Проверка за хакнат имейл: как да установите дали служебната поща е компрометирана

Признаци за компрометирана служебна поща, проверки в Microsoft 365 и Google Workspace и първите стъпки за възстановяване на контрола.

OfSec 2 мин. четене

Компрометираната служебна поща е входната точка за много измами с фактури. Нападателят чете кореспонденцията седмици наред и в подходящ момент изпраща на клиент писмо за „нова банкова сметка“. Признаците трябва да се проверяват навреме, преди някой клиент да преведе пари по грешна сметка.

Признаци за компрометиран акаунт

  • в папката „Изпратени“ има писма, които не сте изпращали;
  • контакти съобщават за необичайни писма от вашия адрес;
  • получавате известия за вход от непознато място или устройство;
  • в пощата има правила, които препращат или изтриват писма;
  • паролата е сменена или е добавен непознат телефон за възстановяване.

Проверки в Microsoft 365

  • регистърът на влизанията (Sign-in logs) в Microsoft Entra за входове от непознати държави и IP адреси;
  • правилата за входящата поща и препращането в Outlook;
  • приложенията с достъп до акаунта (Enterprise applications) за непознати разрешения;
  • методите за многофакторна автентикация на потребителя.

Проверки в Google Workspace и Gmail

  • активните сесии чрез връзката „Подробности“ в долния край на Gmail;
  • филтрите и препращането в настройките на Gmail;
  • приложенията на трети страни с достъп до профила;
  • журналите за проверка (audit log) в администраторската конзола на Workspace.

Изтекли пароли

Проверете дали служебните адреси се срещат в известни изтичания на данни чрез Have I Been Pwned (haveibeenpwned.com). Ако адресът присъства и паролата не е сменяна оттогава, приемете, че е компрометирана.

Действия при компрометиран акаунт

  1. От друго, сигурно устройство сменете паролата и прекратете всички активни сесии.
  2. Включете или нулирайте многофакторната автентикация.
  3. Изтрийте непознатите правила за препращане и приложенията с достъп.
  4. Проверете кои писма са изпратени от акаунта по време на компрометирането и предупредете засегнатите клиенти.
  5. Ако пощата съдържа лични данни на клиенти, оценете дали инцидентът трябва да се докладва на КЗЛД в срок от 72 часа.

Превенция

Многофакторната автентикация спира повечето атаки срещу пощата. Правилно настроените SPF, DKIM и DMARC пречат на измамници да изпращат писма от името на домейна ви. Договорете с клиентите, че промяна на банкова сметка се потвърждава по телефона.

Служебна пощаИнциденти