Безопасность электронной подписи: как защищают КЭП от вредоносного ПО в ЭДО

Что произошло: Диадок усилил защиту документооборота от вредоносного ПО

Безопасность электронной подписи обычно обсуждают в контексте кражи токена или звонка мошенника, но есть угроза менее очевидная — вредоносный файл, который приходит в обычном пакете документов. Контур.Диадок рассказал, как сервис защищает электронный документооборот (ЭДО) от такого софта: двойным барьером из антивирусной проверки и белого списка разрешённых форматов. Для бизнеса, который подписывает акты, счета и накладные квалифицированной электронной подписью, это повод вспомнить: КЭП подтверждает, что документ не менялся после подписания, но не защищает компьютер сотрудника от заражения вложенным файлом.

Проблема в том, что ЭДО — удобная площадка для злоумышленников. Письмо с «актом сверки» от контрагента вызывает куда меньше подозрений, чем обычное вложение в почте, а значит и шанс, что сотрудник откроет файл без проверки, выше.

Из чего состоит безопасность электронной подписи

Прежде чем разбирать конкретные угрозы, стоит понять, из каких свойств вообще складывается безопасность электронной подписи. Это не одна характеристика, а связка из нескольких, и каждая закрывает свой риск.

• Конфиденциальность ключа. Закрытый ключ электронной подписи известен только владельцу и хранится на защищённом носителе — токене. Если ключ скопировали или подсмотрели пароль к нему, конфиденциальность нарушена, даже если сам токен физически на месте.
• Целостность документа. КЭП математически связывает текст документа с подписью: при любом изменении файла после подписания — хотя бы на один символ — подпись становится недействительной. Это свойство защищает от подмены содержимого, но не от вредоносного кода, который прилагается к документу отдельным файлом.
• Подлинность и идентификация подписанта. Сертификат ключа проверки ЭП содержит данные владельца и выдаётся аккредитованным удостоверяющим центром только после проверки документов. Это позволяет однозначно установить, кто подписал файл.
• Неотказуемость. Если подпись действительна и ключ не был скомпрометирован, владелец не может задним числом заявить, что документ подписывал кто-то другой, — закон презюмирует, что документы, подписанные его КЭП, исходят от него.

Угроза, о которой рассказал Диадок, бьёт именно по первому свойству через обходной путь: вредоносный файл не ломает криптографию подписи, а заражает устройство, через которое с подписью работает человек. Поэтому защита должна закрывать все уровни одновременно, а не только криптографию.

Какие вредоносные программы маскируются под рабочие документы

Угрозы, с которыми встречается бизнес через каналы обмена документами, делятся на пять групп.

• Рекламное ПО — навязывает всплывающую рекламу и часто становится точкой входа для более опасных программ.
• Шифровальщики (программы-шантажисты) — блокируют доступ к файлам и требуют выкуп за восстановление.
• Вирусы, черви, трояны и руткиты — скрытно проникают в систему и крадут данные.
• Криптоджекинг — незаметно использует вычислительные мощности компании для майнинга криптовалюты.
• Шпионское ПО — собирает пароли и конфиденциальную информацию без ведома пользователя.

Как выглядит типичная атака на пользователя электронной подписи

Сценарий почти всегда укладывается в четыре шага.

1. Сотруднику приходит сообщение с документом, который маскируется под привычный файл — акт, счёт, накладную или договор.
2. Внутри вложения спрятан исполняемый код: в архиве, в макросе или в файле с двойным расширением, например «акт.pdf.exe».
3. Сотрудник открывает файл, не проверив его, и код запускается на компьютере.
4. Дальше — в зависимости от типа программы — начинается шифрование данных, кража паролей или скрытый майнинг.

Именно второй шаг — исполняемый код под видом документа — блокирует белый список форматов, о котором дальше.

Чем рискует бизнес, если вредонос проникнет через документооборот

Заражение через рабочую переписку редко остаётся локальной технической проблемой — оно почти всегда переходит в юридическую и финансовую плоскость.

Что говорит закон: 63-ФЗ, 152-ФЗ и безопасность электронной подписи

Федеральный закон №63-ФЗ «Об электронной подписи» определяет требования к простой, неквалифицированной и квалифицированной подписи. Именно КЭП придаёт документу юридическую значимость и защищает его от подмены: изменить подписанный файл без нарушения подписи технически невозможно. Но закон регулирует целостность и подлинность документа, а не защиту компьютера, на котором этот документ открывают.

