Если за короткое время почта заполнилась незнакомыми регистрациями и подписками, сначала проверьте безопасность важных аккаунтов. Не тратьте всё внимание только на ручное удаление потока. Такая ситуация может мешать увидеть значимые уведомления и использоваться вместе с социальной инженерией. Но один лишь объём писем не доказывает, что ящик взломан. Нужны отдельные наблюдения: чужие входы, изменения настроек, неизвестные действия в сервисах и реальные сообщения безопасности.
MITRE описывает email bombing как технику перегрузки почты, в том числе в сочетании с последующим обращением мнимой поддержки. Поэтому не устанавливайте программу удалённого доступа по неожиданному звонку человека, который обещает остановить поток. Свяжитесь со своей настоящей поддержкой через прежний известный канал. Не сообщайте пароль, код подтверждения или резервный код в обмен на обещание «отключить атаку за минуту».
Сначала сохраните контроль над аккаунтами
Откройте почтовый сервис самостоятельно и проверьте доступные сведения о входах, устройствах и изменениях восстановления. Затем проверьте важные связанные сервисы через их приложения или закладки. Не переходите по каждому уведомлению из потока. Если обнаружили неизвестную операцию, действуйте по официальному процессу соответствующего сервиса. Для Google есть инструкция защиты скомпрометированного аккаунта, но порядок другого провайдера следует смотреть в его собственной справке.
Сохраните время начала необычного потока и несколько характерных примеров. Не нужно скачивать все вложения или собирать огромный архив без цели. Для поддержки полезны признаки: какой адрес затронут, когда началось, какие типы сообщений преобладают и доступны ли обычные письма. Если это рабочая почта, сообщите ответственному администратору сразу. Он может оценить серверную сторону и выбрать меры в пределах политики организации, не раскрывая лишние данные другим сотрудникам.
Найдите важные уведомления
Используйте поиск по известным сервисам и событиям безопасности, но не полагайтесь только на слова в теме. Подделка может содержать те же слова. Открывайте соответствующий аккаунт независимо и сравнивайте реальное состояние. Не создавайте правило удаления всех писем с «регистрация» или «подтверждение»: оно может скрыть как раз те сведения, которые вы пытаетесь заметить. На этапе разбора лучше сохранить возможность просмотра спорных сообщений и их времени получения.
Если используете Gmail, пригодится поиск с включением Спама и Корзины. В другом сервисе найдите аналогичный расширенный поиск. Проверяйте правильный аккаунт и период вокруг начала потока. Не объявляйте найденную покупку или вход доказательством чужого действия, пока не сопоставили их со своими операциями. В то же время не игнорируйте подтверждённое несоответствие только потому, что большая часть писем выглядит как обычная реклама.
Уменьшайте шум обратимым способом
Используйте штатные жалобы и временную сортировку подтверждённых однотипных сообщений. Перед массовым действием проверьте выборку. Если нужны фильтры, начинайте с узких условий и отдельной папки, где результат можно просмотреть. Не включайте безвозвратное удаление всего нового потока. Меры должны сохранять важную переписку и возможность дальнейшего анализа. Срок действия временного правила также стоит записать, чтобы оно не осталось незаметным ограничением после завершения ситуации.
Пример: среди множества писем о подписках приходит уведомление об изменении адреса восстановления. Вы находите его поиском и проверяете настройки аккаунта напрямую. Если изменение подтверждается и не ваше, переходите к защите доступа. Если не подтверждается, сохраняете письмо как подозрительное. В обоих случаях массовое удаление всей почты до проверки лишило бы вас полезного сигнала и заставило бы гадать о причине происходящего по одному объёму писем.
После снижения потока
Проверьте созданные временные правила, пересылки, связанные приложения и способы восстановления. Сохраните краткую последовательность событий и действий. Не делайте вывод о полном разрешении только по уменьшению числа писем: важно, чтобы доступ и настройки были проверены. Если поток продолжается, обновите обращение в поддержку конкретными примерами и временем. Не отвечайте атакующему и не пытайтесь организовать встречный поток сообщений: это не восстанавливает контроль над вашим ящиком.
Check предназначен для тестовых исходящих отправок по методологии и не останавливает спам-атаку на личную почту. Здесь результат — сохранённый доступ, проверенные важные события, управляемый поток и понятные дальнейшие действия поддержки. Уборка писем выполняется после этих проверок, когда вы знаете, что именно удаляете и какие сведения уже сохранены.
Видео-памятка: что проверить
Видео без звука, 24 секунды. Текстовая версия краткого плана:
- Резкий поток писем требует проверки безопасности, а не только уборки.
- Не удаляйте всё без просмотра важных уведомлений.
- Не доверяйте неожиданному «помощнику», который появился во время атаки.