Работа посвящена анализу возможностей и порядка оказания экспертных услуг по выявлению факта взлома корпоративной почты, почтовых сервисов mail.ru и yandex.ru, а также по установлению лиц, причастных к несанкционированному доступу, в условиях, когда заказчик не прибегает к помощи правоохранительных органов. В работе рассматриваются технические, организационные и процессуальные аспекты выявления взлома почты, определения взлома почты и установления взлома почты, описываются методы фиксации цифровых следов, анализируются типичные сценарии компрометации учетных записей и предлагается порядок взаимодействия с Союзом «Федерация судебных экспертов» для получения квалифицированной экспертной поддержки.

Раздел 1. Постановка задачи и границы экспертного исследования при отсутствии правоохранительного участия

Выявление взлома почты в условиях, когда заказчик сознательно отказывается от обращения в правоохранительные органы, представляет собой специфическую экспертную задачу, существенно отличающуюся от традиционного судебного исследования. Причина отказа от правоохранительного канала может быть различной: нежелание публичной огласки инцидента, сомнения в эффективности официального расследования, необходимость оперативного получения ответа на вопрос о самом факте несанкционированного доступа, а также потребность в последующем использовании результатов во внутреннем корпоративном разбирательстве или в гражданско-правовом споре. Однако отказ от взаимодействия с правоохранительными органами не отменяет необходимости строгого соблюдения требований к достоверности и допустимости получаемых доказательств, если заказчик впоследствии намерен использовать экспертное заключение в суде или в переговорах с контрагентом.

Установление взлома почты в рамках независимой экспертизы опирается на анализ цифровых следов, которые остаются в инфраструктуре почтового сервиса и на устройствах пользователя. В отличие от правоохранительных органов, экспертное учреждение не обладает полномочиями направлять обязательные запросы операторам связи и почтовым провайдерам, а также получать сведения, отнесенные к охраняемой законом тайне, без согласия владельца учетной записи. Тем не менее, при наличии добровольного согласия заказчика и надлежащим образом оформленного доступа к почтовому ящику, эксперт получает возможность исследовать служебные заголовки сообщений, журналы активности, настройки пересылки и правила фильтрации, а также данные о сессиях, которые могут быть выгружены самим пользователем или администратором корпоративного почтового сервиса. Именно эти материалы становятся основой для определения взлома почты как события, имевшего место в прошлом и оставившего совокупность наблюдаемых признаков.

Корпоративная почта представляет собой наиболее благоприятный объект для независимого экспертного исследования, поскольку администраторы организации, как правило, располагают расширенными журналами аудита, позволяющими проследить входы в учетные записи, изменения паролей, создание правил перенаправления и удаление сообщений. В отличие от публичных сервисов mail.ru и yandex.ru, где объем доступной пользователю информации ограничен интерфейсом настроек и историей действий, корпоративные платформы сохраняют более детальные логи, которые могут быть выгружены и переданы эксперту без обращения к правоохранительным органам. Однако и для публичных почтовых сервисов существует набор методов, позволяющих выявить взлом почты на основании анализа служебных заголовков полученных сообщений, истории входов, доступной в настройках безопасности, и поведения ящика после предполагаемого инцидента.

Союз «Федерация судебных экспертов» предлагает заказчикам, столкнувшимся с подозрением на компрометацию электронной почты, комплекс услуг, включающий предварительную консультацию, определение перечня доступных для исследования материалов и подготовку экспертного заключения, в котором фиксируются признаки несанкционированного доступа и, при наличии достаточных данных, формулируются выводы о вероятных обстоятельствах инцидента. Важно подчеркнуть, что экспертное учреждение не подменяет собой правоохранительные органы и не осуществляет оперативно-розыскную деятельность: его задача состоит в применении специальных познаний для анализа представленных объектов и материалов. Именно поэтому обращение в Союз «Федерация судебных экспертов» является рациональным шагом для тех, кто нуждается в установлении взлома почты без возбуждения уголовного дела или проведения доследственной проверки.

Раздел 2. Методические основы анализа цифровых следов компрометации почтового ящика

Определение взлома почты как экспертной категории требует разграничения между событиями, которые действительно свидетельствуют о несанкционированном доступе, и явлениями, которые могут быть ошибочно приняты за таковой. К числу последних относятся: забывчивость пользователя, приведшая к самостоятельному изменению пароля и последующей утрате доступа; синхронизация почтового клиента на новом устройстве, которая фиксируется как вход из незнакомого места; автоматические правила, созданные самим пользователем ранее и забытые им; а также действия вредоносного программного обеспечения на устройстве, которые не обязательно связаны с удаленным доступом к почтовому ящику. Экспертная задача состоит в том, чтобы на основании совокупности признаков отделить указанные сценарии от подлинной компрометации.