Федеральный закон №152-ФЗ «О персональных данных» обязывает и оператора ЭДО, и саму компанию защищать персональные данные, которые встречаются в документах: ФИО, паспортные данные, реквизиты сотрудников и клиентов. Утечка из-за вредоносного файла — это ответственность обоих.

Для компаний — объектов критической информационной инфраструктуры (энергетика, финансовый сектор, здравоохранение) действуют дополнительные требования ФСТЭК России и ФСБ России. Для остальных прямых обязательных нормативов по защите от вредоносного ПО в ЭДО нет, но базовая цифровая гигиена снижает риск многократно.

Юридическая ответственность, если ключ электронной подписи скомпрометирован

63-ФЗ не просто описывает, что такое КЭП, — он прямо возлагает на владельца сертификата обязанности по защите ключа. Статья 10 закона обязывает участников электронного взаимодействия обеспечивать конфиденциальность ключа, не допускать его использование без своего согласия и уведомить удостоверяющий центр о нарушении конфиденциальности не позднее одного рабочего дня с момента, когда об этом стало известно. С этого момента ключ нельзя использовать дальше — даже если физически токен ещё в руках владельца.

Разделение ответственности здесь простое, но важное для бизнеса. Пока владелец не сообщил в УЦ о компрометации, документы, подписанные его ключом, по умолчанию считаются исходящими от него, — отвечать за них придётся тому, на кого выпущен сертификат. Если заявление о компрометации подано своевременно и УЦ аннулировал сертификат, ответственность за документы, подписанные после этого момента, может быть возложена на того, кто использовал ключ незаконно, — но это нужно доказывать, в том числе в суде.

На практике споры о документах, подписанных при спорных обстоятельствах, суды рассматривают исходя из того, была ли обеспечена конфиденциальность ключа и было ли своевременно подано заявление об аннулировании сертификата. Если сторона докажет, что ключ использовался третьим лицом без её согласия, а о компрометации было сообщено без задержки, сделку или документ можно оспорить. Если таких доказательств нет, действует презумпция: раз документ подписан действующим сертификатом, значит, подписал его владелец. Это ещё один аргумент в пользу того, чтобы не затягивать с обращением в УЦ при любом подозрении на утрату контроля над ключом.

Как Диадок проверяет документы: антивирус и белый список форматов

Защита построена на двух механизмах, которые работают последовательно.

Антивирусная проверка. Каждый файл проходит через средство антивирусной защиты. У этого способа есть ограничение: антивирус не ловит угрозы нулевого дня — ещё неизвестный вредоносный код. Поэтому Диадок дополнительно отслеживает косвенные признаки таких угроз и передаёт подозрительные файлы разработчикам антивирусного решения на анализ.

Белый список форматов. С 17 декабря 2025 года для неформализованных документов (без жёсткой структуры) разрешены только определённые типы файлов: таблицы, текстовые документы, презентации, архивы на условиях, двоичные файлы, изображения и векторная графика. У архивов есть отдельные ограничения — внутри допускаются только файлы из белого списка, без защиты паролем, а вложенные архивы (архив в архиве) не пропускаются вовсе.

Белый список отсекает именно то, на чём держится большинство атак, — исполняемый код и файлы с двойным расширением, которые маскируются под обычный документ. Проверка происходит на этапе передачи документа через сервис, до того как он попадёт в личный кабинет получателя: если файл не прошёл её, сотрудник его просто не увидит.

Безопасность простой электронной подписи (ПЭП): чем она отличается от КЭП

Весь разговор выше — про КЭП, но в обороте компании встречается и простая электронная подпись: вход по логину и паролю, код из смс, подтверждение действия в личном кабинете. Юридически это два разных механизма, и путать их риски не стоит.

ПЭП работает не за счёт криптографии, а за счёт соглашения между сторонами — статья 9 63-ФЗ требует, чтобы стороны заранее договорились, что именно признаётся простой подписью и как устанавливается личность подписанта. Без такого соглашения документ, «подписанный» паролем или смс-кодом, не имеет той же юридической силы, что КЭП. Поэтому ПЭП обычно используют для внутренних согласований, входа в личные кабинеты банков и государственных сервисов, подтверждения заявок — там, где заранее прописаны правила игры.

