Выявляйте и защищайте взломанные аккаунты

Шаг 1. Временно заблокируйте аккаунт пользователя, который, возможно, был взломан.

1. Заблокируйте аккаунт пользователя, чтобы предотвратить несанкционированный доступ.

   Примечание. При блокировке файлы cookie для входа и токены OAuth сбрасываются.

2. Проанализируйте подозрительные действия и восстановите аккаунт. Рассмотрите возможность включить в домене двухэтапную аутентификацию.
3. Попросите пользователя проверить резервный адрес электронной почты и выполнить все шаги проверки безопасности Gmail.

Шаг 2. Проанализируйте подозрительные действия

1. Если вы подозреваете взлом аккаунта администратора, проверьте в журналах аудита администрирования, не вносил ли этот пользователь недавно какие-либо изменения в настройки. Пропустите этот шаг, если это не относится к вашей ситуации.
2. Изучите список мобильных устройств, связанных с этим аккаунтом, и удалите данные со всех подозрительных устройств.
3. Проверьте, не было ли несанкционированных действий:
   1. С помощью журнала событий пользователя в консоли администратора проверьте все попытки входа из веб-интерфейса в домене за последние шесть месяцев. Подозрительные попытки отмечаются специальным значком. Кроме того, данные о входе в аккаунты домена можно получить с помощью Reports API.
   2. С помощью поиска по журналу электронной почты найдите записи о доставке для своих доменов и оцените транзит сообщений в аккаунты, которые могли быть взломаны, и из них. Если аккаунт управляется Сейфом, вы можете использовать поиск по журналу электронной почты, чтобы просматривать действия, связанные с электронной почтой.
      Примечание. Если пользователи перейдут на версию, в которую входит Сейф, они смогут восстанавливать безвозвратно удаленные письма и документы.
   3. Воспользуйтесь отчетом о безопасности, чтобы оценить, насколько домен подвержен рискам для защиты данных. Вам следует ознакомиться со следующими отчетами:
      • Журнал событий OAuth
      • События журнала Групп
      • События журнала Диска

        Эта функция доступна в версиях Frontline Starter, Frontline Standard, Frontline Plus, Business Starter, Business Standard, Business Plus, Enterprise Standard, Enterprise Plus, Education Fundamentals, Education Standard, Education Plus, Essentials Starter, Essentials, Enterprise Essentials, Enterprise Essentials Plus и G Suite Business. Сравнение версий

      • События журнала Календаря
   4. Проверьте, не заданы ли вредоносные настройки. Вы можете получить настройки аккаунта пользователя (например, настройки пересылки) с помощью Gmail API. Если вы подозреваете, что пользовательский аккаунт Google (polzovatel@gmail.com) использовался для взлома, сообщите об этом нам.

Шаг 3. Отзовите доступ к аккаунту, с которым возникла проблема

1. Следуйте инструкциям, описанным в статье Сброс пароля пользователя.
2. Отзовите токены OAuth 2.0 этого пользователя.
3. Некоторые приложения, использующие метод аутентификации OAuth 2.0 для доступа к данным, блокируются при сбросе пароля пользователя. Пользователь должен войти с новым паролем, чтобы получить новый токен OAuth 2.0.
4. Удалите пароли приложений, созданные пользователем.

Шаг 4. Верните пользователю доступ к аккаунту

1. Разблокируйте аккаунт.
2. Сообщите пользователю его новый временный пароль и попросите задать собственный уникальный пароль (он не должен использоваться на других веб-сайтах и в приложениях).
3. Включите двухэтапную аутентификацию для домена и добавьте электронные ключи в аккаунты пользователей (этот вариант предпочтительнее двухэтапной аутентификации с помощью кодов подтверждения).
4. Попросите пользователей выполнить все шаги проверки безопасности Gmail. Например, убедитесь, что все фильтры и правила пересылки конечных пользователей настроены правильно.
   1. Обновите параметры восстановления аккаунта.
   2. Проверьте аккаунт на необычную активность.
   3. Проверьте пропавшие или подозрительные сообщения.
   4. Проверьте контакты на наличие ошибок.
   5. Проверьте настройки Gmail.

Шаг 1. Как включить двухэтапную аутентификацию с электронными ключами

Двухэтапная аутентификация повышает безопасность пользовательских аккаунтов, поскольку наряду с именем и паролем пользователи должны указывать код подтверждения. Подробнее о добавлении двухэтапной аутентификации… Мы рекомендуем использовать электронные ключи вместо защитных кодов двухэтапной аутентификации, чтобы лучше защититься от фишинга.

Шаг 2. Добавьте, защитите или обновите данные для восстановления

Инструкции по добавлению дополнительных адресов электронной почты и номеров телефона для восстановления пароля можно найти в этой статье. Обезопасьте дополнительные адреса электронной почты, сменив их пароли, или укажите вместо них новые адреса.

Шаг 3. Включите оповещения о действиях в аккаунте

Администраторы могут включить оповещения о действиях в аккаунте, которые будут отправляться, например, при подозрительных попытках входа или изменении настроек другими администраторами.

Общие рекомендации по защите аккаунта можно найти в Центре безопасности Google.