Първият час след кибератака: план за реакция при инцидент

Понеделник, 8:40 ч. Първият служител в офиса включва компютъра си и вижда червен екран: „Вашите файлове са криптирани. Платете в биткойни до 48 часа.“ Пет минути по-късно звъни колежка: и нейният компютър е такъв. Междувременно клиент пише, че е получил от вашата фирмена поща странен линк „към фактура“. Паниката започва — и точно в тези минути се вземат решенията, които определят дали инцидентът ще струва ден работа или месеци загуби.

Ако се питате какво да правя при хакерска атака, отговорът е: следвайте предварително подготвен план. В тази статия ще минем стъпка по стъпка през първия час, следващите 72 часа и времето след инцидента, а накрая ще ви покажем как да напишете собствен едностраничен план за реакция при инцидент.

Какво да правя при хакерска атака: първият час

Първият час не е за разследване, а за ограничаване на щетите и запазване на доказателствата. Ето последователността, която препоръчваме.

Стъпка 1: Спрете за минута и запишете

Паниката води до прибързани действия — рестартиране, изтриване, плащане. Поемете дъх и започнете да записвате: точен час, кой какво е забелязал, кои компютри са засегнати. Снимайте екрана с бележката за откуп с телефон. Тези бележки ще са безценни по-късно — за IT специалиста, за застрахователя и за полицията.

Стъпка 2: Изолирайте устройствата, но не ги изключвайте

Целта е заразата да не се разпространи към други компютри, сървъра или NAS устройството с архива.

• Извадете мрежовия кабел и изключете Wi-Fi на засегнатите компютри
• Ако не знаете кои са засегнати, изключете офиса от интернет на ниво рутер
• Откачете външните дискове и USB устройствата
• Не изключвайте захранването, освен ако IT специалистът ви не каже друго — паметта на работещия компютър може да съдържа следи, а понякога и ключове, които помагат при разследването и възстановяването

Стъпка 3: Обадете се на вашия IT специалист

Колкото по-рано се включи човек с опит, толкова по-малко са щетите. Затова номерът трябва да е записан на хартия — ако компютрите и пощата не работят, контактите в Outlook няма да ви помогнат. Опишете какво виждате и следвайте указанията.

Стъпка 4: Не плащайте и не преговаряйте прибързано

Плащането на откуп не гарантира, че ще получите работещ ключ, че данните няма да бъдат публикувани или че няма да бъдете атакувани отново. Не отговаряйте на нападателите, докато не сте оценили ситуацията със специалист. Първо трябва да се разбере дали имате чист архив и дали за конкретния вид ransomware не съществува безплатен декриптор — проектът No More Ransom събира такива инструменти.

Стъпка 5: Сменете паролите — от чисто устройство

Ако пощата е компрометирана и праща фишинг, действайте бързо, но от компютър или телефон, за който сте сигурни, че не е засегнат.

• Сменете паролата на засегнатия акаунт и прекратете всички активни сесии
• Проверете дали нападателят не е добавил свой телефон или приложение за двуфакторна защита
• Проверете правилата в пощенската кутия — нападателите често създават препращане навън или правила, които скриват писма
• Сменете паролите на администраторските акаунти и на системите, до които засегнатият потребител има достъп

Стъпка 6: Запазете доказателствата и логовете

Изкушението е голямо — „да преинсталираме и да забравим“. Но преинсталацията унищожава следите, по които се разбира как са влезли нападателите и какво са взели. Без тази информация рискувате да бъдете атакувани отново по същия път.

• Не изтривайте бележката за откуп и подозрителните имейли
• Експортирайте логовете от защитната стена, сървъра и облачните услуги (например одитния лог на Microsoft 365, ако е бил включен)
• Отбележете кои архиви са засегнати и кои изглеждат чисти

Стъпка 7: Уведомете хората, които трябва да знаят

Вътрешно — ръководството и служителите, с ясна инструкция какво да правят и какво не (например да не ползват засегнатата поща). Ако от вашия адрес са изпратени фишинг писма, предупредете клиентите по друг канал — телефон или нова поща. Ако има превод към измамна сметка, обадете се на банката веднага — колкото по-бързо, толкова по-голям шанс за спиране на плащането.

Следващите 24–72 часа: обхват, възстановяване и задължения

След като ситуацията е овладяна, започва по-спокойната, но също толкова важна работа.

Определете обхвата

Заедно с IT специалиста установете кои устройства, акаунти и данни са засегнати, откога нападателят е вътре и дали са изнесени данни. Много съвременни ransomware атаки първо копират информацията и едва след това я криптират.

Почистете и възстановете от чист архив

Засегнатите компютри се почистват или преинсталират, а данните се възстановяват от архив — след като е проверено, че самият архив не е заразен. Възстановявайте по приоритет: първо счетоводството и системите, без които фирмата не може да работи. Тук ясно се вижда стойността на добре направеното архивиране на данни с поне едно копие офлайн. Ако архив няма, разгледайте какви са реалните шансове при възстановяване на загубени данни.

