Skip to content

Cont de e-mail piratat: reguli de redirecționare ascunse și recuperare

Numerele de urgență diferă în funcție de țară. Această pagină folosește 911, numărul pentru Statele Unite și Canada. Multe alte țări folosesc 112, 999 sau un alt număr. Găsiți numărul pentru țara dvs.

Contul dvs. de e-mail principal este cheia scheletului pentru întreaga dvs. identitate digitală, financiară și juridică. Spre deosebire de un profil de rețea socială compromis sau de autentificare în flux, un cont Gmail, Microsoft Outlook / Microsoft 365, Yahoo, Apple iCloud Mail sau ProtonMail piratat oferă unui atacator puterea de a face clic pe "Parola uitată" pe conturile dvs. bancare, schimburile de criptomonede, brokerajele de pensii, portalurile fiscale și unitățile în cloud. Cel mai periculos, doar schimbarea parolei de e-mail și activarea autentificarea în doi factori (2FA) rareori scoate un atacator sofisticat dintr-o căsuță poștală piratată. În 30 de secunde de la spargerea unui cont de e-mail, atacatorii moderni plantează cinci straturi de uși din spate cu persistență silențioasă: ascunse Inbox Sweep și Forwarding names ., .., sau [Blank] care mută în tăcere e-mailurile cu resetarea parolei direct la Trash sau RSS Feeds folder, astfel încât să nu le vedeți niciodată), Aplicații OAuth de la terțe părți (eM Client, Thunderbird, sau fals Google Docs aplicații care păstrează acces complet API de citire/scriere fără a avea nevoie de parola), Permisiuni delegate pentru cutia poștală, Parole pentru aplicații (IMAP/SMTP) și schimbări de e-mail/număr de telefon de recuperare.

Dacă un compromis prin e-mail implică amenințări imediate de violență fizică, urmărire, abuz domestic sau extorcare împotriva unui minor, sunați la numărul local de urgență (911 în Statele Unite și Canada, 112 în întreaga Uniune Europeană, 999 în Regatul Unit) sau consultați directorul nostru de servicii internaționale numere de urgență imediat. Pentru toate preluările de mesaje primite de către consumatori și companii, executați secvența de eradicare în 6 pași de mai jos, în ordinea exactă.

Fă asta acum

  1. NU vă schimbați parola de pe același computer Windows sau Mac dacă bănuiți că este vorba despre un virus Infostealer: dacă e-mailul dvs. a fost piratat, chiar dacă ați activat deja Autentificarea în doi factori (2FA), computerul dvs. are probabil o infecție cu malware Infostealer (cum ar fi Lumma Stealer, RedLine sau Atomic macOS Stealer) sau o sesiune de browser malware care fură cookie-uri/extensie malware ChromeSAPISID/SID pe Google sau ESTSAUTH pe Microsoft). Luați un smartphone curat (iOS sau Android) pentru a vă schimba parola și curățarea de securitate chiar acum.
  2. Audită și revine e-mailul de recuperare a contului, numărul de telefon de recuperare și dispozitivele MFA Authenticator ÎNAINTE de a-ți schimba parola (sau în decurs de 30 de secunde după): atacatorii își adaugă imediat propriul număr de telefon, adresa de e-mail de unică folosință sau aplicația necinstită Authenticator la setările tale de securitate. Dacă îți schimbi parola fără a șterge telefonul de recuperare sau cheia de acces necinstită a atacatorului, atacatorul va face clic pe „Parola uitată” 10 secunde mai târziu și va bloca te definitiv.
  3. Închideți forțat toate sesiunile de conectare active, cookie-urile persistente ale browserului și parolele de aplicație la nivel global: schimbarea unei parole nu distruge întotdeauna imediat jetoanele IMAP mobile existente sau modulele cookie active de sesiune web. Dați clic în mod explicit pe „Deconectați-vă de la toate dispozitivele/Revocați toate sesiunile” în tabloul de bord de securitate Google, Microsoft, Yahoo sau Apple și ștergeți fiecare Parola aplicației de 16 caractere din cont.
  4. Deschideți un browser web pentru desktop (nu o aplicație de poștă mobilă) și ștergeți toate regulile, filtrele, redirecționările automate și regulile de curățare ascunse: aplicații de poștă mobilă (Gmail sau Outlook pe iOS/Android) ascund frecvent regulile avansate de rutare pe partea serverului. Deschideți setările de webmail într-un browser de desktop și inspectați Filtre și adrese blocate, Redirecționare și POP/IMAP și Reguli/Sweep. Ștergeți orice regulă care redirecționează e-mailurile extern sau mută automat e-mailurile care conțin cuvinte precum "bank", "code", "reset", "security", "wire", "invoice", sau "crypto" în Trash, Archive, sau RSS Feeds folder.
  5. Revocați toate aplicațiile și delegații cutiei poștale conectate OAuth de la terți: navigați la Aplicații și servicii terță parte (Google) sau Aplicații și servicii terță parte (Google) sau Aplicații și servicii la care ați dat acces (Microsoft/Yahoo) și revocați fiecare aplicație cu Mail.Read, Mail.ReadWrite, sau Gmail API permisiuni, plus bifați Acordați acces la contul dvs. (delegare), astfel încât atacatorul să nu vă poată citi căsuța de e-mail printr-un simbol OAuth care ignoră complet modificările parolei.
  6. Verifică-ți Trash (Bin), Sent, și Spam foldere imediat pentru a vedea ce conturi financiare sau cripto a resetat atacatorul deja: Atacatorii șterg alertele de securitate primite de la banca dvs., Coinbase/Binance, Amazon, PayPal sau Steam la câteva secunde după primirea codului de verificare din 6 cifre. Deschide-ți Trash şi Sent foldere chiar acum: fiecare e-mail de resetare a parolei aflat în dvs Trash este un cont pe care atacatorul l-a încălcat deja sau a încercat să îl încalce.

