Короткий ответ
При подозрении изолируйте затронутое устройство, сообщите ответственным и сохраните доказательства. Не подключайте резервный диск к заражённой системе и не начинайте хаотично удалять файлы до определения масштаба.
Профилактика
Обновления, минимальные права, фильтрация почты и отдельные резервные копии уменьшают вероятность и ущерб. Копия должна быть недоступна для обычной учётной записи заражённого устройства.
Выкуп
Оплата не гарантирует ключ, полное восстановление или удаление похищенных данных и может иметь юридические ограничения. Решение требует специалистов и руководства.
Возврат к работе
Восстанавливайте только после устранения точки входа, смены скомпрометированных данных и проверки копий. Иначе инцидент повторится.
Чек-лист действий
- Изолируйте устройство.
- Сообщите ответственным или специалисту.
- Сохраните записку и журналы.
- Проверьте недоступность резервных копий для заражения.
- Восстанавливайте из проверенной точки.
Что часто делают неправильно
- Подключать backup к заражённой системе.
- Платить без консультации и плана.
- Скрывать инцидент от организации.
- Возвращать систему без устранения причины.