Злам робочої пошти рідко починається з хитрої атаки. Частіше зловмисник просто входить: логін і пароль у нього вже є. Бухгалтерка колись зареєструвалася робочою адресою на сайті доставки, і той сайт злили. Або на домашньому ноутбуці, з якого вона заходить у пошту, оселилася програма-крадій.
Перевірити, чи є адреси вашої організації у відомих витоках, можна законно, швидко і майже безкоштовно. Нижче — як саме і що робити зі знахідками.
Звідки беруться витоки
Злам сторонніх сервісів. Працівник використовує робочу адресу на інтернет-магазині, форумі чи сервісі доставки. Сервіс зламують, база з адресами й паролями розходиться мережею. Якщо пароль той самий, що й від робочої пошти, двері відчинені.
Інфостілери. Це шкідливі програми, які збирають з комп’ютера збережені в браузері паролі, файли cookie і дані месенджерів. Найчастіше їх приносять «зламані» програми, «активатори», «безкоштовні» ігри. Головна небезпека: крадій забирає не лише пароль, а й активну сесію. З нею можна увійти в пошту без пароля і без коду двофакторної автентифікації. Тому 2FA обов’язкова, але від крадіжки сесії сама не рятує.
Фішинг. Працівник сам вводить пароль на підробній сторінці «входу в пошту». Про це окремо — у статті про підробні сайти й схожі домени.
Крок 1. Перевірте домен у Have I Been Pwned
Have I Been Pwned (HIBP) — відомий сервіс, що збирає відомості про публічні витоки. Перевірка однієї адреси безкоштовна. Він не показує паролів, лише які адреси й у яких витоках траплялися.
Для однієї адреси досить ввести її на головній сторінці. Для організації корисніший пошук за доменом:
- Увійдіть у кабінет на haveibeenpwned.com (Dashboard; вхід за посиланням, яке прийде на вашу пошту) і додайте домен, наприклад
firma.com.ua. - Підтвердіть, що домен ваш. Сервіс пропонує кілька способів: лист на службову адресу (на кшталт
security@,hostmaster@,postmaster@чиwebmaster@вашого домену), запис TXT у DNS, мітку на головній сторінці сайту або файл на сервері. Найпростіше — запис TXT: його додає той, хто керує вашим доменом. - Отримайте список: які адреси вашого домену і в яких витоках трапилися, з датами витоків.
- Увімкніть сповіщення про нові витоки для домену.
Безкоштовно сервіс показує домен, у якому до 10 скомпрометованих адрес. Якщо їх більше, потрібна платна підписка: найменший тариф — близько 4,4 долара на місяць, до 25 адрес (станом на жовтень 2026 року; актуальні умови — на сторінці підписки HIBP). Ліміт рахує саме адреси, що трапилися у витоках, а не всі скриньки. Для малої організації цього зазвичай досить.
Ці тарифи — для домену, який контролюєте ви самі. Перевіряти так домени інших організацій, навіть клієнтів, умови HIBP не дозволяють.
У результатах для власника домену бувають і «чутливі» витоки, які публічно не шукаються, наприклад із сайтів знайомств. Як із цим поводитися — у розділі «Чого не робити».
Важливо розуміти межі. HIBP знає лише витоки, що стали публічними і потрапили в його базу. Порожній результат не означає «нас ніколи не зламували». Це означає «у відомих витоках нас немає».
Крок 2. Перевірте паролі, не розкриваючи їх
У HIBP є розділ Pwned Passwords: він показує, чи траплявся пароль у витоках. Сам пароль на сервер не передається, лише перші символи його хешу. Схожу перевірку, теж без передачі пароля, вбудовано в сучасні менеджери паролів і в перевірку паролів Google та Apple. Попросіть працівників запустити її у своєму менеджері паролів чи браузері. Не збирайте їхні паролі в табличку, щоб «перевірити централізовано».
Крок 3. Подивіться у власні журнали
Витоки зовні — половина картини. Друга половина — у ваших системах:
- Журнали входів у пошту. У Microsoft 365 і Google Workspace видно, звідки й коли входили. Шукайте країни, де у вас немає працівників, входи вночі й вхід через старі протоколи (IMAP, POP), якщо ними ніхто не користується.
- Правила пересилання. Улюблений прийом: тихе правило «копію всіх листів зі словом “рахунок” пересилати на зовнішню адресу». Перевірте правила в кожній скриньці бухгалтерії й керівника.
- Підключені застосунки й паролі застосунків. Сторонні програми з доступом до пошти, про які ніхто не знає, видаляйте.
- Пошта на хостингу. У панелі хостингу є журнали входів і відправлених листів. Хвиля листів «про недоставку», яких ви не надсилали, — ознака, що з вашої адреси розсилають спам.
- VPN і віддалений робочий стіл. Невдалі входи серіями, входи під обліковими записами звільнених працівників.
