Витік даних: куди звертатися і які установи допомагають реагувати

Витік — це момент, коли паніка шкодить найбільше. Перші рішення визначають фінал: контрольований інцидент чи катастрофа з правовими наслідками й розлюченими клієнтами. Розберемо покроково: перша доба, потім адресати, потім комунікація.

Витоки даних: не завжди хакери

Ідеться про ситуацію, коли інформація опинилася в сторонніх — поза колом тих, кому вона призначалася. Класичні сценарії:

• злам системи або облікового запису працівника;
• загублений чи вкрадений ноутбук, телефон, зовнішній диск;
• помилка налаштування: хмарне сховище відкрите для всіх, тестова база у відкритому доступі;
• надіслано «не туди»: лист із вкладенням пішов не тому адресату, посилання відкрите для всіх охочих;
• недобросовісний працівник, який виніс базу клієнтів перед звільненням;
• підрядник: зламали не вас, а сервіс, якому ви передали інформацію.

Значна частина випадків — радше недбалість, аніж атака (див. хто атакує український бізнес). Але наслідки однакові.

Що робити при витоку даних: перші кроки

Порядок дій важливіший за швидкість. Ось мінімальна послідовність:

1. Зафіксуйте факт. Дата, час, як виявили, які системи зачеплені. Журнали не видаляйте — без них ніхто не встановить ані обсягу, ані причини.
2. Перекрийте канал. Закрийте публічний доступ, відкличте скомпрометовані ключі й паролі, ізолюйте уражені машини.
3. Оцініть обсяг. Найважче й найважливіше питання: яка саме інформація пішла й по кому вона вдарить. Клієнтські записи? Комерційна таємниця? Облікові дані?
4. Змініть доступи. Паролі, токени, ключі інтеграцій. Увімкніть двофакторну автентифікацію, якщо її досі немає.
5. Зберіть команду. Хто координує, хто працює руками, хто говорить із клієнтами (див. план реагування).
6. Зафіксуйте хронологію письмово. Вона знадобиться і юристові, і слідству, і вам — за тиждень ніхто вже не згадає точних годин.

Чого робити не варто: мовчати «аби не нервувати людей», витирати сліди, перевстановлювати сервер «начисто», домовлятися з вимагачами самотужки.

Як компанії дізнаються про інцидент

Класична ілюзія: «якщо в нас щось потече, ми одразу побачимо». Насправді більшість компаній дізнається про інцидент ззовні. Типові сигнали:

• клієнти отримують дивні дзвінки й листи, у яких співрозмовник знає деталі їхніх замовлень;
• у вас питає журналіст або дослідник, який знайшов ваш відкритий каталог у мережі;
• приходить лист від зловмисника з фрагментом вашої бази й пропозицією «домовитися»;
• попереджає партнер чи команда реагування: ваші облікові записи спливли у свіжому дампі;
• власний журнал показує аномалію: нічний експорт усього довідника контрагентів обліковим записом, який зазвичай виконує два запити за день.

Останній пункт — єдиний, у якому компанія помічає проблему самотужки. Тому журнали доступу до критичних сховищ варто вмикати заздалегідь, а не після інциденту.

Оцінка обсягу: головна робота перших годин

Фраза «схоже, витекла база клієнтів» нічого вам не дасть — ані для юриста, ані для комунікації. Потрібна конкретика:

• які таблиці й поля зачеплені: прізвища, телефони, адреси, паспортні відомості, історія покупок, паролі (і чи були вони захешовані);
• скільки записів і за який період;
• чиї це люди: клієнти, працівники, кандидати, пацієнти;
• чи є там резиденти інших країн — саме звідси можуть з'явитися додаткові вимоги;
• як довго тривав доступ і скільки разів ним скористалися.

Джерело відповідей — журнали доступу, історія запитів до бази, версія резервної копії для порівняння. Без цього наступний крок — повідомлення клієнтів — стає невиразним «можливо, деякі відомості».