Danger

De ce nu ai observat că banca ta, PayPal sau schimbul criptografic ți-au trimis 10 e-mailuri de alertă de securitate în timp ce erai jefuit? Deoarece primul lucru pe care îl face un atacator într-o căsuță de poștă Gmail sau Outlook piratată este să creeze o Regulă de suprimare silențioasă (de exemplu: Dacă expeditorul conține @chase.com, @coinbase.com, @paypal.com, sau Subiectul conține Verification Code, Security Alert, Password, Login -> Marcați ca Citit ȘI Omiteți Inbox ȘI Mutați în Coșul de gunoi / Arhivă / Fluxuri RSS). Verificați întotdeauna mai întâi fila Reguli/Filtre și dosarele Coș de gunoi/Arhivă, căsuța dvs. de e-mail principală este cenzurată intenționat de către atacator.

Arborele de decizie: recâștigarea controlului și curățarea ușilor din spate ale persistenței

Urmați acest arbore de triaj pas cu pas, indiferent dacă aveți încă acces la căsuța de e-mail sau dacă ați fost blocat complet de atacator:

flowchart TD
    A["Compromis de cont de e-mail suspectat sau confirmat"] --> B{"Vă puteți conecta în continuare la contul dvs. de e-mail chiar acum?"}
    B -->|"Da: mai am acces"| C["Treceți la un smartphone curat (evitați PC-ul potențial infectat)"]
    C --> D["1. Eliminați telefonul de recuperare al atacatorului, e-mailul de recuperare și cheile de acces MFA necinstite"]
    D --> E["2. Schimbați parola la expresie de acces unică de peste 20 de caractere și activați 2FA rezistent la phishing"]
    E --> F["3. Faceți clic pe „Deconectați-vă de la toate dispozitivele” și ștergeți toate parolele aplicației cu 16 caractere"]
    F --> G["4. Deschideți Desktop Webmail: ștergeți redirecționarea ascunsă, filtrele, curățarea regulilor și delegaților"]
    G --> H["5. Revocați aplicațiile terțe OAuth și inspectați coșul de gunoi/dosarele trimise pentru conturile externe încălcate"]
    B -->|"Nu: Atacatorul a schimbat parola și telefonul de recuperare/MFA"| I{"Ce tip de cont de e-mail este blocat?"}
    I -->|"Domeniul de muncă/școală/corporație (@company.com)"| J["Contactați imediat administratorul IT: administratorul poate reseta MFA, revoca jetoane și restabili accesul în 60 de secunde prin Consola de administrare"]
    I -->|"Gmail personal / Outlook.com / Yahoo / iCloud"| K["Rulați formularul de recuperare automată a contului de pe IP-ul Wi-Fi de acasă istoric și din browserul/telefonul familiar"]
    K --> L["Apelați imediat băncile dvs., operatorul de telefonie mobilă și schimburile de criptomonede prin telefon pentru a îngheța conturile legate de acel e-mail"]

Faza 1: Audit de persistență de curățare profundă de către furnizorul de e-mail (Gmail, Outlook/M365, Yahoo, iCloud)

Fiecare furnizor important de e-mail stochează reguli de redirecționare, filtre, jetoane OAuth și delegați de cutie poștală în meniuri ușor diferite. Chiar dacă utilizați Apple Mail sau Outlook Desktop pe computerul dvs., trebuie să vă conectați la interfața oficială de webmail a furnizorului într-un browser pentru desktop (sau să solicitați „Site-ul desktop” în browserul dvs. mobil) pentru a vedea aceste setări de pe server.

