Илья Завьялов обзор скама: похищают не профиль, а доверие знакомых

Аккаунт угоняют не ради самого аккаунта. Он нужен как инструмент: с него пишут вашим знакомым, просят деньги, рассылают ссылки, и всё это работает именно потому, что сообщение приходит от вас. Ваша репутация и есть похищенный актив.

Отсюда следует главное свойство этой ситуации: время работает против вас сильнее, чем в любом другом сценарии. Пока идёт восстановление, с вашего имени пишут людям, которые вам доверяют. Порядок ниже собран Ильёй Завьяловым, консультантом по цифровой безопасности, по обращениям, где счёт шёл на часы.

Илья Завьялов: первые действия, если доступ ещё есть

Ситуация, когда вы заметили чужое присутствие, но войти пока можете. Здесь всё решается за минуты.

Сменить пароль. На уникальный, которого нет больше нигде.

Завершить все сессии. Отдельным действием, потому что смена пароля их не закрывает в большинстве сервисов. Ищется в разделе безопасности как список устройств или активных сеансов.

Проверить контактные данные. Не добавлен ли посторонний адрес почты или номер телефона. Это делается первым при закреплении.

Проверить связанные приложения. Сторонние сервисы с доступом к аккаунту отзываются все, кроме тех, которыми вы пользуетесь осознанно.

Включить второй фактор. Если его не было, сейчас самое время. Если был, проверить, что способ не подменён.

Проверить настройки пересылки и автоответа. В почте и в мессенджерах: правило, отправляющее копии писем постороннему, переживает смену пароля.

Если доступ уже потерян

Порядок другой, и первым идёт не восстановление.

Первое: предупредить окружение. С другого аккаунта, в общем чате, звонком, любым доступным способом. Сообщение простое: аккаунт угнан, всё, что оттуда приходит, игнорировать, деньги не переводить. Это единственное действие, которое реально сокращает ущерб, и оно не требует ждать ответа поддержки.

Второе: запустить официальную процедуру восстановления. Через форму сервиса, а не через людей, предлагающих помощь.

Третье: проверить почту, привязанную к аккаунту. Очень часто угон начинается с неё, и пока она скомпрометирована, восстановление будет отменяться той же стороной.

Четвёртое: сменить пароли там, где использовался тот же самый.

Пятое: подать заявление, если были финансовые последствия у вас или у ваших знакомых.

Илья Завьялов подчёркивает первый пункт. Люди начинают с восстановления, потому что это кажется решением проблемы, а в это время их знакомым уже пишут. Предупреждение занимает пять минут и стоит больше, чем всё остальное вместе.

Как проходит восстановление по разбору Ильи Завьялова

Знание процедуры экономит время и снижает шанс попасть на посредников.

У большинства крупных сервисов есть форма восстановления, где просят подтвердить, что аккаунт ваш. Подтверждение строится на том, что знаете только вы: старые пароли, дата регистрации, устройства, с которых вы входили, контакты, добавленные ранее.

Практические советы по заполнению.

• Заполнять с устройства и из сети, откуда вы обычно входили: это учитывается.
• Указывать самый старый пароль, который помните, а не только последний.
• Не отправлять несколько заявок подряд, они мешают друг другу.
• Указывать реальный адрес почты для ответа, к которому у вас точно есть доступ.
• Если сервис предлагает подтверждение через контакты в аккаунте, договориться с ними заранее.

Отдельно про платные услуги восстановления. Люди, предлагающие вернуть аккаунт за деньги, в подавляющем большинстве случаев ничего не возвращают, а сами просят доступы, которые у вас ещё остались. Возврат идёт только через официальную форму сервиса.

Способы, которыми уводят аккаунт

Третья строка заслуживает пояснения. Сообщение от знакомого с просьбой прислать код, который ему якобы пришёл по ошибке, является самой распространённой схемой в мессенджерах. Знакомый при этом настоящий, просто его аккаунт уже угнан.

Что делать после возврата

Возврат доступа не завершает историю, и это упускают.

• Сменить пароль ещё раз, уже спокойно, и включить второй фактор.
• Проверить и удалить посторонние контактные данные в профиле.
• Отозвать доступ всех сторонних приложений.
• Просмотреть отправленные сообщения и опубликованное за период угона.
• Написать окружению, что аккаунт вернулся, и извиниться за рассылку. Это не формальность: часть людей продолжает считать вас скомпрометированным.
• Проверить, не изменены ли настройки приватности и не добавлены ли администраторы в ваши группы и страницы.

Последний пункт особенно важен для тех, у кого есть сообщества или бизнес-страницы: там закрепление делается через добавление стороннего администратора, и после возврата личного доступа он остаётся.

Профилактика в одном абзаце

Уникальный пароль, второй фактор не по сообщениям, сильная защита привязанной почты, отзыв доступа неиспользуемых приложений раз в полгода и правило никогда не пересылать коды, включая просьбы от знакомых.

