Не взаимодействуйте с письмом и сообщите в службу ИБ через известный канал, указав, открывали ли ссылку, файл или вводили данные. Само получение письма не требует блокировать аккаунт. Если данные раскрыты или есть запуск вредоносного кода, нужны согласованные меры: отзыв сеансов и токенов, смена секрета, проверка устройства и расследование охвата.
Как действовать после обнаружения фишингового письма?
Разделение простого получения письма и реальной компрометации. Сообщение в ИБ, сохранение данных и меры по фактическим действиям пользователя.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Сначала выясните, что произошло: письмо только получено, ссылка открыта, файл запущен, пароль введён или доступ приложению подтверждён. От этого зависит реагирование.
Пользователю следует прекратить взаимодействие и сообщить в ИБ или поддержку по известному каналу. Полезны время, отправитель и честное описание выполненных действий. Не открывайте вложение повторно «для проверки» и не пересылайте опасный контент коллегам обычным сообщением; используйте принятый механизм отчёта.
Команда реагирования сохраняет необходимые доказательства, исследует заголовки и индикаторы безопасными средствами, определяет других получателей и удаляет либо помещает подтверждённо вредоносные письма в карантин.
Меры зависят от последствий:
- Пароль раскрыт: через доверенную систему меняют секрет, отзывают сеансы и проверяют изменения способов восстановления и MFA.
- Подтверждены разрешения приложения: отдельно проверяют и отзывают выданные OAuth-разрешения; одной смены пароля может быть недостаточно.
- Файл выполнен или устройство подозрительно: согласуют изоляцию и анализ с ИБ, не уничтожая доказательства самовольной переустановкой.
- Только получено письмо: это не основание автоматически отключать учётную запись.
Проверяют входы, правила пересылки почты и дальнейшие действия. Пример процедуры для уже скомпрометированного аккаунта приведён у Microsoft.
Завершают документированием охвата, восстановлением доступа и корректировкой защитных мер. Обучение важно, но не заменяет техническое расследование и не должно превращаться в наказание за быстрое сообщение.