Če je nekdo dostopal do tvojega poštnega predala, moraš ukrepati hitro: napadalec lahko v tvojem imenu pošilja neželeno pošto ali lažne račune, v tvojih sporočilih išče gesla, z e-poštnim naslovom pa lahko prevzame tudi druge račune. Spodnje korake izvedi v tem vrstnem redu. Sama sprememba gesla ne zadošča, ker napadalec pogosto pusti za sabo skrito posredovanje.

Kako veš, da so vdrli?

• V mapi Poslano vidiš sporočila, ki jih nisi napisal ti.
• Prihajajo vrnjena sporočila z neznanih naslovov.
• Partnerji sprašujejo o čudnih sporočilih ali računih.
• Sporočila izginjajo ali se pojavi posredovanje ali filter, ki ga nisi nastavil ti.
• Domena je dosegla urno omejitev pošiljanja, čeprav si poslal komaj kaj sporočil.

Če prejemaš le vrnjena sporočila, v mapi Poslano pa ni ničesar in tudi strežnik ni poslal množičnih sporočil, verjetno le ponarejajo tvoj naslov pošiljatelja. O tem govori članek o ponarejanju e-poštnega naslova.

1. Ustavi pošiljanje (če sporočila odhajajo množično)

Če iz računa ravno odhaja neželena pošta, to najprej ustavi, ker vsako novo sporočilo slabša ugled strežnika.

Na gostovanju cPanel odpri stran E-poštni računi, klikni gumb Upravljaj ob poštnem predalu, v razdelku RESTRICTIONS v vrstici Sending Outgoing Email izberi možnost Suspend, nato klikni gumb Update Email Settings. Pošiljanje iz računa se nato ustavi s sporočilom o napaki (has been suspended), dohodna sporočila pa še naprej prihajajo. Ko se napadalec ne more več prijaviti, pošiljanje na istem mestu znova omogoči z možnostjo Allow.

2. Geslo spremeni s čiste naprave

Geslo spremeni v računalniku ali telefonu, na katerem zagotovo ni zlonamerne programske opreme. Če nisi prepričan, novega gesla najprej ne vpisuj na sumljivem računalniku.

Geslo poštnega predala lahko nastaviš v nadzorni plošči gostovanja, za to ti ni treba poznati starega gesla, zato ga lahko spremeniš tudi, če ga je napadalec že spremenil:

• Gostovanje cPanel: E-poštni računi › Upravljaj, v razdelku VARNOST v polje Novo geslo vpiši novo geslo (ali klikni gumb Ustvari), nato Update Email Settings.
• Spletno gostovanje: E-poštni naslovi, urejanje poštnega predala, na zavihku Splošno polji Geslo in Potrditev gesla. Spremeniš ga lahko tudi v spletni pošti: Nastavitve › Geslo.

Izberi geslo z vsaj 16 znaki, ki ga ne uporabljaš drugje in ga hraniš v upravitelju gesel. Nato novo geslo vpiši na vseh svojih napravah (računalnik, telefon, tablica), poštni programi se od tedaj lahko prijavijo le z njim.

Če si isto geslo uporabljal tudi drugje, ga zamenjaj tudi tam. Če je podobno tudi geslo računa cPanel gostovanja, spremeni tudi tega in vklopi dvostopenjsko prijavo.

3. Poišči, kaj je napadalec pustil za sabo

To je najpogosteje izpuščen korak. Napadalci za sabo puščajo nastavitve, da bi sporočila videli tudi po spremembi gesla ali da bi skrili svoje sledi. Povsod izbriši vse, česar nisi nastavil ti.

