Работайте в таком порядке. Первые два шага направлены на предотвращение ущерба; расследование может последовать. 1. Сменить пароль на аккаунте Сделайте это с устройства, которому вы доверяете, и используйте пароль, который вы больше нигде не использовали. Если вы вообще не можете войти, сразу откройте тикет и так и скажите — не ждите. 2. Изменение пароля в почтовом ящике регистранта Именно он решает, может ли быть одобрен перевод. Пока вы там, обратите внимание на правила пересылки: злоумышленники обычно добавляют правило, которое копирует вашу почту в другое место и оставляет ее на месте еще долгое время после смены пароля. 3. Снова включите двухфакторную систему с новыми кодами Если он уже был включен, а сейчас выключен, это само по себе является свидетельством. Снова включите его и сохраните коды восстановления там, где вы сможете добраться до них, если телефон пропадет. 4. Посмотрите на домены Проверьте серверы имен в каждом домене и записи DNS внутри них. Найдите новые записи A или MX, которые вы не добавляли. Убедитесь, что блокировка регистратора все еще включена. Убедитесь, что записи контактов не были изменены на кого-либо другого. 5. Посмотрите активность аккаунта История входов и последние действия показывают, когда произошел доступ. Сделайте скриншоты с датами. 6. Расскажите нам Откройте билет, описывающий, что и когда вы нашли. Прикрепите скриншоты и, если они у вас есть, оригинальные фишинговые письма с полными заголовками. Если домен уже перенесен, укажите это в первой строке — от этого зависит, что и как быстро можно сделать. Что мы спросим Подтверждение того, что вы являетесь владельцем аккаунта. Для изменений, влияющих на управление учетной записью — адрес электронной почты, двухфакторная аутентификация, разблокировка перевода — мы попросим вас подтвердить, кто вы. Это сделано намеренно и не будет пропущено, поскольку это срочно. Как это обычно начинается Повторное использование пароля: тот же пароль появился при взломе другого сайта. Фишинг: страница, похожая на нашу, запрашивала пароль или двухфакторный код. Захват почтового ящика: слабым местом был адрес регистранта. Мы никогда не запрашиваем ваш пароль или двухфакторный код по телефону, в чате или по электронной почте.