Что делать при захвате аккаунта сопутствующего приложения или выдаче себя за его владельца
Если в аккаунте сопутствующего приложения обнаружен незнакомый вход, измененные данные профиля или сообщения, отправленные от вашего имени, скорость зависит от последовательности действий, а не от публичных споров. Начните с установленного приложения, сохраненной официальной страницы или адреса, введенного вручную. Если вы все еще можете войти, защитите исходную почту или поставщика идентификационных данных, исправьте данные для восстановления и замените скомпрометированный или повторно используемый пароль. Если войти не удается, используйте только официальную процедуру восстановления от поставщика услуг. Затем завершите неизвестные сеансы, удалите незнакомые подключения, исправьте публичные поля профиля и уведомите только тех людей, которые действительно получили сообщения от злоумышленника. Сохраните время событий, видимые состояния аккаунта и официальные номера обращений, но не копируйте личные переписки и не переходите по ссылкам для восстановления из подозрительных сообщений.
Опишите инцидент, не распространяя информацию о нем повсеместно
Сначала запишите наблюдаемые факты: какое поле профиля изменилось, какое сообщение отправлено не вами, какое устройство или время вы не можете объяснить, и остался ли у вас доступ. Не пересылайте подозрительные материалы широкому кругу лиц и не требуйте никаких доказательств от лица, использующего аккаунт. Наличие нескольких сеансов на одном физическом устройстве может быть нормой, поэтому сопоставляйте имя устройства, браузер, время, примерное местоположение и вашу собственную недавнюю активность. Измененный пароль, резервный адрес, номер телефона или метод подтверждения — более веский повод для запуска процедуры при потере контроля над аккаунтом.
Создайте минимальную карточку доказательств, указав время первоначального обнаружения, последний известный сеанс нормального доступа, видимые метки незнакомых сеансов, измененные поля, предпринятые вами действия на официальных страницах и номера обращений в службу поддержки. Обрезайте скриншоты, чтобы исключить несвязанные контакты, текст личных сообщений, резервные коды и платежные реквизиты. Эта карточка поможет официальной службе поддержки понять ситуацию и избавит вас от повторения шагов. Она не является публичным обвинением и не устанавливает личность того, кто управлял аккаунтом.
Если вход выполнен, сначала защитите цепочку восстановления
Определите, что может сбросить доступ к сопутствующему аккаунту: электронный почтовый ящик, номер телефона или федеративный поставщик удостоверений. Если в этом исходном аккаунте также замечена незнакомая активность, защитите его, прежде чем полагаться на смену пароля в приложении. Установите уникальный пароль, проверьте резервную почту и телефон, завершите неизвестные сеансы, удалите правила пересылки или несозданные вами подключения и настройте доступный дополнительный метод проверки. Руководство Google по скомпрометированным аккаунтам разделяет события безопасности, устройства, данные для восстановления и подключенный доступ; их проверка не позволит злоумышленнику снова сбросить доступ к приложению через исходный сервис.
Вернитесь в сопутствующее приложение и смените пароль только в том случае, если он был скомпрометирован, использовался повторно или изменен без разрешения. Проверьте каждый сеанс и устройство. Завершите сеансы, которые вы не можете объяснить или которые больше не нужны; если одинаковые имена невозможно различить, завершите их все и заново настройте доступ на доверенных устройствах. Обратите внимание на недавно добавленные методы входа, привязанные учетные записи, токены, публичные ссылки для общего доступа или изменения в уведомлениях. Отклоняйте любые запросы на подтверждение, которые вы не инициировали, даже если они приходят во время очистки.
