[{"data":1,"prerenderedAt":188},["ShallowReactive",2],{"publication:ru:P064":3},{"meta":4,"copy":18,"relatedArticles":147,"terms":180,"term":181,"resourceParent":182,"glossaryParent":185},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":16,"preparedOn":17},"P064","\u002Fblog\u002Fmicrosoft-365-account-compromise","article","взломали аккаунт Microsoft 365 что делать","Взломали аккаунт Microsoft 365: первые действия и восстановление","Взлом аккаунта Microsoft 365: план действий","Что делать при подозрении на взлом Microsoft 365: доверенный администратор, ограничение доступа, сеансы, правила, приложения, материалы и приемка восстановления.",[13,14,15],"\u002Femergency","\u002Fservices\u002Fcorporate-email","\u002Fservices\u002Faccess-2fa-audit","2026-06-02","2026-10-31",{"intro":19,"sections":20,"checklistTitle":102,"checklist":103,"faq":110,"sources":120,"links":123,"cta":142},"Если взломали аккаунт Microsoft 365, свяжитесь с уполномоченным администратором через доверенный канал, ограничьте подозрительный доступ и проверьте способы входа, сеансы, почтовые правила и разрешения приложений. Смена пароля является только частью реагирования. Действия зависят от облачной или связанной идентичности; восстановление работы принимают по проверяемым результатам, а не по исчезновению одного предупреждения.",[21,31,69,78,86,97],{"title":22,"paragraphs":23,"sources":27},"Отделите наблюдаемые признаки от подтвержденного захвата",[24,25,26],"Поводом для срочного разбора могут быть неизвестные отправленные письма, новые правила пересылки, измененные методы входа, несогласованные запросы подтверждения или жалобы получателей. Один признак не устанавливает всю цепочку инцидента. Зафиксируйте время, учетную запись и наблюдение без преждевременного вывода о том, кто получил доступ и какие данные прочитал.","Используйте доверенное устройство и независимый канал связи с владельцем организации или администратором. Не отправляйте новые пароли и планы реагирования в подозреваемый ящик. Не подтверждайте неожиданные запросы MFA и не выполняйте инструкции из переписки, подлинность которой еще не проверена.","Если подозрительное письмо касается платежа, изменения реквизитов или срочного перевода, проверьте запрос у известного контакта по ранее подтвержденному каналу. Финансовые и организационные меры согласуйте с ответственными сторонами. Техническое руководство не определяет обязанности уведомления во всех странах.",[28],{"label":29,"url":30},"Microsoft: реагирование на захват облачного ящика","https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fdefender-office-365\u002Fresponding-to-a-compromised-email-account",{"title":32,"paragraphs":33,"table":37,"sources":64},"Ограничьте доступ, сохраняя необходимые свидетельства",[34,35,36],"Администратор устанавливает, где управляется идентичность, какие права доступны и какие меры можно применить без потери резервного управления. Ограничение новых входов, сброс учетных данных и отзыв сеансов выбираются по ситуации. При активном подтвержденном вредоносном доступе сбор идеального набора доказательств не должен задерживать необходимое ограничение.","Одновременно сохраняйте доступные журналы, сведения об изменениях и необходимые заголовки сообщений в защищенном месте. Не удаляйте подозрительные правила до фиксации их содержания, если это не мешает срочной защите. Не пересылайте всю переписку и журналы в публичные чаты: в них могут находиться данные клиентов и внутренние сведения.","Следующая матрица описывает области проверки, а не команду массового отключения. Выполнять действия вправе только уполномоченный администратор; последствия для критичных общих ящиков и интеграций оцениваются вместе с владельцем бизнеса.",{"caption":38,"headers":39,"rows":43},"Первичная реакция на подозрение захвата Microsoft 365",[40,41,42],"Область","Задача администратора","Что проверить отдельно",[44,48,52,56,60],[45,46,47],"Вход в учетную запись","Ограничить подтвержденный вредоносный доступ","Источник идентичности и резервное управление",[49,50,51],"Пароль и методы аутентификации","Восстановить контроль доверенного владельца","Неизвестные методы и средства восстановления",[53,54,55],"Токены и сеансы","Применить поддерживаемый отзыв","Уже выданные токены и сеансы приложений",[57,58,59],"Почтовые правила и пересылки","Остановить несогласованную обработку","Сохранить сведения и проверить скрытые зависимости",[61,62,63],"Приложения и делегирование","Устранить необоснованные