Украли базу 1С: пошаговый план действий

Кража базы 1С — это не только потеря файла с данными. В руках посторонних оказываются контрагенты, цены, зарплаты сотрудников, договоры, банковские реквизиты и история сделок. Такой утечкой могут воспользоваться конкуренты, мошенники или недобросовестные бывшие сотрудники, поэтому действовать нужно быстро и по плану, а не хаотично.

Под «кражей» понимают разные ситуации: сотрудник скопировал базу на флешку перед увольнением, злоумышленник получил доступ к серверу или облачному хранилищу, украли ноутбук с файловой базой, вирус-шифровальщик заблокировал данные и требует выкуп. От сценария зависят первые шаги, но общая логика одна: зафиксировать факт, отсечь доступы, восстановить работу из резервной копии и оценить юридические последствия.

Важно не паниковать и не пытаться «тихо» разобраться, удаляя следы или переустанавливая всё подряд. Преждевременные действия могут уничтожить доказательства, которые понадобятся для разбирательства, и одновременно затруднят восстановление данных.

Шаг 1. Зафиксируйте факт и оцените масштаб

Первое действие — документирование. Сделайте скриншоты, сохраните журналы регистрации 1С, логи сервера, записи систем видеонаблюдения, переписку. Зафиксируйте дату и время обнаружения пропажи. Если база была на сервере — не перезагружайте его и не чистите логи: они понадобятся для понимания, кто и когда получал доступ.

Определите, что именно украдено: полная копия базы (файл 1Cv8.1CD или выгрузка .dt), отдельные отчёты и выгрузки в Excel, архивы резервных копий или доступ к рабочему облачному аккаунту. От этого зависит объём скомпрометированной информации и дальнейшие действия.

Составьте список данных, которые могли утечь: персональные данные сотрудников и клиентов, банковские реквизиты, цены и условия договоров, коммерческая тайна. Этот перечень понадобится и для внутренней оценки рисков, и для возможного заявления в правоохранительные органы.

Шаг 2. Отсеките доступы и остановите утечку

Смените пароли всех учётных записей 1С, начиная с администраторов. Если используется связка с доменной аутентификацией — сбросьте пароли и в Active Directory. Отдельно проверьте пароли на сервере СУБД (MS SQL, PostgreSQL), на файловом сервере, в облачных хранилищах и в почтовых аккаунтах, связанных с обменом данными.

Заблокируйте учётные записи уволенных и подозреваемых сотрудников, отзовите VPN-доступы, ключи RDP и токены интеграций. Проверьте настроенные обмены: синхронизация с сайтом, банк-клиент, обмен между базами — через них данные могут продолжать утекать даже после смены основных паролей.

Если атака идёт прямо сейчас (например, активный шифровальщик или открытый чужой сеанс) — отключите сервер от сети физически. Работа компании встанет, но это дешевле, чем потеря резервных копий, которые шифровальщики часто уничтожают в первую очередь.

Шаг 3. Восстановите работу из резервной копии

Если база украдена, но рабочая копия на месте — восстановление не требуется, достаточно сменить доступы. Если данные повреждены или зашифрованы — разворачивайте последнюю проверенную резервную копию. Перед развёртыванием убедитесь, что сама копия не заражена: проверьте её антивирусом на изолированной машине.

После восстановления определите «дыру» между датой копии и текущим моментом. Документы за этот период придётся вводить вручную по первичке: накладным, счетам, выпискам. Заранее предупредите бухгалтерию и менеджеров, какой период подлежит восстановлению, чтобы избежать дублей.

Проверьте целостность восстановленной базы: выполните тестирование и исправление в конфигураторе (в режиме проверки логической и ссылочной целостности), сверьте обороты по ключевым счетам и остатки по складам с данными, которые есть на бумаге или в смежных системах.

1. 1
   Изолируйте сервер и зафиксируйте логи до любых изменений
2. 2
   Смените пароли 1С, СУБД, серверов и облачных сервисов
3. 3
   Разверните последнюю проверенную резервную копию на чистой системе
4. 4
   Выполните тестирование и исправление базы в конфигураторе
5. 5
   Сверьте остатки и обороты, восстановите документы за период после даты копии
6. 6
   Верните пользователей в работу с новыми учётными данными

Шаг 4. Юридические действия и уведомления

Кража базы данных может квалифицироваться как неправомерный доступ к компьютерной информации (ст. 272 УК РФ), а если данные использовали в коммерческих целях — возможны и другие составы. Подайте заявление в полицию, приложив зафиксированные доказательства: логи, скриншоты, акт о пропаже. Даже если шансы найти виновного невысоки, заявление фиксирует факт инцидента и защищает вас при возможных претензиях третьих лиц.

Если утекли персональные данные сотрудников или клиентов, у компании возникает обязанность уведомить Роскомнадзор об инциденте — по закону о персональных данных это нужно сделать в установленные сроки (как правило, в течение 24 часов после обнаружения, затем — уточнённое уведомление с результатами внутреннего расследования). Просрочка или сокрытие инцидента грозит отдельным штрафом.

