Поддержка пользователей 10. Потеря данных и фишинг: первые действия

«Я случайно удалил отчёт», «пропала папка с общего диска», «в письме была ссылка, я нажал и ввёл пароль», «все файлы переименованы, а на экране записка с требованием денег». Это две группы обращений: данные пропали, либо данные и доступ оказались в чужих руках. Первая решается копиями и версиями файлов, вторая — быстрыми спокойными действиями и передачей ответственным.

В статье вы:

• пройдёте по местам, где искать удалённый файл: Корзина, «Предыдущие версии», OneDrive, «История файлов»;
• распознаете признаки фишинга и разберёте, что делать, если пользователь нажал, ввёл пароль или впустил «службу поддержки»;
• узнаете первые шаги при шифровальщике и проверите компьютер средствами Microsoft Defender.

Что нужно знать заранее

• Шаги с пометкой «(вторая линия)» требуют прав администратора: первая линия передаёт их вместе с результатами проверок.
• Поддержка пользователей 01 и 02: заявки, эскалация, Быстрая поддержка.
• Поддержка пользователей 03: врезки о ключе восстановления BitLocker и о сохранении данных пользователя перед рискованным шагом.
• Поддержка пользователей 05: как безопасно сбросить пароль.
• Windows Server с нуля 08 и 11: теневые копии и резервное копирование на сервере; общие принципы — в правиле 3-2-1.

CISA — Агентство кибербезопасности и безопасности инфраструктуры США, NCSC — Национальный центр кибербезопасности Великобритании: их руководства лежат в основе статьи (в вашей стране могут быть свои ведомства). Фишинг — письма и сообщения от имени «своих» или известных организаций, чтобы выманить пароль или заставить открыть вложение или ссылку. Шифровальщик (ransomware) — вредоносная программа: файлы зашифрованы и недоступны, а за доступ требуют деньги, обычно в криптовалюте. Теневые копии (VSS, Volume Shadow Copy) — снимки тома по расписанию; на сервере они дают «Предыдущие версии». BitLocker — шифрование диска Windows.

Названия пунктов даны по русской документации Microsoft; перевод местами машинный, ориентируйтесь на смысл.

Пропал файл

Уточните и остановитесь

Спросите, что за файл и где он лежал (диск ПК, общая папка, OneDrive), удалён он, перезаписан или повреждён, когда это случилось и что делали после. Убедитесь, что файл не перенесён случайно в соседнюю папку. Просите пока не пользоваться этим диском и не сохранять на него новое: новые записи могут занять место удалённого файла (всё это — практика автора). Не обещайте результата: версии и копии есть не всегда.

Корзина

Откройте Корзину, выберите файлы или папки, щёлкните правой кнопкой и выберите «Восстановить»: они вернутся в исходную папку. Файлы, удалённые из облака (в том числе помеченные «только в сети» в OneDrive), в Корзину компьютера не попадают. Файлов, удалённых из общей папки на сервере, в Корзине ПК обычно нет (практика автора, в документации не описано): ищите в «Предыдущих версиях».

Общая папка: «Предыдущие версии»

Теневые копии общих папок позволяют открыть прежнюю версию файла и скопировать её: в документации для Windows Server 2008 (архив) это способ вернуть случайно удалённый или перезаписанный файл. Копии делаются по расписанию, поэтому файл, удалённый после последнего снимка, здесь не найдётся.

В лаборатории серии теневые копии на FS1 есть, только если выполнен необязательный шаг «Теневые копии» из Windows Server с нуля 08. Если нет, вкладка «Предыдущие версии» пуста: передайте заявку администратору, файл вернёт резервная копия (Windows Server с нуля 11).

1. Откройте общую папку (по сетевому пути или с подключённого диска) и найдите папку, где лежал файл.
2. Щёлкните правой кнопкой по папке → «Свойства» → вкладка «Предыдущие версии» (на ПК тот же пункт «Восстановить предыдущие версии» открывает версии из «Истории файлов»).
3. Выберите версию до удаления и откройте её, чтобы убедиться, что файл на месте. Скопируйте нужный файл обычным копированием в другую папку (практика автора).