полномочия","Независимые разрешения и затронутые данные",[65,66],{"label":29,"url":30},{"label":67,"url":68},"Microsoft Entra: отзыв доступа и ограничения сеансов","https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fidentity\u002Fusers\u002Fusers-revoke-access",{"title":70,"paragraphs":71,"sources":75},"Почему одного нового пароля недостаточно",[72,73,74],"Облачная учетная запись, синхронизируемая идентичность и федерация требуют разного понимания источника управления. Администратор должен подтвердить, где сбрасываются учетные данные и как изменение достигает нужной системы. Нельзя переносить инструкцию для облачного пользователя на любую гибридную инфраструктуру без проверки.","Отзыв токенов обновления не равен мгновенному прекращению всех уже выданных токенов доступа и сеансов сторонних приложений. Entra не управляет напрямую каждым сеансом, который приложение создало само. Уточните поддерживаемый механизм, возможную задержку и способ проверить фактическое прекращение доступа.","Проверьте зарегистрированные методы входа, контактные и восстановительные данные, устройства и предоставленные приложению разрешения в согласованной области. Неизвестный метод или независимое полномочие может пережить смену пароля. Удаление выполняется с сохранением нужных свидетельств и рабочей возможности восстановить законного пользователя.",[76,77],{"label":67,"url":68},{"label":29,"url":30},{"title":79,"paragraphs":80,"sources":84},"Почта и приложения: установите масштаб, а не только симптом",[81,82,83],"Проверьте правила входящих, автоматические пересылки, делегатов, отправку от имени других, измененные настройки и активность доступных журналов. Отдельно разберите приложения и согласия. Успешный вход владельца после сброса не подтверждает, что все нежелательные маршруты удалены.","Сопоставьте наблюдения с периодом подозрительной активности и возможностями хранения журналов. Если часть истории недоступна, укажите этот пробел. Отсутствие записи за недоступный период не доказывает, что данные не читали; наличие правила пересылки само по себе не дает точный объем уже переданных сведений.","Условный пример: после восстановления пароля обнаружено правило пересылки счетов и приложение с доступом к почте. Эти два пути разбирают отдельно: сохраняют сведения, подтверждают полномочия, согласуют отключение и проверяют остаточную активность. Пример вымышленный, не является результатом клиента и не утверждает, что все такие случаи имеют одинаковую причину.",[85],{"label":29,"url":30},{"title":87,"paragraphs":88,"steps":92},"Возвращайте работу через контролируемую проверку",[89,90,91],"Перед разрешением обычной работы подтвердите контроль доверенного владельца, методы входа, согласованные ограничения, устранение выявленных правил и полномочий. Проверьте прием и отправку рабочих сообщений, доступ к нужным ресурсам и критичные интеграции. Тест выполняют с доверенного устройства, не через подозреваемую прежнюю сессию.","Назначьте ответственного за последующее наблюдение и список признаков повторения. При новых несогласованных изменениях вернитесь к ограничению и расширьте область разбора с владельцем инфраструктуры. Не обещайте отсутствие скрытого доступа там, где не было полномочий или данных для проверки.","Решение об уведомлениях клиентам, сотрудникам, контрагентам или органам принимается ответственными лицами с учетом фактов и применимой юрисдикции. Техническая команда передает проверенные наблюдения, границы знания и временную последовательность. Обнаружение подозрительного входа не заменяет такой оценки.",[93,94,95,96],"Подтвердить контроль идентичности и законного владельца.","Проверить исправленные правила, методы и полномочия.","Выполнить разрешенные контрольные рабочие сценарии.","Согласовать наблюдение, канал эскалации и незакрытые вопросы.",{"title":98,"paragraphs":99},"Что передать специалисту и какой результат ожидать",[100,101],"Для первичного обращения достаточно домена, затронутого сервиса, времени первых признаков и доступности администратора. Пароли, коды MFA, закрытые ключи и полную переписку через форму не передавайте. Объем журналов и защищенный способ их получения согласуются отдельно после определения полномочий.","CyberFixCrew является израильской компанией с практическими знаниями защиты сайтов и цифровой инфраструктуры и работает с русскоязычными бизнесами по всему миру. Мы помогаем связать доступы, почту, домены и интеграции в согласованный план. Начало работ, фактическая