Если украденная база содержит сведения, составляющие коммерческую тайну, проверьте, был ли в компании введён режим коммерческой тайны: NDA с сотрудниками, грифы на документах, регламент доступа. Без этого доказать нарушение в суде заметно сложнее.

Шаг 5. Найдите канал утечки

Без устранения причины все остальные меры бессмысленны. Типовые каналы: съёмные носители без контроля, личные облачные хранилища и почта, доступ «по старой памяти» у уволенных сотрудников, слабые пароли администраторов, открытый RDP-порт на сервере, заражённый вирусом компьютер бухгалтера.

Проанализируйте журнал регистрации 1С: кто делал выгрузки данных, входы в нерабочее время, сеансы с незнакомых адресов. На файловом сервере проверьте логи доступа к папке с базой и к каталогу резервных копий — копии крадут чаще, чем рабочую базу, потому что это незаметнее.

Маршрут решения

Как выбрать действие

В логах видны выгрузки конкретного сотрудника перед увольнениемЗафиксируйте доказательства, привлеките юриста и подайте заявление; проверьте, что у него отозваны все доступы

Обнаружен внешний IP в сеансах и слабые паролиЗакройте внешний доступ, включите VPN и двухфакторную аутентификацию, проведите аудит учётных записей

Сервер зашифрован вымогателемИзолируйте сеть, восстанавливайтесь из офлайн-копии, проверьте всю инфраструктуру на заражение перед подключением

Украден ноутбук с файловой базойСмените все пароли, уведомьте о возможной утечке персональных данных, переведите базу на сервер с контролем доступа

Шаг 6. Защититесь от повторения

Настройте регулярное резервное копирование по правилу: минимум одна копия хранится изолированно от рабочей сети (офлайн или в отдельном облачном аккаунте с другими учётными данными). Периодически проверяйте восстановление из копий — непроверенная копия в критический момент может оказаться битой.

Сократите права до необходимого минимума: выгрузка базы и доступ к конфигуратору — только у администраторов, пароли администраторов — индивидуальные, а не общие. Включите двухфакторную аутентификацию там, где она поддерживается, закройте прямой доступ к серверу из интернета, используйте VPN.

Оформите документарную часть: NDA с сотрудниками, регламент работы с данными, процедуру увольнения с обязательным отзывом доступов в день увольнения. Технические меры без организационных работают плохо — большинство утечек происходит через людей, а не через взлом.

Частые вопросы

Можно ли узнать, кто именно скопировал базу 1С?

Частично — да. Журнал регистрации фиксирует сеансы и некоторые действия пользователей, логи файлового сервера показывают доступ к файлам, а средства контроля USB-устройств — подключение флешек. Но если копирование делалось с правами администратора или логи были очищены, установить виновного технически сложно — тогда решающее значение имеют косвенные доказательства и расследование.

Стоит ли платить выкуп шифровальщику за расшифровку базы?

Нет. Оплата не гарантирует получение ключа: известны случаи, когда после оплаты данные не возвращали или ключ оказывался нерабочим. Кроме того, оплата финансирует дальнейшие атаки и маркирует вас как «платящую» жертву. Правильный путь — восстановление из изолированной резервной копии после зачистки инфраструктуры.

Уволившийся сотрудник унёс копию базы клиентов. Что можно сделать?

Зафиксируйте доказательства (логи выгрузок, переписку, свидетелей), проверьте, подписывал ли он NDA и ознакомлен ли с режимом коммерческой тайны. С этими документами обращайтесь к юристу: возможны заявление в полицию и гражданский иск о возмещении убытков. Параллельно предупредите ключевых клиентов о возможных звонках от конкурентов, если это уместно.

Обязательно ли уведомлять Роскомнадзор, если украли базу с зарплатами?

Да. Зарплатные данные — это персональные данные сотрудников, а их утечка — инцидент, о котором оператор обязан уведомить регулятора в установленные сроки. Уведомление подаётся даже если утечка произошла по вине конкретного сотрудника, а не из-за внешнего взлома.

Как проверить, что резервная копия пригодна для восстановления?

Только практическим развёртыванием: периодически восстанавливайте копию на тестовой машине, запускайте тестирование и исправление в конфигураторе и сверяйте контрольные цифры (остатки по счетам, количество документов за последний месяц). Сам факт наличия файла копии ничего не гарантирует — бэкап может быть битым или устаревшим.

Файловая база на общем сетевом диске — это риск?

Да, серьёзный. Любой пользователь с доступом к сетевой папке может скопировать файл 1Cv8.1CD целиком, и это почти не оставляет следов в журнале регистрации. Переведите базу на клиент-серверный вариант или хотя бы ограничьте доступ к папке на уровне файловой системы и включите аудит доступа к файлам.