Утро в небольшой клинике начинается одинаково: регистратура открывает расписание, врачи смотрят, кто записан, медсёстры готовят кабинеты. В это утро администратор первым делом открывает письмо от поставщика расходных материалов: счёт во вложении, поставка задерживается, нужно подтвердить заказ. Письмо ждали, поставщик знакомый, вложение выглядит как обычная таблица.

Через несколько минут документ перестаёт открываться. Потом то же самое происходит с другими файлами на компьютере, а на рабочем столе появляется текстовый файл с требованием связаться с отправителем. К середине дня выясняется, что файлы не открываются на нескольких компьютерах, а часть общих папок исчезла — вместо документов там файлы с незнакомым расширением.

Клиника переходит на бумагу. В регистратуре появляется список записанных на день, который распечатали накануне, врачи пишут назначения от руки, медсёстры ищут в шкафах бумажные карты. Работа не останавливается полностью, но замедляется в разы, и в этом замедлении начинает копиться то, что потом будет стоить дороже любых денег: очередь пациентов, отложенные исследования, ошибки в записях.

История собирательная: клиника, люди и суммы вымышлены, но последовательность событий типична. И главное в ней не то, что данные зашифровали. Главное — что копии у клиники были, а вернуться к работе быстро она всё равно не смогла.

Утро, начавшееся с чужого счёта

Письмо не выглядело опасным. Тема деловая, отправитель знакомый, в тексте — задержка поставки и просьба подтвердить заказ. Вложение открывалось как обычный документ, и программа предложила разрешить редактирование и обновление связей. Администратор согласилась: так она делала сотни раз, потому что иначе документы с расчётами просто не открываются.

В этот момент на компьютер попала программа, которая не крадёт пароли и не показывает рекламу. Её задача — зашифровать всё, до чего она сможет дотянуться, и потребовать деньги за ключ. Такие программы называют шифровальщиками, и их отличие от прочих вирусов в том, что они не стараются остаться незамеченными. Наоборот: чем быстрее человек увидит записку, тем лучше для того, кто её оставил.

Первые минуты прошли спокойно. Никто не заметил ни нагрузки на компьютер, ни новых файлов. Шифрование идёт в фоне и не мешает работать, поэтому между открытием вложения и появлением записки проходит время, за которое программа успевает обойти всё, что ей доступно: локальные диски, общие папки, сетевые хранилища, к которым подключён компьютер.

Когда записка появилась, первой реакцией было отключить компьютер от сети. Это правильное действие, но запоздалое: к тому моменту несколько сотрудников уже открыли свои файлы из общих папок, и заражение распространилось дальше. К обеду стало ясно, что проблема не в одном компьютере, а в общей сети, и что «у нас же есть резервные копии» — это не ответ, а надежда, которую ещё нужно проверить.

Почему остановилась не программа, а работа

Клиника держится не на одной программе, а на цепочке связанных данных. В медицинской информационной системе лежит расписание приёма, в картах — история болезней и назначения, отдельно — результаты анализов, направления, счета для страховых. Уберите расписание, и регистратура не знает, кого принимать. Уберите карту, и врач не знает, что пациенту уже назначали. Уберите результаты, и приём превращается в разговор без опоры на факты.

Именно поэтому простой в клинике измеряется не в гигабайтах и не в количестве пострадавших файлов. Он измеряется в часах, которые пациенты провели в очереди, и в приёмах, которые не состоялись. Врач может работать с бумагой, но бумага хранит новые записи и не возвращает старые; она не показывает, что было назначено месяц назад, и не связывает анализ с диагнозом.

В резервном копировании есть два разных вопроса, и их постоянно путают. Первый: сколько данных мы потеряем, если восстановимся из копии, — это глубина потери. Второй: сколько времени займёт вернуться к работе — это время восстановления. Для склада важнее первый, потому что потерянные заказы можно восстановить по памяти и переписке. Для клиники важнее второй, потому что приём не может ждать, пока администратор разбирается с архивами.

Из этого следует вещь, которая кажется нелогичной: идеальная копия бесполезна, если восстанавливаться из неё сутки. Данные при этом целы, а работа стоит. И наоборот: копия, из которой можно подняться за час, но которая сделана месяц назад, означает месяц потерянных записей. Хорошая схема — это не «копия вообще», а конкретное обещание: сколько данных мы готовы потерять и за какое время обязуемся вернуться.

