Лист повідомляє про «блокування рахунку» й пропонує терміново підтвердити дані. Перша корисна дія в такій ситуації — не натиснути кнопку, а відкрити банківський застосунок самостійно. Навіть найдовший пароль не допоможе, якщо ввести його на підробленій сторінці разом із кодом підтвердження.
Щоб захистити пошту й гроші, потрібні кілька пов’язаних звичок: окремі надійні паролі, захищений спосіб входу та перевірка незвичних прохань іншим каналом. Кожна з них закриває ризик, якого не усувають інші.
Чому пошта потребує окремого захисту
Електронна скринька часто є способом відновлення доступу до інших облікових записів. Людина, яка отримала доступ до пошти, може побачити приватне листування, надіслати повідомлення від вашого імені або спробувати скинути паролі на пов’язаних сайтах. Це не означає автоматичного доступу до кожного рахунку: додаткові перевірки залежать від конкретного сервісу. Однак наслідки можуть вийти далеко за межі однієї скриньки.
Пароль від пошти не повинен збігатися з паролем до магазину, форуму чи робочого кабінету. Якщо однакові дані потраплять у витік з одного сайту, їх можуть перевірити на інших. Почніть захист саме з основної пошти, а далі перевірте фінансові та інші важливі акаунти.
Як створити надійний пароль і не повторювати його
Практичний орієнтир для нового пароля — щонайменше 15 символів, якщо сервіс це дозволяє. Але довжина не робить передбачувану комбінацію надійною: ім’я, дата народження чи відомий вислів залишаються поганою основою. Заміна літери цифрою або додавання знака оклику наприкінці не усувають цієї проблеми.
Практичний спосіб створювати окремі випадкові паролі — користуватися менеджером паролів. Він зберігає їх, тож не потрібно пам’ятати десятки різних комбінацій. Це може бути вбудований засіб на власному пристрої або окремий застосунок. Перевірте, чи підходить він для ваших пристроїв, як захищено доступ і як працює відновлення.
- Для пароля, який потрібно пам’ятати, можна використати довгу фразу з кількох випадково підібраних, не пов’язаних між собою слів. Не беріть цитату, рядок пісні чи приклад із публікації.
- Для кожного акаунта створюйте новий пароль. Одна основа з різними назвами сайтів або послідовними цифрами — передбачувана схема, а не повноцінна заміна окремим паролям.
- Захистіть саме сховище: задайте йому сильний унікальний основний пароль, увімкніть додаткове підтвердження входу, якщо воно доступне, та блокуйте пристрій, коли відходите.
Не зберігайте паролі в браузері чужого чи загальнодоступного комп’ютера. Міняти хороший унікальний пароль щомісяця лише за календарем не потрібно. Змініть його без зволікання, якщо ввели на підозрілому сайті, отримали підтвердження витоку або помітили сторонній доступ. Якщо пароль повторювався, замініть його й в інших акаунтах.
Що додати до пароля: ключ доступу або другий фактор
Якщо сервіс підтримує ключ доступу — passkey, варто розглянути цей спосіб входу. Замість введення спільного із сайтом пароля пристрій підтверджує вхід криптографічно; користувач зазвичай підтверджує свою особу PIN-кодом або біометрією. Ключ прив’язаний до справжнього сервісу, тому підроблена сторінка не може використати його як звичайний викрадений пароль.
Де ключів доступу немає, увімкніть двофакторну автентифікацію, яку в налаштуваннях також можуть називати двоетапною перевіркою або 2FA. Для звичайного входу зловмиснику тоді недостатньо знати лише пароль. Якщо є вибір, застосунок-автентифікатор або відповідний ключ безпеки дають кращий захист, ніж код із SMS. Якщо доступне лише SMS, це все одно корисніший захист, ніж один пароль.
Водночас код із застосунку чи SMS можна виманити й одразу використати. Не повідомляйте коди іншій людині й не схвалюйте запит на вхід, якого не починали. Якщо несподівано надійшов код або запит підтвердження, відхиліть незнайому спробу та перевірте активність акаунта через самостійно відкриті налаштування безпеки.
