готовый алгоритм действий до того, как атака произошла. Разрабатывать его в момент кризиса — поздно.

Более широкий контекст противодействия цифровому шантажу — в нашем материале о шантаже личными данными в интернете.