Права восстановленного удалённого файла выставляются по умолчанию, как у папки: проверьте, что пользователь его открывает.

OneDrive

Удалённые файлы. На onedrive.com выберите «Корзина», отметьте файлы и нажмите «Восстановить». Для личной учётной записи удалённое восстановимо в течение 30 дней, для рабочей или учебной — в течение 93 дней, если администратор не изменил срок. Восстановить можно только файлы из своего OneDrive, не из чужого общего доступа, и нельзя то, что удалено из корзины окончательно.

Предыдущие версии файла. Найдите файл в OneDrive (на сайте или в Проводнике, если установлено приложение синхронизации), щёлкните правой кнопкой → «Журнал версий», у нужной версии нажмите многоточие → «Восстановить». Восстанавливать можно по одному файлу; версии хранятся 30 дней, а в организации администратор мог отключить ведение версий.

Восстановление всего OneDrive. Подписчикам Microsoft 365 доступен откат всех изменений за последние 30 дней. Это тяжёлая мера: она отменяет всё, что менялось после выбранного момента, поэтому решают её владелец данных и администратор (вторая линия).

История файлов

«История файлов» (в русской документации также «Журнал файлов»; File History) сохраняет копии библиотек (Документы, Рисунки, Видео, Музыка) на внешний диск или в сетевое расположение. Документация описывает её для Windows 11 и 10 и не помечает устаревшей; в офисе её чаще заменяют централизованные копии (практика автора). Включают в «Панели управления» → «Система и безопасность» → «Сохранить резервные копии файлов с помощью журнала файлов» → «Включить».

Восстановление: в Проводнике щёлкните правой кнопкой по папке, где лежал файл, → «Восстановить предыдущие версии», на вкладке «Предыдущие версии» выберите версию папки до удаления. Развернув «Открыть», выберите «Открыть в журнале файлов» (просмотр), развернув «Восстановить» — «Восстановить в…» (в другое место, без перезаписи).

Если нигде нет

Не ставьте «программы для восстановления» из интернета и не форматируйте диск (практика автора). Передайте заявку администратору: он проверит резервные копии (правило 3-2-1).

Подозрительное письмо

Признаки

NCSC перечисляет пять признаков давления. Авторитет («от банка», «из налоговой», «от директора»), срочность («в течение 24 часов», угроза штрафа), эмоция (страх, любопытство, обещание помощи), дефицит (выгодное предложение, редкий билет) и актуальные события (новости, налоговый период). Раньше фишинг выдавали ошибки и странный адрес, но подделки стали лучше, а в письмах встречаются QR-коды, которым нельзя доверять вслепую.

Из практики автора добавьте проверки: адрес отправителя целиком, а не только имя; адрес, куда ведёт ссылка (наведите курсор, не нажимая); неожиданное вложение, особенно с макросами (Поддержка пользователей 09); просьба ввести пароль или сменить платёжные реквизиты. Подлинность проверяют по независимому каналу: по телефону или адресу с официального сайта, а не из письма.

Пользователь ещё не нажимал

Практика автора: не нажимать, не открывать вложение, не вводить пароль, не пересылать письмо; сообщить по принятому в организации каналу (кнопка в почтовом клиенте или адрес службы безопасности) и не удалять письмо, пока его не посмотрели. Не ругайте пользователя: тот, кто боится наказания, в следующий раз промолчит.

Пользователь нажал или ввёл данные

NCSC советует не паниковать и действовать по ситуации:

Дополните (практика автора): пароль меняют не на подозрительном компьютере, а на заведомо чистом. Фиксируйте время, адрес ссылки и то, что вводили. Сброс пароля — по правилам Поддержка пользователей 05; порядок проверок компьютера — в разделе о Defender ниже.

