Кибербезопасность в НКО: что нужно знать директору благотворительного фонда в 2026 году

В 2025 году число кибератак на НКО в России выросло на 340% по сравнению с 2023 годом. При этом 70% руководителей благотворительных фондов признают, что не разбираются в кибербезопасности. Эта статья — практическое руководство для директора НКО: что действительно нужно знать, какие меры принять, и как понять, что ваш IT-специалист правильно защищает фонд.

Почему НКО стали целью кибератак

Ещё пять лет назад НКО не воспринимались как интересные цели. Сегодня ситуация изменилась. Причины:

• База доноров = деньги. Данные жертвователей продаются на теневых форумах — интересны мошенникам для персональных атак и социальной инженерии
• Медленная защита. У НКО обычно нет полноценных IT-отделов, поэтому фонды — «мягкие цели»
• Готовность заплатить выкуп. Ransomware-группы знают: фонд не может себе позволить неделю простоя во время акции
• Автоматизированные атаки. Ботам всё равно, кого атаковать — они сканируют весь интернет и находят уязвимые сервисы

Если вы думаете «мы никому не нужны, мы же не банк» — это опасное заблуждение.

6 главных угроз для НКО в 2026 году

1. Ransomware (шифровальщики)

Что это: злоумышленник шифрует все файлы на серверах и требует выкуп в криптовалюте за расшифровку.

Как случается: сотрудник открыл файл из подозрительного письма, угадали пароль на открытом порту, уязвимость в устаревшем ПО.

Что теряет фонд: база доноров и подопечных зашифрована, 1С не работает, сайт для приёма пожертвований не работает. Средний выкуп в 2025 году — 3–7 млн ₽.

2. Утечка данных доноров

Что это: база жертвователей попадает к мошенникам.

Как случается: взломанный сайт, слив от бывшего сотрудника, утерянный ноутбук без шифрования.

Что происходит: доноры получают звонки «от вашего фонда» с просьбой перевести деньги на другой счёт. Мошенники представляются вашим фондом. Репутация рушится. Штраф РКН — до 15 млн ₽.

3. Взлом сайта для пожертвований

Что это: злоумышленники получают контроль над сайтом фонда и меняют платёжные реквизиты.

Как случается: устаревший WordPress с уязвимыми плагинами, простой пароль администратора, отсутствие 2FA.

Что происходит: донор нажимает «Пожертвовать» — деньги уходят мошенникам. Не заметить можно неделями — сайт визуально работает нормально.

4. Криптомайнеры на серверах

Что это: программа-майнер добывает криптовалюту на вашем железе.

Как случается: уязвимость в системе, забытый тестовый сервер, утечка SSH-ключей из открытого репозитория.

Что теряет фонд: электричество платит фонд, монеты получает злоумышленник. Деградация оборудования (постоянная нагрузка 100%). Замедление работы сервисов. Средний срок незамеченной работы — 4–6 месяцев.

5. Фишинг

Что это: письмо, замаскированное под легитимное, крадёт пароли или заставляет отправить деньги.

Типичные сценарии: «донор» присылает счёт с фишинговой ссылкой, «банк» просит войти в личный кабинет, «директор» просит бухгалтера срочно перевести деньги на новый счёт.

6. DDoS-атаки

Что это: массовые запросы «валят» сайт — он перестаёт работать.

Когда актуально: во время крупных благотворительных акций (враги хотят сорвать сбор), в период освещения в СМИ.

8 базовых мер защиты, снижающих риски на 80%

Не обязательно нанимать команду специалистов. Для начала — 8 базовых мер.

1. Резервные копии по правилу 3-2-1

3 копии данных, на 2 разных носителях, 1 копия — вне офиса. Проверяйте восстановление раз в месяц. Если не проверяются — их нет. Стоимость: 3–15 тыс ₽/мес.

2. Двухфакторная аутентификация везде

Обязательно для всех сотрудников (почта, CRM, банк-клиент), административных панелей, серверов, 1С. Стоимость: 0 ₽.

3. Регулярные обновления ПО

Windows Update ежемесячно. CMS сайта — ежемесячно. PHP, MySQL, Nginx — каждые 6 месяцев. Плагины — сразу при выходе. Стоимость: 0 ₽, только время.

4. Менеджер паролей и уникальные пароли

Каждый сервис — уникальный пароль в менеджере (Bitwarden, 1Password, KeePass). Никаких паролей в Excel. Никакого «password» или «123456». Стоимость: 0–1500 ₽/мес.