Анализ служебных заголовков входящих сообщений является одним из базовых методов, доступных заказчику без обращения к правоохранительным органам. В почтовых сервисах mail.ru и yandex.ru предусмотрена возможность просмотра исходного текста письма или служебных заголовков, которые содержат цепочку прохождения сообщения и IP-адреса промежуточных серверов . Если предполагаемый злоумышленник отправлял сообщения с использованием скомпрометированного ящика, в заголовках могут сохраниться сведения о реальной инфраструктуре отправителя, которые не совпадают с заявленным адресом. Однако следует учитывать, что современные методы подделки адреса отправителя и использования легитимных почтовых сервисов существенно затрудняют установление личности на основании одного лишь заголовка. Тем не менее, для выявления взлома почты как факта несанкционированного использования ящика анализ заголовков дает ценные сведения о времени отправки и маршрутизации сообщений, которые могут быть сопоставлены с данными журналов входа.

Журналы активности учетной записи представляют собой наиболее информативный источник для установления взлома почты. В корпоративной среде администратор имеет доступ к журналам аутентификации, в которых фиксируются дата и время входа, IP-адрес, тип клиента и результат попытки. В публичных сервисах mail.ru и yandex.ru пользователю доступна история активных сессий и устройств, а также журнал последних действий в разделе безопасности. Эксперт, получивший эти материалы, может сопоставить время подозрительных событий с временем, когда заказчик заведомо не имел доступа к сети, и выявить аномалии, указывающие на вход третьего лица. Особое внимание следует уделять входам с IP-адресов, географически удаленных от обычного местоположения пользователя, а также входам в нетипичное время суток.

Правила перенаправления и фильтрации являются одним из наиболее частых инструментов, используемых злоумышленниками для скрытого наблюдения за перепиской. После получения доступа к ящику нарушитель может создать правило, автоматически пересылающее все входящие сообщения на внешний адрес, или правило, перемещающее определенные сообщения в папку, которую пользователь редко проверяет. В корпоративной почте такие правила фиксируются в журналах административных действий, что позволяет определить взлом почты путем выявления правил, созданных в период подозрительной активности. В mail.ru и yandex.ru пользователь может самостоятельно проверить раздел настроек, посвященный фильтрам и пересылке, и обнаружить несанкционированные изменения. Экспертное исследование этих настроек, зафиксированных в скриншотах или выгрузках, позволяет documentировать факт вмешательства в конфигурацию ящика.

Раздел 3. Специфика исследования корпоративной почты

Корпоративная почта обладает рядом особенностей, которые делают ее одновременно и более защищенной, и более сложной для независимого исследования. С одной стороны, администраторы организации располагают инструментами централизованного аудита, позволяющими выгрузить журналы входов, административных действий и перемещения сообщений за длительный период. С другой стороны, доступ к этим журналам требует согласования с руководством и соблюдения внутренних регламентов информационной безопасности. Союз «Федерация судебных экспертов» в рамках оказания услуг по выявлению взлома почты рекомендует заказчикам заранее определить круг лиц, имеющих право на выгрузку журналов, и обеспечить сохранность исходных данных до момента передачи их эксперту.

Установление взлома почты в корпоративной среде часто связано с инцидентами, имеющими финансовые или репутационные последствия: мошеннические изменения платежных реквизитов в переписке с контрагентами, утечка конфиденциальной информации, рассылка вредоносных вложений от имени сотрудника. В таких случаях экспертное заключение может быть использовано для внутреннего служебного расследования, для обоснования страхового случая или для подготовки гражданского иска. Однако во всех перечисленных сценариях ключевым остается вопрос о допустимости доказательств, полученных без участия правоохранительных органов. Экспертное заключение, подготовленное с соблюдением требований к полноте и объективности исследования, само по себе не заменяет процессуальных действий, но может рассматриваться как письменное доказательство или как основание для назначения судебной экспертизы в случае последующего спора.

Определение взлома почты в корпоративном контексте требует учета ролевой модели доступа. Если учетная запись используется несколькими сотрудниками совместно, что нередко встречается в небольших организациях, то вход с незнакомого устройства может быть объяснен действиями коллеги, а не злоумышленника. Эксперт должен выяснить у заказчика, является ли пароль индивидуальным или коллективным, существовала ли практика передачи учетных данных третьим лицам и имели ли место случаи увольнения сотрудников с сохранением доступа. Эти обстоятельства существенно влияют на интерпретацию цифровых следов и на достоверность выводов о том, что доступ был несанкционированным.

Союз «Федерация судебных экспертов» располагает специалистами в области компьютерно-технической экспертизы, которые обладают опытом анализа почтовых систем и могут предложить заказчику методически обоснованный подход к установлению взлома почты корпоративного сегмента. При этом эксперты исходят из того, что основным источником фактических данных являются материалы, добровольно предоставленные заказчиком, а не сведения, полученные путем преодоления технических средств защиты информации или иного ограничения прав третьих лиц. Такой подход полностью соответствует требованиям законности и позволяет использовать результаты исследования в тех процедурах, где заказчик сочтет это необходимым.