Kaj preveriti?	cPanel gostovanje	Spletno gostovanje
Posredovanje	Stran Posredovalniki, v spletni pošti Nastavitve › Posredovanje	E-poštni naslovi, urejanje poštnega predala, zavihek Posredovanja
Filtri sporočil	Strani E-poštni filtri in Globalni e-poštni filtri, v spletni pošti Nastavitve › Filtri sporočil	V spletni pošti Nastavitve › Filtri sporočil
Pošiljatelj, naslov za odgovor, skrita kopija	V spletni pošti Nastavitve › Identitete	V spletni pošti Nastavitve › Identitete
Samodejni odgovor	Stran Samodejni odgovori, v spletni pošti Odsotnost	V spletni pošti Nastavitve › Odsotnost
Povezani naslovi	Stran Privzeti naslov	E-poštni naslovi, urejanje poštnega predala, zavihek Naslovi vzdevkov

Posebej sumljiv je filter, ki sporočilo s ključno besedo (na primer „račun”, „banka”, „geslo”) izbriše, označi kot prebrano ali posreduje. Na strani Identitete odpri identiteto in preveri polji Naslov za odgovor in Skrita kopija: s prvim bi odgovori tvojih partnerjev, z drugim pa kopija sporočil, ki jih pošiljaš, prišli do napadalca.

4. Ugotovi, kaj se je zgodilo

• Koliko sporočil je odšlo? V cPanelu si lahko na strani Sledenje dostavi ogledaš odhodna sporočila zadnjih 60 dni. Na spletnem gostovanju nam piši, iz dnevnika ti lahko povemo.
• Kako je napadalec prišel noter? Najpogostejši vzrok je lažno sporočilo (phishing), ponovno uporabljeno geslo, ki je ušlo z druge strani, ali zlonamerna programska oprema v računalniku. Na vseh napravah, na katerih uporabljaš poštni predal, zaženi popolno iskanje virusov. Če najdeš zlonamerno programsko opremo, po njeni odstranitvi geslo znova spremeni, ker je lahko pridobila tudi novo.
• Kaj je lahko prebral? V poštnem predalu poišči sporočila z gesli, številkami bančnih računov, pogodbami ali osebnimi podatki. Z e-poštnim naslovom je pogosto mogoče ponastaviti tudi gesla drugih računov, zato geslo zamenjaj tudi na pomembnih straneh (banka, družbena omrežja, spletna trgovina, gostovanje).

5. Obvesti prizadete

• Partnerji: po ločenem kanalu jim povej, da so iz tvojega računa morda odšla lažna sporočila, in naj zlasti ne upoštevajo sporočila o spremembi številke računa. Če so že nakazali denar, naj nujno pokličejo svojo banko.
• Naša podpora: na portalu za stranke odpri zahtevek za podporo, če so iz računa odšla neželena sporočila ali če je strežnik pristal na črnem seznamu.
• Varstvo podatkov: pri podjetju, če so bili v poštnem predalu osebni podatki strank, preveri, ali gre za kršitev varstva osebnih podatkov. To je treba po GDPR praviloma v 72 urah prijaviti nadzornemu organu, zato v takem primeru prosi za pomoč svojega svetovalca za varstvo podatkov.
• Policija: če je tebi ali tvojemu partnerju nastala finančna škoda, podaj prijavo in shrani sporočila.

Če bi lahko potreboval dokaze, pred brisanjem sporočil in nastavitev naredi zaslonske posnetke.

6. Zaščiti račun v prihodnje

Korake za preprečevanje povzema članek o varni e-pošti. Najpomembnejši: za vsak račun drugo geslo, upravitelj gesel, posodobljene naprave in odpiranje strani ponudnika iz lastnega zaznamka namesto povezave za prijavo iz sporočila. Zapisi SPF, DKIM in DMARC izločajo ponarejena sporočila, pred sporočili iz vdrtega računa pa ne ščitijo, saj ta odhajajo s pravim geslom, po pravilih.

Če je vdrti račun pošiljal sporočila prek obrazca spletnega mesta WordPress ali če si na gostovanju našel zlonamerno programsko opremo, pomaga tudi članek ImunifyAV je našel zlonamerno programsko opremo.