Вирусы-шифровальщики: причины и последствия, профилактика и реагирование

28.09.2026

Руслан Рахметов, Security Vision

Уровень киберугроз в российской экономике растёт: за последние годы выросло не только количество кибератак, но и их опасность, которую можно оценить по масштабу ущерба от киберинцидентов. Одним из наиболее разрушительных типов кибератак стали заражения отечественных компаний вирусами-шифровальщиками и вирусами-вайперами, результаты воздействия которых выходят далеко за рамки рутинной работы отдела ИБ. Последствиями таких атак могут стать не только финансовый ущерб на сотни миллионов рублей, но и испорченная репутация, штрафы, судебные иски и даже банкротство. В данной статье мы расскажем про вирусы-вымогатели, объясним особенности их работы и потенциальный ущерб от их воздействия, а также расскажем про то, как от них защититься.

Наверняка читатели уже знают, что вирус-вымогатель – это опасное вредоносное ПО, которое шифрует файлы на устройстве, что делает их непригодными для использования, и требует выкуп за расшифрование. В последние годы хакеры-вымогатели усовершенствовали свои преступные схемы и требуют выкуп не только за расшифрование, но и за сохранение самого факта атаки в тайне, а в некоторых случаях при атаках на крупные корпорации они также могут украсть важные документы или персональные данные и шантажировать компанию их разглашением. В дополнение к вирусу могут запускаться DDoS-атаки для нанесения ещё большего ущерба, отвлечения внимания защитников и дезорганизации процесса реагирования, а иногда атакующие идут дальше и шантажируют пострадавшие организации тем, что обратятся в государственные контролирующие органы с жалобой на утечку данных якобы от имени клиентов.

Для понимания природы современных вирусов-вымогателей (англ. ransomware) проведём краткий экскурс в историю шифровальщиков. Прообразы современных вирусов-шифровальщиков появились в конце 2000-х годов – это были криптобаннеры, СМС-баннеры, винлокеры (WinLocker). Эти и подобные типы вирусов (т.н. "scareware" – буквально «пугающее ПО») действовали достаточно примитивно по современным меркам: после заражения (например, через пиратское ПО или после запуска пользователем под видом «бесплатной программы») они подменяли цепочку загрузки ОС Windows. Вместо легитимной последовательности запуска "userinit.exe -> explorer.exe" запускался исполняемый файл вируса-баннера. В результате, после загрузки ПК пользователь видел не привычное окно входа в систему и рабочий стол, а баннер на весь экран с сообщением о том, что на ПК якобы обнаружено нелицензионное ПО или запрещенные материалы, а для «разблокировки» компьютера нужно отправить СМС на короткий номер или пополнить WebMoney-кошелёк хакеров предоплаченной картой. Эти вирусы были крайне распространены в территории СНГ, но и легко удалялись – достаточно было загрузить ПК в безопасном режиме или с LiveCD, а затем восстановить порядок загрузки ОС через реестр Windows.

С распространением криптовалют в начале 2010-х годов злоумышленники смогли решить задачу монетизации своих атак и вышли на новый уровень: теперь можно было атаковать жертв по всему миру, а для повышения вероятности получения выкупа нужно было наносить жертвам реальный ущерб. Так появились первые современные вирусы-шифровальщики, которые шифровали файлы на локальных, съемных и сетевых дисках и требовали выкуп в биткоинах за восстановление информации. Одним из наиболее известных ransomware-вирусов был CryptoLocker, который распространялся в 2013-2014 годах: его разработчики использовали децентрализованную сеть C&C-серверов ботнета Gameover ZeuS для управления зараженными ПК и взаимодействия с жертвами. На серверах злоумышленников создавались пары RSA-ключей длиной 2048 бит, которые применялись в гибридной схеме шифрования файлов жертвы: после заражения на атакованном устройстве создавался AES-ключ для быстрого симметричного шифрования целевых файлов (документы, фотографии, файлы проектов и т.д.). Для невозможности восстановления пользователем данный AES-ключ затем шифровался открытым ключом RSA с сервера атакующих, а оригинал удалялся. При этом закрытый RSA-ключ для расшифрования AES-ключа хранился только на C&C-сервере и использовался, если жертва соглашалась выплатить выкуп. К зашифрованным вирусом файлам дописывался фрагмент данных с зашифрованным AES-ключом, что позволяло жертвам воспользоваться онлайн-порталом вымогателей и загрузить один из зашифрованных файлов для получения адреса биткоин-кошелька, перевода выкупа и получения ключа расшифрования. Однако, даже такая сложная вымогательская схема, принесшая киберпреступникам около 3 миллионов долларов незаконной прибыли, была в итоге ликвидирована совместными усилиями правоохранительных органов более десятка стран в начале июня 2014 года, а уже в августе был запущен бесплатный портал для жертв CryptoLocker, на котором можно было бесплатно получить ключ для восстановления зашифрованных файлов.

