Кібератаки на бізнес: 10 базових заходів захисту

Кібератаки давно перестали бути проблемою лише держави й великих корпорацій. За оглядом Національного координаційного центру кібербезпеки, у 2025 році CERT-UA опрацювала 5927 кіберінцидентів — на 37,4% більше, ніж роком раніше. Серед найчастіших цілей — не лише державні органи й енергетика, а й охорона здоров’я, ІТ, електронні комунікації, транспорт і логістика.

Більшість атак починається з кількох типових кроків. Нижче — як саме атакують компанії і десять базових заходів, які закривають ці кроки.

Як атакують бізнес

За оглядом, основними векторами початкового проникнення у 2025 році були соціальна інженерія, експлуатація вразливостей, скомпрометовані облікові записи RDP і VPN, атаки через ланцюги постачання та неліцензійне ПЗ із вбудованими бекдорами. На практиці це виглядає так:

• Фішинг під контрагента. Листи, що імітують листування з партнерами: рахунки, договори, платіжні інструкції. Мета — доступ до системи дистанційного банківського обслуговування й несанкціоновані платежі. Такі листи часто надсилають зі зламаних скриньок реальних компаній, а шкідливі файли ховають в архіви з паролем, образи дисків або посилання на легальні хмарні сервіси.
• Персоналізований фішинг і месенджери. Зловмисники видають себе за керівника, колегу чи держустанову, використовують справжні імена й посади. Дедалі частіше спершу дзвонять, а потім надсилають файл у месенджер.
• Викрадені паролі. Програми-викрадачі (інфостілери) збирають паролі, VPN-конфігурації й токени сесій. Під ударом і корпоративна пошта, зокрема Microsoft 365.
• Віддалений робочий стіл без захисту. Одна з груп, що шифрувала дані органів місцевого самоврядування, заходила через RDP і перед шифруванням видаляла тіньові копії, щоб унеможливити відновлення.
• Підрядники. Для розсилки шкідливого ПЗ комунальним підприємствам зловмисники використали зламані поштові скриньки постачальника обладнання.
• Знищення даних. Під час атаки на «Укрзалізницю» в березні 2025 року було знищено системи віртуалізації та резервного копіювання на основному й резервному майданчиках.

10 базових заходів захисту

1. Багатофакторна автентифікація для всього, що доступне ззовні

VPN, пошта, хмарні сервіси, віддалений робочий стіл, панелі адміністрування. Посібник #StopRansomware американських агенцій CISA, NSA і FBI радить стійку до фішингу багатофакторну автентифікацію для всіх сервісів. Почніть з адміністраторів і віддаленого доступу.

2. Жодних зайвих входів з інтернету

RDP не має бути відкритим в інтернет: віддалений доступ — лише через VPN із багатофакторною автентифікацією. Перевірте, що опубліковано назовні: поштові сервери, вебзастосунки, панелі керування. Вебзастосунки варто прикрити WAF.

3. Оновлення та керування вразливостями

Першими оновлюйте системи, доступні з інтернету: VPN-шлюзи, міжмережеві екрани, поштові сервери. Регулярне сканування показує слабкі місця раніше, ніж ними скористаються, — докладніше про управління вразливостями.

4. Захист пошти

Фільтрація вкладень і посилань; блокування архівів із паролем і образів дисків, якщо вони не потрібні для роботи. Налаштуйте для свого домену SPF, DKIM і DMARC — так зловмисникам складніше надсилати листи від вашого імені.

5. Правило «перевір іншим каналом»

Будь-яку зміну реквізитів, термінову оплату чи запит доступу підтверджуйте дзвінком на відомий номер, а не відповіддю на той самий лист. Кілька хвилин перевірки захищають від сценарію «фішинг під контрагента».

6. Захист робочих станцій

Централізований захист кінцевих точок з єдиною консоллю та звітами. Окремо — заборона неліцензійного ПЗ: огляд НКЦК називає його одним із векторів проникнення.

7. Мінімальні права, сегментація й доступ підрядників

Окремі облікові записи для адміністрування, права лише на потрібне, блокування облікових записів у день звільнення працівника. Мережу поділіть на сегменти — сервери, бухгалтерія, гостьовий Wi-Fi, — щоб зараження одного комп’ютера не відкривало доступ до всього; у цьому допомагає міжмережевий екран нового покоління. Підрядники заходять лише через багатофакторну автентифікацію, з обмеженим у часі доступом і журналюванням.