доступность и охват уточняются; круглосуточная реакция, мгновенное восстановление и полный вывод о последствиях заранее не обещаются.","Первый список действий при подозрении взлома",[104,105,106,107,108,109],"Связались с уполномоченным администратором через доверенный канал.","Установили источник идентичности и ограничили подтвержденный вредоносный доступ.","Сохранили необходимые сведения без задержки срочного ограничения.","Разобрали пароль, методы, токены и сеансы как разные механизмы.","Проверили правила, пересылки, делегатов и приложения.","Приняли восстановление по тестам, ограничениям и плану наблюдения.",[111,114,117],{"question":112,"answer":113},"Достаточно ли поменять пароль и включить MFA?","Это важные меры, но нужно также проверить ранее выданные сеансы, методы восстановления, правила пересылки, делегирование и приложения. Точные действия зависят от идентичности и сервиса. Возврат работы подтверждают контрольными сценариями и явно указывают непроверенные области.",{"question":115,"answer":116},"Нужно ли сначала выгрузить абсолютно все журналы?","Сохраняйте необходимые доступные сведения, но не задерживайте ограничение подтвержденного активного вредоносного доступа ради идеальной полноты. Администратор выбирает порядок с учетом ситуации, полномочий и последствий для бизнеса. История и пределы видимости фиксируются в отчете.",{"question":118,"answer":119},"Можно ли понять, что никакие данные не утекли?","Не всегда: возможность вывода зависит от доступных журналов, срока хранения, приложений и известной цепочки доступа. Отсутствие видимого события не доказывает отсутствие чтения или копирования. Передавайте подтвержденные факты и ограничения, а не универсальную гарантию безопасности.",[121,122],{"label":29,"url":30},{"label":67,"url":68},[124,126,128,130,133,136,139],{"path":13,"label":125},"Обращение по инциденту цифровой инфраструктуры",{"path":14,"label":127},"Корпоративная почта и рабочие системы",{"path":15,"label":129},"Проверка доступов и MFA",{"path":131,"label":132},"\u002Fblog\u002Fmicrosoft-365-security-checklist","Проверка Microsoft 365 после стабилизации",{"path":134,"label":135},"\u002Fglossary\u002Fmfa","Что MFA защищает и чего не подтверждает",{"path":137,"label":138},"\u002Fblog\u002Femail-spoofing-domain","Подделка отправителя и захват ящика",{"path":140,"label":141},"\u002Fblog\u002Fphishing-link-clicked","Разбор действий после фишинговой ссылки",{"title":143,"description":144,"button":145,"type":146},"Есть признаки захвата рабочего аккаунта?","Сообщите сервис, домен и наблюдаемые признаки без секретов. Уточним доступность помощи, полномочия и безопасный порядок дальнейшего разбора.","Обсудить инцидент Microsoft 365","fix",[148,157,165,172],{"id":149,"path":150,"title":151,"description":152,"category":153,"artwork":154,"order":155,"publishedOn":156},"P183","\u002Fblog\u002Fgoogle-workspace-security-checklist","Чек-лист безопасности Google Workspace для бизнеса","Проверка Google Workspace: администраторы, 2SV, восстановление, почтовые маршруты, Drive, приложения и журналы с учетом доступной редакции и полномочий.","email","integrations",38,"2026-06-18",{"id":158,"path":159,"title":160,"description":161,"category":153,"artwork":162,"order":163,"publishedOn":164},"P189","\u002Fblog\u002Fbusiness-email-backup","Резервное копирование корпоративной почты: охват и возврат данных","Ящики, общие данные, синхронизация, хранение и экспорт: как проверить охват почтовой копии и возможность вернуть нужное сообщение.","backups",27,"2026-05-17",{"id":166,"path":131,"title":167,"description":168,"category":153,"artwork":169,"order":170,"publishedOn":171},"P182","Чек-лист безопасности Microsoft 365 для малого бизнеса","Проверка Microsoft 365: владельцы и роли, MFA, аварийный доступ, почта, приложения и журналы. Как учитывать лицензии, исключения и приемку настроек.","plan-business",44,"2026-07-04",{"id":173,"path":174,"title":175,"description":176,"category":153,"artwork":177,"order":178,"publishedOn":179},"P181","\u002Fblog\u002Fdmarc-report-reading","Как читать отчеты DMARC и выбирать следующее действие","Как разбирать период, источник, количество и результаты в агрегированном отчете DMARC, учитывать дубликаты и связывать строки с разрешенными отправителями.","audit",51,"2026-07-20",[],null,{"path":183,"label":184},"\u002Fresources","Материалы и шаблоны безопасности сайта",{"path":186,"label":187},"\u002Fglossary","Словарь кибербезопасности для бизнеса",1794134064480]