Оксана Шатунова
Если в субботу вы открыли личный кабинет FirstVDS и увидели фразу «считайте, что данные с сервера были скопированы», у вас не техническая проблема, а юридическая и денежная. 17 октября 2026 года злоумышленники через уязвимость в VMmanager 6 подключали диски клиентских серверов хостера и копировали с них пароли, ключи, токены, конфиги и кошельки. Хостер по своему SLA ответит максимум месячной платой за услугу, а Роскомнадзор, если на сервере были данные людей, ждёт уведомление в течение 24 часов с момента, когда узнали вы. Дальше по порядку: что произошло, какие часы уже идут, что получится взыскать и что из потраченного войдёт в расходы.
Что произошло и что это значит для ваших данных
Пост FirstVDS в Telegram вышел 18 октября в 11:48 по Москве, к воскресенью его посмотрели больше 7,6 тысячи человек, втрое больше обычного для канала. Суть без пересказа: доступ получили через уязвимость в системе управления виртуализацией VMmanager 6, вендор выпустил промежуточный патч. Атакующая сторона подключала диски виртуальных серверов в режиме чтения и копировала:
| Что копировали | Чем это грозит вам |
|---|---|
| Пароли, SSH-, API-ключи и токены облачных сервисов | Доступ к проду, репозиториям, облакам, платёжкам от вашего имени |
| Конфигурационные файлы и историю команд | В .env и истории лежат строки подключения к базам, пароли бэкапов |
| Криптокошельки | Приватные ключи и seed-фразы, если держали их на сервере |
| Пользовательские файлы | Выгрузки баз, резервные копии, документы клиентов |
В персональных уведомлениях, которые цитируют SecurityLab и Runet, окно доступа указано точно: с 12:27 до 22:34 по Москве 17 октября, десять часов. И отдельная фраза, которую стоит перечитать дважды: «Список не точный, исходите из того, что скомпрометировано всё, что на нём находилось: любые файлы, пароли, ключи, токены, конфиги, базы данных и резервные копии».
На Хабре под новостью спорили, зачем менять SSH-ключи, если на сервере лежит только публичная часть. Хостер ответил на этот спор заранее: исходите из того, что скопировано всё. Ключи для деплоя, токены GitHub и npm, учётки AWS и ключи OpenAI у половины небольших студий лежат ровно там же, в домашней папке или в .env рядом с кодом.
Про число пострадавших клиентов, компенсации и итоговый разбор инцидента хостер пока не написал: постмортем обещан после закрытия инцидента. Про Роскомнадзор в посте одна строка: если на сервере были персональные данные ваших клиентов, проконсультируйтесь с юристом. Этой консультации и посвящён следующий раздел.
Первые 24 и 72 часа: Роскомнадзор
Главная ошибка, которую мы ожидаем увидеть в ближайшую неделю, звучит так: «Это у хостера утечка, пусть он и уведомляет». Нет. Оператор персональных данных тот, кто определяет цели обработки, то есть вы, если на сервере лежала база пользователей вашего сервиса, CRM с контактами заказчиков или выгрузка анкет. Хостер хранил диски, а данными распоряжались вы.
Сроки прописаны в ч. 3.1 ст. 21 закона № 152-ФЗ и действуют с 1 сентября 2022 года. С момента выявления инцидента оператор обязан уведомить Роскомнадзор:
- в течение 24 часов о самом инциденте, предполагаемых причинах, предполагаемом вреде, принятых мерах и о том, кто у вас отвечает за взаимодействие с ведомством;
- в течение 72 часов о результатах внутреннего расследования и о лицах, чьи действия стали причиной, если они установлены.
Момент выявления для вас — письмо в личном кабинете. Прочитали в субботу, значит, первое уведомление должно уйти в воскресенье. Форма подаётся через портал Роскомнадзора, подробности не нужны: «предполагаемые» причины и «предполагаемый» вред закон допускает.
Цена молчания прописана в ч. 11 ст. 13.11 КоАП: должностным лицам 400–800 тысяч ₽, юридическим лицам от 1 до 3 млн ₽. За саму утечку шкала отдельная и зависит от числа людей в базе: 3–5 млн ₽ при 1–10 тысячах субъектов, 5–10 млн при 10–100 тысячах, 10–15 млн свыше ста тысяч (ч. 12–14). Повторная утечка обходится в 1–3% годовой выручки, но не меньше 20 млн ₽ (ч. 15). Все эти части введены законом № 420-ФЗ от 30.11.2024.