Затем были другие известные случаи распространения вирусов-шифровальщиков – например, в мае 2017 года случилась эпидемия вируса WannaCry, который для распространения использовал эксплойт EternalBlue для уязвимости в протоколе SMB v1. Уже в конце июня того же года стал распространяться вирус NotPetya, который был замаскирован под вирус-вымогатель, но фактически действовал как вирус-вайпер (англ. "wiper", «стиратель»). Атакованные пользователи после заражения видели на экранах своих устройств сообщение о необходимости заплатить выкуп, однако ключ расшифрования не передавался на сервер злоумышленников и у них не было бы возможности передать этот ключ жертве даже в случае уплаты ею выкупа.

Эти показательные случаи демонстрируют ряд характерных особенностей вирусов-шифровальщиков, актуальных и по сей день:

- вирусы-шифровальщики представляют реальную угрозу из-за их возможности полностью парализовать работу ИТ-инфраструктуры и фактически остановить весь бизнес;

- современные ransomware-вредоносы продолжают использовать гибридные схемы шифрования, однако перед этим похищают (копируют вовне) ценные данные для того, чтобы можно было использовать утечку как дополнительный рычаг давления (даже если у компании есть бэкапы и возможность восстановиться, утекшие данные уже не вернуть), а также из-за опасности обнаружения средствами защиты «шумных» операций массового изменения файлов;

- уплата выкупа не гарантирует жертве восстановление данных (в некоторых странах сейчас даже действуют законодательные запреты на выплату выкупа хакерам-вымогателям);

- через некоторое время после ликвидации / захвата вредоносного центра управления могут появиться сервисы от ИБ-компаний для бесплатного получения ключа расшифрования, поэтому если компанию атаковал устаревший шифровальщик, то имеет смысл обратиться к профильным специалистам для попытки восстановления данных;

- вирус-вайпер, нацеленный на уничтожение данных и причинение максимального ущерба, может быть замаскирован под вирус-вымогатель для того, чтобы затруднить атрибуцию атакующих и принести им двойную выгоду – и выкуп, и вывод из строя инфраструктуры компании-жертвы (хакеры могут быть наняты конкурентами или спецслужбами недружественных государств).