Якщо вимагають гроші за мовчання

Окремий сценарій — подвійне вимагання: зловмисник обіцяє видалити викрадене за викуп (типова тактика груп-вимагачів, див. ransomware). Тут варто тверезо оцінювати три речі:

• гарантій видалення немає в принципі: копію можна залишити собі, продати або оприлюднити пізніше;
• виплата фінансує наступну атаку — вашу або чужу;
• платіж може мати правові наслідки: одержувач нерідко перебуває під санкціями, і переказ стане окремою проблемою для компанії.

Тому переговори ведуть фахівці, а рішення ухвалює керівник — після консультації з юристом, а ніяк не адміністратор о третій ночі.

Реагування на витік: чому воно інакше

Тут корисно розуміти головну відмінність. Коли шифрувальник кладе сервер, у вас є резервна копія — і теоретично все відновлюється. Коли інформація пішла назовні, відкотити її назад неможливо. Кнопки «повернути» не існує.

Звідси й інші пріоритети:

І ще одне: реагування на витік — це наполовину юридична робота, а не лише технічна. Тому юриста залучають у перші години, а не тоді, коли прийшла перша претензія.

Куди звертатися: витік даних і українські адресати

Компанії часто гадають, ніби «десь є одна установа, куди треба написати». Насправді адресатів кілька, і кожен закриває власне завдання.

CERT-UA — урядова команда реагування. Приймає повідомлення й від державних, і від приватних організацій, допомагає локалізувати інцидент і дає рекомендації. Це технічний адресат (детально про ролі установ — у матеріалі хто є хто в державному кіберзахисті).

Кіберполіція. Якщо є ознаки кримінального правопорушення — злам, вимагання викупу, шахрайство, викрадення бази — подають заяву про злочин. Без заяви розслідування не почнеться.

Уповноважений Верховної Ради України з прав людини. Саме він контролює додержання законодавства про захист персональних даних. Туди ж можуть скаржитися й самі постраждалі люди.

Ваш юрист. Оцінить договірні зобов'язання перед клієнтами та партнерами, підготує текст повідомлення й перевірить, чи не має компанія додаткових обов'язків через ринки, де вона працює.

Оператори критичної інфраструктури мають окремий обов'язок: повідомляти про кіберінциденти в порядку, установленому для них нормативно (див. критична інфраструктура: ОКІ та КІІ).

Стався інцидент і потрібна допомога? Фахівці з реагування допоможуть локалізувати джерело, оцінити обсяг і мінімізувати наслідки — отримати консультацію.

Витік персональних даних: правовий бік

Найгустіший туман — саме тут, тому по пунктах, станом на середину 2026 року.

• Обов'язок захищати персональну інформацію закріплений чинним законом іще з 2010 року: володілець зобов'язаний убезпечити її від незаконного доступу, втрати або знищення.
• Загального обов'язку повідомляти наглядовий орган у стислий строк український закон поки не встановлює — на відміну від європейського GDPR, де діє відоме правило 72 годин.
• Але GDPR може стосуватися і вас. Якщо ви обробляєте інформацію мешканців ЄС — маєте клієнтів, користувачів застосунку чи працівників у Європі — європейські вимоги діють незалежно від місця реєстрації компанії.
• Правила змінюються. Нова редакція закону (законопроєкт № 8153) ухвалена в першому читанні ще в листопаді 2024 року й доопрацьовується. Вектор очевидний: зближення з GDPR, окремий наглядовий орган, помітно вищі штрафи та обов'язкове інформування.

Практичний висновок: стратегія «промовчимо, поки ніхто не спитав» з кожним роком дорожчає. Вибудувати процес заздалегідь коштує менше, аніж вигадувати його під час кризи.

Чи повідомляти клієнтів

Це питання намагаються обійти найчастіше — і дарма.

Аргументи «за»:

• люди зможуть захиститися: змінити паролі, стежити за рахунками, ігнорувати дзвінки «зі служби безпеки банку»;
• репутаційно вигідніше сказати самим, аніж дозволити зробити це журналістам або зловмисникам;
• договір із клієнтом чи партнером може прямо вимагати повідомлення у визначений строк — перевірте це насамперед.

Як сформулювати повідомлення. Робочий каркас із шести елементів:

• коли стався інцидент і коли ви його виявили;
• яка інформація зачеплена — конкретно, без «можливо, деякі відомості»;
• чого точно не сталося (наприклад, платіжні реквізити не зберігалися взагалі);
• які кроки ви вже зробили;
• дії для людини: змінити пароль, увімкнути другий фактор, ігнорувати дзвінки «від банку»;
• контакт, за яким справді відповідають.