Mecanismul de persistență Google Gmail / Google Workspace Microsoft Outlook.com / Microsoft 365 Yahoo Mail / AOL Mail Apple iCloud Mail
1. Informații de recuperare și dispozitive MFA myaccount.google.com/security -> Verificare în doi pași, Chei de acces, Telefon de recuperare, E-mail de recuperare. account.microsoft.com/security -> Gestionează modul în care mă conectez (Personal) sau mysignins.microsoft.com/security-info (Munca/Școala). login.yahoo.com/myaccount/security -> Verificare în doi pași, Numere de telefon de recuperare, Adrese de e-mail de recuperare. account.apple.com -> Conectare și securitate -> Securitatea contului (Numere de telefon de încredere și dispozitive de încredere).
2. Forțați deconectarea de la toate sesiunile myaccount.google.com/device-activity -> Faceți clic pe fiecare dispozitiv necunoscut -> Deconectați-vă. account.microsoft.com/security -> Deconectează-mă peste tot (durează până la 24 de ore pentru consumator; instantaneu în Entra ID Revoke sessions). login.yahoo.com/myaccount/activity -> Activitate recentă -> Deconectați-vă de la locații/browsere necunoscute. Settings -> [Your Name] pe iPhone -> Derulați în jos la lista de dispozitive -> Atingeți dispozitiv necunoscut -> Eliminați din cont.
3. Reguli și filtre ascunse Gmail Web -> Setări (Gear) -> Vedeți toate setările -> fila Filtre și adrese blocate. Outlook Web -> Setări (Gear) -> Poștă -> Reguli, ȘI Poștă -> Sweep și E-mail nedorit (Expeditori blocați). Yahoo Web -> Setări (Gear) -> Mai multe setări -> Filtre. icloud.com/mail -> Setări (Roată în partea de sus a listei de e-mail) -> Setări -> Reguli.
4. Redirecționare automată și POP/IMAP Gmail Web -> Setări -> Vedeți toate setările -> Fila Redirecționare și POP/IMAP. Outlook Web -> Setări (Roată) -> Poștă -> Redirecționare (și Redirecționare și IMAP). Yahoo Web -> Setări -> Mai multe setări -> Cutii poștale -> Faceți clic pe adresa dvs. de e-mail -> Redirecționați. icloud.com/mail -> Setări (Roată) -> Setări -> Redirecționare (Forward my email to).
5. Delegarea cutiei poștale și aliasuri Gmail Web -> Setări -> Vedeți toate setările -> Conturi și import -> Bifați Acordați acces la contul dvs. și Trimiteți e-mail ca. Centrul de administrare Microsoft 365 Exchange -> Cutii poștale -> Delegare (Read and manage / Send as / Send on behalf). Yahoo Web -> Setări -> Mai multe setări -> Cutii poștale -> Adresă de e-mail numai pentru trimitere și Adrese de unică folosință. icloud.com/mail -> Setări -> Adrese (Verificați pseudonimele iCloud neautorizate sau suprascrierile pentru răspunsuri).
6. Aplicații OAuth și parole ale aplicațiilor de la terțe părți myaccount.google.com/connections (Aplicații OAuth) și myaccount.google.com/apppasswords (parole IMAP de 16 caractere). account.live.com/consent/Manage (OAuth personală) sau myapps.microsoft.com (Funcționează) + Parole pentru aplicații sub Securitate. login.yahoo.com/myaccount/security -> Parole pentru aplicații și Conexiuni externe. account.apple.com -> Conectare și securitate -> Parole specifice aplicației -> Revocați toate.

Procedura detaliată 1: curățarea unui cont Google/Gmail piratat

Când curățați un cont Gmail sau Google Workspace compromis, parcurgeți exact aceste șapte file fără să omiteți nici una:

  1. Securitate de audit și chei de acces (myaccount.google.com/security)*:
    • Faceți clic pe Chei de acces și chei de securitate: Atacatorii înregistrează imediat o cheie de acces sincronizată sau un autentificator virtual în propriul browser, astfel încât să se poată conecta din nou fără parolă și fără mesaj SMS. Ștergeți orice cheie de acces pe care nu o recunoașteți cu o siguranță de 100%.
    • Dați clic pe Verificare în doi pași -> bifați Authenticator, Dispozitive Google Prompt, Telefon de recuperare și Coduri de rezervă. Faceți clic pe Generează coduri noi pentru a invalida imediat toate codurile de rezervă din 8 cifre capturate de ecran de către atacator.
  2. Distrugeți parolele de aplicație active (myaccount.google.com/apppasswords)*:
    • O Parolă de aplicație este o parolă de 16 litere care permite unui client de e-mail IMAP (cum ar fi Thunderbird sau scriptul Python al unui hacker) să vă descarce pentru totdeauna întreaga căsuță de e-mail în timp ce ocolește complet verificarea în doi pași. Ștergeți fiecare parolă de aplicație afișată.
  3. Revocați conexiunile OAuth terță parte (myaccount.google.com/connections)*:
    • Căutați orice aplicație care are acces la Gmail, Google Drive sau Google Contacts (atacatorii folosesc adesea clienți de e-mail cu aspect legitim, cum ar fi eM Client, Newton Mail, Cleanfox, sau scripturi OAuth personalizate). Faceți clic pe aplicație -> Ștergeți toate conexiunile pe care le aveți cu [Numele aplicației].
  4. Verificați Gmail Accounts and Import Fila (Delegare e-mail și Reply-To Deturnarea):
    • În Gmail pe un computer desktop, dați clic pe pictograma roată -> Vedeți toate setările -> Conturi și import.
    • Sub Acordați acces la contul dvs., verificați dacă sunt listate ZERO adrese de e-mail. Un utilizator delegat poate citi, trimite și șterge e-mailurile dvs. fără a vă cunoaște parola.
    • Sub Trimite e-mail ca, faceți clic pe editați informații lângă propriul nume și verificați că atacatorul nu a introdus un secret Specify a different "reply-to" address (de exemplu, setarea răspunsului la yourname.company@gmail.com sau un domeniu asemănător unui atacator, astfel încât ori de câte ori cineva răspunde la e-mailurile tale legitime, răspunsul său ajunge către hacker în loc de tine).
  5. Verificați Gmail Filters and Blocked Addresses Fila:
    • Privește cu atenție fiecare filtru. Atacatorii creează adesea filtre care se potrivesc from:(a|e|i|o|u) sau size > 0 sau has:attachment sau cuvinte cheie precum invoice, wire, bank, security, alert, code cu acțiunea Skip the Inbox (Archive it), Mark as read, Delete it, sau Forward it to:. Ștergeți fiecare filtru necunoscut.
  6. Verificați Gmail Forwarding and POP/IMAP Fila:
    • Verificați că Redirecționarea este setată la Dezactivați redirecționarea, eliminați orice adresă de redirecționare nerecunoscută din lista verticală și setați Accesul IMAP la Dezactivați IMAP (cu excepția cazului în care utilizați în mod special un client desktop securizat).
  7. Verificați Coșul de gunoi Google Drive și Istoricul Google Takeout:
    • Atacatorii declanșează frecvent un Google Takeout (takeout.google.com) arhiva pentru a descărca a .zip din toate e-mailurile, documentele Google Foto și Google Drive, inclusiv declarațiile fiscale și listele de parole. Vizitează takeout.google.com chiar acum: dacă vedeți un export activ sau finalizat pe care nu l-ați solicitat, faceți clic pe Anulați exportul și vedeți exact ce categorii de date au fost împachetate.

Tutorial detaliat 2: ștergerea unui cont Microsoft Outlook.com/Hotmail/Microsoft 365 piratat

conturi Microsoft (@outlook.com, @hotmail.com, @live.com, @msn.com, și cutiile poștale Microsoft 365 Exchange Online corporative) au câteva ascunzări unice pe care atacatorii le exploatează în timpul compromisului de e-mail de afaceri (BEC) și a hackurilor consumatorilor:

  1. The Ascuns RSS Feeds şi Conversation History Folder Trap:
    • În Outlook, atacatorii direcționează rareori e-mailurile suprimate în principal Deleted Items folder deoarece utilizatorii verifică Deleted Items. În schimb, creează o regulă Outlook numită . sau 1 care mută e-mailurile primite în RSS Feeds, Archive, sau Conversation History folder și le marchează ca citite. Verificați fiecare folder din bara laterală din stânga, în special RSS Feeds, chiar acum.
  2. ** Audit ambele Rules ȘI Sweep în Outlook Web (outlook.live.com sau outlook.office.com)***:
    • Faceți clic pe Settings Gear (dreapta sus) -> Mail -> Reguli. Ștergeți orice regulă pe care nu ați creat-o.
    • Observați caseta de selectare din partea de jos a regulii unui atacator: Stop processing more rules. Atacatorii bifează această casetă în regula lor de top, astfel încât niciuna dintre regulile tale legitime să nu ruleze.
    • Apoi, faceți clic pe E-mail -> Sweep și Mail -> E-mail nedorit -> Expeditori și domenii blocați. Atacatorii adaugă în mod obișnuit @microsoft.com, @google.com, @apple.com, @chase.com, @bankofamerica.com, și @coinbase.com în lista dvs. de Expeditori și domenii blocate, astfel încât alertele de securitate să revină sau să ajungă în liniște la Junk. Ștergeți lista de expeditori blocați de orice companii legitime.
  3. Verifica Mail -> Forwarding and IMAP:
    • Asigurați-vă că Activați redirecționarea este debifată. Dacă adresa de e-mail a atacatorului se află în caseta cu "Keep a copy of forwarded messages" nebifat, fiecare e-mail trimis către dvs. a fost redirecționat către hacker și șters din căsuța dvs. poștală înainte de a ajunge vreodată în Inbox.
  4. Pentru administratorii Microsoft 365 corporativi: rulați PowerShell pentru a descoperi regulile MAPI ascunse/corupte pentru Inbox (MFCMAPI)*:
    • Actorii de amenințări BEC sofisticați folosesc API-ul Exchange Web Services (EWS) sau MFCMAPI pentru a crea reguli ascunse de Inbox corupte (prin eliminarea PR_RULE_MSG_NAME şi PR_RULE_MSG_PROVIDER proprietăți MAPI) care nu apar deloc în GUI Web Outlook sau în Centrul de administrare Exchange standard.
    • Un administrator IT ar trebui să se conecteze la Exchange Online PowerShell și să ruleze: 
      Get-InboxRule -Mailbox victim@yourdomain.com -IncludeHidden | Format-List Name,Enabled,Description,ForwardTo,ForwardAsAttachmentTo,RedirectTo,DeleteMessage,MoveToFolder
    • Adăugarea -IncludeHidden flag expune regulile MAPI ascunse în tabelul Conținut asociat al cutiei poștale (FAI), care poate fi apoi curățat prin Remove-InboxRule -Mailbox victim@yourdomain.com -Identity "<RuleID>" sau prin lansare outlook.exe /cleanrules.
    • Inspectați, de asemenea, Reguli de transport de schimb la nivel de chiriaș (Reguli de flux de corespondență) prin Get-TransportRule: dacă atacatorul a compromis un cont de administrator Exchange, este posibil să fi creat o regulă globală de flux de e-mail la nivelul întregii organizații, mai degrabă decât o regulă de cutie poștală individuală.

