Як захистити дані від вірусів-шифрувальників

Сервер зашифровано: що робити бізнесу та як захистити дані Торгсофт

Якщо файли на сервері вже зашифровані, від'єднайте уражений комп'ютер від локальної мережі та інтернету, не підключайте до нього резервні диски й не запускайте випадкові програми для розшифрування. Зафіксуйте повідомлення зловмисників, час і перші ознаки атаки, залучіть системного адміністратора або фахівця з реагування на кіберінциденти. Відновлювати облік потрібно на очищеному чи новому сервері з останньої перевіреної копії, створеної до проникнення зловмисника. Якщо такої копії немає, повне відновлення історії обліку може бути неможливим.

У 2026 році програми-вимагачі залишаються однією з основних загроз для бізнесу. За даними Verizon Data Breach Investigations Report 2026, експлуатація вразливостей стала початковим способом проникнення у 31% підтверджених витоків даних, а програми-вимагачі були присутні у 48% випадків. Для українського бізнесу до фінансово мотивованих атак додаються цілеспрямовані руйнівні операції. У 2025 році CERT-UA опрацювала 5927 кіберінцидентів — на 37,4% більше, ніж роком раніше. Серед основних загроз були фішинг, компрометація облікових записів, атаки через постачальників, деструктивні програми та програми-вимагачі, про що йдеться в огляді національної системи кібербезпеки України за 2025 рік.

Що відбувається під час атаки

Сучасна атака часто триває довше за саме шифрування. Зловмисник отримує первинний доступ, вивчає мережу, викрадає паролі, підвищує привілеї, знаходить сервери та резервні сховища, копіює дані, а потім запускає шифрування або знищення. Через це відновлення файлів без усунення способу проникнення створює ризик повторної атаки.

В українських атаках 2025 року зловмисники цілеспрямовано пошкоджували системи віртуалізації та резервного копіювання. Для проникнення використовували вразливості постачальників, скомпрометовані VPN-акаунти без багатофакторної автентифікації та соціальну інженерію. Це підтверджує потребу захищати одночасно сервер, віддалений доступ, облікові записи та резервні сховища.

Як програма-вимагач потрапляє до бізнесу

Звернення до техпідтримки Торгсофт і публічні обговорення постраждалих повторюють однакові ситуації: усі архіви зберігалися на зараженому ПК; зовнішній диск залишався підключеним; завдання резервування давно завершувалося помилкою; хмарний акаунт не мав багатофакторного захисту; з сервера вдалося отримати лише застарілий файл .mdf. У відкритому українському обговоренні резервування користувачі також описують втрату одночасно основних файлів і доступних копій та захоплення Google-акаунта без двоетапної перевірки. Такі повідомлення є описами окремих випадків; технічні рекомендації нижче спираються на NIST, CISA, NCSC, Microsoft і CERT-UA.

Що робити, якщо сервер уже зашифровано

Перші 15 хвилин

1. Ізолюйте уражений комп'ютер. Вийміть мережевий кабель, вимкніть Wi-Fi та від'єднайте його від VPN. Від'єднайте від мережі інші комп'ютери, на яких з'являються ті самі ознаки.
2. Зупиніть поширення. Системний адміністратор має заблокувати скомпрометовані облікові записи, активні віддалені сеанси, доступ до спільних папок і підозрілий зовнішній трафік.
3. Не підключайте резервні носії. Призупиніть автоматичну синхронізацію та резервні завдання, якщо вони можуть переписати справну копію пошкодженими даними.
4. Не видаляйте сліди. Сфотографуйте повідомлення про викуп, запишіть розширення зашифрованих файлів, час виявлення, останні дії користувачів і відомі збої. Не перейменовуйте файли та не запускайте невідомі дешифратори.
5. Якщо шифрування триває і мережево ізолювати пристрій неможливо, вимкніть його. За наявності фахівця з цифрової криміналістики рішення про вимкнення краще погодити з ним, оскільки оперативна пам'ять може містити корисні докази.