Малому и микропредприятию из реестра МСП штраф назначают по ст. 4.1.2 КоАП, от половины минимума до половины максимума, и это единственная скидка. Аргумент «нас взломали, мы не виноваты» суд уже отклонял: в деле московской клиники «НАКФФ» штраф устоял, хотя клиника сама нашла взлом и в тот же день сообщила в Роскомнадзор и полицию. Мы разбирали это дело в статье про утечку данных пациентов, для IT-компании с базой обычных пользователей логика та же, только шкала не 10–15 млн за любую утечку, а по числу людей.
Если людей в базе не было, уведомлять нечего. Но составьте протокол: что лежало на сервере, почему это не персональные данные, кто проверил. Через год при проверке это единственный документ, который объяснит, почему вы промолчали.
Претензия хостеру: что реально получить
Соглашение об уровне сервиса АО «ИОТ» (это юрлицо FirstVDS) лежит на сайте хостера, и его стоит прочитать до того, как писать претензию с цифрой убытков. Три пункта решают всё.
Пункт 7.3: провайдер отвечает «исключительно за документально подтверждённый реальный ущерб» и «исключительно при условии доказанности вины», а ответственность «ограничивается суммой, не превышающей стоимости услуг в месяц». Пункт 7.4.2 исключает упущенную прибыль и любые косвенные убытки. Пункт 7.4.5 отдельно выводит из ответственности «попытки и/или последствия несанкционированного доступа третьих лиц к данным».
Переведём на деньги. Типовой VDS «Разгон» на сайте хостера стоит 679 ₽ в месяц. Значит, потолок ответственности за всё, что случилось с этим сервером, по тексту SLA равен 679 ₽. Расходы на ротацию секретов, аудит, переезд и потерянные дни сюда не входят в принципе.
Есть ли смысл писать претензию? Есть, но не ради взыскания. Претензия фиксирует дату и факт, а для налоговой это подтверждение, что вы пытались возместить ущерб, прежде чем списывать его в расходы. Плюс компенсация за простой по п. 3.5 SLA: пропорционально доле абонентской платы за период недоступности, не больше 100% начислений за месяц, только по заявке и только при доказанной вине провайдера. Если её зачислят на лицевой счёт, в учёте это уменьшение стоимости услуги, а не отдельный доход, ровно как с бесплатным октябрём Yandex Cloud.
Что из потраченного войдёт в расходы
За неделю у пострадавшей студии набирается список трат: экстренная ротация ключей силами подрядчика, аудит безопасности, переезд к другому хостеру с предоплатой, лицензия на менеджер секретов. Плюс потери: если на сервере был кошелёк, его могли опустошить, если лежал ключ OpenAI или Anthropic, с вашей карты могли списать чужие запросы.
| Трата или потеря | ОСНО (IT-компания на 5%) | УСН 15% | УСН 6% |
|---|---|---|---|
| Ротация ключей, аудит ИБ, консультации | Прочие расходы, ст. 264 НК РФ | Да, перечень с 2026 года открыт (пп. 45 п. 1 ст. 346.16) | Нет |
| Переезд, новый хостинг, менеджер секретов | Да, по факту оказания услуг | Да, по оплате и акту (пп. 18, 19, 45) | Нет |
| Предоплата старому хостеру за неиспользованные месяцы | Расход, только если хостер её не вернёт и вы расторгли договор | То же | Нет |
| Украденная крипта | Убыток от хищения, пп. 5 п. 2 ст. 265, с документом органа власти | По логике открытого перечня тот же пункт, официальной позиции нет | Нет |
| Списанные чужими руками API-кредиты | Убыток от хищения с теми же документами, не услуга: её получили не вы | То же | Нет |
Два замечания к таблице. Первое: пп. 5 п. 2 ст. 265 НК РФ принимает убытки от хищений, «виновники которых не установлены», и требует, чтобы «факт отсутствия виновных лиц» был «документально подтверждён уполномоченным органом государственной власти». Без заявления в полицию и последующего постановления списывать нечего. Поэтому заявление подаётся сейчас, пока история команд и уведомление хостера свежие, а не в марте при закрытии года.
Второе: для аккредитованной IT-компании на ставке 5% каждый рубль расхода экономит 5 копеек налога, на УСН 15% — 15 копеек. Это не повод радоваться потерям, но повод не тратить две недели на сбор документов ради 2 000 ₽ экономии. Как работает открытый перечень на упрощёнке, мы разбирали в статье что теперь спишет IT-компания на УСН 15%.
Крипта отдельно. Кража монет не реализация: право собственности вы никому не передавали, дохода по ст. 39 НК РФ нет. Если кошелёк опустошили, вам нужна выписка по адресу с датой и заявление в полицию с указанием суммы в рублях по котировке на дату. Про то, как считается доход по цифровой валюте у разработчика, есть разбор на примере Bitget.