Warning

De ce a intrat un atacator în e-mailul meu după ce mi-am schimbat parola ȘI am activat autentificarea în doi factori? Din cauza Stolen Session Cookie Replay (Infostealer Malware) sau Malicious Browser Extensions. Dacă ați descărcat un program piratat, un instrument PDF/factură fals, un codec video fals sau o extensie Chrome rău intenționată pe computerul dvs. Windows sau Mac, acel program malware copiază baza de date cookie decriptată SQLite din browser (%LocalAppData%\Google\Chrome\User Data\Default\Network\Cookies). Importând cookie-ul într-un browser anti-detecție, atacatorul trece chiar pe lângă parola și 2FA. Dacă bănuiți malware pe computer, consultați ghidul nostru despre infecție cu programe malware, ransomware și spyware și reinstalați sistemul de operare înainte de a vă conecta din nou la e-mail pe acel computer.

Faza 2: Ce să faci dacă ești complet blocat (Atacatorul a schimbat parola și 2FA)

Dacă atacatorul v-a schimbat deja parola, a înlocuit numărul dvs. de telefon de recuperare cu al său și a activat propria aplicație Authenticator sau cheie hardware, fiecare minut contează, deoarece atacatorul vă jefuiește în mod activ conturile conectate în timp ce sunteți blocat.

Pasul 1: Reduceți mai întâi pârghia financiară a atacatorului (primele 15 minute)

Nu petreceți trei ore luptând cu un formular automat de recuperare a e-mailului în timp ce hackerul vă scurge contul bancar folosind căsuța de e-mail deturnată:

  1. Apelați la băncile dvs., la emitenții de carduri de credit și la agențiile de investiții prin telefon:
    • Spuneți Departamentului de Fraudă: „Adresa mea de e-mail principală [your@email.com] a fost compromisă și nu sunt în prezent blocat de ea. Plasați o parolă verbală/înghețare de securitate imediată pe profilul meu, revocați sesiunile active de pe web/mobile și eliminați acea adresă de e-mail din resetarea parolei cu autoservire.”
  2. Blocați-vă contul de operator de telefonie mobilă împotriva unei schimburi SIM ulterioare:
    • În interiorul căsuței primite piratate, atacatorul vă poate citi facturile lunare AT&T, Verizon, T-Mobile, Rogers, Vodafone sau O2, oferindu-le numărul de cont mobil și adresa de facturare. Sunați imediat operatorul dvs. de transport pentru a verifica PIN-ul de transfer de numere/Înghețare port și codul de acces al contului sunt blocate.
  3. ** Înghețați-vă conturile de schimb de criptomonede (Coinbase, Binance, Kraken, Gemini)***:
    • Majoritatea schimburilor majore oferă un telefon de urgență cu un singur clic Blocarea contului dacă e-mailul dvs. este compromis (de exemplu, apelând blocarea automată de urgență Coinbase la +1 (888) 908-7930 în SUA/International sau +44 808 168 4635 în Marea Britanie).
  4. Schimbați adresa de e-mail înregistrată pentru fiecare cont la care vă puteți încă conecta:
    • Probabil că sunteți încă conectat la Amazon, PayPal, Venmo, Steam, Discord, Apple ID și managerul de parole din aplicația pentru smartphone chiar acum. Creați un cont de e-mail de urgență nou-nouț, curat (de exemplu, pe ProtonMail sau un nou Gmail securizat cu o cheie hardware) și accesați imediat setările aplicației din aplicațiile încă conectate pentru a schimba adresa de e-mail de contact de la adresa piratată înainte ca atacatorul să le reseteze.