Разница в рисках принципиальная. КЭП защищена математически: подделать подпись без доступа к закрытому ключу невозможно, а изменение документа после подписания делает подпись недействительной. У ПЭП такой защиты нет — она держится на секретности пароля или одноразового кода. Самая частая схема мошенничества здесь — не взлом, а социальная инженерия: звонок «от банка» или «от службы поддержки» с просьбой назвать код из смс. Если код назвали, формально действие совершено от имени владельца аккаунта, и доказать обратное куда сложнее, чем в случае с КЭП, где есть чёткий момент аннулирования сертификата.

Отсюда и разные правила безопасности. Для ПЭП главное — никому не называть пароли и одноразовые коды, включать двухфакторную аутентификацию там, где это возможно, и помнить, что ни банк, ни УЦ, ни государственный сервис никогда не запрашивают код из смс по телефону. Для КЭП — физическая защита токена и PIN-кода.

Как бизнесу усилить безопасность электронной подписи и рабочих мест

Инфраструктура оператора ЭДО закрывает только часть периметра. Остальное — зона ответственности самой компании.

Технические меры

• Установить и поддерживать антивирусное решение на всех рабочих местах, где открывают документы.
• Своевременно обновлять операционную систему, браузер и прикладное ПО — многие атаки используют уже известные, но не закрытые обновлением уязвимости.
• Включить двухфакторную аутентификацию для входа в сервис ЭДО и другие корпоративные системы.
• Делать резервные копии данных и хранить их отдельно от основной сети.
• Ограничивать права доступа по принципу минимально необходимых привилегий.

Организационные меры

• Обучать сотрудников базовым правилам цифровой безопасности и признакам подозрительных файлов.
• Закрепить во внутреннем регламенте, кто отвечает за приём документов от новых контрагентов.
• Назначить ответственного, которому сообщают о подозрительных вложениях.
• Периодически проверять, что регламент соблюдается на практике, а не только на бумаге.

Что делать, если пришёл подозрительный файл

1. Не открывать вложение и не переходить по ссылкам в нём до проверки.
2. Проверить реквизиты отправителя в ЭДО: название организации, ИНН, историю предыдущих документов.
3. Сверить формат и название файла — двойное расширение или нетипичный формат почти всегда признак подделки.
4. Сообщить об инциденте ответственному за ИТ-безопасность или в поддержку оператора, не удаляя файл самостоятельно.
5. Не пересылать документ коллегам — это только расширит круг риска.
6. Если файл уже открыт и есть подозрение на заражение — отключить устройство от сети и сразу сообщить в ИТ-отдел.
7. После устранения угрозы проверить пароли и права доступа в связанных системах, включая 1С.

Что делать, если ключ электронной подписи украден или скомпрометирован

Отдельный сценарий — не вредоносный файл, а потеря контроля над самим ключом: потерялся или украли токен, PIN-код стал известен посторонним, сотрудник заметил на площадке документы, которые не подписывал. Здесь важна скорость, а не то, кто виноват.

1. Немедленно обратиться в удостоверяющий центр, выдавший сертификат, — по телефону поддержки или через личный кабинет — и заявить о компрометации ключа. Это прямая обязанность владельца по статье 10 63-ФЗ, и от скорости обращения зависит, кто будет отвечать за документы, подписанные после утраты контроля над ключом.
2. Потребовать аннулировать (отозвать) сертификат. После аннулирования ключ больше не может использоваться для подписания — сведения об этом УЦ вносит в реестр действующих и отозванных сертификатов.
3. Если токен физически украли, а не просто потеряли контроль над паролем, — обратиться в полицию с заявлением о краже; это пригодится, если позже придётся оспаривать подписанные документы в суде.
4. Сообщить о компрометации контрагентам, с которыми ведётся ЭДО, и операторам торговых площадок, если сертификат использовался для участия в закупках — это снижает риск, что кто-то успеет подписать или принять документ скомпрометированным ключом до его аннулирования.
5. Проверить документы, подписанные в период, когда ключ мог быть скомпрометирован. Если найден документ, который владелец не подписывал, — это основание для обращения в УЦ за разбирательством и, при необходимости, в суд.
6. Сменить пароли в смежных системах — личном кабинете на торговой площадке, в сервисах ФНС, в учётной системе вроде 1С, — если есть подозрение, что злоумышленник получил доступ не только к ключу, но и к другим учётным данным.
7. Получить новый сертификат. Процедура перевыпуска близка к первичному получению ЭП: потребуются паспорт, СНИЛС и, если подпись выпускается на сотрудника, а не на руководителя, — машиночитаемая доверенность, подтверждающая его полномочия.

