Если ваш продакшен или CRM клиента крутились на VDS у FirstVDS, исходите из худшего: всё, что лежало на диске, 17 октября могло уйти посторонним — ключи, пароли, .env, доступы к базам. Хостер сам советует считать эти секреты скомпрометированными. А для бухгалтерии у этой истории три хвоста: 24 часа на уведомление Роскомнадзора, если на сервере были персональные данные, расходы на ликвидацию, которые надо правильно оформить, и потери, которые без бумаги из полиции не списать.

FirstVDS подтвердил взлом 17 октября: через уязвимость в панели VMmanager 6 (её разрабатывает ISPsystem из «Группы Астра») вредоносная программа подключала диски клиентских виртуальных машин в режиме «только чтение» и отправляла файлы на внешний сервер. Окно — с 12:27 до 22:34 по Москве. 18 октября хостер разослал персональные уведомления, история разошлась по Хабру и профильным каналам, а через пару дней выяснилось, что пострадали и другие провайдеры на той же панели.

Что успели скопировать и почему это не только забота админа

По данным уведомлений, которые пересказали SecurityLab и Хабр, под угрозой оказалось почти всё, ради чего сервер вообще существует:

  • SSH-ключи, системные пароли, хранилища паролей;
  • файлы .env, конфигурации Docker, строки подключения к PostgreSQL, MySQL, MongoDB, Redis;
  • токены GitHub, GitLab, облачных сервисов, ключи к API;
  • приватные ключи криптокошельков и seed-фразы.

Админ сейчас отзывает ключи и переносит сервисы. Это правильно, но это половина работы. Вторая половина — у директора и бухгалтера: решить, было ли там то, о чём обязаны сообщить государству, и собрать документы на расходы, пока все помнят, что произошло.

Вы оператор персональных данных, а не хостер

Главная ошибка, которую мы видим в обсуждениях: «взломали хостера, пусть хостер и отвечает». По закону о персональных данных оператор — тот, кто решает, зачем и какие данные обрабатывать. Если в базе на вашем VDS лежали имена, телефоны и почты пользователей вашего сервиса, клиентов заказчика или анкеты сотрудников — оператор вы. Хостер сдаёт вам мощности.

Значит, сроки тоже ваши (ч. 3.1 ст. 21 закона № 152-ФЗ):

СрокЧто сделать
24 часа с момента, когда узналиПервичное уведомление в Роскомнадзор: что произошло, какие данные, сколько людей, что уже делаете, контактное лицо
72 часаИтоги внутреннего расследования: причины и кто причастен, если удалось установить

Отсчёт идёт не с 17 октября, а с момента, когда вы узнали об инциденте. Для большинства клиентов это письмо хостера 17–18 октября. Подаётся уведомление через портал Роскомнадзора.

Цена молчания — ч. 11 ст. 13.11 КоАП: юрлицу от 1 до 3 млн ₽, должностному лицу 400–800 тыс. ₽ (редакция закона № 420-ФЗ, действует с 30 мая 2025 года). Если выяснится, что данные действительно утекли и их больше тысячи записей, отдельно идут штрафы за саму утечку — от 3 млн ₽ и выше в зависимости от числа людей.

Если персональных данных на сервере не было, уведомлять не о чем. Но запишите это: служебная записка «на сервере таком-то хранились исходный код и тестовые данные, персональных данных не было» в октябре пишется за десять минут, а в марте, при запросе регулятора, восстанавливается мучительно.

Сколько вернёт хостер

Здесь рассчитывать не на что, и лучше это понимать сразу. 3 ноября FirstVDS опубликовал программу компенсаций. В неё входят:

  • перерасчёт за период, когда оплаченный сервер был недоступен или не выдан;
  • бонус за долгое ожидание первого ответа поддержки: свыше 12 часов — 150 ₽, свыше суток — 200 ₽, свыше двух суток — 500 ₽. Бонусы за несколько обращений не суммируются.

Прямая цитата из условий: «Выплаты за компрометацию данных и расходы на смену паролей, ключей и токенов в неё не входят». Компания ссылается на обстоятельства атаки и ограничения ответственности по договору.

Получается грустная арифметика: штраф за неуведомление Роскомнадзора начинается с миллиона, а максимальный бонус от хостера — 500 ₽. Можно попробовать взыскать убытки в суде, но договоры хостинга почти всегда ограничивают ответственность провайдера платой за услугу. Мы разбирали такой же расклад на падении дата-центра Яндекса — «Зона Yandex Cloud легла после Сасово: SLA, клиенты, форс-мажор».

Перерасчёт, если он будет, попросите оформить корректировочными документами: стоимость услуг за период уменьшится, и расход в учёте должен уменьшиться вместе с ней.

Как списать расходы на ликвидацию

После такой недели у IT-компании обычно набегает: срочные часы своих DevOps, подрядчик по информационной безопасности, переезд на другой хостинг, новые сертификаты и лицензии, иногда юрист для уведомления Роскомнадзора.

Пример расчёта. Веб-студия держала на взломанном VDS три клиентских проекта. Подрядчик по безопасности провёл аудит и ротацию ключей за 90 000 ₽, переезд на нового хостера с тестированием — ещё 60 000 ₽, юрист подготовил уведомление — 30 000 ₽. Итого 180 000 ₽.

