РАЗПОЗНАВАНЕ
Възможни признаци
Един симптом сам по себе си не потвърждава пробив. Запишете какво наблюдавате и го проверете с отговорния екип.
- Съобщение подканва към спешно влизане, плащане, отваряне на файл или сканиране на QR код.
- След въвеждане на данни идват предупреждения за нов вход или неочаквани MFA заявки.
- Браузърът е изтеглил файл или е поискал необичайни разрешения.
- Контакти получават същото съобщение от вашия профил или се появяват непознати публикации.
ПЪРВИ ДЕЙСТВИЯ
Какво да направите сега
- 01
Докладвайте съобщението
Използвайте бутона за докладване или вътрешния канал за сигурност. Запазете оригиналното писмо, подателя, часа и URL адреса; не препращайте линка на колеги с молба да го проверят.
- 02
Ако сте въвели парола, уведомете администратора
Обадете се от друг канал. От доверено, проверено устройство сменете паролата според указанията, прекратете сесиите и проверете MFA. Ако същата парола се използва другаде, посочете това на екипа.
- 03
Ако сте стартирали файл, прекъснете връзката по указание
Спрете работа с устройството и уведомете ИТ екипа. Те трябва да решат дали и как да го изолират, като запазят необходимите данни за разследването.
- 04
Проверете финансови и споделени акаунти
Ако сте потвърдили плащане, споделили данни или одобрили вход, уведомете съответния собственик и банката при нужда чрез официален контакт.
НАСОКИ ЗА РЕАКЦИЯ
Определете какво се е случило
„Отворих писмото“ и „въведох паролата“ са различни ситуации. Запишете, ако кликнахте линк, сканирахте QR код, въведохте данни, одобрихте MFA известие, изтеглихте или стартирахте файл. Тази информация помага на ИТ екипа да избере правилния обхват и да установи дали са засегнати устройството, акаунтът или други услуги.
Не се срамувайте да докладвате бързо. Забавянето дава време на измамника да използва достъпа. Запазете съобщението и не взаимодействайте повече с подателя.
- Не натискайте повторно линка, за да проверите дали работи.
- Не качвайте подозрителни файлове или вътрешни данни в публичен скенер.
НАСОКИ ЗА РЕАКЦИЯ
Защитете акаунта безопасно
Когато са споделени данни за вход, защитата трябва да се направи от доверено устройство и през официален адрес или приложението на организацията. Администраторът може да прекрати активните сесии, да блокира входа временно, да прегледа MFA методите и да открие други акаунти със същата парола. Смяната на паролата не отменя непременно вече издадени сесии.
Ако одобрихте неочаквана MFA заявка, кажете го изрично. Не давайте кодове по телефон и не одобрявайте нови известия. Екипът трябва да провери и пощенските правила, регистрираните устройства и скорошните промени.
- Използвайте уникална парола и официален процес за нулиране.
- Не изпращайте еднократни кодове, токени или пароли по имейл.
НАСОКИ ЗА РЕАКЦИЯ
Ако сте отворили или стартирали файл
Ако файлът само е бил изтеглен, не го отваряйте. Ако вече е стартиран или е поискал разрешения, спрете да използвате устройството за чувствителни дейности и се свържете с ИТ екипа. Следвайте указанията за изолиране; самостоятелно изтриване, сканиране с множество инструменти или изключване може да затрудни анализа.
Посочете името и часа на файла, какво сте видели и дали сте въвеждали идентификационни данни. Ако устройството е служебно, не го носете за ремонт и не преинсталирайте системата без разрешение.
- Запазете известията на защитния софтуер.
- Използвайте друго устройство за уведомяване и смяна на пароли.
НАСОКИ ЗА РЕАКЦИЯ
Намалете последствията и потърсете помощ
Ако измамата засяга плащания, банкови данни или фирмени контакти, уведомете финансовия екип и потвърдете операциите по независим канал. Организацията може да предупреди получателите и да провери дали същото съобщение е достигнало до други служители.
SOC.bg, оператор на Инфосек Груп, може да направи първоначален разговор за наличните сигнали и подходящия обхват на помощта. Контактът не представлява автоматично поет инцидент или 24/7 договор. Не изпращайте самите пароли, кодове, чувствителни писма или журнали в първото запитване.
- Свържете се чрез contact@soc.bg или +359 876 830 388.
- Следвайте вътрешните процедури за докладване и ескалация.
ЧЕСТО ЗАДАВАНИ ВЪПРОСИ
Кратки отговори
Само отворих имейла. Трябва ли да докладвам?
Да, докладвайте го. Не отваряйте линкове или прикачени файлове. Екипът може да провери дали съобщението е достигнало и до други адреси.
Въведох паролата си. Какво правя първо?
Уведомете администратора по телефон или доверен канал. От чисто устройство сменете паролата през официалния процес и поискайте прекратяване на сесиите и преглед на MFA.
Мога ли да изтрия писмото?
Запазете го или го докладвайте през одобрения инструмент, преди да го премахнете. Оригиналът и заглавките може да са нужни за анализ и търсене на други получатели.
ОФИЦИАЛНИ НАСОКИ