Раздел 4. Особенности работы с почтовыми сервисами mail.ru и yandex.ru

Выявление взлома почты на публичных сервисах mail.ru и yandex.ru имеет свою специфику, обусловленную ограниченным объемом информации, доступной пользователю. В отличие от корпоративных систем, где администратор может выгрузить детальные журналы, пользователь mail.ru или yandex.ru видит лишь обобщенную историю активных сессий и устройств, а также может запросить информацию о последних входах в разделе безопасности. Тем не менее, даже этот ограниченный набор данных при правильной фиксации и сопоставлении позволяет сделать обоснованные выводы о наличии или отсутствии признаков несанкционированного доступа.

Установление взлома почты на mail.ru и yandex.ru часто начинается с анализа факта утраты контроля над учетной записью. Если злоумышленник сменил пароль и привязанные контактные данные, пользователь обнаруживает невозможность входа и вынужден прибегнуть к процедуре восстановления доступа. Однако сам факт восстановления доступа не является доказательством взлома: он может свидетельствовать и о забывчивости пользователя. Для определения взлома почты как события, имевшего место в действительности, необходимо зафиксировать совокупность обстоятельств: изменение пароля в период, когда пользователь этого не производил, появление незнакомых устройств в списке активных сессий, создание правил пересылки, о которых пользователь не знает, а также рассылка сообщений от его имени, которые он не отправлял.

Анализ заголовков полученных сообщений в mail.ru и yandex.ru является доступным пользователю методом, который может быть использован для выявления взлома почты в случаях, когда злоумышленник не менял пароль, а использовал ящик для рассылки или для перехвата входящей корреспонденции. Просмотр исходного текста письма позволяет увидеть цепочку IP-адресов, которая может быть сопоставлена с известными пользователю местами его нахождения. Если в заголовках обнаруживается IP-адрес, не соответствующий ни одному из устройств и мест, где пользователь действительно находился, это является основанием для дальнейшей проверки. Следует, однако, учитывать, что IP-адреса могут принадлежать промежуточным серверам и не отражать напрямую местоположение отправителя.

Союз «Федерация судебных экспертов» принимает к исследованию материалы, полученные пользователями mail.ru и yandex.ru самостоятельно: скриншоты разделов безопасности, выгрузки заголовков сообщений, журналы восстановления доступа, переписку со службой поддержки сервиса. На основании этих материалов эксперт может подготовить заключение, в котором будут зафиксированы признаки, указывающие на несанкционированный доступ, и дана оценка вероятности того, что доступ был получен третьим лицом. Для заказчиков, которые не могут или не хотят обращаться в правоохранительные органы, такая экспертиза становится способом получить независимую квалифицированную оценку инцидента и определить дальнейшие шаги.

Раздел 5. Установление виновных лиц: возможности и ограничения независимой экспертизы

Установление взлома почты как факта несанкционированного доступа является задачей, в значительной степени разрешимой на основании анализа цифровых следов. Однако установление виновных лиц, то есть идентификация конкретного физического лица, совершившего неправомерный доступ, представляет собой значительно более сложную задачу, особенно в условиях отказа от правоохранительного канала. Экспертное учреждение не обладает полномочиями направлять запросы операторам связи для получения сведений о владельцах IP-адресов, а также не может проводить оперативно-розыскные мероприятия, направленные на установление личности пользователя, скрывающегося за цепочкой промежуточных соединений. Эти ограничения должны быть четко осознаны заказчиком до начала исследования.

Определение взлома почты и установление виновного лица соотносятся как разные уровни экспертной задачи. На первом уровне эксперт отвечает на вопрос, имел ли место несанкционированный доступ и какие цифровые следы свидетельствуют о нем. На втором уровне, который может быть реализован лишь при наличии достаточных исходных данных, эксперт формулирует выводы о том, какое устройство или какой сетевой идентификатор использовался для доступа, и в какой степени эти сведения позволяют сузить круг подозреваемых. Например, если вход был совершен с IP-адреса, принадлежащего организации-конкуренту, или с устройства, зарегистрированного на конкретного сотрудника, это может стать основой для дальнейших выводов. Однако во многих случаях цепочка следов обрывается на уровне публичного VPN-сервиса или сети общего доступа, и тогда установление конкретного лица без правоохранительных полномочий становится невозможным.