Как проверить сертификат и легитимность электронной подписи

Проверка нужна не только после подозрения на компрометацию — полезно уметь быстро убедиться в подлинности подписи на входящем документе или в собственном сертификате перед важной сделкой.

1. Посмотреть срок действия сертификата. Дата выдачи и дата окончания указаны в самом сертификате и в личном кабинете УЦ — просроченным сертификатом подписать документ технически нельзя, но проверить это стоит заранее, чтобы не сорвать срок подачи, например, заявки на торгах.
2. Проверить, что сертификат не отозван. Информация об аннулированных сертификатах хранится в реестре удостоверяющего центра, который его выдал; большинство УЦ дают возможность проверить статус сертификата по его номеру через личный кабинет или сервис проверки.
3. Сверить данные владельца сертификата — ФИО, ИНН или СНИЛС — с тем, кто фактически должен подписывать документ.
4. Убедиться, что сертификат выпущен аккредитованным удостоверяющим центром. Реестр аккредитованных УЦ ведёт Минцифры России — если УЦ в нём не значится, выданный им сертификат не имеет законной силы КЭП.
5. Для подписи сотрудника — проверить машиночитаемую доверенность: она должна быть действующей и покрывать именно то полномочие, в рамках которого подписан документ.
6. Для уже подписанного файла — воспользоваться встроенной проверкой в сервисе ЭДО или в КриптоПро: она покажет, кем и когда подписан документ и не менялся ли он после подписания. Если проверка показывает нарушение целостности, документу верить не стоит, даже если подпись формально действительна.

Чек-лист: как владельцу электронной подписи избежать компрометации

Большинство инцидентов с кражей ЭП начинаются не со взлома, а с нарушения простых правил хранения ключа. Многие аккредитованные УЦ при выдаче подписи выдают клиенту памятку с похожими рекомендациями — в основе таких памяток лежат общие принципы безопасного использования усиленной квалифицированной электронной подписи, которые в своё время формулировала и ФСБ России для операторов значимых информационных систем.

• Хранить токен в месте, недоступном для посторонних, — не оставлять его в разъёме компьютера без присмотра и не передавать коллегам «на минутку».
• Никому не сообщать PIN-код от токена или пароль от контейнера с ключом — ни коллегам, ни техническим специалистам, ни тем, кто представляется сотрудником УЦ по телефону: реальный УЦ никогда не запрашивает пароль от ключа таким способом.
• Не передавать ключ другому сотруднику для разового подписания документа. Если нужно делегировать право подписи, для этого существует машиночитаемая доверенность, а не временная передача токена.
• Использовать отдельный токен для КЭП и не хранить на нём посторонние файлы — это снижает площадь атаки.
• Своевременно обновлять КриптоПро CSP, плагины для браузера и саму операционную систему — устаревшее ПО чаще содержит уязвимости, которыми пользуются вредоносные программы.
• Проверять, через какой канал пришла просьба подписать документ или назвать код, если есть хоть малейшее сомнение в адресате.
• Отмечать срок действия сертификата заранее и подавать заявку на продление не в последний день — это снижает риск, что с подписью будут вынуждены торопиться и пропустят проверку документа перед подписанием.

Кто за что отвечает в защите документооборота

Разграничение ответственности помогает не путать то, что обязан обеспечить оператор ЭДО, и то, что остаётся на стороне компании.

Частые вопросы о безопасности электронной подписи и защите от вредоносного ПО

Что такое белый список форматов в Диадоке и когда он начал действовать?

Это перечень допустимых типов файлов для неформализованных документов: таблицы, текстовые документы, презентации, архивы на определённых условиях, двоичные файлы, изображения и векторная графика. Правило действует с 17 декабря 2025 года, архивы с паролем и вложенные архивы сервис не принимает.

