Сотрудник ввёл пароль на фишинговом сайте: что делать в первые часы

Паника здесь плохой советчик. Порядок действий простой и его нужно знать заранее.

1. Сменить пароль

Сразу, с другого устройства. Если этот же пароль используется где-то ещё — сменить везде, начиная с почты.

2. Включить MFA

Если многофакторная аутентификация не была включена — включить. Если была — проверить, не добавил ли мошенник свой способ входа.

3. Проверить правила и пересылку

• Правила пересылки в почте (частая закладка мошенников).
• Автоответы и подписи.
• Доверенные устройства и активные сессии — завершить все.

4. Проверить, что успели сделать

• История входов: откуда и когда.
• Отправленные письма: не рассылали ли от вашего имени.
• Доступы к 1С, CRM, дискам — не появилось ли новых пользователей.

5. Предупредить

Коллег и контрагентов — если с compromised-адреса могли уйти письма. Лучше короткое предупреждение, чем второй инцидент.

6. Разобрать причину

Как письмо прошло фильтры, почему сотрудник кликнул, что нужно изменить в процессе. Без этого шага инцидент повторится.