На сегодняшний день атаки вирусов-шифровальщиков остаются одной из наиболее актуальных и опасных киберугроз не только в России, но и во всём мире. Так, за первые шесть месяцев 2026 в 2,3 раза увеличилось количество атак шифровальщиков в промышленном секторе, при этом в промышленности среди целей ransomware-малвари лидируют нефтегазовая индустрия, отрасли строительства и автоматизации зданий. В прошлом году представители средних и крупных российских организаций из различных секторов назвали атаки шифровальщиков наиболее актуальной киберугрозой, а около 20% всех атак в 2025 году были ransomware-атаками. При этом растут и требуемые размеры выкупа – по итогам 2024 года средняя сумма, которую требовали кибервымогатели, составляла 14 млн руб., в 2025 году суммы выкупа колебались в пределах от 4 млн руб. до 40 млн руб. для крупного бизнеса, а уже в начале 2026 года сообщалось, что атакующие потребовали у одной из российский компании выкуп в размере полумиллиарда рублей. Подобные цифры – далеко не новость во всём мире: так, по некоторым данным, среднемировой размер выплаченного выкупа в 2025 году составлял 1 миллион долларов, снизившись к 2026 году до почти 800 тыс. долларов, однако в Великобритании, например, средний размер требуемого выкупа достиг 2.5 млн долларов. При этом средняя стоимость восстановления инфраструктуры и бизнес-процессов после атаки оценивается в 1.7 млн долларов и для половины жертв эта процедура занимает около недели. По данным отчета IBM "Cost of a Data Breach Report 2026", количество атак вирусов-шифровальщиков среди других типов инцидентов выросло за год с 34% до 39%, при этом респонденты выражали растущую озабоченность влиянием таких атак на репутацию компании – злоумышленники в 41% случаев угрожали опубликовать информацию о взломе и утечке данных у компании-жертвы, что в особенности чувствительно в случае кражи персональных данных и объектов интеллектуальной собственности. Масштаб проблем и уровень влияния успешной атаки вируса-шифровальщика можно себе наглядно представить на примере достаточно откровенного обсуждения последствий произошедшей в конце 2025 года кибератаки на российскую страховую компанию «ВСК», которая, помимо полного коллапса бизнес-процессов организация, столкнулась и со сложностями в оперативном реагировании на киберинцидент. В целом, последствия кибератак именно вирусов-шифровальщиков становятся наиболее заметными в публичной плоскости, особенно когда у компании перестаёт работать веб-сайт и приложение, нарушается взаимодействие с контрагентами и клиентами, становятся недоступными привычные массе пользователей услуги. Примерами нашумевших атак являются инциденты у сети магазинов «Винлаб» в 2025 году, атака шифровальщика на СДЭК в 2024 году, заражение шифровальщиком в агрохолдинге «Мираторг» в 2022 году.

Огромные суммы выкупов и эффективность атак шифровальщиков способствуют их дальнейшему развитию, и в настоящий момент можно отметить следующие тенденции и особенности:

1) Применение схем двойного вымогательства: после всплеска популярности и череды громких атак шифровальщиков в конце 2010-х годов компании адаптировали свои системы защиты и резервного копирования к новой угрозе. Защитные решения стали эффективно выявлять операции, характерные для шифрования большого числа файлов на устройствах, а бэкапы позволяли быстро восстановить затронутые атакой данные. Злоумышленники пошли дальше и стали применять тактику предварительного незаметного сбора и кражи (эксфильтрации) конфиденциальных корпоративных данных из скомпрометированной инфраструктуры перед запуском непосредственно шифрования. Такой подход позволял вымогателям требовать у своих жертв двойной выкуп: первый – за расшифрование данных, а второй – за обещание злоумышленников не публиковать украденные данные и удалить их. Заметим, что последующие расследования деятельности подобных вымогательских групп показали, что, несмотря на свои обещания, они не удаляли украденные данные, а использовали их для дальнейших атак или перепродавали их другим хакерам.

2) Применение схем тройного вымогательства и использование законодательства для давления: атакующие не так давно перешли к схеме тройного вымогательства, в которой у фигурировавших в украденных массивах пользователей или организаций-контрагентов начали требовать выкуп за неразглашение уже их собственной информации. Например, атаковав крупную юридическую или аудиторскую компанию, хакеры получают доступ к крайне чувствительным сведениям, а те лица, которые в них фигурируют, готовы щедро заплатить за «молчание» злоумышленников. Однако и это не всё – учитывая введённые с 30 мая 2025 года оборотные штрафы за утечки персональных данных, атакующие начали реализовывать схемы ещё с одним этапом вымогательства: атакованная компания получает от вымогателей предупреждение об украденных у неё персональных данных её сотрудников или клиентов, а затем поступает требование выкупа, в случае невыплаты которого будет отправлена жалоба в Роскомнадзор. Учитывая высокие штрафы за нарушение законодательства о защите персональных данных и потенциальный репутационный ущерб, компании могут пойти на сделку с шантажистами – разумеется, без каких-либо гарантий. Более того, передача денежных средств (независимо от формы – фиатные деньги или криптовалюта) неизвестным лицам, осуществляющим вредоносные действия против интересов страны, грозит пристальным вниманием соответствующих компетентных органов. Отметим также, что в некоторых странах действует законодательный запрет на выплату выкупа шантажистам. Например, в США действуют ограничения по линии ведомства, контролирующего исполнение санкций (OFAC, Office of Foreign Assets Control, Управление по контролю за иностранными активами Министерства финансов США) – в случае, если выкуп будет выплачен кибергруппе, находящейся под санкциями или связанной с террористическими объединениями, компанию-жертву ожидает многомиллионный штраф.