Пользователь впустил «службу поддержки»

Отдельный случай: «сотрудник ИТ» позвонил или написал, и пользователь установил программу удалённого доступа, назвал код Быстрой поддержки (Quick Assist; пример автора) или продиктовал одноразовый код. Сходная схема описана в предупреждении CISA и ФБР AA23-320A о группе Scattered Spider (Quick Assist там не упомянут): преступники выдают себя за ИТ-службу, просят запустить программу удалённого доступа, выманивают пароли и одноразовые коды, регистрируют собственные устройства подтверждения входа и сохраняют доступ даже после смены пароля. Порядок действий (практика автора; отключение от сети — как у CISA и NCSC в разделе о шифровальщике):

1. Немедленно завершить сеанс: «Выйти» в Быстрой поддержке или закрыть или остановить программу (Поддержка пользователей 02).
2. Отключить компьютер от сети (кабель, Wi-Fi), но не выключать, и не удалять установленную программу до решения ответственного.
3. Считать компьютер и учётную запись скомпрометированными; не вводить на нём пароли.
4. Менять пароли с чистого устройства по порядку из Поддержка пользователей 05.
5. Сообщить ответственному за безопасность; администратору — проверить способы подтверждения входа (MFA) и сеансы, как в следующем разделе.

Что делает администратор при взломе учётной записи (вторая линия)

Признаки взломанной почты: ящик заблокирован для отправки, пропадают письма, появляются странные правила Входящих (пересылка на чужие адреса, перенос писем в папки Notes, Junk Email или RSS Subscriptions), в «Отправленных» — чужие письма, меняются пароли или блокируется учётная запись, добавлена внешняя пересылка. Порядок описан для облачной почты Microsoft 365:

1. Отключить учётную запись: это предпочтительный вариант на время расследования. Если нельзя, сбросить пароль и не отправлять новый письмом. Если запись синхронизируется из Active Directory, пароль сбрасывают в AD дважды (Windows Server с нуля 12 и 05).
2. Отозвать активные сеансы, чтобы украденные данные входа перестали работать.
3. Проверить устройства MFA (многофакторной проверки подлинности), согласия приложений и административные роли.
4. Проверить пересылку и правила.

Отзыв сеансов относится к Microsoft Entra ID (облако) и для чисто локального Exchange неприменим:

# Microsoft Graph PowerShell
Connect-MgGraph -Scopes User.RevokeSessions.All
Revoke-MgUserSignInSession -UserId ivanov@lab.example

Пересылку и правила проверяют в Exchange Online PowerShell (для локального Exchange сверяйте команды с документацией своей версии):

# сначала подключитесь к Exchange Online PowerShell
Get-Mailbox -Identity ivanov@lab.example |
  Format-List Forwarding*Address,DeliverTo*
Get-InboxRule -Mailbox ivanov@lab.example -IncludeHidden |
  Format-List Name,Enabled,RedirectTo,Forward*,Identity

Непустые ForwardingAddress или ForwardingSmtpAddress означают пересылку внутреннему или внешнему получателю, а RedirectTo и ForwardTo в правиле — перенаправление писем. Пользователь свои правила смотрит в Outlook (Поддержка пользователей 08).

Проверка компьютера: Microsoft Defender и SmartScreen

Порядок проверок (единый для статьи). При подозрении на шифровальщик проверки не запускают, пока дело не у ответственного (практика автора, чтобы не изменить улики). После клика по ссылке или установки программы NCSC советует полную проверку: первая линия начинает с быстрой в приложении «Безопасность Windows», а полную и автономную назначает вторая линия по решению ответственного.

Быстрая проверка (первая линия). «Безопасность Windows» → «Защита от вирусов и угроз» → «Быстрая проверка». Чистый результат не доказывает, что компьютер чист: проверка лишь не нашла известного.