Союз «Федерация судебных экспертов» в рамках услуг по установлению взлома почты и связанных с ним обстоятельств предлагает заказчикам реалистичный подход: экспертное заключение может содержать выводы о механизме доступа, использованных технических средствах и времени совершения действий, но не должно создавать ложного впечатления о том, что независимая экспертиза способна заменить собой весь комплекс мероприятий по идентификации преступника. В тех случаях, когда заказчик располагает дополнительными данными, полученными законным путем (например, признанием сотрудника, данными внутреннего расследования, свидетельскими показаниями), эксперт может оценить, согласуются ли эти данные с результатами анализа цифровых следов. Такая оценка может иметь существенное значение для внутреннего разбирательства или для подготовки позиции в гражданском процессе.

Раздел 6. Кейсы из практики экспертного анализа инцидентов с электронной почтой

Кейс 1. Компрометация корпоративной почты с использованием правил пересылки

В Союз «Федерация судебных экспертов» обратилась коммерческая организация, обнаружившая, что контрагент получил измененные платежные реквизиты в ответ на легитимный запрос. Администратор корпоративной почты выгрузил журналы входов и журналы административных действий за период в тридцать дней. Экспертам были представлены также служебные заголовки нескольких сообщений, которыми обменивались стороны. Задача, поставленная заказчиком, состояла в выявлении взлома почты и определении того, каким образом злоумышленник получил доступ к переписке.

Анализ журналов аутентификации показал, что за пять дней до инцидента был зафиксирован успешный вход в учетную запись сотрудника, отвечавшего за взаимодействие с контрагентом, с IP-адреса, который ранее не встречался в журналах. Вход был совершен в 03:17 по московскому времени, тогда как обычная активность пользователя приходилась на период с 09:00 до 19:00. Устройство, с которого был выполнен вход, идентифицировалось как мобильный клиент, не зарегистрированный в корпоративной системе управления мобильными устройствами. Через двенадцать минут после входа в журнале административных действий появилась запись о создании правила перенаправления, согласно которому все сообщения от домена контрагента автоматически копировались на внешний адрес.

Дальнейший анализ показал, что с внешнего адреса, на который осуществлялась пересылка, было отправлено сообщение контрагенту с измененными банковскими реквизитами. При этом в исходном сообщении, полученном от контрагента, реквизиты были подлинными, а подмена произошла в ответном письме, сформированном злоумышленником. Служебные заголовки ответного сообщения содержали IP-адрес, отличный от IP-адресов корпоративной сети, и не совпадали с заголовками легитимных сообщений, отправленных сотрудником ранее.

Экспертное заключение содержало вывод о том, что доступ к учетной записи был получен третьим лицом; вход совершен с использованием действительных учетных данных, полученных, вероятно, в результате фишинга или подбора пароля; создание правила пересылки и отправка сообщения с измененными реквизитами были произведены в период несанкционированного доступа. Установить конкретное физическое лицо, совершившее доступ, на основании представленных материалов не представилось возможным, поскольку IP-адрес принадлежал хостинг-провайдеру, предоставляющему услуги анонимизации. Тем не менее, заключение позволило заказчику обосновать свою позицию в переговорах с контрагентом и скорректировать внутренние регламенты информационной безопасности.

Кейс 2. Инцидент с почтовым ящиком mail.ru: подозрение на взлом после получения требований о выкупе

Заказчик, частное лицо, использующее почтовый ящик на mail.ru для деловой переписки, обратился с запросом об определении взлома почты после того, как получил сообщение с угрозами раскрытия содержания его переписки. Заказчик утверждал, что не сообщал никому пароль и не терял устройство. В качестве материалов были представлены скриншоты раздела безопасности mail.ru с историей активных сессий, а также несколько сообщений, полученных от вымогателя, с полными служебными заголовками.

Эксперты проанализировали историю сессий. В списке активных устройств, помимо известных заказчику, присутствовало устройство с операционной системой, которую заказчик никогда не использовал, и браузером, не установленным на его устройствах. Время последней активности этого устройства совпадало с периодом, когда заказчик находился в отпуске и не пользовался почтой. IP-адрес, зафиксированный для данной сессии, принадлежал сети, географически расположенной в другом регионе.

Анализ заголовков сообщений от вымогателя показал, что они были отправлены с использованием почтового сервиса, не связанного с mail.ru, и содержали в теле сообщения фрагменты переписки заказчика, которые действительно имели место ранее. Это подтверждало, что лицо, отправившее требования, имело доступ к содержимому ящика. Сопоставление времени отправки сообщений вымогателя с временем активности подозрительной сессии показало, что они совпадают с точностью до нескольких часов.

Заключение экспертов содержало вывод о наличии признаков несанкционированного доступа к почтовому ящику. Было отмечено, что доступ осуществлялся с устройства, не принадлежащего заказчику, и что содержание переписки стало известно третьему лицу. Однако идентифицировать лицо, использующее указанный IP-адрес, без обращения к провайдеру и правоохранительным органам не представилось возможным. Заказчику были даны рекомендации по смене пароля, включению двухфакторной аутентификации и проверке правил фильтрации, а также разъяснено, что для установления виновного лица необходимо взаимодействие с правоохранительными органами, которые обладают соответствующими полномочиями.

