Взломанная электронная почта: скрытые правила переадресации и восстановление¶

Ваша основная учетная запись электронной почты , это ключ к всей вашей цифровой, финансовой и юридической личности. В отличие от скомпрометированного профиля в социальных сетях или потокового входа в систему, взломанная учетная запись Gmail, Microsoft Outlook / Microsoft 365, Yahoo, Apple iCloud Mail или ProtonMail дает злоумышленнику возможность нажать ** «Забыли пароль»** на ваших банковских счетах, криптовалютных биржах, пенсионных брокерских предприятиях, налоговых порталах и облачных дисках. Самое опасное: простая смена пароля электронной почты и включение двухфакторной аутентификации (2FA) редко выгоняют опытного злоумышленника из взломанного почтового ящика. В течение 30 секунд после взлома учетной записи электронной почты современные злоумышленники устанавливают пять уровней скрытых бэкдоров: скрытые Правила очистки и пересылки входящих сообщений (часто называемые ., .., или [Blank] которые молча перемещают электронные письма со сбросом пароля прямо на Trash или RSS Feeds чтобы вы их никогда не видели), Разрешения на сторонние приложения OAuth (eM Client, Thunderbird, или фейк Google Docs приложения, которые сохраняют полный доступ к API для чтения и записи без необходимости использования вашего пароля), Делегированные разрешения почтового ящика, Пароли приложений (IMAP/SMTP) и Обмен адреса электронной почты и номера телефона для восстановления.

Если компрометация электронной почты предполагает непосредственные угрозы физического насилия, преследования, домашнего насилия или вымогательства в отношении несовершеннолетнего, позвоните по местному номеру службы экстренной помощи (911 в США и Канаде, 112 по всему Европейскому Союзу, 999 в Соединенном Королевстве) или обратитесь к нашему справочнику международных номера экстренных служб сразу. Для всех захватов почтовых ящиков частных и корпоративных пользователей выполните описанную ниже 6-шаговую последовательность действий в точном порядке.

Сделай это сейчас¶

1. НЕ меняйте пароль на том же ПК с Windows или Mac, если вы подозреваете наличие вируса Infostealer: Если ваша электронная почта была взломана, даже если у вас уже была включена двухфакторная аутентификация (2FA), ваш компьютер, скорее всего, заражен Infostealer вредоносным ПО (например, Lumma Stealer, RedLine или Atomic macOS Stealer) или вредоносным расширением Chrome/Edge, которое крадет файлы cookie сеанса браузера, прошедшие проверку подлинности (например, Lumma Stealer, RedLine или Atomic macOS Stealer)SAPISID/SID в Google или ESTSAUTH на Microsoft). Возьмите чистый смартфон (iOS или Android), чтобы изменить пароль и очистить систему безопасности прямо сейчас.
2. Проверьте и восстановите адрес электронной почты для восстановления учетной записи, номер телефона для восстановления и устройства MFA Authenticator ПЕРЕД сменой пароля (или в течение 30 секунд после этого): Злоумышленники немедленно добавляют свой собственный одноразовый номер телефона, одноразовый адрес электронной почты или мошенническое приложение Authenticator в ваши настройки безопасности. Если вы измените свой пароль, не удаляя резервный телефон злоумышленника или мошеннический ключ доступа, злоумышленник просто нажмет «Забыли пароль» через 10 секунд и навсегда заблокирует вас.
3. Принудительно завершите все активные сеансы входа в систему, постоянные файлы cookie браузера и пароли приложений по всему миру. Изменение пароля не всегда немедленно уничтожает существующие мобильные токены IMAP или активные файлы cookie веб-сеанса. Явно нажмите ** «Выйти со всех устройств/Отменить все сеансы»** на панели безопасности Google, Microsoft, Yahoo или Apple и удалите все 16-значные пароли приложений в учетной записи.
4. Откройте настольный веб-браузер (не мобильное почтовое приложение) и удалите все скрытые правила для папки «Входящие», фильтры, автопереадресацию и правила очистки: Мобильные почтовые приложения (Gmail или Outlook на iOS/Android) часто скрывают расширенные правила маршрутизации на стороне сервера. Откройте настройки веб-почты в браузере на компьютере и проверьте Фильтры и заблокированные адреса, Пересылка и POP/IMAP и Правила/Очистка. Удалите все правила, которые пересылают почту наружу или автоматически перемещают электронные письма, содержащие такие слова, как "bank", "code", "reset", "security", "wire", "invoice", или "crypto" в Trash, Archive, или RSS Feeds папка.
5. Отзыв всех сторонних приложений, подключенных к OAuth, и делегатов почтовых ящиков. Перейдите к разделу Сторонние приложения и службы (Google) или Приложения и службы, к которым вы предоставили доступ (Microsoft/Yahoo), и отзовите все приложения с помощью Mail.Read, Mail.ReadWrite, или Gmail API разрешения, а также установите флажок Предоставить доступ к вашей учетной записи (делегирование), чтобы злоумышленник не мог прочитать ваш почтовый ящик через токен OAuth, который полностью игнорирует изменения пароля.
6. Проверьте свой Trash (Bin), Sentи Spam сразу же увидеть, какие финансовые или крипто-аккаунты злоумышленник уже сбросил: злоумышленники удаляют входящие оповещения безопасности от вашего банка, Coinbase/Binance, Amazon, PayPal или Steam через несколько секунд после получения 6-значного кода подтверждения. Откройте свой Trash и Sent папки прямо сейчас: каждое электронное письмо со сбросом пароля, находящееся в вашем Trash , это учетная запись, которую злоумышленник уже взломал или пытался взломать.

Дерево решений: восстановление контроля и очистка бэкдоров персистентности¶

Следуйте этому пошаговому дереву сортировки, независимо от того, есть ли у вас доступ к своему почтовому ящику или вы были полностью заблокированы злоумышленником:

flowchart TD
    A["Подозрение или подтверждение взлома учетной записи электронной почты"] --> B{"Можете ли вы прямо сейчас войти в свою учетную запись электронной почты?"}
    B -->|"Да: у меня еще есть доступ"| C["Переключитесь на чистый смартфон (избегайте потенциально зараженного компьютера)"]
    C --> D["1. Удалите резервный телефон злоумышленника, резервный адрес электронной почты и поддельные пароли MFA."]
    D --> E["2. Измените пароль на уникальную парольную фразу из 20+ символов и включите устойчивый к фишингу 2FA."]
    E --> F["3. Нажмите «Выйти со всех устройств» и удалите все 16-значные пароли приложений."]
    F --> G["4. Откройте настольную веб-почту: очистка скрытой пересылки, фильтров, правил очистки и делегатов"]
    G --> H["5. Отзовите сторонние приложения OAuth и проверьте папки «Корзина/Отправленные» на наличие взломанных внешних учетных записей."]
    B -->|"Нет: злоумышленник сменил пароль и телефон для восстановления/MFA."| I{"Какой тип учетной записи электронной почты заблокирован?"}
    I -->|"Работа / Школа / Корпоративный домен (@company.com)"| J["Немедленно свяжитесь с ИТ-администратором: администратор может сбросить MFA, отозвать токены и восстановить доступ за 60 секунд через консоль администратора"]
    I -->|"Персональный Gmail/Outlook.com/Yahoo/iCloud"| K["Запустите форму автоматического восстановления учетной записи со своего исторического домашнего IP-адреса Wi-Fi и знакомого браузера/телефона."]
    K --> L["Немедленно позвоните в свои банки, оператора мобильной связи и на биржи криптовалют по телефону, чтобы заморозить счета, привязанные к этому адресу электронной почты."]

Этап 1. Тщательный аудит постоянства поставщиком электронной почты (Gmail, Outlook/M365, Yahoo, iCloud).¶

Каждый крупный поставщик услуг электронной почты хранит правила пересылки, фильтры, токены OAuth и делегаты почтовых ящиков в несколько разных меню. Даже если вы используете Apple Mail или Outlook Desktop на своем компьютере, вам необходимо войти в официальный интерфейс веб-почты провайдера в браузере настольного компьютера (или запросить «Сайт рабочего стола» в своем мобильном браузере), чтобы просмотреть эти настройки на стороне сервера.

Detailed Walkthrough 1: Purging a Hacked Google / Gmail Account¶

When cleaning a compromised Gmail or Google Workspace account, work through these exact seven tabs without skipping a single one:

1. Audit Security & Passkeys (myaccount.google.com/security):
   • Click Passkeys and security keys: Attackers immediately register a synced passkey or virtual authenticator on their own browser so they can log back in with zero password and zero SMS prompt. Delete any passkey you do not recognize with 100 percent certainty.
   • Click 2-Step Verification -> check Authenticator, Google Prompt devices, Recovery phone, and Backup codes. Click Generate new codes to immediately invalidate any 8-digit backup codes the attacker screenshotted.
2. Destroy Active App Passwords (myaccount.google.com/apppasswords):
   • An App Password is a 16-letter passcode that lets an IMAP mail client (like Thunderbird or a hacker's Python script) download your entire inbox forever while completely bypassing 2-Step Verification. Delete every App Password listed.
3. Revoke Third-Party OAuth Connections (myaccount.google.com/connections):
   • Look for any application granted access to Gmail, Google Drive, or Google Contacts (attackers often use legitimate-looking mail clients like eM Client, Newton Mail, Cleanfox, or custom OAuth scripts). Click the app -> Delete all connections you have with [App Name].
4. Check Gmail Accounts and Import Tab (Mail Delegation & Reply-To Hijacking):
   • In Gmail on a desktop computer, click the Gear icon -> See all settings -> Accounts and Import.
   • Under Grant access to your account, verify that ZERO email addresses are listed. A delegated user can read, send, and delete your emails without knowing your password.
   • Under Send mail as, click edit info next to your own name and verify the attacker did not insert a secret Specify a different "reply-to" address (for example, setting your Reply-To to yourname.company@gmail.com or an attacker lookalike domain so that whenever someone replies to your legitimate emails, their reply goes to the hacker instead of you).
5. Check Gmail Filters and Blocked Addresses Tab:
   • Look closely at every filter. Attackers often create filters matching from:(a|e|i|o|u) или size > 0 или has:attachment or keywords like invoice, wire, bank, security, alert, code with the action Skip the Inbox (Archive it), Mark as read, Delete it, or Forward it to:. Delete every unfamiliar filter.
6. Check Gmail Forwarding and POP/IMAP Tab:
   • Verify Forwarding is set to Disable forwarding, remove any unrecognized forwarding address from the dropdown list, and set IMAP access to Disable IMAP (unless you specifically use a secure desktop client).
7. Check Google Drive Trash & Google Takeout History:
   • Attackers frequently trigger a Google Takeout (takeout.google.com) archive to download a .zip of all your emails, Google Photos, and Google Drive documents, including tax returns and password lists. Visit takeout.google.com right now: if you see an active or completed export you did not request, click Cancel export and see exactly which data categories were packaged.

Detailed Walkthrough 2: Purging a Hacked Microsoft Outlook.com / Hotmail / Microsoft 365 Account¶

Microsoft accounts (@outlook.com, @hotmail.com, @live.com, @msn.com, and corporate Microsoft 365 Exchange Online mailboxes) have several unique hiding spots that attackers exploit during Business Email Compromise (BEC) and consumer hacks:

1. Скрытое RSS Feeds и Conversation History Папка-ловушка:
   • В Outlook злоумышленники редко перенаправляют скрытые электронные письма в основной Deleted Items папка, потому что пользователи проверяют Deleted Items. Вместо этого они создают правило Outlook с именем . или 1 который перемещает входящие электронные письма в RSS Feeds, Archive, or Conversation History и помечает их как прочитанные. Проверьте каждую папку на левой боковой панели, особенно RSS Feeds, прямо сейчас.
2. Проверить оба Rules И Sweep в Outlook Web (outlook.live.com или outlook.office.com):
   • Нажмите кнопку Настройки (вверху справа) -> Почта -> Правила. Удалите все правила, которые вы не создавали.
   • Обратите внимание на флажок внизу правила злоумышленника: Stop processing more rules. Злоумышленники устанавливают этот флажок в своем главном правиле, чтобы ни одно из ваших законных правил не работало.
   • Затем нажмите Почта -> Очистить и Почта -> Нежелательная почта -> Заблокированные отправители и домены. Злоумышленники регулярно добавляют @microsoft.com, @google.com, @apple.com, @chase.com, @bankofamerica.comи @coinbase.com в список Заблокированных отправителей и доменов, чтобы предупреждения системы безопасности возвращались или автоматически отправлялись в папку «Нежелательная почта». Очистите список заблокированных отправителей от любых законных компаний.
3. Проверьте Mail -> Forwarding and IMAP:
   • Убедитесь, что флажок Включить переадресацию снят. Если адрес электронной почты злоумышленника находится в ящике с "Keep a copy of forwarded messages" Если флажок не установлен, каждое отправленное вам электронное письмо пересылается хакеру и удаляется из вашего почтового ящика еще до того, как оно попадает в папку «Входящие».
4. Для корпоративных администраторов Microsoft 365: запустите PowerShell, чтобы обнаружить скрытые MAPI/поврежденные правила для папки «Входящие» (MFCMAPI):
   • Сложные злоумышленники BEC используют API веб-служб Exchange (EWS) или MFCMAPI создать скрытые поврежденные правила для папки «Входящие» (удалив PR_RULE_MSG_NAME и PR_RULE_MSG_PROVIDER Свойства MAPI), которые вообще не отображаются в веб-интерфейсе Outlook или стандартном центре администрирования Exchange.
   • ИТ-администратор должен подключиться к Exchange Online PowerShell и запустить:

     Get-InboxRule -Mailbox victim@yourdomain.com -IncludeHidden | Format-List Name,Enabled,Description,ForwardTo,ForwardAsAttachmentTo,RedirectTo,DeleteMessage,MoveToFolder
     

   • Добавление **-IncludeHiddenФлаг ** раскрывает скрытые правила MAPI, скрытые в таблице «Связанное содержимое» почтового ящика (FAI), который затем можно очистить с помощью Remove-InboxRule -Mailbox victim@yourdomain.com -Identity "<RuleID>" или запустив outlook.exe /cleanrules.
   • Также проверьте Правила транспорта Exchange на уровне арендатора (правила потока почты) через Get-TransportRule: если злоумышленник скомпрометировал учетную запись администратора Exchange, возможно, он создал глобальное правило для всей организации, а не правило для отдельного почтового ящика.

Этап 2. Что делать, если вы полностью заблокированы (злоумышленник сменил пароль и 2FA)¶

Если злоумышленник уже изменил ваш пароль, заменил ваш номер телефона для восстановления на свой собственный и включил собственное приложение Authenticator или аппаратный ключ, каждая минута имеет значение, поскольку злоумышленник активно грабит ваши связанные учетные записи, пока вы заблокированы.

Шаг 1. Сначала отключите финансовые рычаги злоумышленника (первые 15 минут)¶

Do not spend three hours fighting an automated email recovery form while the hacker drains your bank account using your hijacked inbox:

1. Call Your Banks, Credit Card Issuers, and Investment Brokerages by Telephone:
   • Tell the Fraud Department: "My primary email address [your@email.com] has been compromised and I am currently locked out of it. Place an immediate verbal password / security freeze on my profile, revoke active web/mobile sessions, and remove that email address from self-service password resets."
2. Lock Your Mobile Phone Carrier Account Against a Follow-On SIM Swap:
   • Inside your hacked inbox, the attacker can read your monthly AT&T, Verizon, T-Mobile, Rogers, Vodafone, or O2 bills, giving them your mobile account number and billing address. Call your carrier immediately to verify your Number Transfer PIN / Port Freeze and Account Passcode are locked down.
3. Заморозьте свои счета на биржах криптовалют (Coinbase, Binance, Kraken, Gemini):
   • Большинство крупных бирж предоставляют функцию «Блокировка учетной записи» по телефону одним щелчком мыши или экстренную помощь**, если ваша электронная почта скомпрометирована (например, вызов автоматической экстренной блокировки Coinbase по адресу +1 (888) 908-7930 в США/международном или +44 808 168 4635 в Великобритании).
4. Измените зарегистрированный адрес электронной почты в каждой учетной записи, в которую вы еще можете войти:
   • Скорее всего, вы все еще вошли в Amazon, PayPal, Venmo, Steam, Discord, Apple ID и свой менеджер паролей в приложении для смартфона прямо сейчас. Создайте совершенно новую, чистую учетную запись электронной почты для экстренных случаев (например, в ProtonMail или новую Gmail, защищенную аппаратным ключом) и немедленно зайдите в настройки приложений, которые все еще вошли в систему, чтобы переключить их контактный адрес электронной почты со взломанного адреса, прежде чем злоумышленник сбросит их.

Шаг 2. Как пройти алгоритмы автоматического восстановления учетной записи (Google, Microsoft, Yahoo)¶

Для бесплатных потребительских учетных записей электронной почты (@gmail.com, @outlook.com, @hotmail.com, @yahoo.com), human support agents are strictly prohibited by engineering controls from manually resetting passwords or bypassing 2FA over the phone (to prevent social engineering). Instead, recovery is governed by an automated Risk & Identity Scoring Engine. To maximize your cryptographic trust score and trigger the hidden "7-Day / 30-Day Security Hold Override":

1. CRITICAL RULE: Submit the Recovery Form from Your Exact Historical Device, Browser, and Home Wi-Fi IP Address:
   • Never run accounts.google.com/signin/recovery или account.live.com/acsr from a brand-new incognito browser window on cellular data or through a VPN.
   • Use the exact laptop, desktop, or smartphone and the exact browser (with intact cookies/local storage) where you have logged into that email account every day for the past year, while connected to your normal home or office Wi-Fi router (ASN and geolocation match). The recovery algorithm heavily weights device fingerprint tokens (DeviceID) and historical IP subnets.
2. Google / Gmail Recovery (accounts.google.com/signin/recovery):
   • Even if the attacker changed your recovery phone and recovery email seconds ago, Google retains your PREVIOUS recovery phone number and PREVIOUS recovery email address as valid recovery factors for exactly 7 calendar days (168 hours) after an attacker modifies them.
   • When prompted during signin/recovery, click "Try another way" until it offers to send a code to your original phone number or original recovery email address, or prompts your previously registered Android phone/iPhone via Google Prompt.
   • If You Subscribe to Google One (Paid Cloud Storage) or YouTube Premium / YouTube Channel:
     • Paid Google One subscribers have access to live human Google One Support (one.google.com/support) who can escalate locked accounts internally.
     • If your hacked Google account owns a YouTube Channel, contact @TeamYouTube on X (formerly Twitter) publicly right away. Unlike standard Gmail, @TeamYouTube Creator Support provides a dedicated Hacked Account Escalation Form piloted by human Google trust-and-safety engineers who verify your original Channel ID (UC..), AdSense ID, and upload IP history to physically strip the attacker's passkeys/MFA and restore your entire Google/Gmail account within 24 to 72 hours.
3. Microsoft Outlook / Hotmail / Xbox Account Recovery (account.live.com/acsr):
   • First, try logging in and clicking "I don't have any of these" at the 2FA screen: if you have a 25-character Microsoft Recovery Code saved when you originally set up your account, entering it lets you replace the attacker's security info (subject to Microsoft's mandatory 30-day security info replacement waiting period, during which the attacker can also be blocked if you flag the account).
   • When filling out the Microsoft Account Recovery Form (account.live.com/acsr) from your home Wi-Fi IP:
     • Provide the exact Subject lines of 3 to 4 recent emails you sent (ask friends or family to look in their own inbox and read you the exact character-for-character Subject lines of emails you sent them recently).
     • Provide the exact email addresses of contacts you recently emailed.
     • Provide your Xbox Console Hardware LiveDeviceID / Serial Number if you ever signed into an Xbox with that Microsoft account, and the last 4 digits and expiration date of any credit card ever used on Microsoft Store / Skype / Office 365.

Phase 3: Damage control for secrets exposed inside your old emails¶

Once you have locked the attacker out and cleaned all rules and OAuth tokens, you must confront a sobering forensic reality: if the attacker had IMAP, OAuth, or web access to your mailbox for even 15 minutes, assume they ran an automated keyword search across your entire historical email archive.

Attackers do not read your 50,000 old emails manually. Their automated scripts immediately search your inbox for these exact ten high-value keywords and download every matching message and PDF attachment:

1. "seed", "mnemonic", "recovery phrase", "24 words", "wallet", "Coinbase", "Binance", "Ledger": Если вы когда-либо отправляли себе по электронной почте фотографию, текстовую заметку или зашифрованный почтовый индекс с исходной фразой криптовалюты или резервным кодом 2FA, считайте, что кошелек немедленно скомпрометирован, и переведите все средства на совершенно новый аппаратный кошелек.
2. "tax", "1040", "W-2", "1099", "SSN", "Social Security", "passport", "driver license", "mortgage", "closing": Loan applications, apartment leases, and CPA emails inside your inbox almost certainly contain PDFs with your unredacted Social Security Number (or national ID), date of birth, and driver's license photo. Place an immediate Credit Freeze with Equifax, Experian, and TransUnion (see our guide on identity theft response).
3. "password", "login", "credentials", "welcome to", "backup codes": Search your own inbox right now for the words password и backup code, delete those dangerous plaintext emails after rotating every single password mentioned in them.
4. "invoice", "ACH", "wire", "routing", "escrow", "closing costs", "docusign": If you are in the middle of buying a house, paying a contractor, or running a business, the attacker now has copies of your real invoices and banking routing details and will attempt to impersonate you or your title company to steal the wire transfer. Call your real estate title company, escrow officer, or clients on the telephone immediately to warn them.

Часто задаваемые вопросы¶

Источники проверены¶

• Cybersecurity and Infrastructure Security Agency (CISA, United States): Protecting Against Business Email Compromise (BEC), OAuth Application Abuse, and Phishing-Resistant MFA Guidance (cisa.gov/MFA и cisa.gov).
• Microsoft Security Response Center & Defender Threat Intelligence (United States): Responding to a Compromised Email Account in Microsoft Defender for Office 365 (Hidden Inbox Rules -IncludeHidden, OAuth Consent Grants, and Session Revocation) (learn.microsoft.com/en-us/defender-office-365/responding-to-a-compromised-email-account).
• Google Account Security & Workspace Admin Help (United States): Secure a Hacked or Compromised Google Account, OAuth Third-Party Connections, and Advanced Protection Program (support.google.com/accounts/answer/6294825).
• National Cyber Security Centre (NCSC, United Kingdom): Recovering a Compromised Email Account and Mitigating Email Forwarding Rule Persistence (ncsc.gov.uk).
• Federal Trade Commission (FTC, United States): What To Do if Your Email Account Is Hacked (consumer.ftc.gov).
• Australian Cyber Security Centre (ACSC / ASD, Australia): Protecting Email Accounts and Detecting Unauthorized Inbox Rules (cyber.gov.au).

Связанные руководства¶

• Фишинг и взломанные аккаунты
• MFA phishing and adversary-in-the-middle bypass
• Блокировка MFA и восстановление аутентификатора
• Реагирование на утечку данных и утечку паролей
• Malware, ransomware, and spyware infection
• SIM swapping