Ransomware — це програма-вимагач: що робити, якщо файли заблоковано

• Для мешканців Дніпра й області ransomware — не обов’язково історія про велику компанію. Така програма може заблокувати домашній ноутбук із фото, сканами договорів, поштою й доступом до банку. Ransomware — це шкідлива програма, яка закриває доступ до файлів або комп’ютера й вимагає гроші за повернення.

• Схема змінилася: крім блокування чи шифрування файлів, зловмисники можуть скопіювати документи й погрожувати їх оприлюднити. Тож вимога викупу не означає, що після оплати дані обов’язково повернуться.

• За підрахунками Chainalysis, у 2025 році викуп переказали 28,8% ідентифікованих жертв, тоді як у 2022-му таких було 78,9%. Атак при цьому менше не стало, а медіанна сума платежу зросла. Платіж не гарантує ключа: частина файлів може лишитися пошкодженою, а копії документів — уже опинитися в зловмисників.

1. Ransomware: значення терміна

• Слово складається з англійських ransom — «викуп» — і software — «програма». Мета програми-вимагача — позбавити вас доступу до даних і змусити заплатити. Викуп зазвичай просять у криптовалюті; у записці можуть бути таймер і посилання на закритий чат.

• Є два основні варіанти:

  • Екранний замок перекриває робочий стіл і показує вимогу, хоча самі файли іноді залишаються цілими.

  • Файловий шифрувальник змінює вміст документів, фото й архівів. Без ключа зловмисників відкрити їх не виходить.

• Зловмисники можуть поєднувати ці способи й погрожувати оприлюднити скопійовані паспорти, переписки або бази клієнтів.

• Типова помилка — сприймати викуп як оплату послуги з повернення файлів. Рекомендації правоохоронців США та Європи наголошують: платіж не гарантує розшифрування й може підживлювати наступні атаки. Для частини старих сімейств є безкоштовні дешифратори, для більшості нових — ні.

2. Шлях програми-вимагача

• Зараження часто починається з дії, яка здається звичною: вкладення в листі «від банку» чи «від Укрпошти», фальшиве оновлення або «зламана» програма з форуму. Інший можливий шлях — слабкий пароль для віддаленого доступу. На робочому комп’ютері програма інколи потрапляє через спільну теку або старий роутер.

• Шифрування може початися не одразу. Програма спершу перевіряє, куди має доступ і чи підключений диск із резервними копіями.

• Після цього документи, фото та інші файли можуть перестати відкриватися. Розширення змінюється, у теках з’являються записки, а на екрані — сума, гаманець і строк, часто 48 або 72 години. Погроза видалити ключ після таймера може бути способом тиску. Якщо в записці йдеться про скопійовані дані, це подвійне вимагання: гроші просять і за розшифрування, і за те, щоб не публікувати файли.

• Звичайний збій Windows не вимагає криптовалюту й не перейменовує тисячі файлів. Підозра на ransomware виникає, якщо документи й фото не відкриваються, з’явився відлік, а записка містить адресу гаманця, код «жертви» або вимогу не вимикати комп’ютер. Не закривайте цей екран навмання: сфотографуйте його телефоном.

• Записка — доказ, а не інструкція до виконання. Збережіть суму, строк, розширення пошкоджених файлів та ідентифікатор, якщо він є. Не переходьте за посиланням із зараженого комп’ютера й не пишіть у чат «для переговорів»: так ви підтверджуєте, що вимогу прочитали.

3. Дії, якщо файли заблоковано

• Спершу ізолюйте пристрій і не видаляйте файли. Мета — зупинити поширення й не завадити можливому відновленню. Повне вимкнення з розетки іноді стирає сліди в оперативній пам’яті; для домашнього ПК зазвичай достатньо від’єднати мережу й не чіпати пошкоджені файли.

• Дійте послідовно:

  1. Від’єднайте кабель і вимкніть Wi-Fi, щоб програма не дісталася інших пристроїв і хмарної теки.

  2. Відключіть флешки й зовнішній диск із копіями, якщо вони ще не зачеплені.

