Travaillez dans cet ordre. Les deux premières étapes consistent à arrêter les dégâts ; l'enquête peut suivre. 1. Changer le mot de passe du compte Faites-le à partir d’un appareil en qui vous avez confiance et utilisez un mot de passe que vous n’avez utilisé nulle part ailleurs. Si vous ne parvenez pas du tout à vous connecter, ouvrez immédiatement un ticket et dites-le - n'attendez pas. 2. Changer le mot de passe sur la boîte mail des inscrits C'est lui qui décide si un transfert peut être approuvé. Pendant que vous y êtes, examinez les règles de transfert : les attaquants ajoutent généralement une règle qui copie votre courrier ailleurs et le laisse en place longtemps après la modification du mot de passe. 3. Réactivez le double facteur, avec de nouveaux codes S'il était déjà allumé et s'il est maintenant éteint, c'est en soi une preuve. Réactivez-le et stockez les codes de récupération dans un endroit accessible si le téléphone est parti. 4. Regardez les domaines Vérifiez les serveurs de noms sur chaque domaine et les enregistrements DNS qu'ils contiennent. Recherchez les nouveaux enregistrements A ou MX que vous n'avez pas ajoutés. Vérifiez que le verrouillage du registraire est toujours activé. Vérifiez que les enregistrements de contact n'ont pas été modifiés par quelqu'un d'autre. 5. Regardez l'activité du compte L'historique de connexion et les actions récentes indiquent quand l'accès a eu lieu. Prenez des captures d'écran avec les dates. 6. Dites-nous Ouvrez un ticket décrivant ce que vous avez trouvé et quand. Joignez les captures d'écran et, si vous les avez, les e-mails de phishing originaux avec leurs en-têtes complets. Si un domaine a déjà été transféré, dites-le sur la première ligne - cela change ce qui peut être fait et à quelle vitesse. Ce que nous demanderons Vérifier que vous êtes le titulaire du compte. Pour les modifications qui affectent le contrôle du compte - l'adresse e-mail, le double facteur, le déverrouillage d'un transfert - nous vous demanderons de prouver qui vous êtes. C’est délibéré et nous ne l’ignorerons pas car c’est urgent. Comment ça commence habituellement Réutilisation du mot de passe : le même mot de passe est apparu lors d'une violation d'un autre site. Phishing : une page qui ressemblait à la nôtre demandait le mot de passe ou le code à deux facteurs. Reprise de la boîte aux lettres : l'adresse de l'inscrit était le point faible. Nous ne vous demandons jamais votre mot de passe ou un code à deux facteurs par téléphone, chat ou e-mail.