3) Давление с нескольких сторон: для усиления негативного эффекта от атаки вируса-шифровальщика злоумышленники параллельно запускают DDoS-атаку на веб-ресурсы компании, что приводит к беспокойству клиентов и отнимает ресурсы ИБ-специалистов, а также может использоваться для маскировки и отвлечения внимания при взломе компании и запуске шифровальщика. Кроме того, атакующие проводят атаки в наиболее критичные для компании дни – в выходные, праздники или в момент массового наплыва клиентов (например, в канун Нового Года или перед 8 марта). Если же файлы не удаётся зашифровать или хакеры понимают, что их обнаружили, они могут запустить механизм уничтожения скомпрометированной инфраструктуры – это поможет им замести следы и нанесёт ущерб жертве.

4) Использование ИИ во вред: атакующие всё чаще применяют ИИ для создания правдоподобного фишинга – именно социальная инженерия и компрометация учетных данных (наряду с эксплуатацией уязвимостей и взломом подрядчиков и поставщиков) чаще всего являются первичным вектором атаки вирусов-шифровальщиков при проникновении в защищаемую инфраструктуру. Если раньше фишинговое письмо можно было легко вычислить по орфографическим или стилистическим ошибкам, то сейчас ИИ помогает хакерам создавать безупречные сообщения, копирующие стиль и манеру общения в конкретной отрасли или компании. Кроме того, именно ИИ позволяет атакующим разрабатывать код вредоносных программ (маскируя его разработку под создание легитимного инструмента для санкционированного пентеста), быстро ориентироваться в атакованной инфраструктуре и выбирать приоритетные цели, анализировать массивы украденных файлов и находить в них самые чувствительные сведения, а также оценивать платежеспособность компании и требовать посильный для неё выкуп. Различные ИИ-помощники существенно снизили порог входа в нелегальный бизнес кибервымогательства – теперь даже не самый квалифицированный злоумышленник с помощью вайбкодинга может создать свой шифровальщик, а с использованием ИИ-агентов может реализовать все этапы атаки.

5) Ущерб репутации даже при отсутствии свидетельств атаки: злоумышленники сформировали свою инфраструктуру не только для взлома, но и для публикации украденных файлов. Специально созданные Data Leak Sites (DLS), т.е. сайты с утечками, выглядят как страницы ведущих СМИ – анонсы будущих утечек, комментарии жертв, интригующие подробности, раздача полных дампов утечек, ссылки на наиболее интересные украденные документы. Вымогатели распространяют информацию об очередной утечке и жертве через различные каналы – от классических хакерских форумов до специально созданных сайтов в Darknet и каналов в мессенджерах. В результате, репутационный ущерб компании можно нанести даже без взлома – достаточно растиражировать новость о «мегаутечке» и опубликовать фейковый сэмпл, созданный из комбинаций утечек других компаний, озадачив ИБ-специалистов усиленным поиском следов никогда не осуществлявшегося взлома (и, вероятно, проведя в это неудачное для компании время реальную атаку).

Для предотвращения атак вирусов-шифровальщиков и снижения ущерба в случае успешного заражения существует ряд рекомендаций:

1) Заранее разработайте план реагирования на киберинциденты, включите в него сценарий реагирования на атаку вируса-вымогателя, подготовьте матрицы коммуникации и эскалации, будьте готовы к привлечению юридического департамента в случае утечки персональных данных и PR-службы в случае нарушения работы клиентских сервисов. Проводите регулярные тренинги, киберучения, учебные тревоги со всем персоналом компании для подготовки к оперативным действиям при атаке шифровальщика.

2) Внедрите процесс резервного копирования и восстановления данных в случае инцидента, регулярно тестируйте создаваемые бэкапы, используйте офлайн-системы резервного копирования (вирусы-шифровальщики могут удалить или зашифровать доступные из инфраструктуры бэкапы), не забывайте про защиту создаваемых резервных копий (хранение, передача, уничтожение). Для быстрого восстановления используйте заранее созданные «золотые образы» с предустановленным набором корпоративного ПО.

