Зламали пошту чи акаунт компанії: що робити в перші 30 хвилин?

Спершу зупиніть шкоду: з іншого, чистого пристрою змініть пароль, завершіть усі сесії і приберіть чужі правила пересилання та нові пристрої для входу. Одразу після цього попередьте бухгалтерію й ключових клієнтів, що прохання оплатити на нові реквізити зараз не виконуються без дзвінка на відомий номер.

Нічого не видаляйте: листи, журнали входів і правила знадобляться, щоб зрозуміти, що сталося, і для звернення в банк чи поліцію. Нижче план хвилина за хвилиною, кому дзвонити і чого не робити. Збережіть цю сторінку заздалегідь, бо в момент злому шукати її буде ніколи.

Коротко

• Перші 5 хвилин: новий пароль з чистого пристрою і завершення всіх сесій. Самої зміни пароля мало, якщо зловмисники вже залишили собі запасний вхід.
• Перевірте правила пересилання, нові пристрої для другого фактора, доступ інших людей до скриньки і підключені застосунки. Саме там зазвичай ховається запасний вхід.
• Бухгалтерія не платить на нові реквізити, доки не підтвердить їх дзвінком на відомий номер. Якщо гроші вже пішли, дзвоніть у банк негайно.
• Не видаляйте листи й не стирайте сліди: робіть знімки екрана і записуйте, що бачили і коли.
• Повідомте кіберполіцію або CERT-UA. Актуальні контакти перевіряйте на їхніх офіційних сайтах.

Хвилина за хвилиною

0-5 хвилин: зупинити шкоду

Змініть пароль з чистого пристрою

Якщо комп'ютер, з якого працювала людина, заражений, новий пароль одразу потрапить до зловмисників. Візьміть інший комп'ютер чи телефон, яким цей співробітник не користувався. Новий пароль має бути довгим і ніде раніше не використаним. Якщо старий пароль стояв ще десь (банк, CRM, особиста пошта), змініть і там.

Завершіть усі сесії

Сесія це збережений вхід на пристрої, після якого пароль більше не питають. Зміна пароля не завжди виганяє того, хто вже увійшов. У Microsoft 365 адміністратор може примусово завершити сесії користувача, у Google є вихід з усіх пристроїв у налаштуваннях безпеки акаунта. ^{[1] [2]} Якщо не встигаєте розібратися, тимчасово заблокуйте вхід для цього акаунта: так надійніше.

5-15 хвилин: закрити запасні входи й попередити бухгалтерію

Перевірте, що змінили зловмисники

Отримавши доступ до пошти, зловмисники часто залишають собі способи повернутися або тихо читати листи далі. Перевірте:

• правила пошти й пересилання: чи не йдуть копії листів на чужу адресу, чи не переносяться листи від банку й клієнтів у кошик або архів;
• способи входу: чи не з'явився новий телефон, застосунок або ключ для другого фактора;
• доступ інших людей: хто ще може читати скриньку чи писати від її імені;
• підключені застосунки: сторонні програми, яким дали доступ до пошти;
• дані для відновлення: чи не змінили резервну адресу або номер телефону.

Перш ніж вимикати чуже правило чи пристрій, зробіть знімок екрана: це доказ. Microsoft, Google і британський NCSC докладно описують ці перевірки. ^{[1] [2] [3]}

Попередьте бухгалтерію

Найдорожча частина злому пошти зазвичай не самі листи, а платежі. Від імені вашої скриньки зловмисники можуть надіслати клієнту «нові реквізити» або бухгалтеру «терміновий рахунок від директора». Скажіть бухгалтерії прямо: жодних платежів на нові чи змінені реквізити, доки їх не підтверджено дзвінком на номер із договору.

Якщо платіж уже пішов, дзвоніть у свій банк негайно. Що раніше банк дізнається, то більше шансів зупинити переказ.

15-30 хвилин: докази, люди, повідомлення

Збережіть докази, нічого не видаляйте

Бажання швидко прибрати чужі листи й правила зрозуміле, але так зникає картина того, що сталося. Зробіть знімки екрана правил, підозрілих листів і нових пристроїв. Вивантажте журнал входів, якщо адмінка це дозволяє. Запишіть у простий документ: що помітили, коли, що вже зробили і хто. Ці записи знадобляться банку, поліції та вашому IT-підряднику.

Попередьте клієнтів і партнерів

Якщо з вашої скриньки могли піти листи назовні, коротко повідомте тих, з ким листувалися останнім часом. Наприклад: «Нашою поштою скористалися сторонні люди. Не виконуйте платежів за реквізитами з наших листів без дзвінка нам». Пишіть з іншої, перевіреної скриньки або телефонуйте.

