Пароли и злоупотребен имейл адрес: хакнат или фалшифициран?

Модул 3: Управление на Вашата пощенска кутия · Време за четене: 10 минути

Учебна цел: След този урок ще можете да защитите добре пощенската си кутия, да разпознаете разликата между фалшифициран подател и завладяна пощенска кутия, и да предприемете правилните стъпки и при двата случая.

Основни понятия: силна парола, парола фраза, мениджър на пароли, повторна употреба, изтичане на данни, груба сила (brute force), блокиране по IP, двустепенна проверка, парола за приложение, фишинг, спууфинг (фалшифициран подател), backscatter, завладяна пощенска кутия, подозрителни правила и пренасочвания, лимит за изпращане

Два вида "моят адрес изпраща спам"

Почти всеки администратор чува това рано или късно: "от моя адрес излиза спам". Има две съвсем различни причини, а и подходът е различен.

1. Фалшифициране (spoofing): никой не е влизал във Вашата пощенска кутия

Адресът на подателя е просто текст. Всеки може да изпрати писмо с Van: info@example.com, през собствения си сървър, без изобщо да е влизал във Вашата пощенска кутия. Това се нарича spoofing.

Ето как да го разпознаете:

• Внезапно получавате десетки или стотици bounce съобщения за писма, които никога не сте изпращали, често до непознати адреси. Това е backscatter: получателите са отказали фалшифицираното писмо и са изпратили съобщението за грешка до адреса, посочен в него, тоест до Вас.
• Във Вашата папка Sent няма нищо.
• В логовете на Вашия пощенски сървър (при много панели: функция като "E-mail Tracking") не виждате тези съобщения като изходяща поща.
• В кополовките на такова върнато съобщение (урок 1.5) има ред Received от сървър, който не е Ваш.

Промяната на паролата не помага тук: никой не я е знаел. Това, което помага, е DMARC (урок 4.4). С p=quarantine или p=reject съобщавате на получателите, че писма, които не преминават през Вашия SPF или DKIM, трябва да бъдат отделяни в карантина или отказвани. Тогава фалшифицираното писмо пристига по-рядко и по-малко хора биват измамени с Вашето име. Bounce съобщенията обикновено спират сами след няколко дни; можете да ги изтривате.

2. Завладяна пощенска кутия: някой има Вашата парола

Ако някой има Вашата парола, той влиза във Вашия сървър и наистина изпраща спам реално през Вашата пощенска кутия. Това е много по-сериозно: спамът идва от доверен сървър с Вашите валидни SPF и DKIM, затова пристига по-често. А сървърът губи добрата си репутация (урок 5.2).

Ето как да го разпознаете:

• В логовете на сървъра виждате изходяща поща, която не сте изпращали, често в големи количества.
• Броят на изпратените съобщения от Вашата пощенска кутия е много по-висок от обичайното, или внезапно достигате лимита за изпращане.
• Вашият доставчик съобщава за това или блокира изпращането.
• В пощенската Ви кутия има неща, които не разпознавате: правило за пренасочване към непознат адрес, филтър, който премества определена поща (например от Вашата банка или от Вашия доставчик) веднага в кошчето, различен адрес за отговор (Reply-To) в настройките Ви, или съобщение за отсъствие.

Тези правила са познат трик. Нападател, който завладее пощенската Ви кутия, често иска дълго да чете кореспонденцията незабелязано, например за да изпрати в точния момент фалшива фактура с друг номер на сметка. Правило за пренасочване към собствения му адрес продължава да работи, дори и Вие да сте сменили паролата си.

Как някой се сдобива с Вашата парола?

• Фишинг: фалшиво писмо с връзка към имитирана страница за вход ("пощенската Ви кутия е пълна, влезте тук"). Най-честата причина.
• Повторна употреба: използвате същата парола и за онлайн магазин или форум, който бива хакнат. Откраднатите комбинации от имейл адрес и парола впоследствие се пробват автоматично на пощенски сървъри. С услуги като Have I Been Pwned можете да проверите дали Вашият адрес се среща в известно изтичане на данни.
• Отгатване: кратки или очевидни пароли (Welkom2026!, името на фирмата) се отгатват чрез груба сила (brute force): хиляди опити един след друг.
• Malware на компютъра Ви, който прихваща пароли или ги взема от браузъра Ви.

