Сайт взломали: что делать в первый час и когда писать в Роскомнадзор

Первым делом смените доступы с чистого компьютера, сохраните копию взломанного сайта как есть и выясните, лежат ли на сайте данные клиентов. Если они утекли, у владельца есть 24 часа, чтобы уведомить Роскомнадзор. Файлы наугад чистить не надо: вы сотрёте следы, по которым видно, как злоумышленник вошёл, и он войдёт снова.

Эта статья для владельца, а не для администратора. Порядок действий идёт по времени, и в нём есть место, где стоит остановиться и позвать специалиста. Это пояснение, а не юридическая консультация: если речь о крупной утечке или проверке, обратитесь к юристу.

Первый час по минутам

Время ориентировочное, важен порядок. Он выстроен так, чтобы ничего не потерять и не дать повторно войти.

Когда	Что сделать	Зачем
0–10 минут	Со своего ноутбука, а не с того, где вы заметили проблему, смените пароли: хостинг, панель сайта, админка, база данных, почта домена, регистратор. Включите второй фактор там, где он есть	Если пароль у злоумышленника, он продолжит заходить
10–20 минут	Сделайте копию файлов и базы в текущем состоянии и положите отдельно от сервера	По ней найдут, что изменено и когда. Если сотрёте, причину не восстановить
20–30 минут	Напишите хостингу и тому, кто делает сайт: сайт взломан, нужна помощь, нужны журналы доступа за последние недели	В журналах видно, откуда вошли и когда
30–45 минут	Выясните, какие данные лежат на сайте: заявки, адреса, телефоны, учётные записи	От этого зависит, нужно ли уведомлять Роскомнадзор
45–60 минут	Решите, закрыть сайт заглушкой или оставить. Если на нём собираются платежи или пароли, лучше закрыть	Не дать клиентам ввести данные на взломанной странице

Дальше начинается работа, которая за час не делается: найти, когда сайт заразили, развернуть чистую копию, закрыть уязвимость. Копия, которую сняли после взлома, заражена так же. Нужна копия, сделанная до него, поэтому и важны журналы. Как проверить, что копии вообще есть и восстанавливаются, описано в статье «Резервная копия сайта».

Утекли ли данные клиентов и что тогда по закону

Если на сайте есть форма заявки, вы собираете персональные данные: имя, телефон, почту. Утечка или несанкционированный доступ к ним называется инцидентом. Часть 3.1 статьи 21 закона «О персональных данных» (152-ФЗ) устанавливает два срока:

• в течение 24 часов с момента, когда инцидент выявлен, оператор уведомляет уполномоченный орган, то есть Роскомнадзор: что произошло, какие предполагаемые причины, какой возможный вред правам людей, что уже сделано, кто от вас будет общаться с ведомством;
• в течение 72 часов оператор сообщает результаты внутреннего расследования и, если они известны, сведения о лицах, чьи действия привели к инциденту.

Срок идёт с момента выявления инцидента, причём неважно, кто его выявил: вы, Роскомнадзор или третье лицо. Если вы узнали о взломе в субботу вечером, это ваша точка отсчёта.

Что будет за молчание, показывает КоАП. Редакция статьи 13.11 на сайте КонсультантПлюс от 4 августа 2026 года содержит такие суммы:

Часть статьи 13.11	За что	Граждане	Должностные лица	Юридические лица и ИП
11	Не уведомили Роскомнадзор об утечке	50 000–100 000	400 000–800 000	1 000 000–3 000 000
12	Утечка данных от 1 000 до 10 000 человек	100 000–200 000	200 000–400 000	3 000 000–5 000 000
13	Утечка данных от 10 000 до 100 000 человек	200 000–300 000	300 000–500 000	5 000 000–10 000 000
14	Утечка данных более 100 000 человек	300 000–400 000	400 000–600 000	10 000 000–15 000 000

Суммы в рублях. В частях 12–14 речь идёт о неправомерной передаче или доступе, повлёкших утечку, причём в тексте статьи есть и вариант по числу идентификаторов. В таблице я привёл только критерий по числу людей. ИП в этих частях, согласно примечанию 1 к статье, отвечает как юридическое лицо. Как организовать уведомление и какую форму использовать, определяет Роскомнадзор: порядок найдите на его сайте, я в этой статье его не разбирал.

Для малой студии или магазина с несколькими сотнями заявок в базе вопрос чаще звучит так: «а были ли они затронуты». Для этого и нужны журналы и копия. Если данные не затронуты, инцидента с персональными данными нет, и обязанности из части 3.1 не возникает, но решение «не уведомляю» лучше принимать с письменным разбором, почему так.

Что не делать

Не удаляйте файлы наугад, не «лечите» сайт антивирусом на хостинге и не считайте, что работа закончена, когда страница снова открылась. Бывает, что взломщик оставляет себе второй вход на тот же сайт. Не оставляйте старые пароли «пока не до этого» и не пересылайте новые в мессенджере: в статье «Почему на сервер заходят по SSH-ключу» я приводил цифры: за шесть дней на сервер моего сайта было 59 103 попытки подобрать пароль. Подбор идёт всегда, и если пароль уже известен, его просто используют.

Не договаривайтесь с человеком, который сразу называет причину, не посмотрев журналов. Причина становится известна после разбора: через что вошли, что изменили, что ещё могло остаться.

Что делать в Яндексе после чистки

Если Яндекс нашёл на сайте нарушения, они показываются в Вебмастере в разделе «Безопасность и нарушения». После исправления опишите в поле, что сделано, при необходимости приложите подтверждение, отметьте «Нарушение исправлено» и нажмите «Отправить на проверку». У проверки есть статусы: «На проверке» может занять до 30 дней. Если ограничение не снято, повторно отправить можно только через 30 дней после последней попытки, и кнопка в это время не нажимается. Поэтому отправлять сайт на проверку надо, когда вы в чистоте сайта уверены: ошибка обойдётся в месяц.

У Google есть похожие отчёты в Search Console, но эту процедуру я здесь не проверял и не пересказываю.

Кто нужен, а кто нет

Если у вас обычный хостинг, во многих случаях с чисткой помогает его поддержка: спросите про журналы и откат на дату до взлома. Если сайт на отдельном сервере или вы собираете заявки в базу, сами вы в этом не разберётесь, и нужен специалист на день или два: найти вход, восстановить, закрыть дыру. Это моя работа, я этим зарабатываю, и она входит в поддержку сайта: копии, обновления, контроль. Если взлом уже случился, пишите сразу: срок в 24 часа идёт с момента, когда вы о нём узнали. Напишите, что вы видите на сайте, и я скажу, с чего начать.

Источники

• КонсультантПлюс: 152-ФЗ, статья 21, часть 3.1 (введена 266-ФЗ от 14.07.2022): сроки 24 и 72 часа.
• КонсультантПлюс: КоАП РФ, статья 13.11, редакция от 04.08.2026: части 11–14 и примечания.
• Яндекс Вебмастер: безопасность сайта и нарушения: порядок отправки на проверку и сроки.