Skip to content

Napadnutý e-mailový účet: skryté pravidlá preposielania a obnovenie

Tiesňové čísla sa v jednotlivých krajinách líšia. Táto stránka používa 911, číslo pre USA a Kanadu. Mnoho iných krajín používa 112, 999 alebo iné číslo. Nájdite číslo pre vašu krajinu.

Your primary email account is the skeleton key to your entire digital, financial, and legal identity. Unlike a compromised social media profile or streaming login, a hacked Gmail, Microsoft Outlook / Microsoft 365, Yahoo, Apple iCloud Mail, or ProtonMail account gives an attacker the power to click "Forgot Password" on your bank accounts, cryptocurrency exchanges, retirement brokerages, tax portals, and cloud drives. Most dangerously, merely changing your email password and turning on Two-Factor Authentication (2FA) rarely kicks a sophisticated attacker out of a hacked inbox. Within 30 seconds of breaking into an email account, modern attackers plant five layers of silent persistence backdoors: hidden Inbox Sweep and Forwarding Rules (often named ., .., alebo [Blank] that silently move password-reset emails straight to the Trash alebo RSS Feeds folder so you never see them), Third-Party OAuth Application Grants (eM Client, Thunderbird, or fake Google Docs apps that retain full API read/write access without needing your password), Delegated Mailbox Permissions, App Passwords (IMAP/SMTP), and Recovery Email / Phone Number swaps.

If an email compromise involves immediate threats of physical violence, stalking, domestic abuse, or extortion against a minor, call your local emergency number (911 v Spojených štátoch a Kanade, 112 v celej Európskej únii, 999 v Spojenom kráľovstve) alebo si pozrite náš adresár medzinárodných tiesňové čísla right away. For all consumer and corporate inbox takeovers, execute the 6-step eradication sequence below in exact order.

Urobte to teraz

  1. Do NOT change your password from the same Windows PC or Mac if you suspect an Infostealer virus: If your email was hacked even though you already had Two-Factor Authentication (2FA) turned on, your computer likely has an Infostealer malware infection (such as Lumma Stealer, RedLine, or Atomic macOS Stealer) or a malicious Chrome/Edge extension that steals live authenticated browser session cookies (SAPISID/SID on Google or ESTSAUTH on Microsoft). Pick up a clean smartphone (iOS or Android) to perform your password change and security cleanup right now.
  2. Audit and revert your Account Recovery Email, Recovery Phone Number, and MFA Authenticator devices BEFORE changing your password (or within 30 seconds after): Attackers immediately add their own burner phone number, disposable email address, or rogue Authenticator app to your security settings. If you change your password without deleting the attacker's recovery phone or rogue passkey, the attacker will simply click "Forgot Password" 10 seconds later and lock you out permanently.
  3. Force-terminate all active login sessions, persistent browser cookies, and App Passwords globally: Changing a password does not always immediately kill existing mobile IMAP tokens or active web session cookies. Explicitly click "Sign out of all devices / Revoke all sessions" in your Google, Microsoft, Yahoo, or Apple security dashboard, and delete every 16-character App Password on the account.
  4. Open a desktop web browser (not a mobile mail app) and delete all hidden Inbox Rules, Filters, Auto-Forwarders, and Sweep Rules: Mobile mail apps (Gmail alebo Outlook na iOS/Android) často skrývajú pokročilé pravidlá smerovania na strane servera. Otvorte nastavenia webovej pošty v prehliadači na počítači a skontrolujte Filtre a zablokované adresy, Posielanie ďalej a POP/IMAP a Pravidlá / Sweep. Odstráňte akékoľvek pravidlo, ktoré preposiela poštu externe alebo automaticky presúva e-maily obsahujúce slová ako "bank", "code", "reset", "security", "wire", "invoice", alebo "crypto" do Trash, Archive, alebo RSS Feeds priečinok.
  5. Odvolanie všetkých aplikácií tretích strán a delegátov poštových schránok prepojených s protokolom OAuth: Prejdite do svojho účtu Aplikácie a služby tretích strán (Google) alebo Aplikácie a služby, ktorým ste udelili prístup (Microsoft/Yahoo) a zrušte každú jednu aplikáciu pomocou Mail.Read, Mail.ReadWrite, alebo Gmail API povolenia a navyše začiarknite políčko Udeliť prístup k vášmu účtu (delegovanie), aby útočník nemohol čítať vašu doručenú poštu prostredníctvom tokenu OAuth, ktorý úplne ignoruje zmeny hesla.
  6. Skontrolujte svoje Trash (Bin), Sent, a Spam priečinky, aby ste okamžite videli, ktoré finančné alebo krypto účty už útočník resetoval: Útočníci odstránia prichádzajúce bezpečnostné upozornenia z vašej banky, Coinbase/Binance, Amazonu, PayPalu alebo Steamu niekoľko sekúnd po prijatí 6-miestneho overovacieho kódu. Otvorte svoj Trash a Sent priečinky práve teraz: každý e-mail s novým heslom, ktorý sa nachádza vo vašom Trash je účet, ktorý útočník už prelomil alebo sa pokúsil prelomiť.

Danger

Prečo ste si nevšimli, že vaša banka, PayPal alebo kryptoburza vám poslali 10 bezpečnostných e-mailov, keď vás okradli? Pretože prvá vec, ktorú útočník urobí v napadnutej schránke Gmailu alebo Outlooku, je vytvorenie Pravidla tichého potlačenia (napríklad: Ak odosielateľ obsahuje @chase.com, @coinbase.com, @paypal.com, alebo Predmet obsahuje Verification Code, Security Alert, Password, Login -> Označiť ako prečítané A Preskočiť doručenú poštu A Presunúť do Koša / Archívu / RSS kanálov). Vždy si najprv skontrolujte kartu Pravidlá / Filtre a priečinky Kôš / Archív. Útočník úmyselne cenzuruje vašu hlavnú doručenú poštu.

Rozhodovací strom: opätovné získanie kontroly a vyčistenie zadných dvierok perzistencie

Postupujte podľa tohto podrobného stromu triedenia bez ohľadu na to, či máte stále prístup k svojej doručenej pošte alebo vás útočník úplne uzamkol:

flowchart TD
    A["Podozrenie alebo potvrdené narušenie e-mailového účtu"] --> B{"Môžete sa ešte teraz prihlásiť do svojho e-mailového účtu?"}
    B -->|"Áno: Stále mám prístup"| C["Prejdite na čistý smartfón (vyhnite sa potenciálne infikovanému počítaču)"]
    C --> D["1. Odstráňte Attacker's Recovery Phone, Recovery Email a Rogue MFA Passkeys"]
    D --> E["2. Zmeňte heslo na jedinečnú prístupovú frázu 20+ znakov a povoľte 2FA odolné voči phishingu"]
    E --> F["3. Kliknite na „Odhlásiť sa zo všetkých zariadení“ a odstráňte všetky heslá aplikácií so 16 znakmi"]
    F --> G["4. Otvorte webovú poštu na pracovnej ploche: Vyčistite skryté preposielanie, filtre, pravidlá odpratania a delegátov"]
    G --> H["5. Zrušte OAuth aplikácie tretích strán a skontrolujte kôš/odoslané priečinky, či neobsahujú narušené externé účty"]
    B -->|"Nie: Útočník zmenil heslo a telefón na obnovenie/MFA"| I{"Aký typ e-mailového účtu je uzamknutý?"}
    I -->|"Práca / škola / firemná doména (@company.com)"| J["Okamžite kontaktujte správcu IT: správca môže resetovať MFA, odvolať tokeny a obnoviť prístup za 60 sekúnd prostredníctvom správcovskej konzoly"]
    I -->|"Osobný Gmail / Outlook.com / Yahoo / iCloud"| K["Run Automated Account Recovery Form from Your Historical Home Wi-Fi IP and Familiar Browser/Phone"]
    K --> L["Immediately Call Your Banks, Mobile Carrier & Crypto Exchanges by Phone to Freeze Accounts Tied to That Email"]

Phase 1: Deep-clean persistence audit by email provider (Gmail, Outlook/M365, Yahoo, iCloud)

Každý hlavný poskytovateľ e-mailu ukladá pravidlá preposielania, filtre, tokeny OAuth a delegátov poštových schránok v mierne odlišných ponukách. Aj keď na svojom počítači používate Apple Mail alebo Outlook Desktop, musíte sa prihlásiť do oficiálneho webového rozhrania webmailu poskytovateľa v prehliadači počítača (alebo si vyžiadať „stránku pre stolné počítače“ vo vašom mobilnom prehliadači), aby ste videli tieto nastavenia na strane servera.

Mechanizmus vytrvalosti Google Gmail / Google Workspace Microsoft Outlook.com / Microsoft 365 Yahoo Mail / AOL Mail Apple iCloud Mail
1. Recovery Info & MFA Devices myaccount.google.com/security -> 2-Step Verification, Passkeys, Recovery phone, Recovery email. account.microsoft.com/security -> Spravujte spôsob prihlásenia (Osobné) alebo mysignins.microsoft.com/security-info (Práca/Škola). login.yahoo.com/myaccount/security -> Verifikácia v dvoch krokoch, Telefónne čísla na obnovenie, E-mailové adresy na obnovenie. account.apple.com -> Prihlásenie a zabezpečenie -> Zabezpečenie účtu (Dôveryhodné telefónne čísla a dôveryhodné zariadenia).
2. Vynútiť odhlásenie zo všetkých relácií myaccount.google.com/device-activity -> Kliknite na každé neznáme zariadenie -> Odhlásiť sa. account.microsoft.com/security -> Odhlásiť ma všade (spotrebiteľovi to trvá až 24 hodín; okamžite v Entra ID Revoke sessions). login.yahoo.com/myaccount/activity -> Nedávna aktivita -> Odhláste sa z neznámych miest/prehliadačov. Settings -> [Your Name] na iPhone -> Prejdite nadol na zoznam zariadení -> Klepnite na neznáme zariadenie -> Odstrániť z účtu.
3. Skryté pravidlá a filtre doručenej pošty Web Gmail -> Nastavenia (ozubené koliesko) -> Zobraziť všetky nastavenia -> karta Filtre a blokované adresy. Outlook Web -> Nastavenia (ozubené koliesko) -> Pošta -> Pravidlá A Pošta -> Odpratanie A Nevyžiadaná pošta (Blokovaní odosielatelia). Yahoo Web -> Nastavenia (Gear) -> Ďalšie nastavenia -> Filtre. icloud.com/mail -> Nastavenia (ozubené koliesko v hornej časti zoznamu pošty) -> Nastavenia -> Pravidlá.
4. Automatické posielanie ďalej a POP/IMAP Web Gmail -> Nastavenia -> Zobraziť všetky nastavenia -> karta Posielanie ďalej a POP/IMAP. Outlook Web -> Nastavenia (ozubené koliesko) -> Pošta -> Posielanie ďalej (a Posielanie ďalej a IMAP). Yahoo Web -> Nastavenia -> Ďalšie nastavenia -> Poštové schránky -> Kliknite na svoju e-mailovú adresu -> Poslať ďalej. icloud.com/mail -> Nastavenia (ozubené koleso) -> Nastavenia -> Preposielanie (Forward my email to).
5. Delegovanie poštových schránok a aliasy Web Gmail -> Nastavenia -> Zobraziť všetky nastavenia -> Účty a import -> Začiarknite Udeliť prístup k vášmu účtu & Odoslať poštu ako. Microsoft 365 Exchange Admin Center -> Poštové schránky -> Delegovanie (Read and manage / Send as / Send on behalf). Yahoo Web -> Nastavenia -> Viac nastavení -> Poštové schránky -> E-mailová adresa iba na odosielanie a Adresy na jedno použitie. icloud.com/mail -> Nastavenia -> Adresy (Skontrolujte, či nie sú povolené neautorizované aliasy iCloud alebo prepísania odpovede na adresu).
6. Aplikácie OAuth a heslá aplikácií tretích strán myaccount.google.com/connections (Aplikácie OAuth) & myaccount.google.com/apppasswords (16-znakové heslá IMAP). account.live.com/consent/Manage (Personal OAuth) alebo myapps.microsoft.com (Práca) + Heslá aplikácií v časti Zabezpečenie. login.yahoo.com/myaccount/security -> Heslá aplikácií a Externé pripojenia. account.apple.com -> Prihlásenie a zabezpečenie -> Heslá pre konkrétne aplikácie -> Odvolať všetko.

Podrobný návod 1: Vyčistenie napadnutého účtu Google / Gmail

Pri čistení napadnutého účtu Gmail alebo Google Workspace prejdite presne na týchto sedem kariet bez preskočenia jednej:

  1. ** Zabezpečenie auditu a prístupové kľúče (myaccount.google.com/security)**:
    • Kliknite na Prístupové kľúče a bezpečnostné kľúče: Útočníci okamžite zaregistrujú synchronizovaný prístupový kľúč alebo virtuálny autentifikátor vo svojom vlastnom prehliadači, aby sa mohli znova prihlásiť s nulovým heslom a žiadnou SMS výzvou. So 100-percentnou istotou odstráňte všetky prístupové kľúče, ktoré nepoznáte.
    • Kliknite na Dvojstupňové overenie -> skontrolujte Authenticator, Zariadenia s výzvou od Googlu, Telefón na obnovenie a Záložné kódy. Kliknutím na Generovať nové kódy okamžite zrušíte platnosť všetkých 8-miestnych záložných kódov, ktoré útočník zachytil.
  2. Zničte heslá aktívnych aplikácií (myaccount.google.com/apppasswords):
    • Heslo aplikácie je 16-písmenový prístupový kód, ktorý umožňuje poštovému klientovi IMAP (ako je Thunderbird alebo hackerský skript Python) navždy stiahnuť celú vašu doručenú poštu a úplne obísť dvojstupňové overenie. Odstráňte všetky uvedené heslá aplikácie.
  3. Odvolať pripojenia OAuth tretích strán (myaccount.google.com/connections):
    • Look for any application granted access to Gmail, Google Drive, or Google Contacts (attackers often use legitimate-looking mail clients like eM Client, Newton Mail, Cleanfox, or custom OAuth scripts). Click the app -> Delete all connections you have with [App Name].
  4. Check Gmail Accounts and Import Tab (Mail Delegation & Reply-To Hijacking):
    • In Gmail on a desktop computer, click the Gear icon -> See all settings -> Accounts and Import.
    • Under Grant access to your account, verify that ZERO email addresses are listed. A delegated user can read, send, and delete your emails without knowing your password.
    • Under Send mail as, click edit info next to your own name and verify the attacker did not insert a secret Specify a different "reply-to" address (for example, setting your Reply-To to yourname.company@gmail.com or an attacker lookalike domain so that whenever someone replies to your legitimate emails, their reply goes to the hacker instead of you).
  5. Check Gmail Filters and Blocked Addresses Tab:
    • Look closely at every filter. Attackers often create filters matching from:(a|e|i|o|u) alebo size > 0 alebo has:attachment or keywords like invoice, wire, bank, security, alert, code with the action Skip the Inbox (Archive it), Mark as read, Delete it, or Forward it to:. Delete every unfamiliar filter.
  6. Check Gmail Forwarding and POP/IMAP Tab:
    • Verify Forwarding is set to Disable forwarding, remove any unrecognized forwarding address from the dropdown list, and set IMAP access to Disable IMAP (unless you specifically use a secure desktop client).
  7. Skontrolujte kôš na Disku Google a históriu odberov Google:
    • Útočníci často spúšťajú Google Takeout (takeout.google.com) archív na stiahnutie a .zip všetkých vašich e-mailov, Fotiek Google a dokumentov na Disku Google vrátane daňových priznaní a zoznamov hesiel. Navštívte takeout.google.com práve teraz: ak vidíte aktívny alebo dokončený export, o ktorý ste nepožiadali, kliknite na Zrušiť export a presne uvidíte, ktoré kategórie údajov boli zabalené.

Podrobný návod 2: Vyčistenie napadnutého účtu Microsoft Outlook.com / Hotmail / Microsoft 365

Účty Microsoft (@outlook.com, @hotmail.com, @live.com, @msn.coma firemné poštové schránky Microsoft 365 Exchange Online) majú niekoľko jedinečných skrytých miest, ktoré útočníci využívajú počas Business Email Compromise (BEC) a spotrebiteľských hackov:

  1. Skrytý RSS Feeds a Conversation History Priečinková pasca:
    • V programe Outlook útočníci zriedka smerujú potlačené e-maily do hlavnej siete Deleted Items priečinok, pretože používatelia kontrolujú Deleted Items. Namiesto toho vytvoria pravidlo programu Outlook s názvom . alebo 1 ktorý presúva prichádzajúce e-maily do RSS Feeds, Archive, or Conversation History priečinok a označí ich ako prečítané. Skontrolujte každý priečinok na ľavom bočnom paneli, najmä RSS Feeds, práve teraz.
  2. Audit oboch Rules A Sweep v programe Outlook Web (outlook.live.com alebo outlook.office.com):
    • Kliknite na Ozubené koliesko nastavení (vpravo hore) -> Pošta -> Pravidlá. Odstráňte akékoľvek pravidlo, ktoré ste nevytvorili.
    • Všimnite si začiarkavacie políčko v spodnej časti pravidla útočníka: Stop processing more rules. Útočníci zaškrtnú toto políčko na svojom najvyššom pravidle, aby sa nespustili žiadne z vašich legitímnych pravidiel.
    • Ďalej kliknite na Pošta -> Vymazať a Pošta -> Nevyžiadaná pošta -> Blokovaní odosielatelia a domény. Útočníci sa bežne pridávajú @microsoft.com, @google.com, @apple.com, @chase.com, @bankofamerica.com, a @coinbase.com do vášho zoznamu Blokovaní odosielatelia a domény, aby sa bezpečnostné upozornenia odrazili alebo potichu prešli na Nevyžiadanú poštu. Vymažte zoznam blokovaných odosielateľov od všetkých legitímnych spoločností.
  3. Skontrolujte Mail -> Forwarding and IMAP:
    • Uistite sa, že nie je začiarknuté políčko Povoliť posielanie ďalej. Ak e-mailová adresa útočníka leží v poli s "Keep a copy of forwarded messages" Ak nie je začiarknuté, každý e-mail, ktorý vám bol zaslaný, bol preposlaný hackerovi a odstránený z vašej poštovej schránky skôr, ako sa dostal do vašej doručenej pošty.
  4. Pre podnikových správcov Microsoft 365: Spustite PowerShell na odhalenie skrytých pravidiel MAPI/poškodenej doručenej pošty (MFCMAPI):
    • Sofistikovaní aktéri hrozieb BEC využívajú API Exchange Web Services (EWS) resp MFCMAPI na vytvorenie skrytých poškodených pravidiel doručenej pošty (odstránením PR_RULE_MSG_NAME a PR_RULE_MSG_PROVIDER vlastnosti MAPI), ktoré sa nezobrazujú vôbec vo webovom používateľskom rozhraní programu Outlook alebo v štandardnom centre správy Exchange.
    • Správca IT by sa mal pripojiť k Exchange Online PowerShell a spustiť: 
      Get-InboxRule -Mailbox victim@yourdomain.com -IncludeHidden | Format-List Name,Enabled,Description,ForwardTo,ForwardAsAttachmentTo,RedirectTo,DeleteMessage,MoveToFolder
    • Pridanie -IncludeHidden príznak odhaľuje skryté pravidlá MAPI, ktoré sa skrývajú v tabuľke súvisiaceho obsahu poštovej schránky (FAI), ktoré je potom možné vyčistiť cez Remove-InboxRule -Mailbox victim@yourdomain.com -Identity "<RuleID>" alebo spustením outlook.exe /cleanrules.
    • Skontrolujte tiež Pravidlá prepravy výmeny na úrovni nájomcov (Pravidlá toku pošty) cez Get-TransportRule: ak útočník narušil konto Exchange Administrator, mohol vytvoriť globálne pravidlo toku pošty pre celú organizáciu, a nie pravidlo pre jednotlivé poštové schránky.

Warning

Prečo sa mi útočník dostal do e-mailu aj potom, čo som zmenil heslo A zapol dvojfaktorové overenie? Kvôli Stolen Session Cookie Replay (Infostealer Malware) alebo Malicious Browser Extensions. Ak ste si do svojho Windows PC alebo Mac stiahli pirátsky program, falošný nástroj PDF/faktúry, falošný video kodek alebo škodlivé rozšírenie Chrome, tento malvér skopíruje dešifrovanú databázu súborov cookie SQLite z vášho prehliadača (%LocalAppData%\Google\Chrome\User Data\Default\Network\Cookies). Importovaním vášho súboru cookie do antidetekčného prehliadača útočník prejde okolo vášho hesla a 2FA. Ak máte podozrenie na malvér vo vašom počítači, pozrite si našu príručku malvér, ransomvér a spywarová infekcia a pred opätovným prihlásením do e-mailu na tomto počítači preinštalujte operačný systém.

Fáza 2: Čo robiť, ak ste úplne zablokovaný (útočník zmenil heslo a 2FA)

Ak už útočník zmenil vaše heslo, nahradil vaše telefónne číslo na obnovenie svojim vlastným a zapol vlastnú aplikáciu Authenticator alebo hardvérový kľúč, počíta sa každá minúta, pretože útočník aktívne rabuje vaše prepojené účty, zatiaľ čo vy ste uzamknutí.

Krok 1: Najprv odrežte útočníkovu finančnú páku (prvých 15 minút)

Netrávte tri hodiny bojom s automatickým formulárom na obnovenie e-mailu, kým hacker vyčerpá váš bankový účet pomocou ukradnutej doručenej pošty:

  1. Zavolajte svojim bankám, vydavateľom kreditných kariet a investičným maklérom telefonicky:
    • Povedzte oddeleniu pre podvody: "Moja primárna e-mailová adresa [vaša@email.com] bola napadnutá a momentálne k nej nemám prístup. Okamžite zablokujte heslo / zabezpečenie môjho profilu, zrušte aktívne webové/mobilné relácie a odstráňte túto e-mailovú adresu zo samoobslužného resetovania hesla."
  2. Uzamknite svoj účet mobilného operátora pred následnou výmenou SIM karty:
    • Vo vašej napadnutej schránke môže útočník prečítať vaše mesačné účty AT&T, Verizon, T-Mobile, Rogers, Vodafone alebo O2, pričom im dá číslo vášho mobilného účtu a fakturačnú adresu. Okamžite zavolajte svojmu operátorovi, aby ste si overili, že váš PIN prenosu čísla / zmrazenie portu a prístupový kód účtu sú zablokované.
  3. Zmrazte svoje účty na výmenu kryptomien (Coinbase, Binance, Kraken, Gemini):
    • Väčšina veľkých búrz poskytuje jedno kliknutie alebo núdzový telefón Zámok účtu, ak je váš e-mail napadnutý (napríklad zavolaním na automatizovaný núdzový zámok Coinbase na +1 (888) 908-7930 v USA/medzinárodnom príp +44 808 168 4635 v Spojenom kráľovstve).
  4. Zmeňte registrovanú e-mailovú adresu na každom účte, do ktorého sa stále môžete prihlásiť:
    • Pravdepodobne ste stále prihlásení do služieb Amazon, PayPal, Venmo, Steam, Discord, Apple ID a svojho správcu hesiel v aplikácii pre smartfón práve teraz. Vytvorte si úplne nový, čistý núdzový e-mailový účet (napríklad na ProtonMail alebo na čerstvom Gmaile zabezpečenom hardvérovým kľúčom) a okamžite prejdite do nastavení aplikácií vašich stále prihlásených aplikácií, aby ste prepli kontaktné e-maily z napadnutej adresy skôr, ako ich útočník resetuje.

Krok 2: Ako odovzdať algoritmy automatického obnovenia účtu (Google, Microsoft, Yahoo)

Pre bezplatné spotrebiteľské e-mailové účty (@gmail.com, @outlook.com, @hotmail.com, @yahoo.com), technické kontroly prísne zakazujú agentom ľudskej podpory manuálne resetovať heslá alebo obchádzať 2FA cez telefón (aby sa zabránilo sociálnemu inžinierstvu). Namiesto toho je obnova riadená automatizovaným Risk & Identity Scoring Engine. Ak chcete maximalizovať svoje kryptografické skóre dôveryhodnosti a spustiť skryté "7-dňové / 30-dňové prepísanie bezpečnostnej blokády":

  1. KRITICKÉ PRAVIDLO: Odošlite formulár na obnovenie z vášho presného historického zariadenia, prehliadača a domácej adresy Wi-Fi IP:
    • Nikdy neutekaj accounts.google.com/signin/recovery alebo account.live.com/acsr z úplne nového okna inkognito prehliadača cez mobilné dáta alebo cez VPN.
    • Použite presný prenosný počítač, stolný počítač alebo smartfón a presný prehliadač (s neporušenými súbormi cookie/miestnym ukladacím priestorom), v ktorom ste sa do daného e-mailového účtu prihlasovali každý deň za posledný rok, pričom ste boli pripojení k normálnemu domácemu alebo kancelárskemu smerovaču Wi-Fi (ASN a geolokačná zhoda). Algoritmus obnovy výrazne váži tokeny odtlačkov prstov zariadenia (DeviceID) a historické podsiete IP.
  2. Obnovenie Google / Gmail (accounts.google.com/signin/recovery):
    • Aj keď útočník zmenil váš telefón na obnovenie a e-mail na obnovenie pred niekoľkými sekundami, Google uchováva vaše PREDCHÁDZAJÚCE telefónne číslo na obnovenie a PREDCHÁDZAJÚcu e-mailovú adresu na obnovenie ako platné faktory obnovenia presne 7 kalendárnych dní (168 hodín) potom, čo ich útočník upraví.
    • Pri výzve počas signin/recovery, kliknite na "Skúsiť iný spôsob", kým sa neponúkne odoslanie kódu na vaše pôvodné telefónne číslo alebo pôvodná e-mailová adresa na obnovenie účtu, alebo kým sa nevyzve váš predtým zaregistrovaný telefón/iPhone s Androidom prostredníctvom Výzvy Google.
    • Ak si predplatíte Google One (platené cloudové úložisko) alebo YouTube Premium / kanál YouTube:
      • Predplatitelia platenej Google One majú prístup k živej ľudskej Podpore Google One (one.google.com/support) kto môže interne eskalovať uzamknuté účty.
      • Ak váš napadnutý účet Google vlastní kanál YouTube, kontaktujte @TeamYouTube na X (predtým Twitter) verejne hneď. Na rozdiel od štandardného Gmailu @TeamYouTube Podpora pre autorov poskytuje vyhradený Formulár na eskaláciu napadnutého účtu, ktorý pilotujú ľudskí inžinieri spoločnosti Google pre dôveryhodnosť a bezpečnosť, ktorí overia váš originál Channel ID (UC..), ID AdSense a nahrajte históriu IP, aby ste fyzicky odstránili prístupové kľúče/MFA útočníka a obnovili celý váš účet Google/Gmail do 24 až 72 hodín.
  3. Obnovenie účtu Microsoft Outlook / Hotmail / Xbox (account.live.com/acsr):
    • Najprv sa skúste prihlásiť a kliknite na „Nemám žiadne z týchto“ na obrazovke 2FA: ak máte 25-miestny kód obnovenia Microsoftu uložený pri pôvodnom nastavení účtu, jeho zadaním môžete nahradiť bezpečnostné informácie útočníka (v závislosti od povinnej 30-dňovej čakacej doby na výmenu bezpečnostných informácií od spoločnosti Microsoft, počas ktorej môže byť útočník zablokovaný aj nahlásením účtu).
    • Pri vypĺňaní Formulára na obnovenie účtu Microsoft (account.live.com/acsr) z vašej domácej Wi-Fi IP:
      • Uveďte presné Predmety 3 až 4 nedávnych e-mailov, ktoré ste odoslali (požiadajte priateľov alebo rodinu, aby sa pozreli do svojej vlastnej doručenej pošty a prečítali vám presné riadky s predmetom e-mailov, ktoré ste im nedávno poslali).
      • Uveďte presné e-mailové adresy kontaktov, ktorým ste nedávno poslali e-mail.
      • Poskytnite svoj Hardvér konzoly Xbox LiveDeviceID / Sériové číslo, ak ste sa niekedy prihlásili do konzoly Xbox s týmto účtom Microsoft, a posledné 4 číslice a dátum vypršania platnosti akejkoľvek kreditnej karty, ktorú ste kedy použili v obchode Microsoft Store / Skype / Office 365.

Tip

Keď znova získate prístup k napadnutému e-mailovému účtu, skontrolujte svoj účet Sent priečinok a váš Trash priečinok na vydieranie alebo podvodné e-maily odoslané útočníkom vašim kontaktom. Útočníci často prehľadávajú vašu doručenú poštu, či neobsahujú citlivé fotografie, daňové doklady alebo obchodné faktúry a posielajú falošné e-maily „naliehavé darčekové karty / bankový prevod“ vašim priateľom, starým rodičom alebo klientom. Pošlite jasný varovný e-mail (a textovú správu) komukoľvek, komu útočník poslal správu počas okna narušenia.

Fáza 3: Kontrola poškodenia tajomstiev odhalených vo vašich starých e-mailoch

Keď zablokujete útočníka a vyčistíte všetky pravidlá a tokeny OAuth, musíte čeliť triezvej forenznej realite: ak mal útočník prístup cez protokol IMAP, OAuth alebo web k vašej poštovej schránke čo i len 15 minút, predpokladajme, že spustil automatické vyhľadávanie kľúčových slov v celom vašom historickom archíve e-mailov.

Útočníci nečítajú vašich 50 000 starých e-mailov manuálne. Ich automatické skripty okamžite vyhľadajú vo vašej doručenej pošte týchto presne desať kľúčových slov s vysokou hodnotou a stiahnu každú zodpovedajúcu správu a prílohu PDF:

  1. "seed", "mnemonic", "recovery phrase", "24 words", "wallet", "Coinbase", "Binance", "Ledger": Ak ste si niekedy poslali e-mailom fotografiu, textovú poznámku alebo zašifrovaný zips počiatočnej frázy kryptomeny alebo záložného kódu 2FA, okamžite zvážte, že táto peňaženka bola kompromitovaná a presuňte všetky prostriedky do úplne novej hardvérovej peňaženky.
  2. "tax", "1040", "W-2", "1099", "SSN", "Social Security", "passport", "driver license", "mortgage", "closing": Žiadosti o pôžičky, prenájmy bytov a e-maily CPA vo vašej doručenej pošte takmer určite obsahujú súbory PDF s vaším nezmeneným rodným číslom (alebo občianskym preukazom), dátumom narodenia a fotografiou vodičského preukazu. Okamžite zmrazenie kreditu s Equifax, Experian a TransUnion (pozrite si nášho sprievodcu na reakcia na krádež identity).
  3. "password", "login", "credentials", "welcome to", "backup codes": Vyhľadajte slová vo svojej vlastnej doručenej pošte password a backup code, odstráňte tieto nebezpečné e-maily s obyčajným textom po otočení každého jedného hesla, ktoré je v nich uvedené.
  4. "invoice", "ACH", "wire", "routing", "escrow", "closing costs", "docusign": Ak práve kupujete dom, platíte dodávateľovi alebo podnikáte, útočník má teraz kópie vašich skutočných faktúr a bankových smerovacích údajov a pokúsi sa vydávať za vás alebo za vašu spoločnosť, aby ukradol bankový prevod. Okamžite zavolajte na telefón svojej realitnej spoločnosti, správcovi úschovy alebo klientom a varujte ich.

Často kladené otázky

I changed my email password and turned on 2FA, yet the hacker is STILL sending emails from my account. How is that possible?

There are four technical mechanisms that survive a password change and 2FA setup: **1. Active Third-Party OAuth Tokens**: The hacker connected an OAuth application (like `eM Client`, `Thunderbird`, or a malicious script) to your account; OAuth tokens authenticate via API refresh tokens and never check your password again until you explicitly revoke the app at `myaccount.google.com/connections` or `account.live.com/consent/Manage`. **2. 16-Character App Passwords**: The hacker generated an IMAP/SMTP App Password in your security settings, which bypasses 2FA completely. **3. Mailbox Delegation**: In Gmail (`Settings -> Accounts and Import -> Grant access to your account`) or Microsoft 365 Exchange Delegation, the hacker added their own account as a delegate. **4. Infostealer Malware on Your PC**: Your computer has a trojan stealing the live session cookie from your web browser every time you log in with your new password.

Why am I suddenly receiving 500 to 5,000 random newsletter sign-up emails per hour ("Email Bombing")?

If your inbox suddenly explodes with thousands of automated *"Confirm your newsletter subscription"* emails in every language from random websites around the world, **you are under an active "Subscription Bomb" (Email Bombing) attack.** Do NOT bulk-delete your entire inbox without looking closely. Attackers launch a Subscription Bomb to bury **one specific, critical email** that arrived right at the start of the flood, such as an **Apple Store / Best Buy $3,000 laptop order confirmation**, a **Bank Wire Transfer alert**, a **Zelle / PayPal transfer receipt**, or a **Mobile Carrier SIM Swap notification**. Use your email search bar immediately to filter for: `subject:(order OR receipt OR wire OR transfer OR password OR security OR alert OR SIM)` or check your bank, credit card, Amazon, Walmart, and mobile carrier accounts right now to find the single fraudulent transaction they are trying to hide in the noise.

Can an attacker hack my email just by me opening and reading an email without clicking any links or downloading attachments?

In modern webmail (Gmail, Outlook Web, Yahoo, Apple Mail on updated iOS/macOS), simply opening and reading a plain text or HTML email does **not** hand over your password or infect your device, provided your operating system and browser are up to date. The only thing opening an email can reveal to a sender is a **Tracking Pixel** (an invisible 1x1 pixel external image that tells a spammer your email address is active and reveals the rough IP address of the mail proxy, though Apple Mail Privacy Protection and Gmail image proxies now mask even your real IP). Almost 100 percent of email takeovers come from **1. Credential Reuse** (reusing a password leaked in another website's data breach), **2. Adversary-in-the-Middle (AitM) Phishing Links** (clicking a fake login link), or **3. Infostealer Malware** executed on a PC.

Why did I get an email from MY OWN email address saying a hacker recorded me through my webcam (`Pegasus` / Trojan extortion email)?

If you received an email that appears to be sent **`From: your_own_email@domain.com` `To: your_own_email@domain.com`** claiming a hacker installed "Pegasus spyware" or recorded you via your webcam while browsing adult websites and demanding $500 to $2,000 in Bitcoin, **your email and computer were NOT hacked.** This is a mass-automated **SMTP Header Spoofing scam**. Basic email protocols allow any spam server to type your address into the visual `From:` display header (just like writing a fake return address on a paper envelope). If you check your **`Sent`** folder, you will see that email is not in your `Sent` folder, and if you click **"Show Original" / "View Message Source"**, you will see `SPF: FAIL` or `DMARC: FAIL` from a foreign server IP. Delete the email and never pay.

What is the safest type of Two-Factor Authentication (2FA) to put on my email so it can never be phished or SIM-swapped?

Move away from **SMS Text Message 2FA** (which can be stolen via a SIM swap) and even standard 6-digit TOTP Authenticator codes (which can be intercepted in real time if you accidentally type them into an Adversary-in-the-Middle `Evilginx` phishing page). Instead, enable **FIDO2 / WebAuthn Passkeys or Physical Hardware Security Keys (such as a YubiKey 5 Series or Google Titan Key)**. Because FIDO2 cryptographic signatures are mathematically bound to the genuine browser domain (`google.com` or `login.live.com`), a FIDO2 hardware key or passkey makes it cryptographically impossible for an attacker to phish your login, even if you click a sophisticated fake login link. Enroll at least **two** hardware keys (one primary on your keychain, one backup in a fireproof safe) and enable **Google Advanced Protection Program (`landing.google.com/advancedprotection`)** if you are a high-risk target.

Should I permanently abandon my old email address after a hack and create a brand-new one?

If you thoroughly purge all 6 persistence points (Recovery info, Active sessions, App Passwords, OAuth grants, Filters/Forwarding rules, and Delegation) and lock the account with a strong unique password and FIDO2 MFA, **the technical security of the account is 100 percent restored.** However, you should still ** keep the old email account open and locked down forever** rather than deleting it. If you delete an old `@outlook.com`, `@yahoo.com`, or custom domain email address, an attacker may eventually re-register that recycled username and use it to reset forgotten accounts tied to it. Many security professionals keep their old address locked with a hardware key as a decoy/legacy inbox while migrating their **banking, brokerage, tax, and cryptocurrency logins** to a brand-new, private, unpublicized email address (`myname-vault@proton.me` or a dedicated Gmail) that is never given out on shopping sites, newsletters, or social media.

Zdroje skontrolované

  • Agentúra pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry (CISA, Spojené štáty americké): Ochrana proti ohrozeniu obchodných e-mailov (BEC), zneužívanie aplikácií OAuth a pokyny MFA odolné voči phishingu (cisa.gov/MFA a cisa.gov).
  • Microsoft Security Response Center & Defender Threat Intelligence (Spojené štáty americké): Reakcia na napadnutý e-mailový účet v Microsoft Defender pre Office 365 (pravidlá pre skrytú doručenú poštu -IncludeHidden, udelenie súhlasu OAuth a zrušenie relácie) (learn.microsoft.com/en-us/defender-office-365/responding-to-a-compromised-email-account).
  • (support.google.com/accounts/answer/6294825).
  • Národné centrum kybernetickej bezpečnosti (NCSC, Spojené kráľovstvo): Obnova kompromitovaného e-mailového účtu a zmiernenie pretrvávania pravidiel preposielania e-mailov (ncsc.gov.uk).
  • Federálna obchodná komisia (FTC, Spojené štáty americké): Čo robiť, ak je váš e-mailový účet napadnutý (consumer.ftc.gov).
  • Austrálske centrum kybernetickej bezpečnosti (ACSC / ASD, Austrália): Ochrana e-mailových účtov a zisťovanie pravidiel neoprávnenej doručenej pošty (cyber.gov.au).

Súvisiaci sprievodcovia