Бумажный режим, в который перешла клиника, это обещание не выполняет. Он позволяет не останавливать приём полностью, но не восстанавливает связи: расписание на день есть только у регистратуры, назначения пишутся от руки и потом вводятся вручную, часть пациентов приходит с результатами, которых в системе уже нет. Через несколько дней такого режима ошибки в записях становятся отдельной проблемой, и разбирать их приходится дольше, чем само заражение.

Значит, всё дело в копиях? Только отчасти. Копии у клиники были — ночные, на файловом сервере, и о них помнили как о гарантии. Проблема была в том, где эти копии лежали и что с ними стало, когда шифровальщик пошёл по сети.

Как шифровальщик добрался до копий

Вложение запустилось не само по себе. Документ попросил разрешение на редактирование и обновление связей, и человек его дал — потому что иначе документ не открывается, а работа стоит. Это не глупость и не небрежность: так устроены почти все подобные документы, и именно на эту привычку рассчитывают те, кто их рассылает.

Дальше сработало то, что в клинике было настроено удобно, а не безопасно. У администратора был доступ ко многим общим папкам сразу: сканы, направления, архив, договоры. Права выдавали «чтобы не бегать за разрешениями», и со временем доступ к общим папкам получили почти все, кому он был нужен хотя бы раз. Для работы это удобно; для шифровальщика — идеальные условия, потому что ему не нужно взламывать сервер. Он работает от имени человека, которому сервер и так доверяет.

Общие папки — это место, где лежит то, чем пользуются все. Сканы направлений, копии договоров, выгрузки для страховых, архив за прошлые годы. Шифровальщик не разбирает, что важно, а что нет: он идёт по списку доступных каталогов и шифрует всё подряд. Поэтому заражение одного рабочего места быстро превращается в заражение общих файлов, а вместе с ними — в проблему для всех отделений сразу.

Отдельная история — резервные копии. Их делали на сетевой диск, то есть в общую папку на том же файловом сервере, потому что это было просто: одна программа, одно расписание, одно место, где всё лежит. Копии писались с перезаписью, то есть каждый вечер новая версия занимала место старой. Пока всё работало, схема казалась разумной: копия есть, место не растёт, восстанавливать удобно.

Но у этой схемы был один изъян, о котором никто не думал. Сервер, на котором лежат копии, подключён к той же сети, что и рабочие компьютеры, и доступен с них как обычная папка. Для шифровальщика это не резервная копия, а ещё один каталог, который нужно зашифровать. Когда он дошёл до сервера, он зашифровал и рабочие данные, и копии, включая ту, что была сделана прошлой ночью.

Почему копия не спасла

Первая попытка восстановления выглядела обнадеживающе: копия есть, дата свежая, размер правдоподобный. Когда её открыли, выяснилось, что внутри те же зашифрованные файлы. Копия делалась вечером, а шифрование началось утром, но это не помогло: программа работала от имени администратора, у которого был доступ к папке с копиями, и зашифровала её вместе с остальными. А поскольку копия хранилась в одном экземпляре и перезаписывалась каждую ночь, другой, более ранней версии на сервере не осталось.

Пришлось искать копию, до которой шифровальщик не добрался. Такая нашлась на внешнем диске, который раз в месяц уносили из клиники и держали отдельно — как раз на случай, если с сервером что-то случится. Диск спас положение, но данные на нём были почти месячной давности. Для расписания и договоров это терпимо; для карт пациентов, где за месяц появились новые назначения и результаты, — нет.

Само восстановление тоже оказалось дольше, чем представляли. Нужно было найти свободное оборудование, поднять систему, перенести данные, проверить, что они читаются, и только потом пускать людей. Часть файлов из старой копии не открывалась: они были повреждены ещё до заражения, и об этом никто не знал, потому что копии годами делались, но никогда не проверялись.

Восстанавливать пришлось по частям. Сначала регистратуру и расписание, чтобы приём вообще мог состояться. Потом карты и назначения — то, без чего врач не может работать. Потом всё остальное: счета, архив, документы для страховых. Каждый этап занимал время, и каждый приходилось проверять вручную, потому что порядка действий на такой случай не было написано заранее.

Вот здесь и становится видно разницу между сохранностью и готовностью. Данные в итоге восстановили, но клиника потеряла несколько дней работы, часть записей за месяц и доверие пациентов, которые пришли на приём и увидели, что их карту ищут в шкафу. Копия защитила информацию от исчезновения, но не защитила клинику от простоя — потому что её никогда не проверяли и не думали, что с ней будет, если она понадобится.