Из PowerShell (вторая линия). Командлет работает и на удалённом компьютере (параметр -CimSession); значения -ScanType: QuickScan, FullScan, CustomScan:

Start-MpScan -ScanType FullScan

Автономная проверка (вторая линия). Microsoft Defender Offline работает вне обычного ядра Windows и нацелена на руткиты и другое ПО, обходящее оболочку Windows. Запуск: «Безопасность Windows» → «Защита от вирусов и угроз» → «Параметры сканирования» → «Microsoft Defender Offline scan» (в русской документации — «Автономное сканирование», перевод машинный) → «Проверить сейчас» или Start-MpWDOScan. Результаты — в разделе Protection history (журнал защиты); назначение проверки на перезагрузку фиксирует событие 2030 в журнале «Журналы приложений и служб» → Microsoft → Windows → Windows Defender → «Работает» (Operational).

SmartScreen защищает от фишинговых и вредоносных сайтов и приложений: он сверяет сайты и скачанные файлы со списками известных угроз и предупреждает о файлах без репутации. Он не защищает от вредоносных файлов в сети организации, например в общих папках по UNC-путям (Universal Naming Convention, адреса вида \\сервер\папка) или по SMB (Server Message Block, протокол общих папок и принтеров Windows).

Подозрение на шифровальщик

Признаки (NCSC): нет доступа к устройству или данным, потому что файлы зашифрованы; обычно предлагают связаться со злоумышленниками по анонимному адресу и заплатить криптовалютой, а ещё могут угрожать публикацией украденных данных. Следуйте плану реагирования организации; пункты ниже — по руководствам CISA и NCSC, источник указан там, где они различаются. Передайте дело ответственному сразу, не ожидая «уверенности» (практика автора).

1. Изолировать. Затронутые компьютеры немедленно отключают от всех сетей: проводной, Wi-Fi и мобильной (NCSC). CISA добавляет: при нескольких заражённых системах сеть отключают на уровне коммутатора, а если это невозможно сразу, — вынимают сетевой кабель или отключают Wi-Fi.
2. Питание не выключать без необходимости (CISA). Выключение допускается, только когда отключить от сети иначе нельзя: оно уничтожает данные в оперативной памяти, а это возможные улики.
3. Связываться по телефону, а не письмом. Злоумышленники могут следить за перепиской и, заметив реакцию, закрепиться глубже в сети или шире запустить шифрование, пока сеть не отключена.
4. Сохранить улики. CISA советует специалистам беречь данные, которые легко потерять: память, журналы безопасности Windows (собирает ответственный, не первая линия). Записку и зашифрованные файлы не удаляйте и не переименовывайте: это улики (вывод автора; порядок поиска источника — в абзаце ниже). Сфотографируйте экран (практика автора).
5. Выкуп: позиция NCSC. NCSC и правоохранительные органы Великобритании не поощряют, не одобряют и не оправдывают выплату: это не гарантирует доступ к данным, компьютер остаётся заражённым, деньги получают преступники, а жертву чаще атакуют снова. Первая линия вымогателям не отвечает и о выкупе не решает: это вопрос руководства и специалистов (практика автора).

Если шифруется общая папка на сервере, администратор (вторая линия) по CISA ищет заражённый компьютер так: открывает списки Sessions и Open Files в Computer Management («Управление компьютером»), смотрит владельца зашифрованных файлов и записки в их свойствах, изучает журнал безопасности Windows и журнал подключений по RDP (Remote Desktop Protocol, удалённый рабочий стол; TerminalServices-RemoteConnectionManager). См. Windows Server с нуля 12.

Дальше работают специалисты: причины проникновения, сброс учётных данных (NCSC: не заблокировать себя в нужных для восстановления системах), переустановка и восстановление из проверенных копий. CISA рекомендует офлайн-копии, а NCSC — убедиться, что копия и компьютер чисты; то же верно для OneDrive (практика автора). Куда сообщать за пределами организации, зависит от страны.

Состояние на ноябрь 2026 года (проверьте актуальность). Сроки хранения удалённого в OneDrive (30 и 93 дня) и версий (30 дней) даны по страницам Microsoft и могут измениться. Руководство CISA использовано в редакции сентября 2023 года, предупреждение AA23-320A — с обновлением июля 2025 года. Названия пунктов Windows Security и OneDrive в русской документации местами переведены машинно.

