Знакомая последовательность: человек понимает, что в его почту кто-то залез, меняет пароль, включает двухфакторную аутентификацию, выдыхает. Через неделю выясняется, что письма всё это время читали, а часть из них уходила на сторону.
Причина не в том, что пароль опять подобрали. Причина в том, что пароль — это способ получить доступ, а не способ его удерживать. Тот, кто уже был внутри, к моменту вашей смены пароля обычно держится за что-то другое: за живую сессию, за выданный приложению токен, за правило пересылки, за отдельный пароль для почтового клиента. Смена пароля по всем этим вещам не бьёт вообще или бьёт с большой задержкой.
Разберу, что именно остаётся, как это найти в основных сервисах и в каком порядке всё делать.
Почему пароль не выгоняет
Когда вы входите в сервис, пароль проверяется один раз. Дальше вы получаете нечто вроде пропуска — сессионную куку в браузере, токен обновления в приложении, — и всё последующее время сервис верит этому пропуску, а не паролю. В этом весь смысл: иначе пароль пришлось бы вводить на каждый запрос.
Отсюда простое следствие, которое почему-то не очевидно почти никому: смена пароля отзывает не пропуска, а только возможность выписать новый. Уже выписанные продолжают работать ровно столько, сколько им отмерено.
Сколько именно — зависит от сервиса. Сессионная кука в браузере может жить неделями. Токен обновления в почтовом клиенте — месяцами, и он тихо продлевает сам себя при каждом обращении. Пароль приложения, выданный для старого почтового клиента, не истекает вовсе.
У большинства сервисов есть отдельная кнопка «выйти со всех устройств», и вот она как раз делает то, чего от смены пароля ждут. Проблема в том, что жмут её редко, а некоторые сервисы прячут её так, что найти можно только по прямой ссылке.
Что конкретно остаётся
Активные сессии. Браузер, в котором злоумышленник уже вошёл. Если он утащил не пароль, а куку — а это ровно то, что делают программы для кражи данных из браузера, — пароль он может и не знать вообще. Ему это не мешает.
Токены приложений. Все эти «войти через…» и «разрешить приложению доступ к почте». Приложение получает право читать вашу почту от вашего имени и продолжает им пользоваться после смены пароля. Атакующий, попав в аккаунт, часто первым делом выдаёт такое разрешение своему приложению — это самый удобный способ остаться.
Пароли приложений. Отдельные пароли для клиентов, не умеющих в двухфакторную аутентификацию. Живут собственной жизнью, двухфакторную проверку не проходят по определению и переживают смену основного пароля.
Правила в почте. Автоматическая пересылка всех входящих на сторонний адрес либо правило, которое прячет письма от определённого отправителя в архив. Второе — классика при мошенничестве с платежами: жертва не видит ответов, пока идёт переписка про смену реквизитов.
Данные для восстановления. Резервная почта, номер телефона, ключи восстановления. Тот, кто побывал внутри, обычно подменяет их на свои — и тогда даже после полной зачистки он вернётся через «забыли пароль», а вы уже нет.
Делегирование. В почтовых сервисах есть штатная возможность дать другому человеку читать вашу почту. Выданный доступ смены пароля не замечает.
Из этого списка люди обычно проверяют одно — правила пересылки. Остальное живёт годами.
Где смотреть: личные аккаунты
Google. Три страницы, по которым надо пройтись подряд:
-
myaccount.google.com/device-activity— устройства с активными сессиями. -
myaccount.google.com/permissions— сторонние приложения и то, к чему у них доступ. -
myaccount.google.com/apppasswords— пароли приложений, если они когда-либо создавались.
В самом Gmail нужны три вкладки настроек. «Пересылка и POP/IMAP» — автоматическая пересылка. «Аккаунты и импорт» — делегирование доступа и адреса, с которых разрешено писать от вашего имени. «Фильтры» — правила, которые прячут входящие.
Яндекс. id.yandex.ru, раздел безопасности: устройства и приложения, пароли приложений, история входов. История входов, кстати, полезнее всего — по ней видно чужие адреса и время.
Microsoft. account.microsoft.com/security, раздел активности входов. Там же отзыв доступа приложений и выход со всех устройств.
