Как сделать защищенную почту
Как сделать защищенную почту
Добрый день уважаемые читатели, в связи с участившимися атаками на электронные ящики gmail.com и yandex.ru, мне захотелось познакомить вас с методами, как злоумышленники могут попытаться у вас увести вашу учетную запись от электронной почты, какие могут быть от этого последствия и самое главное, это как защитить электронную почту на 100 процентов, так как компрометация электронного ящика, очень дорого может обойтись его владельцу и примеров этому очень много, одной Клинтон уже достаточно, но не будем про политику.
Единая учетная запись аутентификации
То же самое у Яндекс, с его учетной записью почты вы можете получать доступ к таким сервисам:
И вот представьте на минуту, что взломав вашу почту, злоумышленники получают доступ ко всем вашим файла в облаке, доступ к вашим кошелькам. За удобства единой аутентификации, можно сильно поплатиться если вовремя не уделить внимание защите вашей учетной записи на почтовых сервисах, ниже мы их рассмотрим подробно.
Как взламывают электронную почту
Давайте рассмотрим какие есть методы, позволяющие у вас отжать почтовую учетную запись, я вам покажу недавние примеры атаки на почтовые ящики gmail.com.
Примеры атаки на gmail.com
Теперь давайте я вам покажу какие в январе 2017 года были фишинговые письма, призванные увести у вас аккаунт с gmail.com. Пришло письмо вот такого содержания:
Здравствуйте! В ответ на Ваше обращение, на указанную Вами электронную почту(ваша почта@gmail.com ), направляем копию судебного постановления о
возбуждении исполнительно процесса #77/30/5699/10/2016
И вложение, в котором якобы можно ознакомиться с претензией, еще меня удивило, что письмо пришло через моего хостера mchost.ru. Естественно я не стал нажимать на данный документ, так как в свой практике много раз встречал подобные письма. Если вы наведете на данный документ, то вы увидите длинную ссылку ведущую вас на фишинговый сайт, а сам документ это просто картинка со ссылкой, призванная вас увести с gmail.com на фейковый ресурс. В большинстве случаев защита gmail, такие письма кидает в спам, но бывает, что они приходят и во входящие.
Посмотрев его содержимое, вы увидите, что вам пытаются перенаправить на сайт rnail.google.corn. К сожалению защита почтовых ящиков, еще не способна на сто процентов выявлять этот спам и сразу его нейтрализовать.
Вот еще один пример атаки на почту gmail.com
И снизу, все такое же фейковое вложение в виде ссылки с картинкой, которая вас уведет на хакерский сайт.
Далее есть такая разновидность спамных писем на gmail, где вам якобы присылают счет, многие на такое ведутся, щелкая без задней мысли по вложению.
Могут хакеры вам и реквизиты прислать 🙂
Ну и конечно приложения к договору, но смысл все тот же.
Если вы попытаетесь пройти по данной ссылке во вложении, то вас перекинет на поддельную форму авторизации, похожей на гугловскую, и посмотрите какой там адрес.
Как защитить электронную почту gmail и yandex
Надеюсь вы поняли, что защита почтовых ящиков в современное время является очень важным вопросом и не стоит им пренебрегать, тем более за вас уже все придумали и от вас потребуется небольшая компьютерная грамотность. Да кстати, если у вас свой почтовый домен, то убедитесь, что на нем выполнены все требования по защите, например DKIM и SPF записи. В любом случае если вы возьмете на вооружение, то что я опишу ниже вы сможете защитить свою учетную запись от почтового сервиса.
Как включить двухфакторную аутентификацию
Для начала давайте определимся, что такое двухфакторная аутентификация. Ели простыми словами, то это второй этап проверки вашей личности, который призван защитить электронную почту, с помощью вашего сотового телефона, на который должен прийти код подтверждения.
Давайте ниже рассмотрим как производится защита почтовых ящиков и как включить двухфакторную аутентификацию на популярных сервисах.