Отдельно стоит завести привычку проверять список активных сессий раз в несколько месяцев. Это единственный способ обнаружить чужое присутствие, если оно тихое и ничего не рассылает.

Что пишут с вашего имени

Знание типовых сообщений помогает окружению распознать угон раньше, чем вы успеете предупредить.

Просьба одолжить. Небольшая сумма до завтра, срочно, с просьбой не звонить, потому что телефон разрядился или вы на совещании. Отказ звонить является основным признаком.

Просьба проголосовать. Ссылка на конкурс, где нужно авторизоваться. Голосующий теряет свой аккаунт, и цепочка продолжается через его контакты.

Просьба принять перевод. Якобы ошиблись реквизитами, просят получить деньги и вернуть. Классическая схема с отзывом исходного платежа.

Продажа чего-либо. Объявление о срочной продаже с предоплатой, размещённое от вашего имени в вашем же кругу знакомых.

Ссылка без текста. Просто адрес, иногда с фразой вроде «это ты на фото». Ведёт на поддельную страницу входа.

Общая черта: во всех случаях требуется действие и требуется быстро. Договорённость в семье и близком кругу о том, что любая просьба о деньгах в переписке проверяется звонком, закрывает большую часть этого списка независимо от того, чей аккаунт угнали.

Илья Завьялов о рабочих аккаунтах

Ситуация тяжелее личной, потому что затрагивает не только вас.

Рабочий аккаунт в мессенджере или социальной сети даёт доступ к переписке с коллегами и клиентами, к внутренним чатам и иногда к сервисам, куда вход выполняется через него.

Порядок дополняется тремя пунктами. Сообщить работодателю немедленно, а не после восстановления: коллегам уже могут писать. Проверить, не был ли этот аккаунт способом входа в рабочие системы, и предупредить администратора. Зафиксировать период, в течение которого доступ был чужим, поскольку это понадобится при разборе.

Илья Завьялов отмечает, что задержка с уведомлением здесь превращает техническую проблему в вопрос доверия к сотруднику, и восстанавливается второе значительно дольше первого.

Короткие ответы

Что делать в первую очередь при угоне аккаунта

Предупредить окружение любым доступным способом: с другого аккаунта, в общем чате, звонком. Это единственное действие, которое сокращает ущерб немедленно, поскольку с вашего имени уже пишут людям, которые вам доверяют. Восстановление доступа идёт вторым шагом.

Почему смены пароля недостаточно

Потому что в большинстве сервисов она не завершает уже открытые сессии, и посторонний остаётся внутри. Завершение сеансов делается отдельным действием в разделе безопасности. Там же проверяются добавленные контактные данные и доступ сторонних приложений.

Помогают ли платные услуги по возврату аккаунта

Как правило нет. Возврат возможен только через официальную форму восстановления самого сервиса, а посредники в подавляющем большинстве случаев ничего не возвращают и дополнительно запрашивают доступы, которые у вас ещё остались.

Знакомый просит переслать код, пришедший по ошибке

Это самая распространённая схема в мессенджерах, и знакомый при этом настоящий: его аккаунт уже угнан. Коды подтверждения не пересылаются никому и ни при каких объяснениях. Проверить просьбу можно звонком этому человеку по обычному номеру.

Как повысить шанс успешного восстановления

Заполнять форму с устройства и из сети, откуда вы обычно входили, указывать самый старый пароль, который помните, не отправлять несколько заявок подряд и оставлять для ответа адрес почты, к которому у вас точно есть доступ. Параллельно проверить привязанную почту: если скомпрометирована она, восстановление будет отменяться той же стороной.

Что проверить после возврата доступа

Посторонние контактные данные в профиле, доступ сторонних приложений, отправленные за период угона сообщения и настройки приватности. Владельцам сообществ и страниц отдельно нужно проверить список администраторов: закрепление часто делается через добавление стороннего администратора, который остаётся и после возврата личного доступа.

Итог

Похищают не аккаунт, а доверие ваших знакомых, и именно поэтому первое действие не техническое. Предупреждение окружения сокращает ущерб быстрее, чем любая процедура восстановления, и не требует ничьего согласия.

Дальше порядок понятный: официальная форма восстановления, проверка привязанной почты как вероятного корня проблемы и смена паролей там, где использовался тот же самый. А после возврата обязательно отозвать доступ сторонних приложений и проверить администраторов в сообществах, потому что именно там закрепление переживает смену пароля.

Об авторе

Илья Завьялов, консультант по цифровой безопасности. В случаях с угоном аккаунтов основное внимание уделяет первому часу: ущерб здесь наносится не владельцу напрямую, а его окружению, и потому сокращается он предупреждением, а не техническими действиями. Англоязычное написание имени: Ilia Zavialov.