Вчера, в выходной день, наша компания 5 часов занималась восстановлением доступа к корпоративной почте клиента 😱 (это когда ящики вида

info@сайт.ru ).

Рассказываю.
15:52, праздничная пятница. В предвкушении потирая ладони, сижу с семьей на уютной веранде за городом перед тарелкой ароматного шашлыка 🍢😋 Готовлюсь откусить сочный кусок, как начинает звонить клиент. Отвечать не охота, но УТП интернет-агентства SEOIDEA – это поддержка клиентов в экстренных ситуациях даже в нерабочее время 🤩
Жму на экране значок зеленой трубки:
- Влад, прости за беспокойство в выходной, но, кажется, наш основной ящик info@ взломали.
- Опа!... Сейчас проверю.
Захожу в ящик, меняю пароль и тут же меня разлогинивает 😳 Попытки восстановить пароль выдают незнакомое сообщение «Для восстановления доступа обратитесь к его администратору» 😳 Почта работает через Яндекс 360. Ни получить СМС, ни письмо на резервную почту не предлагает 🤯 Проблема осложняется тем, что взломанный ящик является единственным владельцем и администратором всей корпоративной почты. А значит, потеряно управление всеми ящиками сайта. Тревожно 🥶
Начинаем процедуру перехвата прав владельца доменной почтой. Из-за багов Яндекса и долгих ответов техподдержки процедура затягивается, примерно, на 6 часов 🥱
00:49 – успешно восстанавливаем доступ 💪🔥
В чем была проблема? Точную причину не установили т.к. клиент затрудняется ответить, что именно он сделал перед тем, как мне позвонить 🙂 Но в день взлома на пострадавшую почту пришло сразу 2 мошеннических письма.
⛔ Первое яко бы от Яндекса с темой «Вход в ящик с нового устройства» и кнопкой «Изменить пароль». Клиент, не проверив адрес отправителя (а там вообще какой-то finance@gloria-club.com ), мог кликнуть на кнопку и на открывшейся странице ввести пароль.
⛔ Второе яко бы с претензией от sf@upakgroup.ru и вложенным файлом. По клику на файл открывается страница авторизации в Яндексе, как будто клиента «выбросило» из аккаунта. На самом деле, открылась фейковая страница входа в Яндекс, где клиент также, по-видимому, ввел пароль.
После получения пароля злоумышленник (скорее всего, скрипт) мгновенно:
💥 сменил пароль;
💥 вышел на всех устройствах;
💥 сменил ответ на контрольный вопрос;
💥 удалил резервный телефон;
💥 удалил резервный e-mail.
Хорошо, что одно из УТП нашей SEO-студии – это помощь клиентам практически 24/7 без выходных (если проблема серьезная). Дотяни до понедельника и неизвестно, чем бы всё кончилось 😬
Выводы:
⚠ Проверяйте e-mail отправителя полученных писем, как бы грозно и серьезно не выглядела их тема и содержимое. В реальных письмах организаций обязательно будет полное вхождение домена официального сайта организации. Если это Яндекс, то в e-mail будет сочетание «yandex.ru», например, support-team@360.yandex.ru или support-team@360.yandex.ru .
⚠ Не вводите пароль куда ни попадя. Если вас «выбросило» из аккаунта, закройте страницу, наберите в адресной строке официальный адрес сайта, откуда вас разлогинило и, если требуется, войдите через стандартную форму этого сайта (а не ту, которая открылась после клика на подозрительный файл/ссылку/кнопку).
⚠ Используйте надежный антивирус. Я в этом не эксперт, но платная версия Касперского меня спасает, блокируя переход по левым ссылкам.
Не дайте себя обмануть. «Следи за собой, будь осторожен» (с).
Всем добра! 🕊🕊🕊