Общее правило: пройтись надо по всем перечисленным разделам, а не только по тому, где что-то нашлось. Один найденный чужой доступ не означает, что он единственный.
Где смотреть: корпоративная почта
Здесь всё то же самое, но администратору доступны нормальные инструменты.
Отзыв всех сессий пользователя в Entra ID:
Connect-MgGraph -Scopes 'User.RevokeSessions.All','User.ReadWrite.All'Revoke-MgUserSignInSession -UserId 'user@corp-holding.example'
Важная деталь про эту команду: она отзывает токены обновления, то есть новые пропуска выписать больше не получится. А уже выданный токен доступа продолжает работать до истечения срока — по умолчанию около часа. То есть в течение этого часа человек, сидящий внутри, ещё внутри. Планируйте: сначала отзыв, потом остальное, а не наоборот.
Правила пересылки по всем ящикам — то, что стоит проверять регулярно, а не только при разборе:
Get-Mailbox -ResultSize Unlimited | ForEach-Object { Get-InboxRule -Mailbox $_.UserPrincipalName -ErrorAction SilentlyContinue | Where-Object { $_.ForwardTo -or $_.ForwardAsAttachmentTo -or $_.RedirectTo } | Select-Object @{n='Mailbox';e={$_.MailboxOwnerId}}, Name, ForwardTo, RedirectTo, Enabled}
Отдельно — пересылка, настроенная не правилом, а свойством самого ящика: её правило выше не покажет.
Get-Mailbox -ResultSize Unlimited | Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } | Select-Object UserPrincipalName, ForwardingSmtpAddress, DeliverToMailboxAndForward
И согласия, выданные приложениям от имени пользователя, — то самое «разрешить приложению читать почту»:
Get-MgUserOauth2PermissionGrant -UserId 'user@corp-holding.example' | Select-Object ClientId, Scope, ConsentType
В Scope смотрите на права вида Mail.Read, Mail.Send, offline_access. Последнее означает, что приложение получило право работать без участия пользователя — то есть постоянно.
Порядок действий, и почему он такой
Если аккаунт уже скомпрометирован, порядок важнее содержания. Делать надо так:
Сначала — отзыв сессий и токенов. Не пароль. Если начать с пароля, атакующий увидит, что его выкидывают, и успеет закрепиться заново: сменить резервную почту, выдать своему приложению новое разрешение. Отзыв сессий бьёт по всем его каналам одновременно.
Сразу за этим — пароль. Обязательно новый, а не вариация старого: если пароль утёк, то утёк и его шаблон.
Дальше — двухфакторная аутентификация, если её не было. И проверка того, какие способы подтверждения уже привязаны: чужой телефон или чужое приложение-аутентификатор в списке — обычное дело после захвата.
Потом — данные для восстановления. Резервная почта, номер, коды. Это шаг, который пропускают чаще всего, а он решает, вернётся человек через неделю или нет.
И только теперь — поиск следов. Правила, пересылки, приложения, делегирование, подключённые устройства.
В конце — то, что лежало внутри. Почта — это не только переписка, это ещё и точка восстановления доступа ко всему остальному. Пока у чужого человека был доступ, он мог запросить сброс пароля в других сервисах. Поэтому список «куда я входил через эту почту» разбирать придётся, и начинать надо с банков, госуслуг и рабочих систем.
Что из этого можно сделать заранее
Кнопка «выйти со всех устройств» полезна не только после взлома. Нажимать её раз в несколько месяцев — дешёвая гигиена, которая обнуляет всё, что могло накопиться незаметно.
Список приложений с доступом к почте стоит просматривать примерно с той же частотой. Там обычно обнаруживается что-то, чем не пользовались три года, а доступ к переписке у него всё ещё есть.
Для организации: правила автоматической пересылки на внешние адреса можно просто запретить политикой. Легитимных сценариев у них немного, а как способ незаметно выносить переписку они используются постоянно.
И самое неприятное для тех, кто отвечает за инструкции: в большинстве корпоративных памяток на случай компрометации написано ровно одно — «смените пароль». Если у вас так же, это стоит переписать сегодня. Пароль в этом списке не первый и далеко не единственный пункт.
ссылка на оригинал статьи https://habr.com/ru/articles/1074782/