Выявляйте и защищайте взломанные аккаунты

Шаг 1. Временно заблокируйте взломанный аккаунт пользователя

1. Заблокируйте аккаунт пользователя, чтобы предотвратить несанкционированный доступ к нему.

   Примечание. При блокировке файлы cookie для входа и токены OAuth сбрасываются.

2. Проанализируйте подозрительные действия и восстановите аккаунт. Рассмотрите возможность включить в домене двухэтапную аутентификацию.
3. Попросите пользователя проверить резервный адрес электронной почты и выполнить все шаги контрольного списка безопасности Gmail.

Шаг 2. Проанализируйте подозрительные действия

1. Если вы подозреваете взлом аккаунта администратора, проверьте в журналах аудита администрирования, не вносил ли этот пользователь недавно какие-либо изменения в настройки. Пропустите этот шаг, если это не относится к вашей ситуации.
2. Изучите список мобильных устройств, связанных с этим аккаунтом, и удалите данные со всех подозрительных устройств.
3. Проверьте потенциально несанкционированные действия:
   1. С помощью журнала событий пользователя в консоли администратора проверьте все попытки входа из веб-интерфейса в домене за последние шесть месяцев. Подозрительные попытки отмечаются специальным значком. Вы также можете получить данные о входах в аккаунты домена с помощью Reports API.
   2. С помощью поиска по журналу электронной почты найдите записи о доставке для своих доменов и проверьте, как передаются письма в потенциально взломанные аккаунты и из них. Если аккаунт управляется Сейфом, вы можете использовать поиск в журнале электронной почты, чтобы проверить действия с письмами.
      Примечание. Если пользователи перейдут на версию, в которую входит Сейф, они смогут восстанавливать безвозвратно удаленные электронные письма и документы.
   3. Воспользуйтесь отчетом о безопасности, чтобы оценить, насколько домен подвержен рискам для защиты данных. Рекомендуем изучить следующие отчеты:
      • Журнал событий OAuth
      • События журнала Групп
      • События журнала Диска

        Эта функция доступна в версиях Frontline Starter, Frontline Standard, Frontline Plus, Business Starter, Business Standard, Business Plus, Enterprise Standard, Enterprise Plus, Education Fundamentals, Education Standard, Education Plus, Essentials Starter, Essentials, Enterprise Essentials, Enterprise Essentials Plus и G Suite Business. Сравнение версий

      • События журнала Календаря
   4. Проверьте, не заданы ли вредоносные настройки. Вы можете получить настройки аккаунта пользователя (например, настройки пересылки) с помощью Gmail API. Если вы подозреваете, что пользовательский аккаунт Google (polzovatel@gmail.com) использовался для взлома, сообщите об этом нам.

Шаг 3. Отзовите доступ к затронутому аккаунту

1. Следуйте инструкциям, описанным в статье Сброс пароля пользователя.
2. Отзовите токены OAuth 2.0 этого пользователя.
3. Некоторые приложения, использующие метод аутентификации OAuth 2.0 для доступа к данным, блокируются при сбросе пароля пользователя. Пользователь должен войти с новым паролем, чтобы получить новый токен OAuth 2.0.
4. Удалите пароли приложений, созданные пользователем.

Шаг 4. Верните пользователю доступ к аккаунту

1. Разблокируйте аккаунт.
2. Сообщите пользователю его новый временный пароль и попросите задать собственный уникальный пароль (он не должен использоваться на других веб-сайтах и в приложениях).
3. Включите двухэтапную аутентификацию для домена и добавьте электронные ключи в аккаунты пользователей (этот вариант предпочтительнее двухэтапной аутентификации с помощью кодов подтверждения).
4. Попросите конечных пользователей выполнить все шаги контрольного списка безопасности Gmail. Например, убедитесь, что все фильтры и параметры пересылки конечных пользователей настроены правильно.
   1. Обновите параметры восстановления аккаунта.
   2. Проверьте аккаунт на необычную активность.
   3. Проверьте пропавшие или подозрительные сообщения.
   4. Проверьте контакты на наличие ошибок.
   5. Проверьте настройки Gmail.

Шаг 1. Как включить двухэтапную аутентификацию с электронными ключами

Двухэтапная аутентификация повышает безопасность пользовательских аккаунтов, поскольку наряду с именем и паролем пользователи должны указывать код подтверждения. Подробнее о добавлении двухэтапной аутентификации… Для лучшей защиты от фишинга мы рекомендуем использовать электронные ключи, а не защитные коды двухэтапной аутентификации.

Шаг 2. Добавьте, защитите или обновите данные для восстановления

Инструкции по добавлению способов восстановления доступа к аккаунту администратора можно найти в этой статье. Обезопасьте дополнительные адреса электронной почты, сменив их пароли, или укажите вместо них новые адреса.

Шаг 3. Включите оповещения о действиях в аккаунте

Администраторы могут включить оповещения о действиях в аккаунте, которые будут отправляться, например, при подозрительных попытках входа или изменении настроек другими администраторами.

Общие рекомендации по защите аккаунта можно найти в Центре безопасности Google.