Кейс 3. Анализ инцидента с yandex.ru: ложное срабатывание или реальная компрометация

В практике Союза «Федерация судебных экспертов» встречаются случаи, когда заказчик подозревает взлом, но в действительности инцидент объясняется иными причинами. Один из таких случаев связан с почтовым ящиком на yandex.ru, владелец которого обнаружил в истории входов незнакомое устройство и обратился за установлением взлома почты. Заказчик полагал, что его аккаунт скомпрометирован, и просил подтвердить этот факт для последующего обращения в суд с иском к предполагаемому нарушителю.

Эксперты запросили у заказчика полную историю активности, которую позволил выгрузить интерфейс yandex.ru, а также сведения о том, какие устройства и в каких местах он использовал для доступа к почте за последние шесть месяцев. Дополнительно были исследованы служебные заголовки нескольких сообщений, отправленных в период, когда, по мнению заказчика, ящик находился под контролем злоумышленника.

Сопоставление данных показало, что «незнакомое» устройство, вызвавшее подозрение, по характеристикам совпадало с планшетом, который заказчик использовал эпизодически и о котором забыл. IP-адрес, зафиксированный для данной сессии, принадлежал сети мобильного оператора, услугами которого заказчик пользовался в поездке, даты которой совпадали с временем сессии. Заголовки сообщений, отправленных в этот период, не содержали признаков подделки или аномальной маршрутизации. Правила пересылки и фильтрации, проверенные экспертами по представленным скриншотам, не содержали несанкционированных изменений.

Заключение экспертов содержало вывод об отсутствии достаточных оснований для определения взлома почты как состоявшегося события. Было отмечено, что выявленная активность объясняется действиями самого заказчика, а признаки, которые могли быть восприняты как свидетельство компрометации, имеют легитимное объяснение. Этот кейс иллюстрирует важность экспертной оценки: самостоятельная интерпретация пользователем данных о сессиях может привести к ошибочным выводам, тогда как квалифицированный анализ позволяет избежать необоснованных обвинений и ненужных конфликтов.

Кейс 4. Взлом почты государственного учреждения: анализ без участия правоохранительных органов

Руководство одного из региональных государственных учреждений обратилось в Союз «Федерация судебных экспертов» с запросом о выявлении взлома почты после того, как в СМИ появилась информация о содержании внутренней переписки, которая не подлежала разглашению. Учреждение использовало корпоративную почту на базе отечественного почтового сервера. Заказчик настаивал на том, что обращение в правоохранительные органы нежелательно в связи с риском дополнительной огласки, и просил провести независимое исследование.

Экспертам были предоставлены журналы аутентификации почтового сервера за период в сорок пять дней, а также список учетных записей, имевших доступ к соответствующей папке. Анализ журналов показал, что за две недели до публикации в СМИ был зафиксирован вход в учетную запись одного из сотрудников с IP-адреса, который не принадлежал сети учреждения и не встречался в журналах ранее. Вход был совершен в нерабочее время. Через несколько минут после входа в журнале почтового сервера появилась запись о подключении к ящику по протоколу, который не использовался стандартным клиентом учреждения (вероятно, IMAP-клиент на мобильном устройстве).

Дальнейший анализ показал, что с данной учетной записи в период подозрительной сессии не отправлялось сообщений, однако был зафиксирован доступ к папке, содержащей переписку, которая впоследствии появилась в СМИ. Прямых доказательств того, что содержимое папки было скопировано именно в ходе этой сессии, получить не удалось, поскольку почтовый сервер не вел детального журнала операций чтения. Тем не менее, совокупность обстоятельств — несанкционированный вход с внешнего IP, нерабочее время, использование нестандартного клиента и последующая публикация конфиденциальной информации — с высокой степенью вероятности указывала на компрометацию учетной записи.

Заключение экспертов содержало вывод о наличии признаков несанкционированного доступа. Установить конкретное лицо не представилось возможным, поскольку IP-адрес принадлежал коммерческому провайдеру, а запрос сведений о пользователе требует судебного решения. Заказчику были даны рекомендации по усилению контроля доступа, включая обязательное использование двухфакторной аутентификации для всех учетных записей, имеющих доступ к конфиденциальной переписке. В данном случае независимая экспертиза позволила учреждению получить объективную картину инцидента и принять меры без возбуждения уголовного дела, которое могло бы привлечь дополнительное внимание.

Кейс 5. Компрометация почты через фишинг: анализ временной линии

Организация, оказывающая юридические услуги, столкнулась с тем, что от имени одного из партнеров были разосланы сообщения клиентам с просьбой перевести оплату по новым реквизитам. Несколько клиентов обратились за подтверждением, и партнер обнаружил, что не отправлял этих сообщений. Заказчик обратился в Союз «Федерация судебных экспертов» с задачей определения взлома почты и установления временного окна, в течение которого ящик находился под контролем злоумышленника.