Найгірший варіант — «ми виявили технічний інцидент, ваші дані в безпеці». Замість заспокоєння така фраза гарантує: деталі знайдуть без вас.

Друга хвиля: чому вкрадена база працює місяцями

Про це рідко думають у перші дні. Викрадена база рідко публікується просто так — вона стає сировиною для наступних атак:

• цільовий фішинг: лист, у якому знають ваше прізвище, номер замовлення й суму, спрацьовує в рази частіше (див. spear phishing);
• дзвінки «зі служби безпеки»: шахрай оперує реальними подробицями — і людина вірить;
• підбір паролів: одна пара «пошта + пароль» відкриває десяток чужих сервісів, де людина використала той самий пароль.

Саме тому попередити клієнтів — не формальність, а спосіб обірвати ланцюжок. І саме тому шифрування сховищ рятує ситуацію: викрадений зашифрований масив для зловмисника марний.

Хто говорить від імені компанії

Технічну частину зазвичай продумують, а комунікацію — майже ніколи. Наслідок передбачуваний: три працівники дають три різні пояснення, і саме їх цитують.

• Один спікер. Керівник або призначена ним особа. Решта команди ввічливо переадресовує запитання.
• Один узгоджений текст. Юрист вичитує його до того, як він піде у світ, а не після.
• Свій канал перший. Лист клієнтам і сторінка з поясненням мають з'явитися раніше, ніж коментар «джерела, знайомого із ситуацією».
• Жодних припущень уголос. Фрази «скоріш за все, ніхто нічого не встиг» через тиждень читатимуться як обман.

Підготовка в спокійний час

Більшість труднощів під час інциденту виникає з речей, які легко зробити заздалегідь:

• Реєстр сховищ. Просто перелік: де лежать особисті відомості людей, хто власник, хто має доступ. Без нього оцінка обсягу перетворюється на археологію.
• Мінімізація. Усе зайве, збережене «про всяк випадок», — це матеріал для майбутнього шантажу. Копії паспортів десятирічної давнини марні всім, окрім зловмисника.
• Шифрування сховищ і резервних копій. Викрадений зашифрований масив коштує зловмисникові рівно нічого.
• Обмеження масового експорту. Вивантаження всієї бази має бути окремим правом і подією, за якою стежать.
• Шаблон повідомлення й перелік контактів. Юрист, підрядник, команда реагування, кіберполіція — телефони мають бути в плані, а не в пам'яті звільненого адміністратора.

Чи можна прибрати опубліковане

Коротка відповідь: частково. Повне зникнення копії з мережі — ілюзія, але зменшити її видимість реально:

• Звернення до майданчика чи хостера, де лежить копія: багато сервісів вилучають украдений вміст за скаргою компанії або постраждалої людини.
• Запит до пошукових систем про вилучення сторінки з видачі: сама сторінка залишиться, але знайти її стане помітно важче.
• Фіксація доказів до вилучення: посилання, знімки екрана, хеші файлів. Це матеріал для слідства — і саме його найчастіше втрачають, поспішаючи «прибрати».

Розраховувати, ніби вилучення розв'яже проблему, марно: копію вже завантажили десятки разів. Тому вилучення — допоміжний захід, а головна робота залишається тією самою: попередити людей і перекрити канал.

Після інциденту: чотири кроки

• Розберіть причину. Не «зламали через вразливість», а як саме зловмисник опинився всередині й чому цього ніхто не помітив.
• Закрийте корінь, а не симптом. Один прикритий каталог — це ще пів справи.
• Перевірте, чи немає інших дірок. Компрометація зазвичай є симптомом ширшої проблеми (див. аналіз вразливостей).
• Оновіть план. Тепер ви точно знаєте, хто в команді реально відповідає, а хто був недоступний о другій ночі.

І остання деталь, яку забувають: перевірте через місяць, чи не з'явилася ваша інформація у відкритому доступі. Мовчання після інциденту — ще не доказ, що все минуло.