Пока атака идёт, сначала ограничьте ущерб: изолируйте заражённые машины, не выключая питание: у компьютера выньте кабель и выключите Wi-Fi, у виртуальной машины отключите сетевой адаптер, у облачного сервера закройте доступ правилами сети; хранилище резервных копий тоже уберите из сети. Если шифрование продолжается, выключение допустимо — это решает специалист по реагированию. Если есть несколько минут, сфотографируйте экран со списком активных сеансов и историей входов: смена пароля во многих сервисах сама обрывает чужие сеансы. Пароли и ключи, которые могли украсть, меняйте уже после этого и с заведомо чистого компьютера. Время и исполнителя каждого действия записывайте.
Затем скопируйте журналы серверов, VPN, межсетевого экрана и почты за период инцидента и до него на отдельный носитель и продлите их хранение. Образ поражённой системы снимают раньше, чем её восстанавливают; разворачивать резервную копию поверх заражённой системы нельзя.
Если установлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав людей, оператор уведомляет Роскомнадзор: в течение 24 часов с момента выявления — об инциденте, в течение 72 часов — о результатах внутреннего расследования. Крупный инцидент лучше вести со специалистами по расследованию инцидентов.