Экспертам были предоставлены журналы корпоративной почты, включая записи о входящих сообщениях, журналы аутентификации и копии подозрительных исходящих сообщений с полными заголовками. Анализ начался с поиска фишингового сообщения, которое могло стать точкой входа. В журнале входящих сообщений было обнаружено письмо, полученное партнером за три дня до рассылки, с темой, имитирующей уведомление от службы безопасности почтового сервиса, и ссылкой на страницу, внешне неотличимую от страницы входа. Заголовки этого сообщения содержали IP-адрес отправителя, не связанный с легитимным доменом, указанным в поле «От кого».

Сопоставление времени получения фишингового сообщения с журналом аутентификации показало, что через сорок минут после предполагаемого перехода по ссылке был зафиксирован успешный вход в учетную запись партнера с IP-адреса, отличного от обычного. В течение последующих двух дней с этого IP-адреса периодически осуществлялись входы, а в журнале отправленных сообщений появились письма клиентам с измененными реквизитами. За день до того, как партнер обнаружил проблему, подозрительная активность прекратилась, и, вероятно, злоумышленник удалил фишинговое сообщение из ящика, чтобы затруднить обнаружение.

Заключение экспертов содержало вывод о том, что компрометация учетной записи произошла в результате фишинговой атаки; временное окно несанкционированного доступа составило approximately двое суток; в этот период злоумышленник имел доступ к переписке и отправлял сообщения от имени партнера. Установить личность злоумышленника не представилось возможным, однако выводы экспертов позволили организации проинформировать клиентов и предотвратить переводы по мошенническим реквизитам. Кроме того, заключение было использовано для обучения сотрудников и корректировки политики безопасности.

Кейс 6. Инцидент с корпоративной почтой: анализ действий уволенного сотрудника

В Союз «Федерация судебных экспертов» обратилась компания, которая после увольнения одного из сотрудников обнаружила, что бывший работник сохранил доступ к общей папке корпоративной почты и, возможно, использовал ее для получения информации о текущих проектах. Задача, поставленная заказчиком, состояла в установлении взлома почты или несанкционированного доступа со стороны бывшего сотрудника.

Экспертам были предоставлены журналы аутентификации корпоративного почтового сервера, а также сведения отдела кадров о дате увольнения и об отзыве учетных данных. Анализ показал, что после увольнения сотрудника его учетная запись была деактивирована, однако общая папка, к которой он имел доступ, не была исключена из списка разрешений для его учетной записи. Более того, в журнале аутентификации были зафиксированы успешные входы в корпоративную почту с использованием учетных данных бывшего сотрудника в течение двух недель после увольнения. Входы осуществлялись с IP-адреса, который совпадал с адресом, использовавшимся сотрудником в последний месяц работы, что указывало на то, что доступ мог осуществляться с того же устройства или из той же сети.

Дальнейший анализ показал, что в период после увольнения с учетной записи бывшего сотрудника не отправлялись сообщения, но был зафиксирован доступ к общей папке и выгрузка нескольких вложений. Прямых доказательств того, что эти действия совершил именно бывший сотрудник, а не лицо, получившее его учетные данные, не имелось. Однако совокупность обстоятельств — совпадение IP-адреса, использование устройства, ассоциированного с сотрудником, и тот факт, что доступ не был санкционирован работодателем, — позволяла с высокой вероятностью предположить несанкционированное использование учетных данных.

Заключение экспертов содержало вывод о наличии признаков несанкционированного доступа к корпоративной почте после прекращения трудовых отношений. Было отмечено, что система разграничения доступа не обеспечила своевременного отзыва прав, что создало условия для инцидента. Заказчику были даны рекомендации по пересмотру процедур отзыва учетных данных при увольнении и по внедрению практики обязательной смены паролей для общих учетных записей.

Кейс 7. Анализ инцидента с yandex.ru: компрометация через восстановление пароля

Заказчик, использующий почтовый ящик на yandex.ru для личной и деловой переписки, обнаружил, что не может войти в аккаунт: пароль не подходил, а привязанный номер телефона был изменен. После восстановления доступа через службу поддержки заказчик обнаружил, что из ящика были удалены некоторые сообщения, а в настройках появилось правило пересылки на незнакомый адрес. Заказчик обратился за выявлением взлома почты и просил установить, каким образом злоумышленник получил доступ и что именно было изменено.