Pasul 2: Cum să treceți algoritmii de recuperare automată a contului (Google, Microsoft, Yahoo)

Pentru conturile de e-mail gratuite pentru consumatori (@gmail.com, @outlook.com, @hotmail.com, @yahoo.com), agenților de asistență umană li se interzice strict prin controalele de inginerie să resetați manual parolele sau să ocolească 2FA prin telefon (pentru a preveni ingineria socială). În schimb, recuperarea este guvernată de un motor de evaluare a riscurilor și identității automatizat. Pentru a maximiza scorul dvs. de încredere criptografic și pentru a declanșa „Înlocuirea reținerii securității pe 7 zile/30 de zile”:

  1. CRITICAL RULE: Submit the Recovery Form from Your Exact Historical Device, Browser, and Home Wi-Fi IP Address:
    • Nu fugi niciodată accounts.google.com/signin/recovery sau account.live.com/acsr dintr-o fereastră nou-nouță de browser incognito pe date celulare sau printr-un VPN.
    • Utilizați laptopul, desktopul sau smartphone-ul exact și browserul exact (cu cookie-uri intacte/stocare locală) unde v-ați conectat la acel cont de e-mail în fiecare zi în ultimul an, în timp ce v-ați conectat la routerul Wi-Fi normal de acasă sau de la birou (ASN and geolocation match). The recovery algorithm heavily weights device fingerprint tokens (DeviceID) and historical IP subnets.
  2. Recuperare Google/Gmail (accounts.google.com/signin/recovery)*:
    • Chiar dacă atacatorul v-a schimbat telefonul de recuperare și adresa de e-mail de recuperare cu câteva secunde în urmă, Google păstrează numărul dvs. de telefon de recuperare ANTERIOAR și adresa de e-mail de recuperare ANTERIOARĂ ca factori de recuperare validi pentru exact 7 zile calendaristice (168 de ore) după ce un atacator le modifică.
    • Când vi se solicită în timpul signin/recovery, faceți clic pe „Încercați alt mod” până când vă oferă să trimiteți un cod la numărul dvs. de telefon original sau la adresa de e-mail de recuperare originală sau vă solicită telefonul/iPhone-ul Android înregistrat anterior prin Solicitare Google.
    • Dacă vă abonați la Google One (stocare în cloud plătită) sau YouTube Premium/Canal YouTube:
      • Abonații plătiți Google One au acces la asistență umană live Google One (one.google.com/support) care poate escalada conturile blocate intern.
      • Dacă contul dvs. Google piratat deține un Canal YouTube, contactați @TeamYouTube pe X (fostul Twitter) public imediat. Spre deosebire de Gmail standard, @TeamYouTube Asistența pentru creatori oferă un Formular de escaladare a contului piratat dedicat, pilotat de ingineri umani Google de încredere și siguranță, care vă verifică originalul Channel ID (UC..), ID AdSense și încărcați istoricul IP pentru a elimina fizic cheile de acces/MFA ale atacatorului și pentru a vă restabili întregul cont Google/Gmail în decurs de 24 până la 72 de ore.
  3. Recuperarea contului Microsoft Outlook / Hotmail / Xbox (account.live.com/acsr)*:
    • În primul rând, încercați să vă conectați și să faceți clic pe „Nu am niciunul dintre acestea” pe ecranul 2FA: dacă aveți un Cod de recuperare Microsoft de 25 de caractere salvat atunci când v-ați configurat inițial contul, introducerea acestuia vă permite să înlocuiți informațiile de securitate ale atacatorului (sub rezerva obligației Microsoft de 30 de zile informații de securitate obligatorii, de asemenea, puteți semnala blocarea contului în perioada de așteptare de înlocuire a atacatorului**).
    • Când completați Formularul de recuperare a contului Microsoft (account.live.com/acsr) de la IP-ul Wi-Fi de acasă:
      • Furnizați liniile de subiect exacte din 3 până la 4 e-mailuri recente pe care le-ați trimis (cereți prietenilor sau familiei să caute în propria lor căsuță de e-mail și să vă citească rândurile exacte de subiect pentru caractere ale e-mailurilor pe care le-ați trimis recent).
      • Furnizați adresele de e-mail exacte ale persoanelor de contact pe care le-ați trimis recent prin e-mail.
      • Furnizați Hardware-ul consolei Xbox LiveDeviceID / Număr de serie dacă v-ați conectat vreodată la o Xbox cu acel cont Microsoft și ultimele 4 cifre și data de expirare a oricărui card de credit utilizat vreodată pe Microsoft Store / Skype / Office 365.