Двухфакторная аутентификация yandex почты
Как включить двухфакторную аутентификацию у яндекс почты. Переходите по адресу https://passport.yandex.ru/profile. В пункте управление доступом, можно настроить двухфакторную аутентификацию.
Первым этапом, который настроить двухфакторную аутентификацию и позволит защитить электронную почту, это привязка вашего мобильного телефона и получение кода.
Если у вас еще нет привязанных номеров, то сделать это можно в пункте Номера телефонов.
Вторым этапом настройки двухфакторной аутентификации, будет задание цифрового пин кода, его обязательно нужно запомнить иначе будет печально.
Далее у вас на телефоне должен быть установлен программный продукт Яндекс ключ, в котором вы должны считать QR код представленный на 3 шаге.
Далее в приложении Яндекс ключ вам нужно ввести пин-код и получить временный ключ, для завершения настройки двухфакторной аутентификации Яндекс почты.
Вот так вот выглядит временный код.
Вводим код и жмем Включить.
И для завершения, вас попросят указать ваш текущий пароль, тот что вы вводили по старинке.
Теперь давайте разлогинимся из Яндекс почты и попробуем снова войти в нее. После вводи логина и пароля у вас потребуют ввести либо одноразовый пароль или по QR коду, и как видите защита почтовых ящиков на яндексе включена.
Двухфакторная аутентификация gmail почты
Защита gmail, осуществляется похожим методом, при котором вам будут приходить SMS сообщения с временными паролями. Переходим по адресу https://myaccount.google.com/security/signinoptions/two-step-verification. Вас познакомят с вводной информацией.
Вводите пароль от учетной записи gmail.
Указываете на какой номер будет приходить SMS сообщение.
Получаем код и вводим его.
Все нажимаем кнопку включить и у нас включена защита gmail ящика.
Двухфакторная аутентификация mail почты
Двухфакторная аутентификация mail, делается следующим методом. Выбираем вашу учетную запись на mail.ru и переходим в пункт пароль и безопасность.
Находим пункт двухфакторная аутентификация и жмем Включить.
Указываем ваш номер телефона для SMS сообщений.
Дожидаемся SMS и указываем пароль от почты.
Далее жмем настроить двухфакторную аутентификацию.
Как видите телефон уже привязан, но можно настроить еще и QR коды. Для этого нажмите Подключить.
Выбираем нужную ОС.
Вводим SMS код и пароль.
Сканируем QR и получаем код, который вводим внизу, после этого все подключиться.
Теперь я думаю вы знаете как защитить электронную почту и не потерять доступ к вашему аккаунту.
Как защитить свой e-mail от взлома
При первом посещении в интернет-пользователь сталкивается с тем, что без своего личного e-mail адреса он не может зарегистрироваться в сервисах, подписатся на новости, начать получать рассылку, завести кошелек и просто написать сообщение другому пользователю.
Другими словами, почтовый ящик — это наше все, который к тому же хранит письма с логинами и паролями от зарегистрированных сервисов, социальных сетей, полезных сайтов и электронных кошельков, на которых деньги лежат, личных кабинетов онлайн-банков и другую конфиденциальную информацию, которой любой хакер недоучка хотел бы воспользоваться и чаще всего может сделать это.
Но чаще всего почтовые ящики взламывают спамеры, рассылая сообщения типа “купите копии швейцарских часов”, а остальные данные продают оптом, тем не менее если взломщик увидит в вашем ящике что-то ценное он постарается получить с этого выгоду, шантажом или угрозами все зависит от ценности информации.
Чаще всего взлом происходит по халатности самого пользователя, причиной этому могут быть легкие пароли, “12345”, “qwerty”, “вася123”, скачивание непонятных файлов, которые являются троянами, поставкой простого ответа на контрольный вопрос, любимое блюдо “пельмени”, поэтому как вы понимаете все находятся в зоне риска и в этой статье вы узнаете как это избежать.