5. Обучение сотрудников

Более 80% атак начинаются с ошибки сотрудника: как распознать фишинг, что делать при подозрительном письме, как использовать пароли, что нельзя отправлять в мессенджерах. Стоимость: 15–30 тыс ₽ разовое обучение.

6. Файрвол и мониторинг

Файрвол на границе сети (Windows Firewall / iptables), мониторинг подозрительной активности (Zabbix, Wazuh), логирование доступа к критичным данным. Стоимость: 0 ₽ open-source или 15–50 тыс ₽/мес готовые решения.

7. Соответствие 152-ФЗ

Регистрация в реестре РКН (бесплатно, но нужно правильно), данные — на серверах в РФ, согласия на обработку, политика на сайте. Стоимость: 30–60 тыс ₽ разовый аудит.

8. План реагирования на инциденты

Заранее решите: кто отвечает за реагирование, как отключить сеть при атаке, кому звонить (подрядчик, юрист, PR), как уведомлять доноров (обязательно в течение 24 часов). Стоимость: 0 ₽, только час на составление.

Штрафы за нарушения в 2026 году

Для небольшого фонда даже минимальный штраф — это годовой бюджет программы помощи.

5 признаков, что IT-специалист правильно защищает фонд

Признак 1: Регулярные отчёты об инцидентах. Ежемесячно вы получаете отчёт: сколько попыток атак, что заблокировано, какие обновления. Если отчётов нет — специалист либо не отслеживает, либо скрывает.

Признак 2: Проведённое обучение сотрудников. Ваши сотрудники знают, что делать при подозрительном письме. Тест: попросите специалиста прислать фишинговое письмо-имитацию. Если больше 30% кликают — обучения не было.

Признак 3: Ежемесячная проверка восстановления бэкапов. В отчёте: «Провели тестовое восстановление на тестовом стенде. Успех.» Если этого нет — бэкапы, возможно, не работают.

Признак 4: Документация и передача знаний. У вас есть документация инфраструктуры. Специалист готов уйти в отпуск — и вы знаете, кто продолжит работу.

Признак 5: Проактивные предложения по безопасности. Специалист сам приходит с предложениями. Если только реагирует на ваши вопросы — он не работает над безопасностью.

Что делать прямо сейчас: план на 30 дней

Неделя 1: аудит. Составьте список всех IT-сервисов, проверьте резервные копии, включена ли 2FA у ключевых сотрудников, обновлялось ли ПО за 6 месяцев.

Неделя 2: критические уязвимости. Обновите пароли на всех ключевых учётках, включите 2FA везде, обновите CMS сайта и плагины, настройте автоматические резервные копии.

Неделя 3: соответствие 152-ФЗ. Проверьте регистрацию в реестре РКН, убедитесь, что данные хранятся в РФ, актуализируйте политику на сайте.

Неделя 4: план на будущее. Проведите обучение сотрудников, составьте план реагирования на инциденты, найдите IT-подрядчика, специализирующегося на НКО.

Реальный кейс: как аудит спас фонд от 8 млн ₽ штрафа

Благотворительный фонд помощи пожилым, работающий с 2018 года, база 45 000 доноров. Обратились после публикации в СМИ о крупной утечке из соседней организации.

Что нашли за неделю аудита:

• Данные доноров хранились в Google Drive (нарушение 152-ФЗ) — потенциальный штраф до 18 млн ₽
• Не были зарегистрированы в реестре РКН — до 700 тыс ₽
• Пароль администратора сайта — «12345»
• Ни у кого не было 2FA
• Бэкапы делались на тот же сервер и не проверялись 2 года

Что сделали за 2 месяца: мигрировали данные из Google Drive в Яндекс.Облако, зарегистрировали в РКН, внедрили 2FA, настроили бэкапы 3-2-1, провели обучение 20 сотрудников.

Стоимость проекта: 285 тыс ₽ единоразово.

Что предотвратили: потенциальные штрафы РКН до 8 млн ₽ + потенциальную утечку базы 45 000 доноров + возможное закрытие фонда после скандала.

Заключение

Кибербезопасность в НКО — это не про сложные технологии. Это про базовую гигиену, которая закрывает 80% рисков:

1. Работающие бэкапы 3-2-1
2. Двухфакторная аутентификация везде
3. Регулярные обновления ПО
4. Уникальные пароли в менеджере
5. Обучение сотрудников
6. Файрвол и мониторинг
7. Соответствие 152-ФЗ
8. План реагирования на инциденты

Если у вас есть эти 8 пунктов — вы защищены от подавляющего большинства угроз. Если нет хотя бы одного — вы рискуете миллионами рублей штрафов и репутацией фонда. Не откладывайте.