  3. Сфотографуйте записку й кілька імен файлів; нічого не видаляйте.

  4. Не платіть із цього комп’ютера й не завантажуйте «дешифратор» із випадкового сайту.

  5. Повідомте кіберполіцію. Якщо постраждала пошта установи чи ФОП, повідомте також CERT-UA.

• Ізоляція не розшифрує вже заблоковане, але допоможе зупинити поширення. У разі ввімкненої синхронізації пошкоджені файли можуть замінити справні копії в хмарі. Вимкніть синхронізацію з іншого, чистого пристрою. Найкращий шанс повернути фото й документи — резервна копія, яка зберігалася офлайн і не була підключена під час зараження.

• Поширена помилка — поспішати через таймер. Людина шукає назву розширення, встановлює перший «безкоштовний дешифратор» або переказує гроші через сумнівний обмінник. Так можна отримати ще одну шкідливу програму або втратити гроші без ключа. Спершу збережіть записку й від’єднайте мережу; потім з телефону перевірте, чи є офіційний інструмент у міжнародному проєкті безкоштовних дешифраторів. Перевіряйте його на копії кількох файлів, а не на єдиному оригіналі.

• Контраргумент: якщо копій немає, платіж може здаватися єдиним виходом. Але ключ надходить не завжди, а навіть справний ключ не відновить пошкоджені файли. Скопійовані документи вже можуть бути поза вашим контролем, а після оплати частина постраждалих отримує повторну вимогу. Для старих сімейств ключ іноді публікують безкоштовно через місяці — але це не гарантовано. Збережіть пошкоджені файли окремо: дешифратор може з’явитися пізніше.

4. Запитання про ransomware

Чому це програма-вимагач

• Назва пов’язана з вимогою викупу, а не обов’язково з тим, що програма сама розмножується. Її можуть запустити через лист, вкладення або слабкий віддалений доступ. Результат — доступ до файлів закрито, доки ви не заплатите або не відновите дані іншим шляхом.

Чи гарантує викуп доступ до файлів

• Ні. Записка обіцяє ключ після переказу, але перевірити обіцянку до оплати не можна. Навіть із ключем частина фото може лишитися пошкодженою, а скопійовані документи — поза вашим контролем. Платіж не є технічним рішенням і додає ризик.

Які резервні копії допоможуть

• Копія стане в пригоді, якщо її зробили до зараження й вона не була підключена під час шифрування. Диск, який постійно стояв у ноутбуці, може зазнати тієї самої атаки. Хмарна тека з автосинхронізацією теж може встигнути замінити справні файли пошкодженими. Офлайн-копія місячної давності не така актуальна, як учорашня, але може бути кориснішою за викуп.

• Приклад для орієнтиру, не повідомлення про місцевий випадок: на ноутбуці з’являється записка з вимогою 600 доларів у криптовалюті й строком 48 годин, а файли отримують незнайоме розширення. Ми вимикаємо Wi-Fi, фотографуємо записку й не підключаємо зовнішній диск із копіями за лютий. Із телефону звертаємося до кіберполіції та вказуємо, що саме не відкривається — наприклад, фото, скани договорів чи таблиця з показаннями лічильників. Якщо копія за лютий ціла, потрібні файли відновлюємо з неї на чистий або перевірений диск. Пошкоджені зберігаємо окремо: безкоштовний інструмент може з’явитися пізніше, але гарантії немає.

• Строку «файли повернуться за добу» немає. Розшифрувати сучасний шифр без ключа звичайному користувачу практично недоступно. На ізоляцію можуть піти години, на звернення й перевірку копій — дні; якщо лишається чекати дешифратор, строк невідомий. Після підозри змініть паролі банку, пошти й Дії з іншого пристрою.

• Що далі: кіберполіція фіксує заяву, а CERT-UA приймає технічні повідомлення від установ і бізнесу на офіційну адресу команди. Відповіді щодо конкретного випадку варто чекати у відповідь на звернення — зазвичай це дні, не години. Збережіть записку й зразки файлів; загального строку відновлення служби немає.