Законови задължения: КЗЛД, NIS2 и полиция

• GDPR и КЗЛД: ако са засегнати лични данни (на клиенти, пациенти, служители), администраторът трябва да уведоми Комисията за защита на личните данни без ненужно забавяне и не по-късно от 72 часа, след като е разбрал за нарушението — освен ако не е вероятно то да породи риск за хората. КЗЛД предоставя формуляр на сайта си. Ако рискът за засегнатите е висок, трябва да уведомите и тях.
• Закон за киберсигурността (NIS2): след промените от февруари 2026 г. кръгът от задължени организации е значително по-широк. Ако вашата фирма попада в обхвата му, важат отделни, по-кратки срокове — ранно предупреждение до 24 часа за значителен инцидент.
• Полиция: подайте сигнал до дирекция „Киберпрестъпност“ към ГДБОП (онлайн през cybercrime.bg) или в най-близкото районно управление.
• Застраховател: ако имате киберзастраховка, уведомете застрахователя възможно най-рано — полиците често изискват това.

Юридическата преценка дали и кого трябва да уведомите е добре да се направи с юрист или длъжностното лице по защита на данните.

След инцидента: поуки и затягане на защитата

Когато всичко отново работи, съберете участниците и отговорете честно на няколко въпроса: как влязоха нападателите, кога го разбрахме, какво проработи и какво — не. След това превърнете отговорите в конкретни действия:

• Включете двуфакторна защита навсякъде, където липсва
• Обновете софтуера и затворете уязвимостта, през която е станал пробивът
• Проверете и тествайте архива
• Проведете обучение — повечето атаки започват с имейл, затова споделете с екипа 10-те начина да разпознаем фишинг имейл
• Обновете плана за реакция с наученото

Как да напишете едностраничен план за реакция при инцидент

Не ви трябва 50-странична документация. За малка фирма е достатъчна една страница, която всеки може да прочете за две минути. Ето какво трябва да съдържа.

Роли

Кой обявява инцидента, кой се обажда на IT, кой говори с клиентите и медиите, кой взема решението за уведомяване на КЗЛД. Посочете и заместник за всяка роля — инцидентите не чакат някой да се върне от отпуск.

Контакти — отпечатани на хартия

IT поддръжка, управител, счетоводител, юрист, банка, застраховател, доставчик на интернет. Разпечатайте списъка и го дръжте на достъпно място в офиса и у дома на ключовите хора.

Дърво на решенията

Прости правила „ако — тогава“: ако се появи бележка за откуп — изолирай и звънни на IT; ако пощата праща фишинг — смени паролата от чисто устройство и предупреди клиентите; ако има превод към непозната сметка — звънни на банката.

Процедура за възстановяване от архив

Къде са архивите, кой има достъп до тях, в какъв ред се възстановяват системите и колко време отнема това. Ако никога не сте правили пробно възстановяване, не знаете дали архивът работи.

Шаблони за комуникация

Кратки, предварително написани съобщения до служителите, до клиентите и до КЗЛД. В стресова ситуация е много по-лесно да попълните готов шаблон, отколкото да пишете от нулата.

Настолно упражнение

Веднъж годишно съберете екипа за час и минете през сценарий: „Понеделник сутрин, екраните показват искане за откуп — какво правим?“ Така ще откриете празнините в плана, преди да са ви стрували пари.

Чеклист: реакция при кибератака

• Записан е точният час и какво е забелязано, екранът е заснет
• Засегнатите устройства са изключени от мрежата, но не и от захранването
• Външните дискове и архивите са откачени
• IT специалистът е уведомен
• Не е платен откуп и няма прибързани преговори
• Паролите са сменени от чисто устройство, сесиите са прекратени
• Логовете и доказателствата са запазени
• Банката е уведомена при съмнение за измамен превод
• Преценено е уведомяване на КЗЛД в рамките на 72 часа
• Подаден е сигнал до ГДБОП или полицията
• Възстановяването е от проверено чист архив
• Проведен е анализ на поуките и планът е обновен

Често задавани въпроси

Трябва ли да платя откупа при ransomware?

Препоръката на специалистите и органите е да не плащате. Плащането не гарантира възстановяване на данните, не пречи на нападателите да публикуват откраднатата информация и финансира следващите атаки. Преди всяко решение се консултирайте с IT специалист и проверете дали имате чист архив.

Трябва ли да изключа компютъра при кибератака?

Изключете го от мрежата — кабел и Wi-Fi, — но не спирайте захранването, освен ако IT специалистът не ви посъветва друго. Работещият компютър пази в паметта си следи, полезни за разследването. Изолирането спира разпространението, без да унищожава доказателствата.

Кога трябва да уведомя КЗЛД?

Когато инцидентът засяга лични данни и има вероятност да породи риск за правата на хората. Уведомлението се подава без ненужно забавяне и не по-късно от 72 часа, след като сте разбрали за нарушението. Ако към този момент нямате пълната информация, подайте първоначално уведомление и го допълнете по-късно.

Къде да подам сигнал за кибератака в България?

Сигнал се подава до дирекция „Киберпрестъпност“ към ГДБОП — онлайн през сайта cybercrime.bg или на място, — както и в най-близкото районно управление на МВР. При измамни преводи уведомете и банката си незабавно.

Подгответе плана, преди да ви потрябва

Най-добрият момент да напишете план за реакция при инцидент е днес — докато всичко работи. SNM Support помага на малки и средни фирми в София да подготвят план, съобразен с техните системи, да настроят архиви и защити, които правят инцидентите по-редки и по-безболезнени, и реагира, когато нещо все пак се случи — като част от нашата абонаментна IT поддръжка.

При спешен случай се обадете директно на +359 88 273 6921. За подготовка на плана заявете безплатна първоначална консултация през страницата за контакт.