Tip

După ce redobândiți accesul la un cont de e-mail piratat, verificați-vă Sent folder și dvs Trash dosar pentru e-mailuri de extorcare sau înșelătorie trimise de atacator persoanelor de contact. Atacatorii îți scanează adesea căsuța de e-mail pentru fotografii sensibile, documente fiscale sau facturi comerciale și trimit e-mailuri false „card cadou urgent/transfer bancar” prietenilor, părinților în vârstă sau clienților tăi. Trimiteți un e-mail de avertizare clar (și un mesaj text) oricărei persoane pe care atacatorul i-a trimis mesaj în timpul ferestrei de încălcare.

Faza 3: Controlul daunelor pentru secretele expuse în e-mailurile tale vechi

Odată ce ați blocat atacatorul și ați curățat toate regulile și simbolurile OAuth, trebuie să vă confruntați cu o realitate criminalistică serioasă: dacă atacatorul a avut acces IMAP, OAuth sau web la căsuța dvs. poștală chiar și pentru 15 minute, presupuneți că a efectuat o căutare automată a cuvintelor cheie în întreaga arhivă istorică de e-mailuri.

Atacatorii nu vă citesc manual cele 50.000 de e-mailuri vechi. Scripturile lor automate caută imediat în căsuța dvs. de e-mail exact aceste zece cuvinte cheie de mare valoare și descarcă fiecare mesaj potrivit și atașament PDF:

  1. "seed", "mnemonic", "recovery phrase", "24 words", "wallet", "Coinbase", "Binance", "Ledger": Dacă v-ați trimis vreodată prin e-mail o fotografie, o notă de text sau un zip criptat al unei fraze inițiale de criptomonedă sau al unui cod de rezervă 2FA, luați în considerare că portofelul este compromis imediat și mutați toate fondurile într-un portofel hardware nou-nouț.
  2. "tax", "1040", "W-2", "1099", "SSN", "Social Security", "passport", "driver license", "mortgage", "closing": Cererile de împrumut, închirierea apartamentelor și e-mailurile CPA din căsuța dvs. de e-mail conțin aproape sigur fișiere PDF cu numărul dvs. de securitate socială (sau identitatea națională) neredactat, data nașterii și fotografia permisului de conducere. Plasați o Înghețare a creditului imediat cu Equifax, Experian și TransUnion (consultați ghidul nostru despre răspuns la furtul de identitate).
  3. "password", "login", "credentials", "welcome to", "backup codes": Căutați în propria dvs. căsuță de e-mail chiar acum cuvintele password şi backup code, ștergeți acele e-mailuri periculoase în text clar după rotirea fiecărei parole menționate în ele.
  4. "invoice", "ACH", "wire", "routing", "escrow", "closing costs", "docusign": Dacă vă aflați în mijlocul cumpărării unei case, plătirii unui contractant sau conducerii unei afaceri, atacatorul are acum copii ale facturilor dvs. reale și detaliile de rutare bancară și va încerca să vă uzurpă identitatea dvs. sau a companiei dvs. de titlu pentru a fura transferul bancar. Sună-ți imediat compania de titluri imobiliare, ofițerul escrow sau clienții la telefon pentru a-i avertiza.

Întrebări frecvente

I changed my email password and turned on 2FA, yet the hacker is STILL sending emails from my account. How is that possible?

There are four technical mechanisms that survive a password change and 2FA setup: **1. Active Third-Party OAuth Tokens**: The hacker connected an OAuth application (like `eM Client`, `Thunderbird`, or a malicious script) to your account; OAuth tokens authenticate via API refresh tokens and never check your password again until you explicitly revoke the app at `myaccount.google.com/connections` or `account.live.com/consent/Manage`. **2. 16-Character App Passwords**: The hacker generated an IMAP/SMTP App Password in your security settings, which bypasses 2FA completely. **3. Mailbox Delegation**: In Gmail (`Settings -> Accounts and Import -> Grant access to your account`) or Microsoft 365 Exchange Delegation, the hacker added their own account as a delegate. **4. Infostealer Malware on Your PC**: Your computer has a trojan stealing the live session cookie from your web browser every time you log in with your new password.

Why am I suddenly receiving 500 to 5,000 random newsletter sign-up emails per hour ("Email Bombing")?

If your inbox suddenly explodes with thousands of automated *"Confirm your newsletter subscription"* emails in every language from random websites around the world, **you are under an active "Subscription Bomb" (Email Bombing) attack.** Do NOT bulk-delete your entire inbox without looking closely. Attackers launch a Subscription Bomb to bury **one specific, critical email** that arrived right at the start of the flood, such as an **Apple Store / Best Buy $3,000 laptop order confirmation**, a **Bank Wire Transfer alert**, a **Zelle / PayPal transfer receipt**, or a **Mobile Carrier SIM Swap notification**. Use your email search bar immediately to filter for: `subject:(order OR receipt OR wire OR transfer OR password OR security OR alert OR SIM)` or check your bank, credit card, Amazon, Walmart, and mobile carrier accounts right now to find the single fraudulent transaction they are trying to hide in the noise.

Can an attacker hack my email just by me opening and reading an email without clicking any links or downloading attachments?

