Взломали Telegram или MAX компании: что делать в первый час

Обычно это выглядит так. Клиент пишет в другой мессенджер или звонит: «Вы правда просили перевести деньги?» Или сотрудник спрашивает, зачем ему прислали ссылку с просьбой ввести код. Владелец открывает Telegram или MAX и видит переписки, которых не вёл. Запрос в поиске в этот момент простой: взломали телеграм компании, что делать. Я помогаю малому бизнесу разбираться с такими ситуациями и потом закрывать дыры, через которые туда попали. Расскажу, что сделать в первый час по порядку и как устроить аккаунты, чтобы история не повторилась.

Как понять, что аккаунт взломали

Первый признак — сообщения от вашего имени, которых вы не писали. Их видно в самих переписках: кому-то ушла просьба занять денег, кому-то ссылка «проголосовать за племянницу», кому-то файл. Часть таких сообщений мошенники сразу удаляют у себя, поэтому вы можете их не увидеть. Тогда о них расскажут те, кто получил.

Второй признак — вопросы от клиентов и сотрудников. Люди переспрашивают про перевод, про смену реквизитов, про код из СМС. Это самый надёжный сигнал, потому что его не подделать: люди действительно получили что-то странное.

Третий признак — чужие устройства. В настройках безопасности у обоих мессенджеров есть список активных сеансов. Если там есть устройство, которое вы не узнаёте, или вход из другого города, аккаунтом пользуется кто-то ещё.

Первый час по шагам

Первое — завершить чужие сеансы. В списке активных сеансов завершите всё, кроме устройства, с которого вы сейчас работаете. Если не уверены, какое устройство ваше, завершите все остальные сразу.

Второе — сменить пароль. В Telegram это облачный пароль, в MAX — двухэтапная защита в настройках безопасности. Если пароля не было, установите его сейчас. Новый пароль не должен повторять ни один из старых и не должен использоваться где-то ещё.

Третье — проверить почту и номер. Посмотрите, какая почта привязана для восстановления пароля. Если её поменяли на чужую, злоумышленник вернётся через неё. Проверьте и саму почту: не было ли там писем о сбросе пароля и не взломана ли она тоже. Если взломан ящик, начинайте с него.

Четвёртое — предупредить людей. Не из взломанного аккаунта, а через другие каналы: сообщение от сотрудника, пост в канале, рассылка по почте, звонок ключевым клиентам. Текст простой: наш аккаунт взломали, мы ничего не просим переводить и никаких кодов не спрашиваем, если получили такое сообщение, не отвечайте.

Пятое — сохранить следы. Сделайте снимки экрана со списком сеансов, с сообщениями от вашего имени, с вопросами клиентов. Они понадобятся для обращения в поддержку и, если дойдёт, в полицию.

Если вас выкинули и войти не получается, пишите в поддержку мессенджера со своего номера и параллельно предупреждайте людей. Ждать ответа поддержки, ничего не сказав клиентам, нельзя: в это время от вашего имени продолжают просить деньги.

Если нужно разобраться у вас или проверить защиту всех рабочих аккаунтов заранее, посмотрите услугу по кибербезопасности.

Что мошенники просят от вашего имени

Чаще всего — деньги. Срочно перевести на карту, оплатить счёт поставщику, занять до вечера. Для компании опасен вариант со сменой реквизитов: клиенту пишут, что счёт компании поменялся, и присылают новый.

На втором месте — коды. Сотруднику или клиенту пишут «пришлю код, перешли мне», и с этим кодом захватывают уже их аккаунт. Так взлом расходится по цепочке.

Всё чаще к тексту добавляют голосовое или кружок с голосом владельца, собранным из старых записей. Как такие подделки устроены и как их распознать, я разбирал в статье про дипфейки и мошенничество.

Что делать с каналом и ботом

Если через взломанный аккаунт управлялся канал компании, откройте список администраторов. Проверьте, не появились ли новые, и не поменялись ли права у старых. Лишних уберите, у оставшихся оставьте только нужные права.