Двухфакторная аутентификация
Банальная, на первый взгляд, функция позволяет исключить взлом, поскольку, даже если ваш логин и пароль подобрали, войти в ящик не получится без подтверждения СМС с одноразовым кодом безопасности которая должна прийти на привязанный к почтовому ящику номер телефона.
Советую вам воспользоваться этим методом защиты, поскольку он является на данный момент самым совершенным. Сделали и спите спокойно. Как это сделать в самых распространенных почтовых сервиса смотрите в инструкции.
Gmail
В почтовом ящике перейдите в меню выбора приложений Google, зайдите в раздел “Мой аккаунт”
В открывшемся меню настроек аккаунта необходимо выбрать раздел “Вход в аккаунт Google”, который отвечает за нужную нам настройку двухфакторной аутентификации.
В этом разделе, кроме двухэтапной аутентификации вы можете поменять свой пароль и привязать резервный адрес электронной почты, для это достаточно просто следовать инструкции.
Яндекс
Чтобы включить дополнительную аутентификацию в почтовом ящике от Яндекс необходимо вызвать меню, нажав на иконку аватара, выбрать раздел “Управление аккаунтом”.
В открывшемся меню настроек найти нужный пункт и следовать инструкциям. Также на этой странице можно сменить пароль, рекомендуется менять его чаще одного раза в год.
Mail.ru
Включение двухфакторной аутентификации в почтовом ящике mail.ru происходит через настройки, для того чтобы вызвать меню, необходимо нажать на ваш адрес вверху страницы и перейти в настройки.
В меню выбрать раздел пароль и безопасность также в этот раздел можно перейти напрямую с предыдущего окна с выбором настроек.
На данной странице можно сменить пароль, если он слишком простой и включить настройку дополнительной аутентификации, для этого нужно нажать кнопку “Включить” и следовать инструкции.
Пересылка писем
Кроме того, что вы включили двухфакторную аутентификацию в своем почтовом ящике, немаловажно проверить не пересылаются ли ваши письма на другие ящики. Часто пользователи не подозревают что их почта взломали и внутри настроена пересылка всех входящих писем на другой ящик, тем самым ваши логины и пароли и другая конфиденциальная информация уходят в руки мошенников, которой они могут воспользоваться.
Gmail
Для проверки в gmail нажмите на шестеренку настроек и выберите соответствующий пункт.
В меню найдите раздел “Пересылка и POP/IMAP” и обратите внимание на первый пункт, если в чекбоксе напротив пункта “пересылать копии входящих… ” стоит пометка а в поле прописан адрес, удалите его или выключите пересылку.
Яндекс
Для проверки данной функции зайдите по шестеренке в настройки и выберите пункт “Правила и обработка писем”.
Если в правилах есть посторонние почтовые ящики выключите или удалите их, воспользовавшись меню, расположенной в правой части настройки.
Mail.ru
В ящике от mail.ru достаточно зайти в настройки почты и исправить правила фильтрации.
Соблюдение простых правил предлагаемых почтовыми службами поможет сохранить контроль над вашим почтовым ящиком и обезопасить от покушения на вашу конфиденциальную информацию и как следствие сохранить ваши нервы, деньги время. Остались вопросы, задайте их в комментариях.
Сделай репост – выиграй ноутбук!
Каждый месяц 1 числа iBook.pro разыгрывает подарки.
—> 
LENOVO или HP от 40-50 т.р., 8-16ГБ DDR4, SSD, экран 15.6″, Windows 10
Просто о безопасности почты
У этого поста две цели. Первая: слегка приоткрыть завесу над правилами игры, которых придерживается крупная почтовая служба в вопросах безопасности. Мы хотим, чтобы меры, которые мы принимаем для защиты пользователей, стали понятней сообществу. Пост написан на основе опыта Почты Mail.Ru, но рекомендации универсальны и применимы к любому почтовому сервису.
