Короткий ответ
Для домашнего пользователя приоритеты — почта, банк, мессенджеры, облако и устройство. В организации следуйте плану реагирования и немедленно уведомите ответственную команду: самостоятельные действия могут распространить проблему.
Локализация
Отключите скомпрометированное устройство от сети или завершите неизвестную сессию. Не выключайте критичный сервер без инструкции специалиста, если это потеряет оперативные данные.
Доказательства
Запишите время, сообщения, адреса, номера операций и сделайте снимки без публикации секретов. Не редактируйте подозрительные файлы.
Восстановление и уроки
Восстанавливайте из доверенной копии после устранения причины. Затем обновите процессы: 2FA, резервное копирование, права и обучение.
Чек-лист действий
- Остановите активный ущерб.
- Сообщите ответственным и банку при необходимости.
- Сохраните временную шкалу и доказательства.
- С чистого устройства защитите аккаунты.
- Восстановите и проведите разбор причины.
Что часто делают неправильно
- Скрывать инцидент.
- Удалять журналы и письма.
- Менять пароли на заражённом устройстве.
- Возвращать резервную копию без устранения входа.