3) Реализуйте в инфраструктуре модель нулевого доверия (Zero Trust), включающую в себя:

- контроль учетных записей сотрудников и администраторов, включая минимизацию полномочий, реализацию ролевой или атрибутной модели управления доступом, мультифакторную аутентификацию, предоставление доступа на основе оценки рисков компрометации аккаунта, предоставление ограниченных по времени и привилегиям доступов для администраторов, аутсорсеров и подрядчиков, а также контроль их действий;

- инвентаризация и контроль устройств, подключающихся к инфраструктуре, включая проверку установленных средств защиты и отсутствие вредоносной активности на устройствах (posturing);

- сетевая микросегментация, шифрование внутреннего трафика, реализация условного сетевого доступа (conditional access), обеспечение сетевой безопасности на уровне L7 (контроль приложений);

- управление безопасной разработкой ПО, проверка устанавливаемого софта и обновлений, управление уязвимостями;

- контроль и предотвращение утечек данных, мониторинг состояния инфраструктуры, реализация процессов реагирования на киберинциденты.

4) Выстройте процесс управления уязвимостями и конфигурациями, включая сканирование периметра и внутренней инфраструктуры, поиск уязвимостей и небезопасных настроек, принятие решения по каждой уязвимости/настройке с учётом её приоритета и критичности актива. Используйте данные аналитики киберугроз, применяйте рекомендации и лучшие практики от вендоров и ИБ-компаний по защищенной настройке систем.

5) Проводите обучение персонала: сформируйте программу ИБ-обучения персонала с вводными занятиями для новых сотрудников, тренингами, регулярными семинарами, учебными тревогами и тестовыми фишинговыми рассылками. Расскажите про актуальные киберугроз, разъясните опасность вирусов-шифровальщиков, поясните порядок реагирования при обнаружении признаков заражения ransomware. Планируйте отдельные тренинги с ИТ-специалистами и топ-менеджерами, сформируйте для них релевантную программу обучения.

6) Обеспечьте безопасность взаимодействия с поставщиками и подрядчиками, включая аудит зрелости их процессов ИБ и уровень подготовки их ИБ-специалистов и команды реагирования на инциденты. Проверяйте уровень предоставляемых им прав в ваших системах, проводите аудит использования учетных записей, используйте системы класса PAM (Privileged Access Management) для контроля выполняемых ими работ, отзывайте полномочия после завершения проектов. Заключайте юридически значимые договоры о передаче конфиденциальной информации, определите зоны ответственности в случае кибератаки, получите контактные данные ИБ-специалистов со стороны контрагентов, обсудите возможность подключения их на мониторинг силами вашего или стороннего SOC.

7) Используйте рекомендации и лучшие практики по борьбе с вирусами-шифровальщиками:

- Рекомендации по защите информационной инфраструктуры компании от компьютерных атак с использованием программ-шифровальщиков от НКЦКИ;

- Рекомендации по защите от вирусов-вымогателей (Institute for Security and Technology – Blueprint for Ransomware Defense);

- Рекомендации от американского агентства CISA "Stop Ransomware Guide";

- Документы NIST:

NIST IR 8374 Rev. 1 "Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile";
NIST SP 1800-41 "Responding to and Recovering from a Cyber Attack: Cybersecurity for the Manufacturing Sector";
NIST SP 1800-25 "Data Integrity: Identifying and Protecting Assets Against Ransomware and Other Destructive Events";
NIST SP 1800-26 "Data Integrity: Detecting and Responding to Ransomware and Other Destructive Events";
NIST SP 1800-11 "Data Integrity: Recovering from Ransomware and Other Destructive Events".

8) Внедрите соответствующие СЗИ: помимо систем класса IAM (для управления учетными записями), DLP (для предотвращения утечки при эксфильтрации данных шифровальщиками) и ZTNA-решений (для реализации модели нулевого доверия), в борьбе с вирусами-шифровальщиками помогут такие продукты Security Vision, как: