Skip to content

Vdrl v e-poštni račun: skrita pravila za posredovanje in obnovitev

Številke za klic v sili se razlikujejo glede na državo. Ta stran uporablja 911, številko za Združene države in Kanado. Mnoge druge države uporabljajo 112, 999 ali drugo številko. Poiščite številko za svojo državo.

Vaš primarni e-poštni račun je okostni ključ vaše celotne digitalne, finančne in pravne identitete. Za razliko od ogroženega profila v družabnem omrežju ali prijave za pretakanje, vdreni račun Gmail, Microsoft Outlook / Microsoft 365, Yahoo, Apple iCloud Mail ali ProtonMail napadalcu omogoča, da klikne »pozabljeno geslo« na vaših bančnih računih, menjalnicah kriptovalut, posredniških družbah za pokojnine, davčnih portalih in pogonih v oblaku. Najbolj nevarno pa je, da samo sprememba gesla za vašo e-pošto in vklop dvostopenjske avtentikacije (2FA) redko vrže prefinjenega napadalca iz vdrtega nabiralnika. V 30 sekundah po vdoru v e-poštni račun sodobni napadalci vstavijo pet slojev tihih vztrajnih stranskih vrat: skrita Pravila za brskanje po prejetih sporočilih in posredovanje (pogosto imenovana ., .., oz [Blank] ki tiho premakne e-poštna sporočila za ponastavitev gesla naravnost v Trash oz RSS Feeds mapo, tako da jih ne boste nikoli videli), Dovoljenja aplikacij OAuth tretjih oseb (eM Client, Thunderbird, ali ponaredek Google Docs aplikacije, ki ohranijo polni dostop API za branje/pisanje, ne da bi potrebovali vaše geslo), Delegirana dovoljenja za nabiralnik, Gesla za aplikacije (IMAP/SMTP) in Zamenjava e-pošte/telefonske številke za obnovitev.

Če e-poštni kompromis vključuje takojšnje grožnje s fizičnim nasiljem, zalezovanjem, zlorabo v družini ali izsiljevanjem proti mladoletniku, pokličite svojo lokalno številko za klic v sili (911 v ZDA in Kanadi, 112 po vsej Evropski uniji, 999 v Združenem kraljestvu) ali si oglejte naš imenik mednarodnih številke za klic v sili takoj. Za vse prevzeme prejetih sporočil potrošnikov in podjetij izvedite spodnje zaporedje izkoreninjenja v 6 korakih v natančnem vrstnem redu.

Naredi to zdaj

  1. NE spreminjajte gesla iz istega računalnika z operacijskim sistemom Windows ali Mac, če sumite, da je virus Infostealer: če je prišlo do vdora v vašo e-pošto, čeprav ste že imeli vklopljeno dvostopenjsko avtentikacijo (2FA), je vaš računalnik verjetno okužen z zlonamerno programsko opremo Infostealer (kot je Lumma Stealer, RedLine ali Atomic macOS Stealer) ali zlonamerna razširitev Chrome/Edge, ki ukrade živo overjeno sejo brskalnika piškotki (SAPISID/SID na Googlu oz ESTSAUTH pri Microsoftu). Vzemite čist pametni telefon (iOS ali Android), da takoj izvedete spremembo gesla in varnostno čiščenje.
  2. Preglejte in razveljavite svoj e-poštni naslov za obnovitev računa, obnovitveno telefonsko številko in naprave MFA Authenticator PRED spremembo gesla (ali v 30 sekundah po tem): Napadalci vašim varnostnim nastavitvam takoj dodajo svojo lastno telefonsko številko zapisovalnika, e-poštni naslov za enkratno uporabo ali lažno aplikacijo Authenticator. Če spremenite svoje geslo, ne da bi izbrisali napadalčevo obnovitveno telefonsko številko ali lažno geslo, bo napadalec preprosto kliknil »Pozabljeno geslo« 10 sekund pozneje in vas trajno zaklenil.
  3. Globalno prisilno prekinite vse aktivne prijavne seje, trajne piškotke brskalnika in gesla za aplikacije: Sprememba gesla ne uniči vedno takoj obstoječih mobilnih žetonov IMAP ali aktivnih piškotkov spletne seje. Izrecno kliknite »Odjava iz vseh naprav / Prekliči vse seje« na varnostni nadzorni plošči Google, Microsoft, Yahoo ali Apple in izbrišite vsako 16-mestno Geslo za aplikacijo v računu.
  4. Odprite namizni spletni brskalnik (ne mobilne poštne aplikacije) in izbrišite vsa skrita pravila za mapo »Prejeto«, filtre, samodejne posredovalce in pravila za brisanje: mobilne poštne aplikacije (Gmail oz Outlook v sistemu iOS/Android) pogosto skrivajo napredna pravila usmerjanja na strani strežnika. Odprite nastavitve spletne pošte v namiznem brskalniku in preglejte Filtri in blokirani naslovi, Posredovanje in POP/IMAP ter Pravila / Počisti. Izbrišite vsa pravila, ki posredujejo pošto navzven ali samodejno premikajo e-pošto, ki vsebuje besede, kot je "bank", "code", "reset", "security", "wire", "invoice", oz "crypto" v Trash, Archive, oz RSS Feeds mapo.
  5. Prekliči vse aplikacije in pooblaščene poštne predale tretjih oseb, povezane z OAuth: Pomaknite se do Aplikacij in storitev tretjih oseb (Google) ali Aplikacij in storitev, ki ste jim omogočili dostop (Microsoft/Yahoo) in prekličite vsako posamezno aplikacijo z Mail.Read, Mail.ReadWrite, oz Gmail API dovoljenja in označite Odobri dostop do vašega računa (delegiranje), tako da napadalec ne more brati vaše mape »Prejeto« prek žetona OAuth, ki popolnoma ignorira spremembe gesla.
  6. Preverite svoje Trash (Bin), Sent, in Spam mape takoj, da vidite, katere finančne ali kripto račune je napadalec že ponastavil: Napadalci izbrišejo dohodna varnostna opozorila vaše banke, Coinbase/Binance, Amazon, PayPal ali Steam nekaj sekund po prejemu 6-mestne kode za preverjanje. Odpri svojo Trash in Sent mape trenutno: vsako e-poštno sporočilo za ponastavitev gesla, ki je v vašem Trash je račun, v katerega je napadalec že vdrl ali poskušal vdreti.

Danger

Zakaj niste opazili, da vam je banka, PayPal ali kriptomenjalnica poslala 10 e-poštnih sporočil z varnostnim opozorilom, medtem ko so vas oropali? Kajti prva stvar, ki jo naredi napadalec v vdrtem Gmailovem ali Outlookovem predalu, je ustvariti Pravilo za tiho zatiranje (na primer: Če pošiljatelj vsebuje @chase.com, @coinbase.com, @paypal.com, ali Zadeva vsebuje Verification Code, Security Alert, Password, Login -> Označi kot prebrano IN preskoči mapo »Prejeto« IN premakni v koš / arhiv / vire RSS). Vedno najprej preverite zavihek Pravila / Filtri in mape Smetnjak / Arhiv, napadalec namerno cenzurira vašo glavno mapo »Prejeto«.

Odločitveno drevo: ponovna pridobitev nadzora in čiščenje stranskih vrat vztrajnosti

Sledite temu triažnemu drevesu po korakih, ne glede na to, ali imate še vedno dostop do mape »Prejeto« ali pa vas je napadalec popolnoma zaklenil:

flowchart TD
    A["Sum ali potrjena ogroženost e-poštnega računa"] --> B{"Ali se lahko zdaj še vedno prijavite v svoj e-poštni račun?"}
    B -->|"Da: Še vedno imam dostop"| C["Preklopite na čisti pametni telefon (izogibajte se potencialno okuženemu računalniku)"]
    C --> D["1. Odstranite napadalčevo obnovitveno telefonsko številko, obnovitveno e-pošto in lažna gesla MFA"]
    D --> E["2. Spremenite geslo v edinstveno geslo z 20+ znaki in omogočite 2FA, odporen proti lažnemu predstavljanju"]
    E --> F["3. Kliknite »Odjava iz vseh naprav« in izbrišite vsa 16-mestna gesla za aplikacije"]
    F --> G["4. Odprite namizno spletno pošto: odstranite skrito posredovanje, filtre, pravila brisanja in pooblaščence"]
    G --> H["5. Prekličite aplikacije tretjih oseb OAuth in preglejte smeti/poslane mape za poškodovane zunanje račune"]
    B -->|"Ne: Napadalec je spremenil geslo in obnovitveno telefonsko številko/MFA"| I{"Katera vrsta e-poštnega računa je zaklenjena?"}
    I -->|"Služba/šola/domena podjetja (@company.com)"| J["Takoj se obrnite na skrbnika IT: skrbnik lahko ponastavi MFA, prekliče žetone in obnovi dostop v 60 sekundah prek skrbniške konzole"]
    I -->|"Osebni Gmail / Outlook.com / Yahoo / iCloud"| K["Zaženite samodejni obrazec za obnovitev računa iz vašega zgodovinskega domačega Wi-Fi IP-ja in znanega brskalnika/telefona"]
    K --> L["Takoj pokličite svoje banke, mobilnega operaterja in kripto menjalnice po telefonu, da zamrznete račune, povezane s tem e-poštnim sporočilom"]

1. faza: globinsko čista revizija vztrajnosti s strani ponudnika e-pošte (Gmail, Outlook/M365, Yahoo, iCloud)

Vsak večji ponudnik e-pošte shranjuje pravila za posredovanje, filtre, žetone OAuth in delegate nabiralnika v nekoliko drugačnih menijih. Tudi če v računalniku uporabljate Apple Mail ali Outlook Desktop, se morate prijaviti v ponudnikov uradni spletni poštni vmesnik v namiznem brskalniku (ali zahtevati »Desktop Site« v svojem mobilnem brskalniku), da vidite te nastavitve na strani strežnika.

Mehanizem obstojnosti Google Gmail/Google Workspace Microsoft Outlook.com / Microsoft 365 Yahoo Mail / AOL Mail Apple iCloud Mail
1. Informacije o obnovitvi in naprave MFA myaccount.google.com/security -> Preverjanje v dveh korakih, Gesla, Telefonska številka za obnovitev, E-pošta za obnovitev. account.microsoft.com/security -> Upravljaj način prijave (osebno) oz mysignins.microsoft.com/security-info (Delo/Šola). login.yahoo.com/myaccount/security -> Preverjanje v dveh korakih, Telefonske številke za obnovitev, E-poštni naslovi za obnovitev. account.apple.com -> Prijava in varnost -> Varnost računa (zaupanja vredne telefonske številke in zaupanja vredne naprave).
2. Prisilna odjava iz vseh sej myaccount.google.com/device-activity -> Kliknite vsako neznano napravo -> Odjava. account.microsoft.com/security -> Odjavi me povsod (pri kupcu traja do 24 ur; takoj v Entra ID-ju Revoke sessions). login.yahoo.com/myaccount/activity -> Nedavna dejavnost -> Odjava iz neznanih lokacij/brskalnikov. Settings -> [Your Name] na iPhone -> Pomaknite se navzdol do seznama naprav -> Tapnite neznano napravo -> Odstrani iz računa.
3. Pravila in filtri za skrito mapo »Prejeto« Gmail Web -> Nastavitve (Gear) -> Ogled vseh nastavitev -> zavihek Filtri in blokirani naslovi. Outlook Web -> Nastavitve (Gear) -> Pošta -> Pravila IN Pošta -> Počisti IN Neželena e-pošta (Blokirani pošiljatelji). Yahoo Web -> Nastavitve (Gear) -> Več nastavitev -> Filtri. icloud.com/mail -> Nastavitve (Zobnik na vrhu poštnega seznama) -> Nastavitve -> Pravila.
4. Samodejno posredovanje & POP/IMAP Gmail Web -> Nastavitve -> Ogled vseh nastavitev -> zavihek Posredovanje in POP/IMAP. Outlook Web -> Nastavitve (Gear) -> Pošta -> Posredovanje (ter Posredovanje in IMAP). Yahoo Web -> Nastavitve -> Več nastavitev -> Nabiralniki -> Kliknite svoj e-poštni naslov -> Posreduj. icloud.com/mail -> Nastavitve (Gear) -> Nastavitve -> Posredovanje (Forward my email to).
5. Pooblaščanje nabiralnika in vzdevki Splet Gmail -> Nastavitve -> Ogled vseh nastavitev -> Računi in uvoz -> Označite Odobri dostop do svojega računa in Pošlji pošto kot. Skrbniško središče Microsoft 365 Exchange -> Nabiralniki -> Delegiranje (Read and manage / Send as / Send on behalf). Yahoo Web -> Nastavitve -> Več nastavitev -> Nabiralniki -> E-poštni naslov samo za pošiljanje in Naslovi za enkratno uporabo. icloud.com/mail -> Nastavitve -> Naslovi (Preverite nepooblaščene vzdevke iCloud ali preglasitve odgovorov).
6. Aplikacije in gesla za aplikacije OAuth tretjih oseb myaccount.google.com/connections (Aplikacije OAuth) & myaccount.google.com/apppasswords (16-mestna gesla IMAP). account.live.com/consent/Manage (Personal OAuth) oz myapps.microsoft.com (Delo) + Gesla za aplikacije pod Varnost. login.yahoo.com/myaccount/security -> Gesla za aplikacije in Zunanje povezave. account.apple.com -> Prijava in varnost -> Gesla za posamezne aplikacije -> Prekliči vse.

Podroben potek 1: Čiščenje računa Google/Gmail, v katerega je prišlo do vdora

Pri čiščenju ogroženega računa Gmail ali Google Workspace delajte skozi natanko teh sedem zavihkov, ne da bi preskočili enega samega:

  1. Revizijska varnost in gesla (myaccount.google.com/security):
    • Kliknite Gesla in varnostni ključi: Napadalci takoj registrirajo sinhronizirano geslo ali navidezni avtentifikator v svojem brskalniku, tako da se lahko znova prijavijo brez gesla in brez poziva SMS. S 100-odstotno gotovostjo izbrišite katero koli geslo, ki ga ne prepoznate.
    • Kliknite Preverjanje v dveh korakih -> preverite Authenticator, Google Prompt devices, Recovery phone in Rezervne kode. Kliknite Ustvari nove kode, da takoj razveljavite vse 8-mestne rezervne kode, ki jih je napadalec posnel.
  2. Uniči aktivna gesla za aplikacije (myaccount.google.com/apppasswords):
    • Geslo za aplikacijo je 16-mestno geslo, ki poštnemu odjemalcu IMAP (kot je Thunderbird ali hekerski skript Python) omogoča, da za vedno prenese vašo celotno mapo »Prejeto«, medtem ko popolnoma zaobide preverjanje v dveh korakih. Izbrišite vsa navedena gesla za dostop do aplikacije.
  3. Prekliči povezave OAuth tretjih oseb (myaccount.google.com/connections):
    • Poiščite katero koli aplikacijo, ki ima dostop do Gmaila, Google Drive ali Google Stikov (napadalci pogosto uporabljajo legitimne poštne odjemalce, npr. eM Client, Newton Mail, Cleanfoxali skripte OAuth po meri). Kliknite aplikacijo -> Izbriši vse povezave, ki jih imate z [Ime aplikacije].
  4. Preverite Gmail Accounts and Import Zavihek (Delegiranje pošte in Reply-To Ugrabitev):
    • V Gmailu na namiznem računalniku kliknite ikono zobnika -> Ogled vseh nastavitev -> Računi in uvoz.
    • Pod Odobri dostop do svojega računa preverite, ali je navedenih NIČ e-poštnih naslovov. Pooblaščeni uporabnik lahko bere, pošilja in briše vaša e-poštna sporočila, ne da bi poznal vaše geslo.
    • Pod Pošlji e-pošto kot kliknite uredi podatke poleg svojega imena in preverite, ali napadalec ni vnesel skrivnosti Specify a different "reply-to" address (na primer nastavitev odgovora na yourname.company@gmail.com ali domeno, ki je podobna napadalcu, tako da vsakič, ko nekdo odgovori na vaša zakonita e-poštna sporočila, njegov odgovor prejme heker namesto vas).
  5. Preverite Gmail Filters and Blocked Addresses Zavihek:
    • Pozorno preglejte vsak filter. Napadalci pogosto ustvarijo ustrezne filtre from:(a|e|i|o|u) oz size > 0 oz has:attachment ali ključne besede, kot je invoice, wire, bank, security, alert, code z akcijo Skip the Inbox (Archive it), Mark as read, Delete it ali Forward it to:. Izbrišite vse neznane filtre.
  6. Preverite Gmail Forwarding and POP/IMAP Zavihek:
    • Preverite, ali je Posredovanje nastavljeno na Onemogoči posredovanje, odstranite morebitne neprepoznane naslove za posredovanje s spustnega seznama in nastavite Dostop IMAP na Onemogoči IMAP (razen če posebej uporabljate varnega namiznega odjemalca).
  7. Preverite Google Drive Trash & Google Arhiviranje zgodovino:
    • Napadalci pogosto sprožijo Google arhiviranje (takeout.google.com) arhiv za prenos a .zip vseh vaših e-poštnih sporočil, dokumentov Google Photos in Google Drive, vključno z davčnimi napovedmi in seznami gesel. Obisk takeout.google.com prav zdaj: če vidite aktiven ali zaključen izvoz, ki ga niste zahtevali, kliknite Prekliči izvoz in preverite, katere kategorije podatkov so bile zapakirane.

Podroben potek 2: Čiščenje vdrtega računa Microsoft Outlook.com / Hotmail / Microsoft 365

Microsoftovi računi (@outlook.com, @hotmail.com, @live.com, @msn.comin korporativni nabiralniki Microsoft 365 Exchange Online) imajo več edinstvenih skrivališč, ki jih napadalci izkoriščajo med ogrožanjem poslovne e-pošte (BEC) in vdori potrošnikov:

  1. Skrito RSS Feeds in Conversation History Past za mape:
    • V Outlooku napadalci redkokdaj preusmerijo zakrita e-poštna sporočila v glavno pošto Deleted Items mapo, ker uporabniki preverijo Deleted Items. Namesto tega ustvarijo Outlookovo pravilo z imenom . oz 1 ki premakne dohodna e-poštna sporočila v RSS Feeds, Archive ali Conversation History in jih označi kot prebrane. Preverite vsako mapo v levi stranski vrstici, še posebej RSS Feeds, prav zdaj.
  2. Revizija obeh Rules IN Sweep v Outlook Web (outlook.live.com oz outlook.office.com):
    • Kliknite Zobnik za nastavitve (zgoraj desno) -> Pošta -> Pravila. Izbrišite vsa pravila, ki jih niste ustvarili.
    • Opazite potrditveno polje na dnu napadalčevega pravila: Stop processing more rules. Napadalci označijo to polje pri svojem zgornjem pravilu, tako da se ne izvaja nobeno od vaših zakonitih pravil.
    • Nato kliknite Pošta -> Počisti in Pošta -> Neželena e-pošta -> Blokirani pošiljatelji in domene. Napadalci redno dodajajo @microsoft.com, @google.com, @apple.com, @chase.com, @bankofamerica.com, in @coinbase.com na vaš seznam Blokiranih pošiljateljev in domen, tako da se varnostna opozorila zavrnejo ali pa gredo tiho na Junk. Počistite svoj seznam blokiranih pošiljateljev vseh zakonitih podjetij.
  3. Preveri Mail -> Forwarding and IMAP:
    • Prepričajte se, da Omogoči posredovanje ni označeno. Če je e-poštni naslov napadalca v polju z "Keep a copy of forwarded messages" nepreverjeno, je bilo vsako e-poštno sporočilo, ki vam je bilo poslano, posredovano hekerju in izbrisano iz vašega nabiralnika, preden je prispelo v vašo mapo »Prejeto«.
  4. Za korporativne skrbnike Microsoft 365: zaženite PowerShell, da odkrijete skrite MAPI/pokvarjena pravila za mapo »Prejeto« (MFCMAPI):
    • Sofisticirani akterji groženj BEC uporabljajo API spletne storitve Exchange (EWS) oz MFCMAPI da ustvarite skrita poškodovana pravila za mapo »Prejeto« (z odstranjevanjem PR_RULE_MSG_NAME in PR_RULE_MSG_PROVIDER Lastnosti MAPI), ki sploh niso prikazane v Outlookovem spletnem uporabniškem vmesniku ali standardnem skrbniškem središču Exchange.
    • Skrbnik IT se mora povezati z Exchange Online PowerShell in zagnati: 
      Get-InboxRule -Mailbox victim@yourdomain.com -IncludeHidden | Format-List Name,Enabled,Description,ForwardTo,ForwardAsAttachmentTo,RedirectTo,DeleteMessage,MoveToFolder
    • Dodajanje -IncludeHidden zastavica razkriva prikrita pravila MAPI, ki se skrivajo v tabeli povezane vsebine nabiralnika (FAI), ki jih je nato mogoče očistiti prek Remove-InboxRule -Mailbox victim@yourdomain.com -Identity "<RuleID>" ali z zagonom outlook.exe /cleanrules.
    • Preglejte tudi Pravila prenosa izmenjave na ravni najemnika (Pravila pretoka pošte) prek Get-TransportRule: če je napadalec ogrozil skrbniški račun Exchange, je morda ustvaril globalno pravilo pretoka pošte za celotno organizacijo in ne pravila posameznega nabiralnika.

Warning

Zakaj je napadalec še vedno prišel do moje e-pošte, potem ko sem spremenil geslo IN vklopil dvofaktorsko preverjanje pristnosti? Zaradi Ponavljanja ukradenega piškotka seje (zlonamerna programska oprema Infostealer) ali Zlonamernih razširitev brskalnika. Če ste na računalnik z operacijskim sistemom Windows ali Mac prenesli piratski program, lažno orodje za PDF/račun, lažni video kodek ali zlonamerno razširitev za Chrome, ta zlonamerna programska oprema kopira dešifrirano zbirko podatkov piškotkov SQLite iz vašega brskalnika (%LocalAppData%\Google\Chrome\User Data\Default\Network\Cookies). Z uvozom piškotka v brskalnik proti zaznavanju se napadalec sprehodi mimo vašega gesla in 2FA. Če sumite, da je v vašem računalniku zlonamerna programska oprema, si oglejte naš vodnik okužba z zlonamerno programsko opremo, izsiljevalsko in vohunsko programsko opremo in čisto znova namestite svoj OS, preden se znova prijavite v svojo e-pošto na tem računalniku.

2. faza: Kaj storiti, če ste popolnoma zaklenjeni (napadalec je spremenil geslo in 2FA)

Če je napadalec že spremenil vaše geslo, zamenjal vašo obnovitveno telefonsko številko s svojo lastno in vklopil lastno aplikacijo Authenticator ali strojni ključ, šteje vsaka minuta, ker napadalec aktivno pleni vaše povezane račune, medtem ko ste zaklenjeni.

1. korak: najprej odrežite napadalčev finančni vzvod (prvih 15 minut)

Ne porabite treh ur za boj proti avtomatiziranemu obrazcu za obnovitev e-pošte, medtem ko heker prazni vaš bančni račun z uporabo vaše ugrabljene mape »Prejeto«:

  1. Pokličite svoje banke, izdajatelje kreditnih kartic in investicijske posrednike po telefonu:
    • Povejte oddelku za goljufije: "Moj primarni e-poštni naslov [your@email.com] je bil ogrožen in trenutno nimam dostopa do njega. Nastavite takojšnjo ustno geslo / varnostno zamrznitev mojega profila, prekličite aktivne spletne/mobilne seje in odstranite ta e-poštni naslov iz samopostrežnih ponastavitev gesel."
  2. Zaklenite svoj račun pri operaterju mobilnega telefona pred naslednjo zamenjavo kartice SIM:
    • V vašem nabiralniku, v katerega ste vdrli, lahko napadalec prebere vaše mesečne račune za AT&T, Verizon, T-Mobile, Rogers, Vodafone ali O2 ter jim posreduje številko vašega mobilnega računa in naslov za izstavitev računa. Takoj pokličite svojega operaterja, da preverite, ali sta vaša PIN za prenos številke / zamrznitev vrat in geslo za račun zaklenjena.
  3. Zamrznite svoje račune za izmenjavo kriptovalut (Coinbase, Binance, Kraken, Gemini):
    • Večina večjih borz ponuja zaklepanje računa z enim klikom ali telefonsko zaklepanje računa, če je vaša e-pošta ogrožena (na primer klicanje avtomatskega zaklepanja v sili Coinbase na +1 (888) 908-7930 v ZDA/International oz +44 808 168 4635 v Združenem kraljestvu).
  4. Spremenite registrirani e-poštni naslov za vsak račun, v katerega se še lahko prijavite:
    • Verjetno ste trenutno še vedno prijavljeni v Amazon, PayPal, Venmo, Steam, Discord, Apple ID in upravitelja gesel v aplikaciji za pametni telefon. Ustvarite popolnoma nov, čist e-poštni račun za nujne primere (na primer na ProtonMail ali svežem Gmailu, zaščitenem s strojnim ključem) in takoj pojdite v nastavitve aplikacije svojih še vedno prijavljenih aplikacij, da njihov kontaktni e-poštni naslov zamenjate z naslova, v katerega je prišlo do vdora, preden jih napadalec ponastavi.

2. korak: Kako prenesti avtomatizirane algoritme za obnovitev računa (Google, Microsoft, Yahoo)

Za brezplačne potrošniške e-poštne račune (@gmail.com, @outlook.com, @hotmail.com, @yahoo.com), inženirski nadzor strogo prepoveduje človeškim podpornim agentom, da ročno ponastavijo gesla ali zaobidejo 2FA po telefonu (za preprečevanje socialnega inženiringa). Namesto tega izterjavo upravlja avtomatiziran Mehanizam za ocenjevanje tveganj in identitete. Če želite čim bolj povečati oceno kriptografskega zaupanja in sprožiti skrito "7-dnevno / 30-dnevno preglasitev varnostnega zadrževanja":

  1. POMEMBNO PRAVILO: Pošljite obrazec za obnovitev iz svoje zgodovinske naprave, brskalnika in domačega naslova Wi-Fi IP:
    • Nikoli ne teci accounts.google.com/signin/recovery oz account.live.com/acsr iz povsem novega okna brskalnika brez beleženja zgodovine na mobilnih podatkih ali prek VPN-ja.
    • Uporabite natančen prenosni računalnik, namizni ali pametni telefon in natančen brskalnik (z nedotaknjenimi piškotki/lokalnim pomnilnikom), kjer ste se v preteklem letu vsak dan prijavili v ta e-poštni račun, medtem ko ste bili povezani z običajnim domačim ali pisarniškim usmerjevalnikom Wi-Fi (ASN in geolokacijsko ujemanje). Algoritem za obnovitev močno obteži žetone prstnih odtisov naprave (DeviceID) in preteklih podomrežij IP.
  2. Obnovitev Google/Gmail (accounts.google.com/signin/recovery):
    • Tudi če je napadalec pred nekaj sekundami spremenil vašo obnovitveno telefonsko številko in obnovitveni e-poštni naslov, Google obdrži vašo PREJŠNJO obnovitveno telefonsko številko in PREJŠNJI obnovitveni e-poštni naslov kot veljavna faktorja obnovitve natanko 7 koledarskih dni (168 ur) potem, ko ju napadalec spremeni.
    • Ob pozivu med signin/recovery, kliknite »Poskusi na drug način«, dokler ne ponudi pošiljanje kode na vašo prvotno telefonsko številko ali prvotni obnovitveni e-poštni naslov ali ne pozove vašega predhodno registriranega telefona Android/iPhone prek Googlovega poziva.
    • Če se naročite na Google One (plačljiva shramba v oblaku) ali YouTube Premium/YouTube kanal:
      • Plačljivi naročniki na Google One imajo dostop do žive človeške podpore za Google One (one.google.com/support) kdo lahko interno posreduje zaklenjene račune.
      • Če ima vaš Google račun, v katerega ste vdrli, YouTube kanal, kontaktirajte @TeamYouTube na X (prej Twitter) takoj javno. Za razliko od standardnega Gmaila, @TeamYouTube Podpora za ustvarjalce zagotavlja namenski Obrazec za eskalacijo vdora v račun, ki ga pilotirajo Googlovi inženirji za zaupanje in varnost, ki preverjajo vaš izvirnik Channel ID (UC..), AdSense ID in naložite zgodovino IP-jev, da fizično odstranite napadalčeva gesla/MFA in obnovite celoten račun Google/Gmail v 24 do 72 urah.
  3. Obnovitev računa Microsoft Outlook/Hotmail/Xbox (account.live.com/acsr):
    • Najprej se poskusite prijaviti in kliknite »Nimam nobenega od teh« na zaslonu 2FA: če imate 25-mestno Microsoftovo obnovitveno kodo shranjeno, ko ste prvotno nastavili svoj račun, lahko z vnosom zamenjate napadalčeve varnostne podatke (ob upoštevanju Microsoftove obvezne 30-dnevne čakalne dobe za zamenjavo varnostnih informacij, v kateri je lahko napadalec tudi blokiran, če označite račun).
    • Pri izpolnjevanju obrazca Microsoft Account Recovery Form (account.live.com/acsr) iz vašega domačega Wi-Fi IP:
      • Navedite natančno vrstico Zadeva 3 do 4 nedavnih e-poštnih sporočil, ki ste jih poslali (prosite prijatelje ali družino, naj pogledajo v svoj nabiralnik in vam preberejo natančno vrstico Zadeva e-poštnih sporočil, ki ste jim jih nedavno poslali).
      • Navedite točne e-poštne naslove stikov, ki ste jim nedavno poslali e-pošto.
      • Priskrbite svojo strojno opremo konzole Xbox LiveDeviceID / serijska številka, če ste se kdaj prijavili v Xbox s tem Microsoftovim računom, ter zadnje 4 številke in datum poteka katere koli kreditne kartice, ki je bila kdaj uporabljena v trgovini Microsoft Store / Skype / Office 365.

Tip

Ko znova pridobite dostop do vdrtega e-poštnega računa, preverite svoj Sent mapo in vašo Trash mapo za izsiljevalska ali prevarantska e-poštna sporočila, ki jih napadalec pošlje vašim stikom. Napadalci pogosto pregledajo vašo mapo »Prejeto« za občutljivimi fotografijami, davčnimi dokumenti ali poslovnimi računi in pošiljajo ponarejena e-poštna sporočila »nujna darilna kartica/bančno nakazilo« vašim prijateljem, starejšim staršem ali strankam. Pošljite jasno opozorilno e-pošto (in besedilno sporočilo) vsem, ki jim je napadalec poslal sporočilo med oknom vdora.

Faza 3: Nadzor škode za skrivnosti, ki so bile razkrite v vaših starih e-poštnih sporočilih

Ko zaklenete napadalca in počistite vsa pravila in žetone OAuth, se morate soočiti s trezno forenzično realnostjo: če je imel napadalec IMAP, OAuth ali spletni dostop do vašega nabiralnika celo 15 minut, predpostavite, da je izvedel samodejno iskanje po ključnih besedah v vašem celotnem zgodovinskem arhivu e-pošte.

Napadalci vaših 50.000 starih e-poštnih sporočil ne preberejo ročno. Njihovi samodejni skripti takoj preiščejo vašo mapo »Prejeto« za teh točno deset ključnih besed z visoko vrednostjo in prenesejo vsako ujemajoče se sporočilo in prilogo PDF:

  1. "seed", "mnemonic", "recovery phrase", "24 words", "wallet", "Coinbase", "Binance", "Ledger": Če ste si kdaj po e-pošti poslali fotografijo, besedilno opombo ali šifrirano zip začetne fraze kriptovalute ali rezervne kode 2FA, upoštevajte, da je denarnica takoj ogrožena, in premaknite vsa sredstva v povsem novo strojno denarnico.
  2. "tax", "1040", "W-2", "1099", "SSN", "Social Security", "passport", "driver license", "mortgage", "closing": Vloge za posojila, najem stanovanja in e-poštna sporočila CPA v vašem nabiralniku skoraj zagotovo vsebujejo datoteke PDF z vašo neredigirano številko socialnega zavarovanja (ali osebno izkaznico), datumom rojstva in fotografijo vozniškega dovoljenja. Izvedite takojšnjo Zamrznitev kredita pri Equifax, Experian in TransUnion (glejte naš vodnik na odziv na krajo identitete).
  3. "password", "login", "credentials", "welcome to", "backup codes": Besede takoj poiščite v svoji mapi »Prejeto«. password in backup code, izbrišite ta nevarna e-poštna sporočila z navadnim besedilom, potem ko zamenjate vsako posamezno geslo, omenjeno v njih.
  4. "invoice", "ACH", "wire", "routing", "escrow", "closing costs", "docusign": Če ste sredi nakupa hiše, plačevanja izvajalcu ali vodenja podjetja, ima napadalec zdaj kopije vaših resničnih računov in podatkov o bančni poti ter se bo poskušal izdati za vas ali vaše lastniško podjetje, da bi ukradel bančno nakazilo. Takoj po telefonu pokličite svojo nepremičninsko družbo, skrbnika ali stranke, da jih opozorite.

Pogosta vprašanja

I changed my email password and turned on 2FA, yet the hacker is STILL sending emails from my account. How is that possible?

There are four technical mechanisms that survive a password change and 2FA setup: **1. Active Third-Party OAuth Tokens**: The hacker connected an OAuth application (like `eM Client`, `Thunderbird`, or a malicious script) to your account; OAuth tokens authenticate via API refresh tokens and never check your password again until you explicitly revoke the app at `myaccount.google.com/connections` or `account.live.com/consent/Manage`. **2. 16-Character App Passwords**: The hacker generated an IMAP/SMTP App Password in your security settings, which bypasses 2FA completely. **3. Mailbox Delegation**: In Gmail (`Settings -> Accounts and Import -> Grant access to your account`) or Microsoft 365 Exchange Delegation, the hacker added their own account as a delegate. **4. Infostealer Malware on Your PC**: Your computer has a trojan stealing the live session cookie from your web browser every time you log in with your new password.

Why am I suddenly receiving 500 to 5,000 random newsletter sign-up emails per hour ("Email Bombing")?

If your inbox suddenly explodes with thousands of automated *"Confirm your newsletter subscription"* emails in every language from random websites around the world, **you are under an active "Subscription Bomb" (Email Bombing) attack.** Do NOT bulk-delete your entire inbox without looking closely. Attackers launch a Subscription Bomb to bury **one specific, critical email** that arrived right at the start of the flood, such as an **Apple Store / Best Buy $3,000 laptop order confirmation**, a **Bank Wire Transfer alert**, a **Zelle / PayPal transfer receipt**, or a **Mobile Carrier SIM Swap notification**. Use your email search bar immediately to filter for: `subject:(order OR receipt OR wire OR transfer OR password OR security OR alert OR SIM)` or check your bank, credit card, Amazon, Walmart, and mobile carrier accounts right now to find the single fraudulent transaction they are trying to hide in the noise.

Can an attacker hack my email just by me opening and reading an email without clicking any links or downloading attachments?

In modern webmail (Gmail, Outlook Web, Yahoo, Apple Mail on updated iOS/macOS), simply opening and reading a plain text or HTML email does **not** hand over your password or infect your device, provided your operating system and browser are up to date. The only thing opening an email can reveal to a sender is a **Tracking Pixel** (an invisible 1x1 pixel external image that tells a spammer your email address is active and reveals the rough IP address of the mail proxy, though Apple Mail Privacy Protection and Gmail image proxies now mask even your real IP). Almost 100 percent of email takeovers come from **1. Credential Reuse** (reusing a password leaked in another website's data breach), **2. Adversary-in-the-Middle (AitM) Phishing Links** (clicking a fake login link), or **3. Infostealer Malware** executed on a PC.

Why did I get an email from MY OWN email address saying a hacker recorded me through my webcam (`Pegasus` / Trojan extortion email)?

If you received an email that appears to be sent **`From: your_own_email@domain.com` `To: your_own_email@domain.com`** claiming a hacker installed "Pegasus spyware" or recorded you via your webcam while browsing adult websites and demanding $500 to $2,000 in Bitcoin, **your email and computer were NOT hacked.** This is a mass-automated **SMTP Header Spoofing scam**. Basic email protocols allow any spam server to type your address into the visual `From:` display header (just like writing a fake return address on a paper envelope). If you check your **`Sent`** folder, you will see that email is not in your `Sent` folder, and if you click **"Show Original" / "View Message Source"**, you will see `SPF: FAIL` or `DMARC: FAIL` from a foreign server IP. Delete the email and never pay.

What is the safest type of Two-Factor Authentication (2FA) to put on my email so it can never be phished or SIM-swapped?

Move away from **SMS Text Message 2FA** (which can be stolen via a SIM swap) and even standard 6-digit TOTP Authenticator codes (which can be intercepted in real time if you accidentally type them into an Adversary-in-the-Middle `Evilginx` phishing page). Instead, enable **FIDO2 / WebAuthn Passkeys or Physical Hardware Security Keys (such as a YubiKey 5 Series or Google Titan Key)**. Because FIDO2 cryptographic signatures are mathematically bound to the genuine browser domain (`google.com` or `login.live.com`), a FIDO2 hardware key or passkey makes it cryptographically impossible for an attacker to phish your login, even if you click a sophisticated fake login link. Enroll at least **two** hardware keys (one primary on your keychain, one backup in a fireproof safe) and enable **Google Advanced Protection Program (`landing.google.com/advancedprotection`)** if you are a high-risk target.

Should I permanently abandon my old email address after a hack and create a brand-new one?

If you thoroughly purge all 6 persistence points (Recovery info, Active sessions, App Passwords, OAuth grants, Filters/Forwarding rules, and Delegation) and lock the account with a strong unique password and FIDO2 MFA, **the technical security of the account is 100 percent restored.** However, you should still ** keep the old email account open and locked down forever** rather than deleting it. If you delete an old `@outlook.com`, `@yahoo.com`, or custom domain email address, an attacker may eventually re-register that recycled username and use it to reset forgotten accounts tied to it. Many security professionals keep their old address locked with a hardware key as a decoy/legacy inbox while migrating their **banking, brokerage, tax, and cryptocurrency logins** to a brand-new, private, unpublicized email address (`myname-vault@proton.me` or a dedicated Gmail) that is never given out on shopping sites, newsletters, or social media.

Viri preverjeni

  • Agencija za kibernetsko varnost in infrastrukturno varnost (CISA, Združene države): Zaščita pred ogrožanjem poslovne e-pošte (BEC), zlorabo aplikacij OAuth in smernice MFA, odporne proti lažnemu predstavljanju (cisa.gov/MFA in cisa.gov).
  • Microsoft Security Response Center & Defender Threat Intelligence (Združene države): Odziv na ogrožen e-poštni račun v programu Microsoft Defender za Office 365 (pravila za skrito mapo »Prejeto« -IncludeHidden, dodelitev soglasja OAuth in preklic seje) (learn.microsoft.com/en-us/defender-office-365/responding-to-a-compromised-email-account).
  • Pomoč za skrbnike za varnost Google Računa in Workspace (Združene države): Zaščitite račun Google, v katerega je vdrl ali ogrožen, povezave tretjih oseb OAuth in program napredne zaščite (support.google.com/accounts/answer/6294825).
  • National Cyber Security Center (NCSC, Združeno kraljestvo): Obnovitev ogroženega e-poštnega računa in ublažitev obstojnosti pravil za posredovanje e-pošte (ncsc.gov.uk).
  • Zvezna komisija za trgovino (FTC, Združene države): Kaj storiti, če vdrejo v vaš e-poštni račun (consumer.ftc.gov).
  • Avstralski center za kibernetsko varnost (ACSC/ASD, Avstralija): Zaščita e-poštnih računov in pravila za odkrivanje nepooblaščenih map »Prejeto« (cyber.gov.au).

Sorodni vodniki