С ботом отдельная история. Злоумышленник с доступом к аккаунту владельца может получить токен бота, то есть ключ, которым бот управляется. Токен нужно перевыпустить, а новый вписать в настройки бота на сервере. Старый после этого перестаёт работать. Если бота делал подрядчик, сообщите ему сразу: без нового токена бот встанет.

Куда сообщить

В поддержку мессенджера — чтобы вернуть доступ и зафиксировать взлом. Если от вашего имени просили деньги и кто-то перевёл, клиенту стоит сразу обратиться в свой банк, а вам и ему — в полицию. Что именно подавать и от кого, лучше уточнить у юриста.

Если одновременно взломали и другие аккаунты, например Госуслуги, порядок действий там свой. Я описал его в статье взломали Госуслуги: что делать.

Признаки и первые действия

Как не допустить

Двухэтапная защита на каждом рабочем аккаунте. Без неё хватает одного кода из СМС, чтобы войти. С ней нужен ещё пароль, который знает только владелец.

Рабочий номер компании. Аккаунт, через который идёт переписка с клиентами, должен быть на номере, который принадлежит компании, а не сотруднику.

Не один администратор. У канала и бота должно быть минимум два человека с правами, чтобы потеря одного аккаунта не означала потерю всего.

Отдельные рабочие аккаунты. Личная переписка и рабочая не смешиваются. Если взломают личный аккаунт сотрудника, клиенты компании не пострадают.

Проверка устройств при увольнении. Когда человек уходит, смотрят активные сеансы рабочих аккаунтов и завершают его устройства. Туда же относятся рабочая почта и общий диск, про которые я писал в статье про корпоративную почту и общий диск.

Как это выглядит, когда настроено

У компании есть рабочий номер, и на нём один аккаунт для переписки с клиентами. На аккаунте включена двухэтапная защита, пароль хранится в менеджере паролей, почта для восстановления — корпоративная, с её собственной защитой.

У канала два администратора, у бота два человека знают, где лежит токен и как его перевыпустить. Раз в месяц ответственный открывает активные сеансы и проверяет, что там только знакомые устройства.

Если что-то всё же случилось, есть заготовленный текст предупреждения для клиентов и понятно, кто его рассылает. Первый час уходит на действия по списку, а не на поиск, где в настройках смотреть сеансы.

Частые вопросы

Поможет ли просто удалить приложение и поставить заново?

Нет. Аккаунт живёт на серверах мессенджера, и чужой сеанс остаётся активным. Его нужно завершить в настройках.

Если пароль сменили, аккаунт потерян навсегда?

Не всегда. Поддержка мессенджера может помочь, если номер ваш. Но на это уходит время, поэтому людей предупреждают сразу.

Как злоумышленники обычно получают доступ?

Чаще всего через код, который человек сам переслал, или через поддельную страницу входа. Реже — через чужой телефон, где остался открытый сеанс.

Нужно ли удалять переписки, которые вели мошенники?

Сначала сохраните снимки экрана. Они нужны для поддержки и возможного обращения в полицию.

Кто отвечает, если клиент перевёл деньги мошенникам?

Это зависит от обстоятельств, и общего ответа нет. С этим вопросом нужно идти к юристу.

Коротко о главном

Взлом рабочего мессенджера видно по сообщениям от вашего имени, вопросам клиентов и чужим устройствам в активных сеансах. Чем раньше вы это заметите, тем меньше людей получат просьбы о деньгах.

В первый час завершите чужие сеансы, смените пароль, проверьте почту и номер, предупредите людей через другие каналы. Потом наведите порядок в канале и боте и перевыпустите токен.

Я могу проверить рабочие аккаунты вашей компании, включить защиту, развести личное и рабочее и подготовить порядок действий на случай взлома. Напишите в Telegram, MAX или VK.