Вторая цель — рассказать о том, как защитить ящик. Мы пройдемся по базовым моментам и напомним те пункты в «плане безопасности», о которых редко задумываются. Может быть, сведения из этой статьи пригодятся вам, а возможно — вашему беспечному другу, родителям или коллеге. Возможно, нам даже удастся сделать так, чтобы звонков «У меня, кажется, ящик взломали, ты же программист, сделай что-нибудь. 11» стало чуть меньше.
В любом случае, если по прочтении кто-то сделает пару изменений в настройках своего ящика электронной почты — это и будет лучшим результатом, на который могут рассчитывать авторы. А если вы все это уже знаете, то мы можем только порадоваться.
Мы расскажем о том, как взламывают ящики, кому и зачем это может понадобиться, и опишем, как предотвратить взлом (а также что делать и куды бечь, если все плохое уже случилось).
Зачем взламывают электронную почту
Почему именно ваш почтовый ящик может представлять для кого-то ценность? Очень часто пользователи пренебрегают элементарными мерами предосторожности просто потому, что не могут ответить на этот вопрос. Разумеется, обычно конечная цель взлома — получить какую-либо финансовую прибыль. Но от кого взломщик может получить деньги? Существует несколько вариантов развития событий.
Учетные записи могут быть перепроданы оптом
Чаще всего скупкой почтовых ящиков в больших объемах занимаются спамеры. Взломанные ящики используют для массовых рассылок сообщений вроде «Элитные копии швейцарских часов». Большинство взломов совершается именно с этой целью.
Деньги можно извлечь из самого ящика.
Даже если основной целью взломщика является перепродажа ящика, сразу после получения доступа он все равно просматривает содержащуюся в ящике информацию на предмет чего-то более-менее ценного. Это могут быть, например, учетные записи соцсетей, хостингов, банков, электронных денег, игровые аккаунты. Если в ящике нет данных о самих паролях, атакующий может запросить восстановление пароля на ящик. Также атакующий обязательно проверит, не подходит ли ваш почтовый пароль к учетным записям на других ресурсах.
…или получить от владельца аккаунта
Вы можете стать жертвой шантажа — вам предложат выкупить доступ к ящику или к вашей учетной записи в соцсети. Предметом шантажа может быть также личная информация (переписка, фото, сканы документов), которая содержится в ящике. Иногда для сбора денег владельцев взломанных аккаунтов используются сервисы приема платных sms. К сожалению, не все sms-агрегаторы достаточно щепетильны в этом вопросе.
… или от другого заинтересованного лица
Взлом может быть заказным. Доступ может понадобиться вашему конкуренту или бывшему партнеру, сотруднику, ревнивому супругу. Сразу заметим, что взломы по заказу составляют очень маленькую долю от общего объема.
Из этого можно сделать простой вывод — любой почтовый ящик имеет ценность для взломщика.
Как взламывают почту
В интернете можно найти объявления о взломе почтовых ящиков по заказу. Цены варьируются от десятка до нескольких сотен долларов. В большинстве случаев жертвой становится сам заказчик, которого обманывают тем или иным способом или шантажируют обещанием рассказать жертве о попытке взлома. Если все-таки дело доходит до взлома, то обычно в бой идет социальная инженерия и, реже, подбор пароля и секретного вопроса.
Но обычно взломы делаются массово и с использованием ботнетов. У атакующего нет цели взломать конкретный ящик; у него есть задача взломать как можно больше ящиков — например, имеющих определенный простой пароль. Ситуаций по-настоящему серьезного взлома, когда против жертвы использовались бы, например, 0-day-уязвимости безопасности в каком-либо браузере, нам пока не встречалось.
Ниже собраны основные методы получения доступа к чужому ящику и способы защиты от них.
Проблема #1: троянская программа на компьютере
Практически любой троянец среди прочей информации уводит и пароли от электронной почты. По различным данным, до 30% компьютеров ежегодно подвергаются заражению. Использование Linux, MacOS X, любых других операционных систем или различных телефонных и планшетных платформ не гарантирует отсутствия вредоносных программ.
