Накратко: След кибератака фирмите могат да подадат сигнал до полицията. Подходящото звено за контакт са Zentrale Ansprechstellen Cybercrime (ZAC) при земните криминални служби (Landeskriminalämter), специализирани за фирми и органи. Подгответе кратка времева линия и запазете доказателствата, преди системите да се инсталират наново. Тази страница е обща информация, не представлява правен съвет.
Защо сигналът може да е смислен
Много фирми се колебаят след атака да привлекат полицията. Опасяват се от усилия, прекъсване на дейността или огласяване. Сигналът обаче има осезаеми предимства: документира официално инцидента, прави възможни разследвания срещу извършителите и помага на органите да добият обзор на ситуацията. За застрахователи, бизнес партньори и при нужда надзорни органи номерът на преписката може да е полезно доказателство.
Дали сигналът е уместен в конкретния случай, зависи от ситуацията. При изнудване, кражба на данни, манипулиране на платежни данни или проникване в сървър с клиентски данни има много аргументи за него. Обсъдете въпроса с Вашата правна консултация и ако имате, с Вашия киберзастраховател.
Zentrale Ansprechstellen Cybercrime
ZAC са специализирани звена на полицията, които има във всяка федерална провинция, разположени при земните криминални служби (Landeskriminalämter). Те са насочени към фирми, органи и съюзи. Там работят разследващи с техническа подготовка, запознати с атаки срещу сървъри, изнудване и кражба на данни.
Компетентна е по правило ZAC на федералната провинция, в която фирмата Ви има седалище. Преглед на всички звена ще намерите на polizei.de. Тук умишлено не посочваме телефонни номера, защото пътищата за контакт могат да се променят; ползвайте актуалните данни на полицията.
Потърсете данните за контакт на ZAC на Вашата федерална провинция, преди да се е случило нещо, и ги впишете във Вашия авариен план, на място, достъпно и без работеща ИТ.
Кибератака: подготовка на сигнала до полицията
Не е нужно да знаете всичко, за да подадете сигнал. Подредено представяне на известното състояние обаче улеснява разговора. Съберете тези точки:
- Времева линия: кога е забелязан инцидентът, от кого и какви стъпки са последвали?
- Засегнати системи: например уеб сървър, магазин, клиентски портал, с местонахождение във Вашата фирма или при доставчика на хостинг.
- Наблюдения: непознати файлове, подозрителни записи в логовете, съобщения на изнудвачи, изтичане на данни.
- Щета: прекъсване на работата, засегнати данни, финансови последици, доколкото са известни.
- Досегашни мерки: системи изолирани, пачнати, сменени пароли, привлечен доставчик на услуги.
- Лица за контакт: кой във фирмата е на разположение за въпроси.
При инцидент във връзка с PHP2Shell към представянето спадат уязвимостите CVE-2026-109618 и CVE-2026-109619, както и моментът на Вашия пач. Пачът не доказва, че преди това нищо не се е случило.
Запазване на доказателствата
За разследванията решаващи са непроменените следи. Рефлексът компрометиран сървър веднага да се изтрие и да се инсталира наново унищожава именно тези следи. По-добър е подреденият ред: изолиране на системата, запазване на логове, списъци на файлове и при нужда образи на паметта и на носителите, фиксиране на контролни суми, след това почистване.
При PHP2Shell специализираната преса препоръчва логовете на сървъра да се пазят от 20.10.2026 г. нататък. Помолете и своя доставчик на хостинг да запази протоколите, ако самите Вие нямате достъп. Как се анализират логове, без следите да се променят, описва Анализ на логовете на уеб сървъра след атака. За запазване с доказателствена стойност пред съда подходящият път е ИТ криминалистиката.
След сигнала по правило получавате номер на преписка. Разследващите се свързват с Вас при въпроси и съгласуват какви данни им трябват, например копия на логове или образи на паметта. Не разчитайте разследванията бързо да доведат до резултат; извършителите често са в чужбина и ползват прикрита инфраструктура. Стойността на сигнала затова не е само в конкретния случай. Констатациите от много сигнали помагат да се свързват групи извършители и да се нарушава инфраструктурата им. Запишете номера на преписката във Вашата документация за инцидента и го предавайте при нужда на застрахователя или на надзорния орган. Нови констатации от Вашето собствено разследване можете да допълните по-късно.
Сигналът и другите задължения
Сигналът не замества други уведомления. Ако са засегнати лични данни, може да съществува задължение за уведомяване на надзорния орган по защита на данните по чл. 33 от ОРЗД, по възможност в рамките на 72 часа от узнаването. Ако Вашата фирма попада под NIS2, се добавят уведомления до BSI (Федерална служба за информационна сигурност на Германия). И много киберзастраховки изискват ранно информиране. Съгласувайте последователността, за да не се пропусне нито един път; указания има в Киберзастраховка при щета.
Плащания към изнудвачи не бива да обмисляте без консултация с полицията, правната консултация и застрахователя. ZAC могат да съветват по такива въпроси.
Как помага PHP SOS конкретно?
- Запазваме логове и системни състояния така, че да останат използваеми за разследванията, и документираме контролните суми.
- Изготвяме техническа времева линия и разбираемо резюме за разговора със ZAC.
- По Ваше желание сме на разположение на разследващите като технически контакт.
- Паралелно продължаваме Incident Response, за да работи Вашата дейност отново сигурно колкото е възможно по-бързо.
Често задавани въпроси
Има ли смисъл изобщо от сигнал след кибератака?
Сигналът създава официална документация, която може да е полезна пред застрахователи, бизнес партньори и органи. Той прави възможни разследвания и допринася за обзора на ситуацията. Дали е смислен в конкретния случай, можете да обсъдите със ZAC и с Вашата правна консултация.
Какво е ZAC?
Zentrale Ansprechstellen Cybercrime са специализирани звена на полицията за фирми и органи, разположени при земните криминални служби (Landeskriminalämter). Те приемат сигнали, съветват за действията и координират разследвания. Преглед предлага polizei.de.
Трябва ли да спра дейността си заради разследванията?
По правило не. ZAC са настроени към това, че фирмите трябва да продължат да работят, и съгласуват мерките с Вас. Изяснете въпросите за запазването на доказателствата и за възобновяването на работата още в първия разговор.
Става ли сигналът автоматично публичен?
Не, сигналът не се публикува автоматично. Въпросите за поверителността обсъдете най-добре директно със ZAC. Собствената си комуникация навън продължавате да управлявате Вие.