Нас атаковал вирус-вымогатель — что мы сделали в первые 24 часа и в чем ошиблись?

Подключать NAS как обычный сетевой диск с буквой в Windows — грубейшая ошибка сисадмина. Хранилище резервных копий должно быть полностью отвязано от Active Directory, работать под отдельной сервисной учеткой и быть настроено в режиме неизменяемости (immutable / WORM).

Ни в коем случае не затягивайте со сроком уведомления KVKK — у вас ровно 72 часа. Даже если еще не знаете, слили данные наружу или нет, заполняйте форму на сайте и подавайте предварительное уведомление, иначе потом прилетят космические штрафы, даже если инфраструктуру поднимете.

Прежде чем накатывать этот 16-дневный офлайн-бэкап, обязательно поднимите все системы с нуля на чистую. Злоумышленники обычно проникают в сеть и сидят там тихо недели 2–3 до старта шифрования. Если они уже были внутри на момент создания того бэкапа, то сразу после восстановления вы снова окажетесь с зашифрованными данными.

Мы через это прошли два года назад в текстильной компании на 120 человек. Коллеги по цеху в панике заплатили выкуп: дешифратор прислали битый половину базы так и не восстановили, просто выкинули деньги на ветер. Никогда не идите на переговоры. Как бы ни было больно безопаснее всего откатиться на чистый бэкап и вбить утерянное вручную.

У нас тогда выпали данные по счетам и накладным за 10 дней. Командой из 8 человек 4 дня круглосуточно заносили всё в систему заново по бумажкам. По прямым затратам на сверхурочные и потере оборота вышло около 350.000 TL, зато вымогателям ни копейки не отдали.

Пока читал, аж заново пережил весь этот стресс сочувствую от души. Не будь того внешнего диска в сейфе — хоть компанию закрывай. Можно сказать легко отделались.

Краткий чек-лист на случай подобного ЧП: 1) Физически изолировать сеть, но питание серверов не рубить, 2) Ни в коем случае не подключать офлайн-бэкапы к текущей сети, 3) Не разворачивать бэкапы, пока не найдена и не закрыта дыра во входе, 4) Подать официальные уведомления в KVKK и профильные инстанции.

мапить нас как обычный сетевой диск на компе — классическая ошибка мелкого бизнеса увы... мы когда так же влетели, сразу перешли на неизменяемые бэкапы (immutable backup) в облаке, только тогда спать нормально стали.

верно.

Я долго занимался этим вопросом. Если разрыв в днях между оборачиваемостью дебиторки и кредиторки растёт, выручка вас не спасёт.

Мне тоже интересно.

Дешевый на вид путь обычно выходит дороже в итоге. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Я бы пошел этим путем.

Самое упускаемое из вида в теме вирус вымогатель: Как только вы зависите от одного клиента, цену диктуете уже не вы.

Если не зафиксировать это письменно с самого начала, потом возникнут споры. Оставлю как заметку, пригодится.

Прочитал этот ответ и выдохнул: значит, проблема не только у меня. Сокращение собственной зарплаты — временная мера; если затянуть на полгода, что-нибудь сломается.

Если напишете результат здесь, это поможет и другим.

Буду отстаивать обратное, не обижайтесь. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Я бы пошел этим путем.

На это стоит обратить внимание. ну когда пытаешься изменить всё сразу ничего не приживается.

При принятии решений записывайте и худший сценарий а не только лучший.

Я сталкивался с тем же.

У меня та же ситуация, поэтому и спрашиваю. Когда пытаешься изменить всё сразу, ничего не приживается.

Пишите если есть вопросы, отвечу по мере возможности.