Кратко. Отключите сервер от сети, ничего не удаляйте и не запускайте восстановление на оригинальных файлах. Затем ищите резервные копии: выгрузки базы, бэкапы SQL, облачные копии, старые версии на других компьютерах. Если копий нет, иногда возможно частичное восстановление — шифровальщики не всегда успевают зашифровать большой файл базы целиком. Платить вымогателям не советуем: гарантий нет, а данные часто так и не возвращаются.
Что сделать сразу
- Отключите сервер и компьютеры от сети. Шифровальщик может продолжать работу и добраться до сетевых папок и резервных копий.
- Не выключайте и не переустанавливайте систему без необходимости — это может уничтожить следы и временные файлы.
- Не запускайте тестирование и исправление базы на оригинальных файлах. Сначала — копия, все эксперименты только с ней.
- Сфотографируйте записку вымогателей и запишите расширение, которое появилось у файлов. По ним определяют тип шифровальщика.
- Позвоните тому, кто отвечает за сервер и 1С, и не пускайте в систему «знакомого программиста» до копирования файлов.
Где искать уцелевшие копии
- Выгрузки базы (.dt) — иногда их делали перед обновлениями и забыли удалить.
- Резервные копии SQL, если база клиент-серверная.
- Облачные хранилища и внешние диски, которые не были подключены в момент атаки.
- Компьютеры бухгалтеров — копии базы для отчётов, старые файловые базы.
- Облачная 1С (1С:Фреш) — если часть данных велась там, она не пострадала.
- Теневые копии Windows — шифровальщики обычно их удаляют, но проверить стоит.
Если копий нет
Шансы есть не всегда, но они есть:
- Частичное шифрование. Некоторые шифровальщики ради скорости портят только начало большого файла. Из оставшейся части иногда удаётся извлечь таблицы и восстановить существенную часть данных.
- Известный шифровальщик. Для части семейств есть бесплатные расшифровщики — проверяют по расширению файлов и записке.
- Восстановление по документам. Если база потеряна полностью, остатки и долги восстанавливают из выписок банка, ЭДО, отчётности и данных контрагентов. Это долго, но реально.
Работа с повреждённой базой — на странице «Восстановление 1С».
Как не повторить
- Закрыть удалённый доступ к серверу из интернета. Подключение — только через VPN.
- Резервные копии по правилу 3-2-1: три копии, на двух разных носителях, одна — вне офиса и не подключена постоянно.
- Проверять, что копия восстанавливается. Копия, которую ни разу не разворачивали, — это надежда, а не бэкап.
- Разграничить права. Пользователи 1С не должны иметь прав администратора на сервере.
- Обновлять систему и антивирус на сервере.
- Рассмотреть облачную 1С для небольших компаний — резервное копирование там на стороне провайдера. Подробнее — «1С:Фреш или коробка».
Частые вопросы
Стоит ли платить вымогателям?
Не советуем. Ключ могут не прислать, прислать неработающий или потребовать ещё. Кроме того, оплата финансирует следующие атаки.
Можно ли восстановить базу, если зашифрован файл 1Cv8.1CD?
Иногда — частично. Зависит от того, как шифровальщик обработал файл. Определить это можно только по копии файла, не трогая оригинал.
Сколько времени занимает восстановление?
Из рабочей резервной копии — часы. Частичное восстановление из повреждённого файла — от нескольких дней. Восстановление учёта по документам — недели.
Как понять, что резервное копирование у нас настроено правильно?
Попросите показать, где лежит последняя копия, когда её последний раз разворачивали для проверки и есть ли копия вне офиса. Если хотя бы на один вопрос нет ответа — копирование стоит перенастроить.