Протягом першої години

1. Призначте відповідального за інцидент. Він фіксує час, рішення, залучених осіб, уражені пристрої та стан резервних копій.
2. Залучіть фахівця з реагування. Звичайного сканування антивірусом недостатньо для перевірки, чи залишилися сторонні акаунти, служби, завдання, ключі доступу або інші механізми повторного входу.
3. Змініть паролі з гарантовано чистого пристрою. Почніть з адміністраторів, пошти, VPN, сервісів віддаленого доступу, Google-акаунта з архівами та кабінетів хмарного провайдера. Завершіть активні сесії й перевидайте ключі доступу.
4. Перевірте весь контур. До переліку входять сервер, робочі станції, каси, маршрутизатор, мережеві сховища, пошта, хмарні кабінети та комп'ютери підрядників, які підключалися віддалено.
5. Повідомте про інцидент. Інформацію про шкідливий вміст можна передати через форму на сайті CERT-UA. Заяву про кіберзлочин можна подати через систему електронних звернень Кіберполіції. Якщо могли витекти персональні, платіжні чи договірні дані, окремо оцініть юридичні та договірні обов'язки щодо повідомлення.

Як перевірити можливість розшифрування

Збережіть копії зашифрованих даних, повідомлення про викуп і кілька пар «зашифрований файл — його справний оригінал», якщо вони є. Сервіс Crypto Sheriff допомагає визначити сімейство програми-вимагача та перевірити наявність безплатного дешифратора. Працювати потрібно з копією даних під контролем фахівця. Нові ключі інколи з'являються пізніше, тому зашифровані файли доцільно зберегти навіть за відсутності рішення зараз.

Як відновити Торгсофт після атаки

1. Підготуйте чисте середовище. Використайте новий комп'ютер або перевстановіть Windows на скомпрометованому сервері після фіксації потрібних доказів. Встановіть усі оновлення безпеки, налаштуйте захист і віддалений доступ.
2. Знайдіть останню справну копію. Перевірте хмарний архів, від'єднані диски, копії в іншому приміщенні та інші сховища. Дата архіву визначає, скільки операцій доведеться відновлювати вручну.
3. Перевірте копію до розгортання. Архів має відкриватися, відповідати очікуваному розміру й даті та пройти перевірку на шкідливе програмне забезпечення. Відновлення потрібно виконувати в ізольованому середовищі.
4. Зверніться до техпідтримки Торгсофт. Після підготовки безпечного сервера та справного архіву спеціалісти допоможуть встановити програму й розгорнути базу.
5. Перевірте облік. Звірте дату останніх продажів, залишки, касові документи, рухи товару, користувачів, шаблони та фотографії. Зафіксуйте втрачений період і план його відновлення з первинних документів.

Перенесення на орендований сервер також потребує справної бази або архіву. Нове середовище відновлює можливість працювати надалі, а облікові дані за минулий період відновлюються лише з наявної копії.

Чому копія на тому самому сервері не захищає

NCSC рекомендує відокремлювати керування резервним сховищем від основної мережі, використовувати окремі адміністративні облікові дані, багатофакторну автентифікацію для руйнівних дій, від'єднані носії або незмінювані копії та зберігати попередні версії протягом визначеного строку.

Практична схема резервування для магазину

Для малого й середнього бізнесу придатна модель 3–2–1–1–0:

• 3 копії даних: робоча база та щонайменше дві резервні копії;
• 2 різні середовища: наприклад, локальний диск для швидкого відновлення та хмарне сховище;
• 1 копія поза основним приміщенням або сервером;
• 1 копія офлайн або в незмінюваному сховищі;
• 0 неперевірених помилок: журнали резервування контролюють, відновлення регулярно тестують.

Як налаштувати автоматичну копію на захищений диск

1. Виділіть носій лише для резервування. На ньому не зберігають робочі документи й не запускають програми.
2. Не тримайте носій постійно підключеним. Диск підключають на час контрольованого копіювання, коректно від'єднують після завершення та зберігають окремо.
3. Використовуйте ротацію щонайменше двох дисків. Поки один носій отримує нову копію, інший залишається від'єднаним в іншому безпечному місці.
4. Обмежте права. Звичайні користувачі та касири не повинні мати права видаляти резервні копії. Облікові дані резервування не використовують для щоденної роботи.
5. Захистіть дані на носії шифруванням. Ключ відновлення зберігайте окремо від сервера й самого диска.
6. Автоматизуйте контроль. Відповідальна особа отримує сповіщення про помилку, щодня перевіряє дату останньої копії та доступне місце.
7. Тестуйте відновлення. Щомісяця перевіряйте відкриття свіжого архіву в ізольованому середовищі; щокварталу проводьте повне тестове відновлення з фіксацією часу й результату.

Автоматичне резервування на диск не має завершуватися підключенням носія на весь день. Якщо процес неможливо організувати дисципліновано, доцільне сховище з незмінюваними версіями та окремим керуванням.