Защищает ли антивирусная проверка Диадока от всех видов вредоносного ПО?

Нет. Антивирус не распознаёт угрозы нулевого дня — ранее неизвестный вредоносный код. Диадок дополнительно следит за косвенными признаками таких угроз и передаёт подозрительные файлы разработчикам антивирусного решения на анализ.

Можно ли передать через ЭДО архив, защищённый паролем?

Нет, с декабря 2025 года такие архивы не принимаются сервисом, как и вложенные архивы — архив внутри архива блокируется полностью.

Какие риски несёт бизнес, если вредоносное ПО попадёт в документооборот?

Юридические — ответственность за утечку данных и штрафы, финансовые — простой систем и расходы на восстановление, репутационные — потеря доверия партнёров, и регуляторные: для объектов критической информационной инфраструктуры это риск потери лицензии.

Что делать, если сотрудник уже открыл подозрительный файл?

Немедленно отключить устройство от сети, сообщить в ИТ-отдел и не пытаться удалять файлы самостоятельно. После устранения угрозы нужно проверить пароли и права доступа во всех связанных системах, включая 1С.

Чем безопасность простой электронной подписи отличается от КЭП?

ПЭП держится на секретности пароля или смс-кода и работает по соглашению сторон, а не за счёт криптографии. КЭП защищена математически: подделать её без доступа к закрытому ключу невозможно, а изменение документа после подписания делает подпись недействительной. Поэтому для ПЭП главный риск — социальная инженерия, а для КЭП — компрометация ключа и токена.

Что делать первым шагом, если токен с электронной подписью потерян или украден?

Сразу обратиться в удостоверяющий центр, выдавший сертификат, и заявить о компрометации ключа, чтобы его аннулировали. Если токен украли, а не потеряли, дополнительно стоит обратиться в полицию — это пригодится при оспаривании документов, подписанных без согласия владельца.

Может ли суд признать недействительной сделку, подписанную украденной электронной подписью?

Да, если доказано, что ключ использовался третьим лицом без согласия владельца и о компрометации было своевременно сообщено в УЦ. Без таких доказательств действует презумпция, что документ, подписанный действующим сертификатом, подписал его владелец.

Как проверить, что сертификат электронной подписи ещё действителен?

Проверить срок действия и статус сертификата можно в личном кабинете удостоверяющего центра, который его выдал, — там видно, не отозван ли сертификат. Дополнительно стоит убедиться, что УЦ входит в реестр аккредитованных организаций, который ведёт Минцифры России.

Какая ответственность предусмотрена, если владелец передал ключ подписи другому человеку?

63-ФЗ возлагает на владельца сертификата обязанность обеспечивать конфиденциальность ключа и не допускать его использование без своего согласия. Добровольная передача ключа не освобождает от ответственности за документы, подписанные им, — формально они считаются подписанными владельцем сертификата, если не доказано иное.

Главное о безопасности электронной подписи в документообороте

КЭП и защита от вредоносного ПО решают разные задачи: подпись подтверждает подлинность документа, а антивирус с белым списком форматов не дают заражённому файлу попасть в работу. Оператор ЭДО закрывает только инфраструктурный уровень — остальное, от обновлений до регламентов, зависит от самой компании. Держать безопасность электронной подписи на высоком уровне означает следить за обоими слоями защиты одновременно, а не только за тем, кому доверен токен.

Мы — партнёр СКБ Контур, и помогаем бизнесу не только оформить эп и настроить рабочее место для подписания документов, но и разобраться, какой сертификат и носитель ключа подойдут именно под ваши задачи в ЭДО, торгах или отчётности. Чем аккуратнее выстроена работа с подписью и документами с самого начала, тем меньше риск, что рабочий процесс встанет из-за случайного вложения.

Если резюмировать: безопасность электронной подписи — это сочетание конфиденциальности ключа, целостности документа, подлинности подписанта и аккуратной работы с инфраструктурой ЭДО. Отдельно стоит держать в голове разницу между ПЭП и КЭП — у них разные механизмы защиты и разная цена ошибки. А если контроль над ключом всё же утрачен, важна не столько реакция постфактум, сколько скорость обращения в удостоверяющий центр: именно она определяет, кто будет отвечать за документы, подписанные в спорный период.