При потере доступа оставайтесь в рамках официальной процедуры восстановления
Не используйте аккаунты «службы поддержки», присланные незнакомцами, непроверенные номера из поисковой рекламы или ссылки прямого доступа из подозрительных сообщений. Переходите к восстановлению через страницу приложения в официальном магазине, навигацию по веб-сайту или уже знакомый вам справочный центр. Если поставщик услуг это рекомендует, используйте привычное устройство, браузер и сеть, а также точно отвечайте на контрольные вопросы. Не выдумывайте детали, которые не помните. Никогда не передавайте одноразовый код, ссылку для восстановления или резервный код посторонним лицам.
Сохраните официальный номер обращения, время отправки и требуемое следующее действие. Избегайте повторных заявок, содержащих противоречивую информацию. Не публикуйте свой адрес электронной почты, номер телефона, идентификаторы устройств или документы, удостоверяющие личность, на открытых форумах. Если требуются доказательства владения, отправьте минимально необходимый набор данных через специально предназначенную форму загрузки поставщика услуг. После возвращения доступа приостановите обычное использование, пока не завершите сеансы, не исправите данные для восстановления и не установите уникальные учетные данные.
Устраняйте последствия выдачи себя за владельца отдельно от восстановления доступа
Восстановление входа не отменяет всех изменений, внесенных через аккаунт. Проверьте аватар, отображаемое имя, биографию, публичные публикации, контакты, ссылки для общего доступа, настройки уведомлений, привязанную почту и другие видимые поля. Для контента, созданного не вами, используйте функции удаления, скрытия или отправки жалоб в приложении после фиксации необходимого времени и номера обращения. Не публикуйте личные переписки, чтобы доказать факт инцидента. Восстановление доступа и исправление публичного профиля — это два разных завершенных состояния.
Если во время захвата через аккаунт связывались с людьми, уведомите только тех получателей, которые действительно получили эти сообщения. Полезное уведомление содержит факты: «В этот период времени с данного аккаунта отправлялся контент не от меня. Не переходите по ссылкам и не передавайте коды подтверждения. Я восстанавливаю контроль над аккаунтом через официальную службу; при необходимости подтверждения используйте наш ранее известный канал связи». Не стройте догадок о том, кто им управлял, не просите получателей повторно публиковать скриншоты и не рассылайте уведомления по всему не затронутому списку контактов.
Восстановите защищенный доверенный периметр
Убедитесь, что новые учетные данные уникальны, исходный почтовый ящик находится под контролем, контакты для восстановления актуальны, второй фактор и резервный канал работают, неизвестные сеансы закрыты, а незнакомые подключения удалены. Проверьте обновления системы, блокировку экрана, расширения браузера и недавние загрузки на устройствах, использовавшихся во время инцидента. Если было установлено подозрительное программное обеспечение или средства удаленного управления, прекратите выполнять там конфиденциальные действия с аккаунтом и воспользуйтесь текущей поддержкой производителя устройства или другим доверенным устройством.
Установите ограниченные временные рамки для последующей проверки. После завершения всех мер реагирования проверьте события безопасности и публичные поля еще раз на следующий день или в другое назначенное время. Если ничего нового не появилось, завершите процедуру инцидента вместо постоянных проверок. Сохраните открытую (не содержащую секретов) сводку со временем выполнения обнаружения, восстановления, завершения сеансов, исправления, уведомления и контроля. Такая последовательность локализации показывает, какой шаг требует помощи поставщика услуг, а какое действие вы можете проверить самостоятельно.
Частые вопросы
Стоит ли сначала объявить о захвате аккаунта публично?
Сначала восстановите доступ и сохраните минимальные доказательства. Уведомляйте только тех людей, которые получили контент от злоумышленника, если сервис не дает иных указаний.
Считается ли восстановление завершенным, как только я снова смог войти?
Нет. Закройте неизвестные сеансы, исправьте данные для восстановления, удалите незнакомые подключения и восстановите измененные публичные поля.
Какие доказательства следует сохранить перед внесением изменений в аккаунт?
Сохраняйте только время, данные о незнакомом устройстве или сообщении, измененное поле и соответствующее уведомление службы; избегайте копирования несвязанных личных переписок.