РАЗПОЗНАВАНЕ
Възможни признаци
Един симптом сам по себе си не потвърждава пробив. Запишете какво наблюдавате и го проверете с отговорния екип.
- Получатели съобщават за писма или фактури, които служителят не е изпращал.
- Има неизвестни правила за препращане, делегати или методи за многофакторна автентикация.
- Появяват се непознати влизания, предупреждения за MFA или блокирани опити.
- Изчезват писма, променят се разговори или партньори получават искане за смяна на IBAN.
ПЪРВИ ДЕЙСТВИЯ
Какво да направите сега
- 01
Уведомете администратор през доверен канал
Обадете се на ИТ/сигурност екипа от известен номер. Не използвайте линк или телефон от подозрително писмо и не продължавайте комуникацията в пощата, която може да е компрометирана.
- 02
Ограничете достъпа от администраторския панел
Администраторът следва да блокира или ограничи входа според плана, да прекрати активните сесии и да възстанови достъпа безопасно. Смяната на паролата сама по себе си може да не прекрати всички сесии или токени.
- 03
Проверете правилата и методите за вход
Проверете препращане, делегирани права, автоматични отговори, приложения с дадено съгласие и регистрирани MFA методи. Премахването им трябва да е документирано и одобрено от администратора.
- 04
Предупредете засегнатите контакти
Съгласувайте кратко предупреждение през друг потвърден канал, особено ако са изпратени искания за плащане или линкове. Запазете оригиналните писма и заглавките за разследването.
НАСОКИ ЗА РЕАКЦИЯ
Защо смяната на паролата не е достатъчна
Компрометираната пощенска кутия може да има активни сесии, приложения с достъп, правила за скрито препращане или променени методи за MFA. Нападателят може да използва стар разговор, за да изпрати убедителна измама към клиенти или доставчици. Администраторът трябва да ограничи достъпа и да прегледа следите в контекста на конкретната платформа.
Ако има съмнение, че самият компютър е заразен, не въвеждайте нова парола от него. Използвайте доверено устройство и следвайте указанията на ИТ екипа.
- Не изпращайте временната парола по имейл или в общ чат.
- Не одобрявайте непоискани MFA известия и не споделяйте кодове.
НАСОКИ ЗА РЕАКЦИЯ
Проверка на пощенската кутия и организацията
Администраторът преглежда одитните записи за необичайни влизания, промени в правила, изпратени и изтрити съобщения, делегати, OAuth/приложни разрешения и MFA методи. За Microsoft 365 Microsoft препоръчва прекратяване на сесиите и преглед на методите за удостоверяване и приложенията; точните действия зависят от настройките и правата.
Проверете дали компрометирани са и други идентичности със същата парола или свързани администраторски права. Ресетът следва да става от чисто устройство, с уникална парола и валидиран процес за възстановяване.
- Запазете журнали и оригинални имейли, включително заглавките.
- Отбележете кога е открито нарушението и кой е бил уведомен.
НАСОКИ ЗА РЕАКЦИЯ
Финансови измами и външни контакти
При промяна на банкова сметка или спешно плащане използвайте независимо потвърждение чрез вече познат телефонен номер. Не се доверявайте на номера или линка, посочени в самото писмо. Ако е извършен превод, свържете се незабавно с банката по официалния канал и уведомете ръководството и правния екип.
Изпратете предупреждение до потенциалните получатели само след съгласуване. Запазете копие от измамното писмо и списък с получателите, за да може организацията да определи обхвата и да предприеме подходящи действия.
- Не препращайте подозрителното писмо като обикновен текст, ако така се губят оригиналните заглавки.
- Не публикувайте лични данни или пълни журнали в публични услуги за анализ.
НАСОКИ ЗА РЕАКЦИЯ
Как SOC.bg може да помогне
Инфосек Груп може да обсъди наличните журнали и сигнали, да помогне с оценка на обхвата и координацията според договорената услуга. Първото обаждане или писмо е първоначален контакт и не означава автоматично поемане на инцидента, договор или гарантирана денонощна реакция. Уточняват се платформата, администраторските отговорности и разрешените действия.
- Пишете на contact@soc.bg или се обадете на +359 876 830 388.
- Опишете симптомите и платформата, без пароли, кодове или токени.
ЧЕСТО ЗАДАВАНИ ВЪПРОСИ
Кратки отговори
Достатъчно ли е да сменя паролата?
Не винаги. Администраторът трябва да прекрати активните сесии и да провери правилата за препращане, делегатите, MFA методите и приложенията с достъп.
Как да предупредя клиентите?
Координирайте съобщението с ръководството и ИТ/правния екип, след което използвайте независим доверен канал. Посочете как да разпознаят измамните искания и как да потвърждават плащания.
Трябва ли да изтрия подозрителните правила?
Първо документирайте и запазете доказателствата. След това администраторът може да премахне неоторизираните правила като част от одобрения план за ограничаване.
ОФИЦИАЛНИ НАСОКИ