Кому дзвонити

• IT-підрядник або адміністратор: перевірити інші акаунти й пристрої.
• Банк: якщо були платежі або змінювалися реквізити.
• Кіберполіція: заява про злочин, особливо якщо є фінансова шкода. Контакти й способи звернення на офіційному сайті cyberpolice.gov.ua. ^[4]
• CERT-UA: урядова команда реагування на кіберінциденти, приймає повідомлення про інциденти. Сайт cert.gov.ua. ^[5]
• Постачальник сервісу: Microsoft, Google або хостинг, якщо не вдається повернути контроль над акаунтом.

Телефони й форми звернення змінюються, тому перевіряйте їх на офіційних сайтах і впишіть у свій список контактів на випадок інциденту заздалегідь. Якщо компанія працює в іншій країні, звертайтеся до національної команди реагування (CERT) і поліції цієї країни.

Чого не робити

• Не видаляйте листи, правила й сам акаунт, навіть якщо дуже хочеться прибрати сліди.
• Не змінюйте пароль з того самого пристрою, якщо є підозра, що він заражений.
• Не обговорюйте злам через зламану скриньку. Зловмисники можуть її читати.
• Не платіть і не домовляйтеся з тим, хто вимагає гроші, без розмови з поліцією та юристом.
• Не приховуйте інцидент від бухгалтерії й команди. Що раніше люди знають, то менше шансів, що вони відкриють наступний лист чи підтвердять платіж.
• Не вважайте, що все скінчилося після зміни пароля. Без перевірки правил і пристроїв зловмисники можуть повернутися.

Після перших 30 хвилин

У наступні дні з'ясуйте, як саме зловмисники отримали пароль: фішинговий лист, пароль, повторений в іншому сервісі, чи заражений пристрій. Перевірте інші акаунти компанії і ввімкніть другий фактор входу там, де його ще немає. Базові кроки, які варто зробити заздалегідь, зібрані в статті безпека компанії на 30 людей без CISO. ^[6]

Щоб незалежно перевірити, чи не лишилося інших входів і чи правильно налаштовані акаунти й пошта, є Security Assessment. Якщо зловмисники могли дістатися вашого сайту, кабінету клієнтів чи API, ці системи теж варто перевірити, і тут допоможе пентест. Не знаєте, з чого почати? Напишіть через форму.

Чекліст на випадок злому

• Пароль змінено з чистого пристрою, він новий і ніде не повторюється.
• Усі сесії завершено або вхід тимчасово заблоковано.
• Перевірено правила пересилання, способи входу, доступ інших людей, застосунки й дані для відновлення.
• Бухгалтерія знає: жодних платежів на нові реквізити без дзвінка на відомий номер.
• Якщо гроші вже пішли, банк повідомлено.
• Знімки екрана й журнал входів збережено, нічого не видалено.
• Клієнтів і партнерів попереджено з іншої скриньки або телефоном.
• Про інцидент повідомлено кіберполіцію або CERT-UA.
• Призначено одну людину, яка координує дії далі.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Чи достатньо просто змінити пароль?

Ні. Зловмисники могли залишити відкриту сесію, правило пересилання або свій пристрій для другого фактора. Без їх перевірки новий пароль не зупинить того, хто вже всередині.

Як зрозуміти, що пошту справді зламали?

Типові ознаки: клієнти отримали листи, яких ви не надсилали; у надісланих чи в кошику є чужі листи; з'явилися незнайомі правила пересилання; прийшло сповіщення про вхід з незнайомого місця чи пристрою.

Чи звертатися в кіберполіцію, якщо гроші не втрачено?

Бажано. Заява фіксує інцидент на випадок, якщо шкода виявиться пізніше, а банку чи партнерам може знадобитися підтвердження, що ви звернулися.

Чи треба повідомляти клієнтів?

Так, якщо з вашої скриньки могли піти листи назовні або у пошті були дані клієнтів. Короткого чесного попередження достатньо. Якщо могли витекти персональні дані, порадьтеся з юристом щодо обов'язкових повідомлень.

Чи потрібен пентест після злому пошти?

Не завжди. Спершу важливо перевірити акаунти, пошту й доступи. Пентест має сенс, якщо зловмисники могли дістатися вашого сайту, кабінету клієнтів чи інших власних систем.

Посилання

1. Microsoft: Respond to a compromised email account in Microsoft 365 learn.microsoft.com
2. Google: Secure a hacked or compromised Google Account support.google.com
3. NCSC: Recovering a hacked account ncsc.gov.uk
4. Cyber Police Department of the National Police of Ukraine: contacts cyberpolice.gov.ua
5. CERT-UA: Computer Emergency Response Team of Ukraine cert.gov.ua
6. NCSC: Incident management ncsc.gov.uk