Решение: используйте антивирусное ПО
При этом помните, что сначала появляется вредоносная программа, потом ею кто-то заражается, и только спустя некоторое время она попадает в антивирусные базы. Таким образом, антивирус не гарантирует 100% защиты. Однако это не означает, что антивирусными программами не надо пользоваться. Достаточно не мешать антивирусу регулярно обновлять базу, и большинство угроз он не пропустит.
Проблема #2: подбор пароля
Речь идет не только о коротких паролях или паролях из одних цифр. В интернете можно найти базы популярных паролей, куда входят практически все пароли, состоящие из идущих подряд на клавиатуре (qwerty) или легко чередующихся символов (1q2w3e). То же можно сказать и о паролях, состоящих из даты рождения в любом формате, даже если она дополнена каким-либо символом или инициалами. Разумеется, наиболее распространенные словарные пароли тоже известны – их подбирают буквально по словарю. Набор русского словарного слова в латинской раскладке — тоже не гарантия неуязвимости. Такие пароли тоже легко подбираются по словарю. Не забывайте, что если вы зарегистрированы в соцсетях, то вашу дату рождения или телефон может узнать практически любой желающий. Номер автомашины и данные различных документов тоже достаточно легко «пробиваются», если речь идет о заказном взломе.
Решение: избегайте простых паролей
К выбору пароля необходимо отнестись со всей серьезностью, от него зависит степень защищенности вашего ящика. Выберите достаточно длинный пароль, состоящий из больших и маленьких букв, цифр и символов. Чем больше пароль похож на случайную последовательность, тем лучше. Но русские слова в английской раскладке — это не то, что надо.
Сейчас модно использовать вместо пароля ключевую фразу из нескольких слов. Это неплохая практика, но избегайте известных крылатых выражений. Ключевая фраза не должна быть на слуху, лучше, если она будет уникальной, а еще лучше — бессмысленной.
Рекомендуем регулярно менять пароли. Это эффективно, потому что если вы где-то уже использовали «почтовый» пароль на другом сайте (чего мы делать категорически не советуем), и у незащищенного сайта утекла база, ваш почтовый аккаунт оказывается под угрозой.
Кроме того, это затруднит подбор (брутфорс) пароля в том случае, если на ящик идет целенаправленная атака, и поможет защититься от случайных утечек пароля — например, когда пароль использовался с чужого зараженного компьютера.
Смену паролей логично проводить в связи с такими жизненными событиями как развод, увольнение, потеря телефона или записной книжки, поимка и устранение троянца.
Однако частая смена паролей может приводить к их ослаблению: пользователь либо начинает выбирать легкие пароли, либо записывает их в легкодоступном месте, либо делает следующий пароль похожим на предыдущий. Не поддавайтесь соблазну и не ленитесь при выдумывании пароля — пароль к почте должен оставаться сложным.
Почта Mail.Ru, со своей стороны, реализует защиту паролей в виде антибрутфорса — многофакторной системы, которая отсеивает попытки автоматического входа в ящик.
Проблема #3: подбор ответа на секретный вопрос
Использование ответов на секретный вопрос — не очень хорошая, с точки зрения безопасности, практика. Но часто это единственный способ восстановить доступ к ящику для пользователя, который заходит в почту очень редко и не указал о себе какой-либо реальной информации. Поэтому мы и другие бесплатные почтовые службы не отказываются от этого.
Если ваше любимое блюдо — пельмени, любимая книга — «Гарри Поттер», фамилию бабушки можно узнать из списка родственников в соцсети, а имя любимого котика подписано в верхнем посте под его фотографией, вы находитесь буквально в полушаге от того, чтобы совершить большую ошибку.
Решение: избегайте простых ответов
Все, что было сказано о паролях, касается и ответов на секретные вопросы.
Единственное отличие секретного вопроса заключается в том, что вместе с ответом, как правило, запрашивается CAPTCHA (проверочный код, который надо распознать и ввести), и есть более строгое ограничение на число попыток ввода. Это несколько затрудняет брутфорс (подбор) машинными методами. В остальном ответ на секретный вопрос равнозначен паролю, и выбирать его стоит так же тщательно.
