usunięcie wiadomości przez atakującego

Usunięcie wiadomości przez atakującego to typowy ślad przejęcia konta, mający ukryć ślady jego działania.

Jak rozpoznać usunięcie wiadomości przez atakującego

Usunięcie wiadomości przez atakującego oznacza, że osoba, która uzyskała dostęp do konta pocztowego, komunikatora albo innej usługi internetowej, skasowała wybrane treści po wykonaniu działania. Celem może być utrudnienie zauważenia nietypowej aktywności, ukrycie instrukcji przesłanych ofiarą, zatarcie śladów zmiany ustawień lub usunięcie korespondencji potwierdzającej wykorzystanie konta. Sam brak wiadomości nie dowodzi jeszcze włamania, ponieważ podobny efekt może powstać po automatycznej archiwizacji, synchronizacji kilku urządzeń, zastosowaniu filtra albo opróżnieniu kosza.

Za bardziej podejrzaną sytuację należy uznać jednoczesne wystąpienie kilku objawów: zniknięcie wiadomości z określonego okresu, obecność nieznanych reguł sortowania, wysłane wiadomości, których użytkownik nie tworzył, zmiana hasła, pojawienie się obcego numeru telefonu do odzyskiwania dostępu albo logowanie z nieznanej lokalizacji. W wielu usługach usunięte wiadomości trafiają najpierw do folderu „Kosz” lub „Elementy usunięte”, gdzie mogą być dostępne przez ograniczony czas. Atakujący może jednak opróżnić ten folder albo usunąć wiadomości także z innych widoków, dlatego warto sprawdzić również archiwum, folder spamu oraz automatyczne filtry.

Ślady pozostające poza skrzynką pocztową

Usunięcie treści z interfejsu użytkownika nie musi usuwać wszystkich informacji o zdarzeniu. Dostawca usługi może rejestrować czas logowania, adres IP, typ przeglądarki, identyfikator urządzenia, zmianę hasła, utworzenie tokenu dostępu oraz operacje wykonywane na wiadomościach. Zakres i czas przechowywania takich danych zależą od konkretnej usługi i jej planu. W panelu bezpieczeństwa konta często można znaleźć historię aktywnych sesji, listę urządzeń, aplikacje mające dostęp do konta oraz ostatnie próby logowania.

Warto sprawdzić, czy w folderze wiadomości wysłanych znajdują się komunikaty zainicjowane bez wiedzy właściciela konta. Istotne są również automatyczne odpowiedzi, przekierowania poczty i reguły, które przenoszą wiadomości do archiwum, spamu albo niestandardowego folderu. Reguła wyszukująca słowa związane z fakturą, przelewem, hasłem lub kodem jednorazowym może ukrywać korespondencję przed użytkownikiem, choć wiadomości nadal znajdują się na serwerze. Należy także zweryfikować, czy aplikacja pocztowa na komputerze nie ma ustawionej lokalnej reguły usuwania albo ograniczonego zakresu synchronizacji.

Na komputerze mogą pozostać lokalne kopie nagłówków, załączników, baz danych programu pocztowego lub plików tymczasowych. Ich obecność zależy od używanego programu, trybu synchronizacji i ustawień przechowywania danych. Nie należy jednak traktować znalezienia pojedynczego pliku jako pewnego dowodu ataku. Wiarygodniejsza jest zgodność kilku niezależnych informacji: czasu zniknięcia wiadomości, historii logowania, zmian konfiguracji konta i aktywności na innych urządzeniach.

Zabezpieczenie konta po podejrzanym zdarzeniu

Po stwierdzeniu podejrzanego usunięcia wiadomości należy rozpocząć od zabezpieczenia dostępu. Hasło trzeba zmienić na urządzeniu, które nie wykazuje oznak infekcji, a nowe hasło nie powinno być używane w żadnej innej usłudze. Jeżeli konto obsługuje uwierzytelnianie wieloskładnikowe, należy je włączyć, najlepiej z użyciem aplikacji uwierzytelniającej lub klucza sprzętowego, jeśli dostawca oferuje taką możliwość. Trzeba również wylogować nieznane sesje, usunąć obce urządzenia i unieważnić tokeny aplikacji, których użytkownik nie rozpoznaje.

Następnie należy skontrolować adresy odzyskiwania konta, numery telefonów, reguły pocztowe, przekierowania, podpisy, automatyczne odpowiedzi i uprawnienia przyznane aplikacjom zewnętrznym. Jeżeli z konta wysłano wiadomości, warto ostrzec ich odbiorców, aby nie otwierali załączników i nie wykonywali poleceń zawartych w podejrzanej korespondencji. W przypadku utraty dostępu trzeba skorzystać wyłącznie z oficjalnej procedury odzyskiwania konta. Nie należy przekazywać kodów jednorazowych osobom kontaktującym się telefonicznie lub przez komunikator, nawet jeśli znają adres e-mail użytkownika.

Odtworzenie wiadomości powinno odbywać się na podstawie funkcji dostępnych u dostawcy, kopii zapasowej albo lokalnego archiwum programu. Przed czyszczeniem komputera warto zachować informacje o czasie zdarzenia, zrzuty ekranowe ustawień bezpieczeństwa i eksport dostępnych nagłówków wiadomości. Jeżeli na urządzeniu pojawiają się również nieznane programy, nowe rozszerzenia przeglądarki, fałszywe okna logowania lub nietypowe obciążenie systemu, problem może obejmować także komputer, a nie tylko konto internetowe.

Sprawdzenie komputera i dalsza dokumentacja

Komputer używany do logowania powinien zostać sprawdzony pod kątem złośliwego oprogramowania, nieznanych rozszerzeń przeglądarki, zapisanych sesji i programów uruchamianych wraz z systemem. Skanowanie warto wykonać aktualnym narzędziem ochrony systemu, a system operacyjny, przeglądarkę i aplikację pocztową doprowadzić do obsługiwanej wersji. Jeżeli użytkownik podejrzewa przechwytywanie haseł, nie powinien ponownie logować się do ważnych kont z tego samego urządzenia przed zakończeniem diagnostyki. W razie braku pewności bezpieczniejsza jest zmiana haseł z innego, zaufanego urządzenia.

Ważne zdarzenia należy zapisać w kolejności czasowej: ostatnie prawidłowe użycie konta, zauważenie braku wiadomości, powiadomienia o logowaniu, zmiany ustawień oraz wykonane działania naprawcze. Taka chronologia ułatwia odróżnienie pojedynczego błędu synchronizacji od przejęcia konta. Nie powinno się pochopnie usuwać wszystkich danych aplikacji ani przywracać ustawień fabrycznych przed zabezpieczeniem dostępnych dowodów, ponieważ może to usunąć lokalne informacje potrzebne do ustalenia przyczyny.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku objawów wskazujących na problem z samym urządzeniem można zlecić sprawdzenie systemu, przeglądarki oraz podstawowej konfiguracji komputera. Sama naprawa sprzętu nie przywraca automatycznie usuniętych wiadomości ani nie zastępuje procedury odzyskiwania konta u dostawcy usługi. Po zakończeniu diagnostyki trzeba nadal zweryfikować hasło, aktywne sesje, uwierzytelnianie wieloskładnikowe i reguły działające bezpośrednio po stronie konta.