In modern webmail (Gmail, Outlook Web, Yahoo, Apple Mail on updated iOS/macOS), simply opening and reading a plain text or HTML email does **not** hand over your password or infect your device, provided your operating system and browser are up to date. The only thing opening an email can reveal to a sender is a **Tracking Pixel** (an invisible 1x1 pixel external image that tells a spammer your email address is active and reveals the rough IP address of the mail proxy, though Apple Mail Privacy Protection and Gmail image proxies now mask even your real IP). Almost 100 percent of email takeovers come from **1. Credential Reuse** (reusing a password leaked in another website's data breach), **2. Adversary-in-the-Middle (AitM) Phishing Links** (clicking a fake login link), or **3. Infostealer Malware** executed on a PC.

Why did I get an email from MY OWN email address saying a hacker recorded me through my webcam (`Pegasus` / Trojan extortion email)?

If you received an email that appears to be sent **`From: your_own_email@domain.com` `To: your_own_email@domain.com`** claiming a hacker installed "Pegasus spyware" or recorded you via your webcam while browsing adult websites and demanding $500 to $2,000 in Bitcoin, **your email and computer were NOT hacked.** This is a mass-automated **SMTP Header Spoofing scam**. Basic email protocols allow any spam server to type your address into the visual `From:` display header (just like writing a fake return address on a paper envelope). If you check your **`Sent`** folder, you will see that email is not in your `Sent` folder, and if you click **"Show Original" / "View Message Source"**, you will see `SPF: FAIL` or `DMARC: FAIL` from a foreign server IP. Delete the email and never pay.

What is the safest type of Two-Factor Authentication (2FA) to put on my email so it can never be phished or SIM-swapped?

Move away from **SMS Text Message 2FA** (which can be stolen via a SIM swap) and even standard 6-digit TOTP Authenticator codes (which can be intercepted in real time if you accidentally type them into an Adversary-in-the-Middle `Evilginx` phishing page). Instead, enable **FIDO2 / WebAuthn Passkeys or Physical Hardware Security Keys (such as a YubiKey 5 Series or Google Titan Key)**. Because FIDO2 cryptographic signatures are mathematically bound to the genuine browser domain (`google.com` or `login.live.com`), a FIDO2 hardware key or passkey makes it cryptographically impossible for an attacker to phish your login, even if you click a sophisticated fake login link. Enroll at least **two** hardware keys (one primary on your keychain, one backup in a fireproof safe) and enable **Google Advanced Protection Program (`landing.google.com/advancedprotection`)** if you are a high-risk target.

Should I permanently abandon my old email address after a hack and create a brand-new one?

If you thoroughly purge all 6 persistence points (Recovery info, Active sessions, App Passwords, OAuth grants, Filters/Forwarding rules, and Delegation) and lock the account with a strong unique password and FIDO2 MFA, **the technical security of the account is 100 percent restored.** However, you should still ** keep the old email account open and locked down forever** rather than deleting it. If you delete an old `@outlook.com`, `@yahoo.com`, or custom domain email address, an attacker may eventually re-register that recycled username and use it to reset forgotten accounts tied to it. Many security professionals keep their old address locked with a hardware key as a decoy/legacy inbox while migrating their **banking, brokerage, tax, and cryptocurrency logins** to a brand-new, private, unpublicized email address (`myname-vault@proton.me` or a dedicated Gmail) that is never given out on shopping sites, newsletters, or social media.

Surse verificate

  • Cybersecurity and Infrastructure Security Agency (CISA, Statele Unite): Protecting Against Business Email Compromise (BEC), OAuth Application Abuz, and Phishing-Resistant MFA Guidelines (cisa.gov/MFA şi cisa.gov).
  • Microsoft Security Response Center & Defender Threat Intelligence (Statele Unite ale Americii): Răspuns la un cont de e-mail compromis în Microsoft Defender pentru Office 365 (Reguli pentru căsuța de e-mail ascunsă -IncludeHidden, acordarea consimțământului OAuth și revocarea sesiunii) (learn.microsoft.com/en-us/defender-office-365/responding-to-a-compromised-email-account).
  • Securitatea Contului Google și Ajutor pentru administratorul spațiului de lucru (Statele Unite ale Americii): Securizați un Cont Google piratat sau compromis, conexiuni OAuth terță parte și Program de protecție avansată (support.google.com/accounts/answer/6294825).
  • Centrul național de securitate cibernetică (NCSC, Regatul Unit): Recuperarea unui cont de e-mail compromis și atenuarea persistenței regulilor de redirecționare a e-mailului (ncsc.gov.uk).
  • Comisia Federală de Comerț (FTC, Statele Unite): Ce să faci dacă contul tău de e-mail este piratat (consumer.ftc.gov).
  • Australian Cyber Security Centre (ACSC / ASD, Australia): Protecting Email Accounts and Detecting Unauthorized Inbox Rules (cyber.gov.au).

Ghiduri aferente