РежимЭкономия налога на 180 000 ₽
ОСНО, общая ставка 25%45 000 ₽
ОСНО, IT-льгота 5%9 000 ₽
УСН «Доходы минус расходы» 15%27 000 ₽
УСН «Доходы» 6%0 ₽

На ОСНО это прочие расходы (п. 1 ст. 252, ст. 264 НК РФ). На УСН 15% с 2026 года перечень расходов открыт: кроме поимённых статей можно учитывать иные обоснованные расходы по правилам главы 25 (подп. 45 п. 1 ст. 346.16 НК РФ). Что изменилось в упрощёнке, мы подробно разбирали в статье «Что теперь спишет IT-компания на УСН 15%».

Чтобы расход не сняли, нужна связка документов:

  1. Письмо хостера об инциденте (сохраните PDF или скриншот с датой).
  2. Приказ или служебная записка: что случилось, какие системы затронуты, кому что поручено.
  3. Договоры и акты с подрядчиками, где работы описаны конкретно: «ротация SSH-ключей и токенов доступа в связи с инцидентом 17.10.2026», а не «консультационные услуги».
  4. Для своих сотрудников — ничего отдельного: их зарплата и так в расходах. Но сверхурочные и работу в выходные оформите приказом и оплатите по ТК.

Если переехали на собственное железо, учёт будет другим — амортизация или вычет НДС, смотря по режиму. Это мы считали в статье «Свой сервер вместо облака: как IT-компании списать железо».

Украли деньги или крипту: сначала полиция, потом бухгалтерия

Самое болезненное — когда по утёкшим ключам уже вывели деньги: криптовалюту с кошелька, средства с платёжного шлюза, оплатили чужие ресурсы с вашей облачной карты.

Списать такую потерю как убыток можно, но условие одно и жёсткое: документ уполномоченного органа о том, что виновник не установлен (подп. 5 п. 2 ст. 265 НК РФ). На практике это постановление следователя о приостановлении предварительного следствия. Нет заявления в полицию — нет постановления — нет расхода. Налоговая в таких спорах непреклонна, и сочувствие к пострадавшему тут не помогает.

Что сделать сейчас:

  • подать заявление о краже в полицию, приложить письмо хостера, хеши транзакций, логи;
  • провести инвентаризацию: что было на кошельке или счёте на 17 октября и что осталось, оформить актом;
  • сохранить переписку с биржей или платёжным сервисом о блокировке.

Похожий порядок действует, когда деньги увели мошенники через бухгалтера — мы писали об этом в статье «Деньги ушли мошенникам по письму „от облака“: учёт и возврат».

Что грозит, если промолчать и ничего не оформить

  • Не уведомили Роскомнадзор, а утечка потом всплыла — 1–3 млн ₽ по ч. 11 ст. 13.11 КоАП плюс риск штрафа за саму утечку.
  • Расходы на ликвидацию оформлены как «консультационные услуги» без привязки к инциденту — налоговая может счесть их необоснованными и доначислить налог с пенями.
  • Списали украденное без документа полиции — доначисление налога на прибыль плюс 20% штрафа (ст. 122 НК РФ).
  • Заказчики, чьи проекты жили на вашем сервере, получат свои уведомления от вас позже, чем от хостера, — и это уже вопрос доверия, а не налогов.

Чек-лист на ближайшие дни

  1. Выяснить, были ли на затронутых серверах персональные данные. Если да — уведомить Роскомнадзор, если ещё не сделали.
  2. Отозвать старые ключи, токены и пароли, а не только выпустить новые: хостер прямо пишет, что выпуск новых доступ злоумышленнику не закрывает.
  3. Перевести криптовалюту на новые адреса, созданные на чистом устройстве.
  4. Собрать документы: письмо хостера, приказ, акты подрядчиков.
  5. Если что-то украдено — заявление в полицию сегодня.
  6. Подать хостеру заявку на перерасчёт за простой, если сервер был недоступен.

Мы видим такие истории всё чаще: техническая часть закрывается за неделю, а бухгалтерская всплывает через полгода, когда налоговая спрашивает, что это за 180 000 ₽ «консультаций». Соберём документы по инциденту, проведём расходы и потери по правилам — бухгалтерское обслуживание IT-компаний.

Что изменилось с тех пор (на 7 ноября 2026)

27 октября FirstVDS и ISPsystem опубликовали технические разборы инцидента. 3 ноября хостер объявил программу компенсаций: перерасчёт за недоступность и бонус 150–500 ₽ за долгие ответы поддержки по обращениям с 17 октября по 10 ноября включительно; компрометация данных и смена ключей не компенсируются. На 20 октября разработчик VMmanager сообщал, что работа над устранением уязвимости продолжается.

Ставки и нормы в статье проверены по состоянию на 7 ноября 2026: ч. 3.1 ст. 21 Федерального закона № 152-ФЗ; ч. 11 ст. 13.11 КоАП РФ (1–3 млн ₽ для юрлиц, ред. Федерального закона от 30.11.2024 № 420-ФЗ); п. 1 ст. 252, ст. 264, подп. 5 п. 2 ст. 265, подп. 45 п. 1 ст. 346.16, ст. 122 НК РФ; ставка налога на прибыль 25%, для аккредитованных IT — 5%; уведомления FirstVDS от 17–18.10.2026 и условия компенсаций от 03.11.2026.