Проблема #4: социальная инженерия, фишинг
Социальная инженерия — это метод несанкционированного доступа к информации или системам хранения информации без использования технических средств, эксплуатирующая человеческий фактор. Одна из разновидностей социнженерии — фишинг. Типичный пример — заставить пользователя ввести пароль на чужом сайте, замаскированном под дизайн страницы авторизации, например:
Это не единственный вариант. Также достаточно часто мы сталкиваемся с социальной инженерией, направленной на то, чтобы «извлечь» из пользователя данные, необходимые для восстановления пароля или доступа к ящику. Например, паспортные данные пытаются запросить под видом получения выигрыша в лотерею. Ответ на секретный вопрос могут выпытать в обычной беседе в соцсетях («У тебя есть кот? Какой симпатяга! А как его зовут?»). Все объясняет классическая шутка с Баша:
Коннект: Слушай, мож мы родственники?
ALEXA: думаешь.
Коннект: Ну, может дальние. Какая девичья фамилия была у твоей матери?
ALEXA: *енко
Коннект: О, у тебя 8 новых писем )
ALEXA: в смысле.
Фишинг может быть направлен не только на получение доступа к учетной записи. Фишинговое письмо может сообщать о блокировке аккаунта и требовать отправки SMS на короткий номер, который, разумеется, окажется платным.
По утверждению самих фишеров, на атаки с помощью социальной инженерии клюет порядка 80% женщин и 60% мужчин.
Решение: не разговаривайте с незнакомцами
Будьте очень критичны к той информации, которую вам сообщают незнакомые люди, и еще более критичны к той информации, которую вы сообщаете им. Особенно если вас торопят.
Если нам стало известно, что ваш аккаунт взломали, он несанкционированно используется, и мы захотим вам об этом сообщить, мы не будем просить сотрудника какой-либо службы написать вам письмо. Мы сделаем примерно так:
Не переходите по ссылкам от незнакомцев, будьте внимательны к тому, от кого пришла ссылка и куда она вас привела. Не поленитесь посмотреть в адресную строку браузера, прежде чем вводить какие-либо данные. Неожиданные эффекты, такие как запрос логина/пароля при открытии письма от незнакомого отправителя, также должны насторожить.
Атаки проводятся не только на владельца ящика: сотрудники службы поддержки также постоянно находятся под прессингом. Атакующий пытается «восстановить» якобы утерянный доступ к чужому ящику. Иногда можно прочитать очень интересные и затейливые истории, достойные латиноамериканских сериалов, с описанием любовных многоугольников и детективных ситуаций, поясняющие, почему необходимо отдать автору пароль от чужого ящика.
У сотрудников поддержки есть строгие инструкции по восстановлению паролей, поэтому, если такая необходимость возникла, не старайтесь их разжалобить; лучше предоставьте как можно больше объективной информации, которая подтвердит, что именно вы являетесь владельцем ящика.
Проблема #5: взлом других сайтов
Это одна из самых серьезных проблем. Часто при регистрации на каком-либо форуме, торрент-трекеров или сайте пользователь указывает адрес электронной почты и пароль, идентичный паролю к почтовому ящику или мало отличающийся от него. Уровень защиты форумов и торрент-трекеров, как правило, невысок. Кроме того, многие из них строятся на одних и тех же популярных движках. При обнаружении какой-либо уязвимости безопасности в таком движке одновременно могут быть взломаны тысячи сайтов.
Решение: не используйте один пароль для нескольких аккаунтов
Это первое, что проверит злоумышленник. Например, при нашумевшем взломе LinkedIn пострадал ряд пользователей, использовавших тот же пароль на других сайтах. Поэтому для разных сайтов – разные пароли. Всегда. Если изобретать уникальный пароль для каждого сайта кажется вам невыполнимой миссией, придумайте отдельный хотя бы для почты — ведь она является «ключом» ко многим из ваших аккаунтов на различных сервисах.