Проверка восстановления выглядит несерьёзно, пока не понадобится. Раз в квартал нужно выбрать копию, развернуть её на отдельном компьютере или в тестовой папке, открыть несколько файлов и замерить, сколько времени занял путь целиком. Заодно выясняется главное: читаются ли старые записи, совпадает ли их число с ожидаемым, хватает ли мощности, чтобы система поднялась без спешки. Такой прогон стоит нескольких часов работы и даёт то, чего не даёт ни один отчёт о копировании, — знание, а не надежду.

Что делать в первые часы

Первое действие при обнаружении шифровальщика — изоляция. Заражённые компьютеры отключают от сети, общие папки закрывают, доступ к серверу блокируют. Важно не выключать машины сразу и не переустанавливать систему: пока идёт разбирательство, они остаются источником следов. Но ещё важнее другое — изоляция должна произойти раньше, чем восстановление, иначе есть шанс вернуть данные и тут же потерять их снова.

Второй шаг — восстановление из копии, которая точно не заражена. Её разворачивают в отдельном сегменте сети, проверяют на вредоносные файлы и только потом подключают к работе. Начинают с критичного минимума: то, без чего организация не может обслуживать людей. Всё остальное возвращают постепенно, и на каждом шаге проверяют, что данные читаются и что старые записи не потерялись.

Параллельно меняют пароли — все, до которых мог добраться шифровальщик, и особенно те, что были сохранены на заражённых компьютерах. Общие учётные записи, под которыми работали несколько человек, отключают и заменяют личными. Это неприятная и срочная работа, но если её пропустить, восстановление окажется временным: доступ остался, значит, заражение может повториться.

Отдельный вопрос — платить или нет. Универсального ответа здесь нет, и решение принимает руководство, а не технический специалист. Но важно понимать: оплата не гарантирует, что ключ подойдёт и что данные вернутся полностью, а сам факт платежа не отменяет обязанности уведомить о случившемся. Поэтому восстановление из проверенной копии остаётся основой, а переговоры — запасным вариантом, а не планом.

Дальше — уведомления, и тянуть с ними нельзя. Руководство клиники должно узнать всё в первые часы, юристы — сразу, потому что в медицинских данных почти всегда есть персональные данные пациентов. Закон отводит на уведомление регулятора сутки с момента, когда об инциденте стало известно, а пациентам сообщают, если затронуты их данные и права. Партнёров — лаборатории, страховые, поставщиков — предупреждают отдельно, потому что от клиники зависят их процессы.

Последний шаг — разбор, и его ценность не в поиске виноватого. Полезный разбор отвечает на другие вопросы: какое решение позволило заражению распространиться, почему копии оказались в той же сети, почему восстановление заняло столько времени и что нужно изменить, чтобы в следующий раз уложиться в часы. Ответы почти всегда ведут к одним и тем же местам: слишком широкие права, копии без изоляции и отсутствие проверки.

Главная мысль

Резервная копия защищает данные от исчезновения, но не защищает организацию от простоя. Клинике нужна не сохранность файлов как таковая, а способность вернуться к работе за понятное время — и это отдельное свойство, которое не появляется само вместе с копией. Пока инцидент не случился, разница не видна: и то и другое называют одним словом «бэкап».

Проверить его можно только одним способом: один раз пройти путь восстановления целиком, замерить время, открыть полученные файлы и записать порядок действий. Пока такая проверка не сделана, у организации есть не защита, а предположение. И ещё одно условие: копия должна лежать там, куда шифровальщик не дотянется, — вне общей сети, на отдельном носителе или в хранилище, из которого нельзя перезаписать оригинал.

Поэтому зрелость защиты измеряется не количеством копий и не размером хранилища, а ответом на вопрос: сколько часов клиника сможет работать на бумаге, пока данные возвращаются. Если ответ устраивает, значит, копия действительно есть. Если нет — значит, есть только надежда.

Что делать дальше

  • Прочитайте статью «Резервные копии»: там разобрано, как устроена копия, которая переживает шифровальщика, и как проверить восстановление.
  • Разберитесь, как такие письма попадают в почту, в материале «Пароли и фишинг».
  • Посмотрите «С чего начать», если хотите выстроить порядок действий с нуля, и загляните в словарь за терминами.