Типичные ошибки и недоразумения

• Нажали «Восстановить» в «Предыдущих версиях» поверх нужного файла. Замену нельзя отменить. Сначала копируйте в соседнюю папку.
• Считают OneDrive резервной копией от всего. Корзина и версии ограничены по срокам; полноценные копии — отдельная задача.
• Сразу «лечат» заражённый компьютер. При шифровальщике сначала изоляция и ответственные, проверки потом.
• Выключают компьютер «чтобы остановить». Лучше отключить от сети: память — улика.
• Ограничиваются сменой пароля после «звонка из ИТ». Нужна проверка MFA и сеансов: преступники могли добавить свои способы подтверждения входа.
• Считают, что чистая проверка Defender — гарантия. Она лишь не нашла известного.

Проверьте себя

1. В каком порядке искать удалённый файл с общей папки на сервере? Вкладка «Предыдущие версии» в свойствах папки (открыть версию, скопировать файл в другую папку), если теневые копии включены; затем резервная копия через администратора.
2. Чем опасна кнопка «Восстановить»? Она заменяет текущую версию, замену нельзя отменить; безопаснее копировать нужное в другое место или восстанавливать в другое место.
3. Пользователь ввёл пароль на подозрительной странице. Что делать? Сообщить в службу безопасности или IT, сменить пароль (и везде, где он повторялся) с чистого устройства; администратору — отозвать сеансы и проверить пересылку и правила почты.
4. Что делать при подозрении на шифровальщик? Отключить компьютер от сети (кабель, Wi-Fi), не выключать питание без необходимости, позвонить ответственному, не удалять записку и файлы; о выкупе не договариваться: NCSC не поощряет выплату.
5. Кто и как приостанавливает BitLocker перед автономной проверкой Defender? Администратор (вторая линия): после проверки убеждается, что защита возобновлена (Resume-BitLocker, Get-BitLockerVolume); ключ восстановления известен заранее.

Что дальше

• Поддержка пользователей 09 — блокировка макросов из интернета и почему файл нельзя разблокировать «на всякий случай».
• Резервное копирование: правило 3-2-1 и защита от шифровальщиков — копии, которые переживут шифровальщик.
• Windows Server с нуля 12 — события входа и блокировок, LAPS, чек-лист администратора.
• SPF, DKIM и DMARC на примере — как организация защищает свой домен от подделки писем.

Источники

• Восстановление файлов, удалённых из OneDrive — Корзина, сроки 30 и 93 дня, только свой OneDrive, откат всего OneDrive
• Восстановление предыдущей версии файла, хранящегося в OneDrive — «Журнал версий», восстановление, 30 дней
• Резервное копирование и восстановление с помощью истории файлов — включение, «Предыдущие версии», «Восстановить в…», необратимая замена
• Shadow Copies of Shared Folders (архив, WS 2008) — открыть версию и скопировать, права восстановленного файла, не замена резервной копии; набор кнопок на клиенте не описан
• Защита с помощью приложения «Безопасность Windows» — «Защита от вирусов и угроз», быстрая проверка
• Автономная проверка Microsoft Defender в Windows — автономная проверка, BitLocker, WinRE, Start-MpWDOScan, событие 2030
• Start-MpScan — -ScanType, -CimSession
• Suspend-BitLocker — приостановка защиты, -RebootCount, Resume-BitLocker
• Обзор фильтра SmartScreen в Microsoft Defender — что проверяет, ограничение для сетевых ресурсов
• #StopRansomware Guide (CISA) — изоляция, выключение питания, улики, восстановление
• Ransomware attack (NCSC) — отключение от сети, выкуп, восстановление
• Phishing (NCSC) — действия после клика или ввода данных
• How to spot a scam email, text message or call (NCSC) — признаки мошенничества, проверка подлинности
• Scattered Spider (AA23-320A, CISA и ФБР) — имитация ИТ-службы, программы удалённого доступа, регистрация чужих способов подтверждения входа; шагов для жертвы страница не даёт
• Ответ на скомпрометированную учётную запись электронной почты в Microsoft 365 — признаки, отключение, сброс пароля, сеансы, пересылка и правила