Проблема #6: спорная ситуация вокруг аккаунта
Часто одним ящиком пользуются несколько человек. Иногда друзей просят проверить почту — например, если у самого пользователя в этот момент нет доступа к интернету.
Однако стоит помнить, что человек, который пользовался ящиком некоторое время, почти всегда может восстановить к нему доступ впоследствии. Если отношения испортятся, вокруг ящика может возникнуть спор.
Решение: не пользуйтесь чужим ящиком и никого не пускайте в свой!
По этой же причине избегайте покупать у кого-либо ящики с красивыми именами. Если возникает спор о принадлежности ящика, предпочтение отдается тому, кто его регистрировал. Именно поэтому почтовые сервисы просят регистрировать ящик на себя или на компанию, а не на родственников, не на сотрудников и не на персонажей комиксов.
Проблема #7: сниффинг
Сниффинг — это прослушивание сетевого трафика. Достаточно легко «сниффится» трафик, идущий по беспроводным сетям — как через Wi-Fi, так и через спутниковый канал. Когда вы подключаетесь к интернету по Wi-Fi, злоумышленник может через свой девайс прослушивать весь трафик, поскольку физически данные передаются посредством радиоволн.
Решение: используйте криптографию
Многие сервисы сейчас поддерживают протокол HTTPS, пользуйтесь этим. Например, авторизация и работа внутри Почты Mail.Ru всегда происходит по этому протоколу.
В почтовых программах обязательно включайте SSL/TLS при работе по протоколам SMTP, POP и IMAP. При этом в Почте Mail.Ru работа по протоколу IMAP возможна только по протоколу SSL/TLS. Обязательно реагируйте на все предупреждения о несоответствии сертификатов, особенно если пользуетесь беспроводной сетью или из незнакомого места — иначе вся криптография не имеет смысла.
Самым слабым звеном в безопасности любого массового сервиса, как правило, является пользователь. Но, разумеется, проблемы бывают и со стороны сервиса. Громкие взломы последних месяцев, когда в сеть попадали базы учетных записей крупнейших служб (вспомним тот же LinkedIn), об этом напоминают. Ни один сервис не избавлен от ошибок в программном обеспечении.
Меры, которые предпринимает почтовая служба или социальная сеть — это всегда баланс между функциональностью, комфортом и безопасностью. Можно запретить любые способы восстановления пароля: это будет безопасней, но тогда пользователь не сможет восстановить доступ к собственному ящику. Можно путем ограничений требовать очень стойких паролей — но в этом случае пользователи будут их забывать. Можно блокировать IP-адрес при первой попытке неудачного входа или восстановления пароля; это защитит от подбора паролей и секретных ответов, но абоненты провайдеров, применяющих динамические адреса или технологию NAT, не смогут войти в почту. Можно запретить все потенциально опасные HTML-теги в письмах при доступе через web-интерфейс, но это означает, что часть писем будет отображаться некорректно.
Поэтому мы используем компромиссные решения и комплексные алгоритмы, учитывающие совокупность факторов. Конечно же, мы не будем раскрывать детали реализации, поэтому и выдумали такую хитрую фразу. Все механизмы постоянно совершенствуются и это не отдельные изменения, а планомерный процесс. Например, опубликованная на Хабре статья, сравнивающая системы фильтрации HTML-тегов разных почтовых служб, на момент ее публикации уже была устаревшей — мы поменяли систему фильтрации буквально за день до выхода статьи и делали это уже неоднократно после ее выхода. Мы также проделали большую работу, чтобы HTTPS в Почте работал по умолчанию для всех пользователей.
Большое внимание мы уделяем и борьбе с автоматическим подбором паролей, реализуя и постоянно совершенствуя алгоритмы антибрутфорса.
У нас есть специальный департамент в службе поддержки, который ведет целенаправленную работу для обеспечения безопасности пользователей: ищет мошеннические и фишинговые сайты, сообщает о них хостинг-провайдерам и регистраторам доменов, информирует поисковые системы о поддельных ресурсах в результатах поиска и контекстной рекламе, борется с SMS-мошенниками, обменивается информацией с CERT-командами и антивирусными вендорами.