Перевіряти робочі скриньки й журнали входів варто за внутрішнім положенням, з яким ознайомлено працівників: робоча пошта — для роботи, і з метою безпеки її налаштування й журнали перевіряються.
У Google Workspace сповіщення про підозрілі входи є в усіх тарифах (центр сповіщень). У Microsoft 365 — у старших тарифах. Увімкніть їх.
Що робити зі знахідками
Адреса є у старому витоку стороннього сервісу. Дізнайтеся в людини, чи не використовує вона той самий пароль на роботі. Якщо так або «не пам’ятаю», змініть пароль і увімкніть 2FA. Пароль відтепер — унікальний, з менеджера паролів.
Підозрілі входи, невідомі правила пересилання, ознаки інфостілера. Тут порядок дій важливий:
- Спершу перевірте комп’ютер, з якого працює ця людина. Якщо вона заходить і з домашнього, попросіть перевірити його теж: це її власність, тож лише з її згоди. Якщо на комп’ютері крадій, новий пароль він теж забере.
- Змінюйте пароль з чистого пристрою.
- Завершіть усі активні сесії і відкличте доступ підключених застосунків. Без цього вкрадена сесія й далі працює.
- Видаліть чужі правила пересилання і перевірте, які листи встигли піти назовні.
- Повідомте банк, якщо скринька пов’язана з клієнт-банком, і попередіть партнерів: від вашого імені могли надсилати «нові реквізити».
- Повідомте CERT-UA або кіберполіцію, якщо дані витекли чи сталося шахрайство.
Якщо уражено кілька комп’ютерів або є ознаки, що зловмисник уже в мережі, не гайте часу: залиште термінову заявку, і ми підкажемо перші кроки.
Чого не робити
- Не купуйте й не завантажуйте «злиті бази» і «логи стілерів», навіть щоб «просто перевірити своїх». Це крадені дані інших людей. Їх збут і поширення караються статтею 361-2 Кримінального кодексу, а збирання й зберігання чужих персональних даних без згоди — статтею 182. До того ж такі архіви часто самі містять шкідливі програми.
- Не користуйтеся телеграм-ботами «пробивки». Вони працюють на тих самих крадених базах, а ваш запит і адреса потрапляють невідомо кому.
- Не перевіряйте чужі домени. Легальні сервіси вимагають підтвердити право на домен саме тому, що ці дані стосуються людей.
- Не публікуйте список «скомпрометованих» працівників. Це персональні дані, а мета — закрити ризик, а не знайти винного.
- Не розсилайте всім таблицю «хто в якому витоку». Серед витоків бувають сайти знайомств чи медичні сервіси. Кожному працівникові повідомляйте лише про його адресу, особисто.
Як зменшити ризик наперед
- Двофакторна автентифікація на пошті, VPN і всіх адмінках. Найкраще — застосунок-автентифікатор або апаратний ключ, а не SMS.
- Менеджер паролів для всіх. Унікальний пароль на кожен сервіс: тоді витік одного сайту не відкриває вашу пошту.
- Робочу адресу — лише для роботи. Для доставок, магазинів і розсилок — особиста.
- Жодних «зламаних» програм і «активаторів» на робочих комп’ютерах. Це головний шлях інфостілерів.
- Антивірус з центральною консоллю і оновлення системи.
- Вимикайте облікові записи звільнених у день звільнення.
Чекліст для сільради чи малої фірми
- ☐ Домен додано в кабінет HIBP, сповіщення про нові витоки ввімкнено
- ☐ Працівники перевірили паролі вбудованою перевіркою менеджера паролів чи браузера
- ☐ Двофакторна автентифікація ввімкнена для кожної робочої скриньки
- ☐ Раз на місяць: журнали входів у пошту, незнайомі країни й нічні входи
- ☐ Раз на місяць: правила пересилання в скриньках бухгалтерії й керівника
- ☐ Старі протоколи (IMAP, POP) вимкнено там, де ними не користуються
- ☐ Облікові записи звільнених вимкнено
- ☐ Є порядок дій на випадок знахідки: перевірити ПК → змінити пароль з чистого пристрою → завершити сесії
- ☐ Ніхто не завантажував «злиті бази» для перевірки
Якщо немає часу стежити щомісяця
Ми можемо взяти перевірку на себе. Наші фахівці вручну переглядають відкриті джерела на згадки ваших доменів і робочих облікових записів — разово або регулярно — і надсилають звіт: що знайдено і що робити, з інструкцією для працівників. Працюємо лише після того, як ви підтвердите, що домен ваш. Зламаних баз не купуємо й не завантажуємо. Особистих подробиць про працівників керівництву не передаємо — лише те, що робочий обліковий запис під загрозою, і що робити. Деталі — на сторінці моніторинг витоків даних. Якщо вже бачите підозрілі входи чи чужі правила в пошті, пишіть одразу: кібербезпека для організацій.