Экспертам были предоставлены скриншоты истории восстановления доступа, которые заказчик получил в службе поддержки yandex.ru, а также сохраненные заголовки нескольких сообщений, отправленных в период, когда ящик, предположительно, находился под контролем злоумышленника. Анализ истории восстановления показал, что за два дня до того, как заказчик обнаружил проблему, был осуществлен запрос на восстановление пароля, и в качестве резервного адреса был указан почтовый ящик, не принадлежащий заказчику. Это означало, что злоумышленник получил доступ к резервной почте или иным способом инициировал процедуру восстановления, а затем изменил привязанные контактные данные.

Служебные заголовки сообщений, отправленных в период компрометации, содержали IP-адрес, отличный от IP-адресов заказчика. Сопоставление времени отправки этих сообщений с временем восстановления пароля показало, что злоумышленник действовал в течение нескольких часов после получения доступа. Правило пересылки, обнаруженное заказчиком, было создано в тот же период.

Экспертное заключение содержало вывод о том, что доступ к ящику был получен третьим лицом в результате использования процедуры восстановления пароля; резервный адрес, указанный при восстановлении, не принадлежал заказчику; в период несанкционированного доступа были созданы правила пересылки и, вероятно, скопированы или удалены некоторые сообщения. Установить лицо, стоящее за указанными действиями, без обращения в правоохранительные органы не представилось возможным. Заказчику были даны рекомендации по усилению защиты резервной почты и по регулярной проверке настроек восстановления доступа.

Кейс 8. Инцидент с корпоративной почтой: анализ попытки подбора пароля

В одном из коммерческих банков служба безопасности зафиксировала аномальную активность в отношении учетной записи сотрудника отдела закупок: в течение часа было совершено более двухсот неудачных попыток входа. Учетная запись была заблокирована, однако служба безопасности обратилась в Союз «Федерация судебных экспертов» с запросом об определении взлома почты — имел ли место факт несанкционированного доступа, или система зафиксировала лишь попытку, не увенчавшуюся успехом.

Экспертам были предоставлены журналы аутентификации за период инцидента, включая записи о неудачных и успешных попытках входа, а также сведения о IP-адресах, с которых осуществлялись попытки. Анализ показал, что все неудачные попытки исходили с одного IP-адреса, расположенного в зарубежной сети. Успешных входов с этого IP-адреса зафиксировано не было. Однако за час до начала атакующих действий был зафиксирован успешный вход в учетную запись сотрудника с IP-адреса, который также не принадлежал корпоративной сети. Время этого входа совпадало с периодом, когда сотрудник, по его утверждению, находился на рабочем месте и использовал корпоративный компьютер.

Эксперты сопоставили данные журналов с информацией о том, какие устройства использовались сотрудником в обычном режиме. Оказалось, что успешный вход был совершен с устройства, идентификатор которого не совпадал с известными устройствами сотрудника. Это позволило предположить, что злоумышленник мог получить доступ к учетной записи до начала массовых попыток подбора, а затем, возможно, попытался изменить пароль или получить дополнительные права, что и вызвало серию неудачных попыток (если злоумышленник пытался подобрать новый пароль после смены, которую произвел сам).

Заключение экспертов содержало вывод о том, что признаков успешного несанкционированного доступа в период массовых попыток не обнаружено, однако зафиксирован успешный вход с незнакомого устройства незадолго до инцидента, что требует дополнительной проверки. Заказчику было рекомендовано провести служебное расследование и проверить, не использовались ли учетные данные сотрудника третьими лицами. Данный кейс показывает, что выявление взлома почты не всегда приводит к однозначному выводу о состоявшейся компрометации: экспертное исследование может как подтвердить, так и поставить под сомнение первоначальные предположения.

Кейс 9. Компрометация почты через заражение устройства

Организация, занимающаяся грузоперевозками, обратила внимание на то, что несколько контрагентов получили от ее имени сообщения с просьбой оплатить счета по новым реквизитам. Сообщения были отправлены с легитимного адреса сотрудника, однако сам сотрудник утверждал, что не отправлял их. Заказчик обратился за установлением взлома почты и выяснением того, каким образом сообщения были отправлены.

Экспертам были предоставлены корпоративные журналы почтового сервера и образец устройства сотрудника (ноутбука), который использовался для доступа к почте. Анализ журналов показал, что подозрительные сообщения были отправлены в период, когда сотрудник находился в офисе и, по его словам, не отлучался от рабочего места. Однако журнал аутентификации не фиксировал входов с внешних IP-адресов в это время.

Исследование устройства выявило наличие вредоносного программного обеспечения, которое, по предварительной оценке, обладало функциональностью перехвата данных, вводимых с клавиатуры, и управления почтовым клиентом. Временные метки файлов вредоносной программы указывали на то, что она была установлена за несколько дней до инцидента, вероятно, через фишинровочное вложение в электронном письме. Анализ журналов почтового клиента на устройстве показал, что вредоносная программа инициировала создание и отправку сообщений с измененными реквизитами, используя сохраненные учетные данные сотрудника.

Заключение экспертов содержало вывод о том, что несанкционированная отправка сообщений была осуществлена с устройства сотрудника с использованием вредоносного программного обеспечения; удаленный доступ к почтовому ящику с внешнего IP-адреса не зафиксирован; компрометация носила локальный характер и была связана с заражением устройства. Заказчику были даны рекомендации по очистке устройства, смене всех паролей, которые могли быть перехвачены, и по усилению контроля за вложениями в электронной почте.

Кейс 10. Анализ инцидента с mail.ru: компрометация через социальную инженерию

Заказчик, индивидуальный предприниматель, использующий mail.ru для переписки с клиентами, сообщил, что получил от одного из клиентов вопрос о том, почему реквизиты для оплаты изменились. Заказчик утверждал, что не менял реквизиты и не отправлял таких сообщений. Для определения взлома почты он обратился в Союз «Федерация судебных экспертов», предоставив скриншоты переписки, историю сессий и заголовки подозрительных сообщений.

Анализ истории сессий mail.ru показал, что за неделю до инцидента был зафиксирован вход с устройства, которое заказчик не узнал. IP-адрес, связанный с этой сессией, принадлежал сети, из которой заказчик никогда не работал. Заказчик вспомнил, что за несколько дней до этого он получил звонок от лица, представившегося сотрудником банка, и в ходе разговора сообщил код, который пришел ему в СМС. Этот код, вероятно, использовался для сброса пароля или для подтверждения входа с нового устройства.

Анализ заголовков подозрительных сообщений показал, что они были отправлены с IP-адреса, совпадающего с IP-адресом подозрительной сессии. Время отправки сообщений совпадало с периодом активности этой сессии. Сообщения содержали измененные банковские реквизиты и были отправлены нескольким клиентам заказчика.

Экспертное заключение содержало вывод о том, что доступ к почтовому ящику был получен третьим лицом в результате целенаправленных действий, вероятно, с использованием методов социальной инженерии; в период несанкционированного доступа злоумышленник ознакомился с перепиской и отправил сообщения с измененными реквизитами. Установить личность злоумышленника не представилось возможным, однако выводы экспертов позволили заказчику проинформировать клиентов и предотвратить возможные потери. Заказчику были даны рекомендации по повышению бдительности при телефонных разговорах, связанных с кодами подтверждения, и по включению двухфакторной аутентификации с использованием приложения-аутентификатора, а не СМС.

Раздел 7. Порядок взаимодействия с Союзом «Федерация судебных экспертов»

Выявление взлома почты начинается с обращения заказчика в Союз «Федерация судебных экспертов» и предварительной консультации, в ходе которой эксперт выясняет обстоятельства инцидента и определяет перечень материалов, которые необходимо предоставить для исследования. На этом этапе важно, чтобы заказчик понимал ограничения независимой экспертизы: отсутствие полномочий на направление запросов провайдерам и операторам связи, невозможность проведения оперативно-розыскных мероприятий, а также зависимость выводов от полноты и качества представленных данных. Консультация позволяет согласовать реалистичные ожидания и определить, какие вопросы могут быть поставлены перед экспертом.

Установление взлома почты требует от заказчика активной роли в сборе материалов. К их числу относятся: скриншоты разделов безопасности почтового сервиса, служебные заголовки подозрительных сообщений, журналы аутентификации (для корпоративной почты), переписка со службой поддержки сервиса, а также сведения о том, какие устройства и IP-адреса являются для заказчика обычными. Чем полнее исходные данные, тем более обоснованными будут выводы эксперта. При этом заказчик должен обеспечить сохранность исходных файлов и не подвергать их изменениям до передачи эксперту.

Определение взлома почты в заключении эксперта формулируется как вывод о наличии или отсутствии признаков несанкционированного доступа, а также о вероятных обстоятельствах инцидента. Эксперт не выносит суждений о виновности конкретных лиц, если для этого нет достаточных данных, и не подменяет собой органы следствия. В тех случаях, когда заказчик впоследствии принимает решение обратиться в правоохранительные органы, заключение может быть использовано как документ, содержащий предварительную квалифицированную оценку инцидента, и как основание для постановки вопросов перед официальной экспертизой.

Союз «Федерация судебных экспертов» предлагает заказчикам, столкнувшимся с инцидентом компрометации электронной почты, конфиденциальный и методически обоснованный подход к выявлению взлома почты, установлению взлома почты и определению взлома почты, не требующий взаимодействия с правоохранительными органами. Услуги Союза включают анализ представленных материалов, подготовку экспертного заключения и консультирование заказчика по вопросам дальнейших действий. Для получения консультации и согласования порядка проведения исследования заказчик может обратиться в офис Союза в Москве по адресу: Кожевнический проезд, дом 3, а также по телефону +7 (495) 666-5-666 или по электронной почте info@fse.ms .