Добра защита на Вашата пощенска кутия

1. Дълга, уникална парола за всяка пощенска кутия. Дължината е по-важна от странните символи. Парола фраза от четири или пет отделни думи е силна и лесна за запомняне. Не я използвайте никъде другаде.
2. Мениджър на пароли. Тогава не се налага да помните всички тези пароли и повторната употреба вече не е необходима.
3. Двустепенна проверка, където е възможно. При бизнес облачна поща (Microsoft 365, Google Workspace) и в клиентския панел на Вашия доставчик това обикновено е възможно. При обикновена IMAP пощенска кутия това често не е възможно за самите IMAP и SMTP, защото пощенските програми изпращат само парола. Някои услуги работят с пароли за приложения: отделна, дълга парола за всяка програма, която можете да оттеглите, без да сменяте основната си парола.
4. Бъдете внимателни къде въвеждате данните си за вход. Въвеждайте паролата си само в собствената си пощенска програма или на истинския адрес на Вашата webmail. Доставчик никога не иска паролата Ви по имейл.
5. Познавайте защитата на Вашия сървър. Много сървъри блокират IP адрес след определен брой неуспешни опити за вход. Това защитава срещу груба сила, но означава също, че старо устройство с грешна парола (стар таблет, принтер, който сканира към поща) може да доведе до блокиране на цялата Ви офис мрежа.

Какво правите при завладяна пощенска кутия?

Направете веднага следното, в този ред:

1. Сменете паролата в панела на Вашия доставчик (не чрез връзка от писмо). Изберете нова, уникална парола.
2. Проверете правилата за пренасочване, филтрите, алиасите и съобщението за отсъствие, както в webmail, така и в панела. Премахнете всичко, което не сте създали сами.
3. Проверете кои устройства и програми се свързват и въведете навсякъде новата парола. Забравено устройство със старата парола може да доведе до блокиране на Вашия IP.
4. Сканирайте компютъра си за malware, особено ако не сте кликали на фишинг връзка.
5. Сменете паролата и другаде, ако сте я използвали повторно, както и паролата на клиентския си панел, ако е била същата.
6. Съобщете на доставчика си. Той може да види какво е изпратено, да изчисти опашката и да отмени блокиране.
7. Предупредете Вашите контакти, ако до тях е изпратена поща, особено при фалшиви фактури. Изтичане на данни с лични данни може според GDPR да изисква и уведомяване на компетентния орган за защита на данните; при съмнение проверете това.

Завладяната пощенска кутия рядко идва сама. Проверете също дали Вашият уебсайт не изпраща спам: незащитена контактна форма или хакнат плъгин също може да изпраща поща от Ваше име (урок 7.3).

На практика: ето как изглежда това в панел

В DirectAdmin сменяте паролата на пощенска кутия при E-mail Accounts, чрез трите точки и Change Password/Username; в колоната Sent виждате колко поща е изпратила дадена пощенска кутия днес. С E-mail Tracking виждате дали съобщение наистина е изпратено през сървъра. Пренасочванията са при Forwarders, съобщенията за отсъствие при Autoresponders, а в webmail при настройките. Други панели имат подобни функции, често с имена като "следа на съобщенията", "message trace" или "правила за пощенската кутия".

Обобщение

• Bounce съобщения за поща, която не сте изпращали, без нищо в папката Sent: фалшифициране. Там помага DMARC, а не нова парола.
• Реален изходящ спам в лога на сървъра: завладяна пощенска кутия. Смяна на паролата, проверка на правилата и пренасочванията, обновяване на устройствата, уведомяване на доставчика.
• Нападателите често поставят правило за пренасочване или филтър, за да продължат да четат кореспонденцията.
• Използвайте дълга, уникална парола за всяка пощенска кутия, мениджър на пароли и, където е възможно, двустепенна проверка или пароли за приложения.

Тест

Задача

Задача O3.4: Проверка на сигурността на Вашата пощенска кутия. Прегледайте собствената си пощенска кутия. Паролата уникална и дълга ли е, и съхранена ли е в мениджър на пароли? Проверете адреса си в услуга за изтичане на данни (като Have I Been Pwned) и отбележете дали се среща в изтичане. Проверете в webmail или в панела всички правила за пренасочване, филтри, адреса за отговор и съобщението за отсъствие. Запишете кои устройства използват пощенската кутия. След това отговорете: ако утре получите bounce съобщения за поща, която не сте изпращали, как ще установите дали е spoofing или хакване?

Прочетете още

Стъпките в тези статии важат за панелите на WebOké; при други доставчици процесът е сходен.

• Ръководство за DirectAdmin 9.6: Какво да направите, ако Вашият имейл адрес е злоупотребен
• Ръководство за DirectAdmin 7.2: Het wachtwoord van een e-mailadres wijzigen
• Ръководство за DirectAdmin 9.3: E-mail Tracking: къде се е дянала моята поща?
• Промяна на паролата или лимитите на имейл адрес
• Пощенската кутия е превзета или се изпраща спам от Вашия адрес: ето как да почистите
• NCSC, съвети относно пароли и двустепенна проверка (Нидерландия): https://www.ncsc.nl
• Roundcube Webmail 10.5: Смяна на паролата на Вашата пощенска кутия
• Roundcube Webmail 10.3: Включване на двуетапна проверка
• Thunderbird с Вашата поща от WebOké и Nextcloud 2.3: Пароли: промяна, запазени пароли и основна парола