Разумеется, мы защищаем свою информационную систему не только снаружи, но и изнутри. Работа службы поддержки построена таким образом, что если кто-то из сотрудников захочет «помочь» восстановить доступ к чужому ящику, он ни при каких условиях не сможет этого сделать в одиночку. У нас нет «ядерного чемоданчика»: даже руководитель высокого ранга не сможет потерять ноутбук, с которого будут доступны персональные данные пользователя. Мы не держим пароли в открытом тексте, а храним их в виде соленых хэшей, из которых невозможно восстановить пароль.
Инструкция по применению на случай взлома: до и после
Подумайте о том, что вам, возможно, когда-нибудь понадобится восстановить ваш аккаунт, и потратьте немного времени на то, чтобы его обезопасить.
На данный момент самым эффективным является привязка мобильного телефона к ящику. Мы используем номера пользователей только для восстановления доступа к ящику и уведомления об изменении регистрационных данных, и не рассылаем на них рекламу ни в каком виде.
Чем быстрее вы узнаете о взломе — тем лучше. Мы отправим SMS в случае смены пароля или информации для его восстановления — это еще одна причина привязать телефон к почтовому ящику.
Если вы категорически не хотите вводить телефон, хотя бы убедитесь, что у вас в аккаунте есть актуальный секретный вопрос, и ответ на него действительно известен только вам.
Если вам стало известно о взломе — не паникуйте. Оцените возможные последствия. В первую очередь постарайтесь не допустить дальнейшего развития ситуации по негативному сценарию — такому, как взлом учетных записей, завязанных на этот ящик. При этом помните, что, пока взломщик сохраняет контроль над вашим ящиком, непродуманные действия могут причинить больше вреда, чем пользы. Например, при смене пароля в социальной сети уведомление об этом придет на взломанный ящик электронной почты, что может привести к взлому аккаунта в соцсети.
Ни в коем случае не поддавайтесь на шантаж, не шлите платных SMS (даже если написано, что они бесплатные), не переходите ни по каким ссылкам, не вступайте в переговоры со взломщиком. Любые переговоры не гарантируют восстановления доступа к ящику, и тем более не гарантируют того, что взлом не будет проведен повторно. А тот, кто заплатил один раз, может заплатить второй. Не становитесь дойной коровой для шантажиста!
Проверьте компьютер на вирусы, потому что пока он заражен вредоносной программой, нет никакого смысла восстанавливать доступ и менять пароль.
Попробуйте восстановить доступ к ящику
Если к ящику был привязан номер телефона, то, скорее всего, это не составит труда. Обычно взломщики не рискуют удалять привязанные телефоны, т.к. сообщение об этом приходит владельцу ящика. Кстати, в Почте Mail.Ru номер телефона невозможно удалить мгновенно без ввода подтверждающего кода из SMS.
Восстановить доступ можно также по секретному вопросу или на дополнительный ящик электронной почты, если они указаны.
Обратитесь в службу поддержки
Если телефон вы все-таки так и не привязали, а ответ на секретный вопрос внезапно улетучился из вашей памяти, обратитесь в службу поддержки. При обращении в службу поддержки обычно требуется заполнить анкету, которая должна подтвердить принадлежность ящика. Имейте в виду, что любая служба поддержки находится под постоянным прессингом атак социальной инженерии, поэтому вам придется доказывать, что именно вы являетесь владельцем ящика. Но вы почти наверняка восстановите доступ в течение нескольких минут, если сообщите как можно больше сведений, которые никто другой знать не может.
После бала
Как только вам удалось восстановить пароль и получить доступ к аккаунту, первым делом поменяйте регистрационную информацию, в первую очередь пароль, который пришел вам от службы поддержки. Измените секретный вопрос и ответ на него. И, наконец, привяжите телефон, если не был привязан.