Простой команды: как платить за дни без прода
Пока меняют все доступы, прод может стоять день или два. Если разработчики в это время заняты восстановлением, вопроса нет: обычная работа, полная оплата. Если работать было нечем, это простой по причинам, не зависящим от работодателя и работника: оплачивается не меньше двух третей оклада пропорционально времени (ст. 157 ТК РФ). Хостер третье лицо, вашей вины здесь нет, если только вы сами не отключали резервы ради экономии. Нужен приказ о простое с датами и часами и табель с кодом простоя.
Схема та же, что в случае удалёнщика без интернета, только теперь без интернета остался сервер. Пересчитывать зарплату задним числом в декабре не получится: простой без приказа налоговая и ГИТ не признают.
Пример: студия на 12 человек
Студия на УСН 15% держала на VDS за 679 ₽ прод-базу сервиса с 20 тысячами пользователей и .env с ключами облака и платёжного шлюза. Уведомление прочитали в субботу днём.
Воскресенье: уведомление в Роскомнадзор, заявление в полицию по факту неправомерного доступа, приказ о простое для четырёх разработчиков, остальные работают. Понедельник–вторник: подрядчик по ИБ меняет все секреты, проверяет логи облака, выставляет 180 000 ₽. Среда: уведомление о результатах расследования. Переезд на другой хостинг с предоплатой за год 60 000 ₽.
В расходах по УСН: 180 000 ₽ подрядчику по акту, 60 000 ₽ хостинг по мере оказания услуг, два дня простоя четырёх человек. Экономия налога с 240 000 ₽ — 36 000 ₽. Претензия FirstVDS на 679 ₽ отправлена, ответ для галочки. Штраф, которого не было: минимум 1 млн ₽, если бы уведомление в Роскомнадзор не ушло, и 5–10 млн ₽ за утечку по 20 тысячам пользователей, если ведомство решит, что меры защиты были недостаточными. Второй штраф ваши действия после инцидента не отменяют, но уведомление вовремя — это первое, что смотрит суд при назначении суммы.
Что грозит, если…
- Промолчать перед Роскомнадзором, решив, что это утечка хостера. Юрлицу 1–3 млн ₽ по ч. 11 ст. 13.11 КоАП, независимо от того, вытекло ли что-то дальше.
- Не подать заявление в полицию, а потом списать украденную крипту или чужие списания по API. Расход снимут: нет документа об отсутствии виновных, нет пп. 5 п. 2 ст. 265.
- Заплатить подрядчику без договора и акта, «срочно, на карту». На УСН 15% расход не примут, на ОСНО тоже. Срочность не отменяет первичку.
- Не оформить простой, а в конце месяца выплатить две трети. Люди вправе требовать полную зарплату, и ГИТ их поддержит.
- Оставить резервную копию у того же хостера. Мы писали, как считать резерв за рубежом после атак на ЦОД и когда свой сервер дешевле облака: после этой субботы вопрос не в цене, а в том, где лежат ключи от всего остального.
Что сделать на этой неделе
Собственник. Решить, были ли на сервере персональные данные, и подписать уведомление в Роскомнадзор в первые сутки. Подать заявление в полицию, если что-то украдено или списано. Написать претензию хостеру, не ожидая от неё денег.
Техлид. Считать скомпрометированным всё: ключи, токены, пароли баз, пароли бэкапов, сохранённые сессии браузера. Проверить логи облаков и репозиториев за 17–19 октября на чужие входы. Вынести секреты из .env на сервере в менеджер секретов.
Бухгалтер. Собрать договор, акт и платёжку по каждому подрядчику. Зафиксировать стоимость украденной крипты по котировке на 17 октября. Оформить приказ о простое, если он был. Отразить компенсацию от хостера, если придёт, как уменьшение платы за услугу.
Если бухгалтерия у вас на аутсорсе и такого случая там ещё не было, мы берём это на себя в рамках обслуживания IT-компаний: документы на списание, простой, претензия и учёт компенсаций — наша часть, ротация ключей — ваша.
Ставки и нормы в статье проверены по состоянию на 19 октября 2026 года: пост FirstVDS от 18.10.2026 и персональные уведомления клиентам в изложении SecurityLab и Runet от 18.10.2026; соглашение об уровне сервиса АО «ИОТ» (пп. 3.5, 7.1, 7.3, 7.4.2, 7.4.5, дата редакции в документе не указана); ч. 3.1 ст. 21 Федерального закона № 152-ФЗ (введена законом № 266-ФЗ, действует с 01.09.2022); ч. 11–15 ст. 13.11 и ст. 4.1.2 КоАП РФ (закон № 420-ФЗ от 30.11.2024); пп. 5 п. 2 ст. 265, ст. 264, пп. 18, 19, 45 п. 1 ст. 346.16, ст. 39 НК РФ; ст. 157 ТК РФ.