8. Резервні копії, які атака не дістане

Правило 3-2-1, і принаймні одна копія — офлайн або незмінна, з окремими обліковими даними, недоступними з основного домену. CISA радить зберігати офлайн-копії критичних даних у зашифрованому вигляді й регулярно їх перевіряти. Приклад «Укрзалізниці» показує: резервні системи, доступні з тієї самої мережі, можуть бути знищені разом з основними. Як ми будуємо резервне копіювання — на сторінці ІТ-інфраструктура.

9. Моніторинг і журналювання

Збирайте журнали з мережевого обладнання, серверів, пошти, кінцевих точок і хмарних сервісів та аналізуйте їх: атаку легше зупинити на етапі підготовки, ніж після шифрування. Якщо власної команди моніторингу немає, цю роботу бере на себе SOC as a Service.

10. План реагування й навчання людей

Заздалегідь визначте, хто ухвалює рішення, як ізолювати уражені системи й кого повідомляти. CERT-UA радить налагодити з командою контакт ще до інциденту. Регулярно навчайте співробітників розпізнавати фішинг — на прикладах, схожих на реальні листи вашій компанії. Які вимоги до кіберзахисту встановлює законодавство, ми розбирали в статті «Закон про кібербезпеку: що змінюється для бізнесу».

Якщо атака вже сталася

1. Ізолюйте уражені системи від мережі. Це перший крок, який радять і CERT-UA, і CISA. Якщо від’єднати пристрій неможливо, CISA радить його вимкнути.
2. Не видаляйте й не перевстановлюйте системи одразу. Журнали та підозрілі файли знадобляться для аналізу — CERT-UA просить бути готовими їх надати.
3. Змініть паролі з чистого пристрою — насамперед адміністраторів і віддаленого доступу.
4. Повідомте CERT-UA (incidents@cert.gov.ua), а якщо постраждали кошти — кіберполіцію.
5. Відновлюйтеся з перевірених копій — і лише після того, як закрито шлях, яким зайшли зловмисники.

Якщо потрібна допомога, напишіть на contact@beregit.com з темою «ІНЦИДЕНТ» — такі звернення ми розглядаємо в першу чергу. Пам’ятка з першими кроками — на сторінці «Інцидент безпеки».

Чек-лист

• Багатофакторна автентифікація для VPN, пошти, хмари й адміністраторів
• RDP не відкритий в інтернет, перелік опублікованих назовні сервісів актуальний
• Системи, доступні з інтернету, оновлюються першими, вразливості скануються регулярно
• Пошта фільтрується, для домену налаштовані SPF, DKIM і DMARC
• Зміни реквізитів і термінові оплати підтверджуються іншим каналом
• Кінцеві точки під централізованим захистом, неліцензійне ПЗ заборонене
• Окремі адміністративні облікові записи, мережа сегментована, доступ підрядників обмежений
• Є офлайн або незмінна резервна копія, відновлення перевірене
• Журнали подій збираються й аналізуються
• Є план реагування, контакт із CERT-UA і регулярне навчання співробітників

Як допоможе Bereg-IT

Почнемо з консультації або аудиту: оцінимо ризики й захищеність і складемо дорожню карту з пріоритетами. Впровадимо та супроводжуватимемо засоби захисту — NGFW, WAF, захист кінцевих точок, управління вразливостями, DLP — і побудуємо резервне копіювання, яке переживе атаку. А SOC as a Service забезпечить збір і аналіз подій безпеки, розслідування, сповіщення та реагування за погодженим сценарієм.

Перша консультація — безкоштовна. Залиште запит — з вами зв’яжеться фахівець з інформаційної безпеки.

Джерела

1. Національний координаційний центр кібербезпеки при РНБО України, Огляд національної системи кібербезпеки України 2025 — статистика CERT-UA, вектори проникнення, приклади атак: https://www.rnbo.gov.ua/files/2026/NATIONAL_CYBER_SCC/kiber_2025.pdf
2. CISA, MS-ISAC, NSA, FBI, #StopRansomware Guide (вересень 2023) — заходи захисту та порядок реагування: https://www.cisa.gov/stopransomware/ransomware-guide
3. Урядовий портал, «Держспецзв’язку: Як CERT-UA реагує на кіберінциденти — від повідомлення до ліквідації наслідків» (10.02.2025) — перші кроки й контакти CERT-UA: https://www.kmu.gov.ua/news/derzhspetszviazku-iak-cert-ua-reahuie-na-kiberintsydenty-vid-povidomlennia-do-likvidatsii-naslidkiv
4. RFC 7489, Domain-based Message Authentication, Reporting, and Conformance (DMARC): https://www.rfc-editor.org/rfc/rfc7489