Як налаштувати «Хмарний архів даних» у Торгсофт

Хмарний архів даних | Ліцензія на 1 рік автоматично створює архів бази даних або каталогу програми Торгсофт і надсилає його до Google Drive за розкладом. Копії зберігаються у папці TORGSOFT_CLOUD. Для синхронізації фотографій використовується окрема папка TORGSOFT_CLOUD_SYNC.

1. Створіть окремий Google-акаунт для архівів. Не використовуйте особистий акаунт працівника. Власник бізнесу має контролювати засоби відновлення доступу.
2. Увімкніть багатофакторну автентифікацію. Перевагу варто надати ключу доступу або апаратному ключу безпеки. Збережіть резервні коди офлайн.
3. Не встановлюйте на сервер клієнт синхронізації Google Drive для цієї папки. Хмарний архів має залишатися окремим від звичайних дисків і мережевих папок Windows.
4. Активуйте опцію. У Торгсофт відкрийте Налаштування → Завдання за розкладом → Архівування в хмарне сховище.
5. Додайте завдання. Оберіть тип: архів бази даних, каталог з програмою або синхронізація фотографій. Для повноцінного відновлення зазвичай потрібні окремі завдання для бази й важливих робочих файлів.
6. Укажіть строк зберігання. Залишайте кілька копій за різні дати. За потреби активуйте переміщення застарілих архівів до кошика замість остаточного видалення.
7. Увімкніть стиснення архіву бази. Це зменшує обсяг передавання та використання місця у сховищі.
8. Налаштуйте щоденний розклад. Час локальної та хмарної архівації не повинен збігатися. Якщо локальний архів створюється о 17:00, хмарне завдання встановіть не раніше 17:10. Між кількома хмарними завданнями залишайте щонайменше 20 хвилин.
9. Авторизуйте Google-акаунт, активуйте завдання та збережіть його. Не додавайте особисті файли до TORGSOFT_CLOUD, оскільки програма застосовує до цієї папки налаштований строк зберігання.
10. Перевірте результат. Перегляньте лог виконання, переконайтеся, що свіжий архів з'явився у Google Drive, а потім виконайте тестове відновлення.

Хмарний архів розміщує копію поза сервером і знижує ризик одночасної втрати робочої бази та локальних архівів. Його стійкість залежить від захисту Google-акаунта, строку зберігання, контролю помилок та доступів до хмари. Для критичних даних зберігайте додаткову офлайн- або незмінювану копію.

Як захистити Windows-сервер з Торгсофт

Сервером у цьому матеріалі вважається Windows-комп'ютер, на якому зберігається база Торгсофт. Навіть якщо це звичайний ПК у магазині, для нього потрібен режим виділеного сервера.

Microsoft у рекомендаціях для SQL Server окремо наголошує на захисті RDP, закритті портів брандмауером, своєчасних оновленнях, мінімізації встановлених інструментів і зберіганні резервної копії так, щоб спільний адміністратор не міг її видалити. Для Windows Microsoft також рекомендує багатофакторний вхід, захист від втручання, правила зменшення поверхні атаки та швидке встановлення критичних оновлень.

Мінімальний план захисту на 30 днів

Короткі відповіді на запитання клієнтів

Сервер і всі архіви зашифровані. Чи може Торгсофт витягнути базу?

Тільки якщо залишився справний архів або цілісний файл бази. Техпідтримка не має універсального засобу для розшифрування даних, уражених програмою-вимагачем.

Зберігся файл .mdf. Чи можна відновити роботу?

Фахівці можуть перевірити можливість підключення. Файл має бути цілісним і містити актуальні дані. Якщо він створений кілька місяців тому, облік після цієї дати буде відсутній.

Чи допоможе перехід на орендований сервер?

Він дає нове середовище для подальшої роботи. Історія обліку переноситься зі справної бази або архіву, тому спочатку потрібно знайти придатну копію.

Чи достатньо «Хмарного архіву даних»?

Для базового захисту це важливий рівень. Для критичних даних додайте окрему офлайн- або незмінювану копію, багатофакторний захист Google-акаунта, контроль журналів і регулярне тестове відновлення.

Як часто робити архів?

Частота залежить від кількості операцій і допустимої втрати. Для активного магазину щоденна копія є мінімумом. Якщо втрата робочого дня неприйнятна, потрібен частіший графік, погоджений з ІТ-фахівцем і техпідтримкою Торгсофт.

Чи можна після атаки очистити сервер антивірусом і продовжити роботу?

Цього недостатньо для надійного відновлення. Зловмисник міг створити додаткові акаунти, завдання, служби та приховані канали доступу. Безпечний підхід передбачає розслідування, усунення способу проникнення та розгортання на чистій системі.