Після налаштування перевірте спосіб відновлення доступу. Збережіть видані резервні коди в захищеному місці, доступному й без основного телефона; переконайтеся, що резервна пошта й номер належать вам. Резервну скриньку захистіть не слабше за основну. Якщо сервіс залишає вхід паролем як запасний варіант після ввімкнення ключа доступу, цей пароль також має бути унікальним. Ключ доступу не скасовує блокування пристрою, захисту облікового запису синхронізації та перевірки фінансових операцій.
Як перевірити лист, який вимагає діяти негайно
Фішинг — це спроба під виглядом знайомого відправника змусити людину віддати дані, переказати гроші або відкрити шкідливий файл. Приводом можуть бути нібито неоплачений рахунок, виплата допомоги, проблема з доставкою чи незвичний вхід. Логотип і звичне оформлення не підтверджують справжність повідомлення.
- Зупиніться перед дією. Не відкривайте несподівані вкладення й не вводьте дані через кнопку в листі лише тому, що вас кваплять.
- Розкрийте адресу відправника. Відображуване ім’я може бути знайомим, а адреса — сторонньою. Неточності є приводом для підозри, але зовні правдоподібна адреса сама собою не підтверджує прохання.
- Перевірте подію окремо. Відкрийте вже встановлений застосунок або сайт зі збереженої перевіреної закладки. Знайдіть там повідомлення, рахунок чи статус замовлення, не переходячи за посиланням із листа.
- За потреби зв’яжіться з відправником відомим вам способом. Для банку використайте контакт у застосунку або на картці, для знайомого — раніше збережений номер. Не беріть номер для перевірки з того самого підозрілого повідомлення.
Наприклад, прохання знайомого терміново позичити гроші варто перевірити дзвінком, навіть якщо воно надійшло з його звичної адреси: акаунт могли захопити. Пароль до банкінгу, PIN-код, захисний код картки та одноразові коди не слід надсилати у відповідь на лист або передавати співрозмовнику, який назвався працівником підтримки.
Що робити, якщо вже перейшли за посиланням
Наступні дії залежать від того, що саме сталося. Сам факт відкриття сторінки ще не доводить злам акаунта, але продовжувати взаємодію з підозрілим ресурсом не варто.
Лише відкрили сторінку, нічого не вводили й не запускали. Закрийте її. Якщо щось завантажилося, не відкривайте файл. Оновіть браузер і систему. Якщо є підозра на шкідливе завантаження, оновіть захисне програмне забезпечення та запустіть перевірку. Якщо випадок стосується робочого пристрою або службової пошти, повідомте відповідального за ІТ-безпеку.
Ввели пароль чи підтвердили чужий вхід. З іншого довіреного пристрою або після перевірки свого пристрою самостійно відкрийте справжній сервіс і змініть пароль. Завершіть інші активні сеанси, перевірте способи відновлення та налаштування другого фактора. У пошті перегляньте правила автоматичного пересилання, надіслані й видалені листи. Якщо доступ уже втрачено, скористайтеся офіційною процедурою відновлення. Попередьте контакти, якщо від вашого імені розсилали повідомлення.
Розкрили платіжні дані або помітили незнайому операцію. Негайно зв’яжіться з банком через перевірений канал, заблокуйте скомпрометовану картку та виконайте його вказівки щодо захисту рахунку. Збережіть листування й відомості про платіж, зверніться до поліції. Швидке звернення важливе, але не гарантує повернення грошей.
Що перевірити сьогодні
Перевірте налаштування входу в основну пошту: унікальність пароля, доступність ключа доступу, стан двофакторного захисту й актуальність способів відновлення. Перегляньте активні сеанси, залиште лише впізнавані та перевірте сповіщення про банківські операції. А для незвичного листа закріпіть просте правило: спершу перевірка поза листуванням, потім дія.
Захист акаунта пов’язаний і зі станом пристрою, з якого ви входите. Тому комп’ютерна безпека охоплює не лише паролі, а й оновлення, обережне відкриття файлів і перевірку підозрілої активності. Ці звички доповнюють одна одну.
Вірусні атаки — ще одна причина не запускати несподівані вкладення та не відкладати оновлення захисного програмного забезпечення. Водночас жоден антивірус не замінює перевірки прохання переказати гроші чи передати код підтвердження.