Как обнаружить скрытую пересылку писем после взлома почты

Одна из самых коварных вещей, которые делают злоумышленники, получив доступ к чужому почтовому ящику, — не рассылка спама, а тихая настройка автоматической пересылки всех входящих писем на свой адрес. Взломщик может месяцами читать вашу переписку, оставаясь незамеченным: письма продолжают приходить как обычно, пароль вы уже сменили, а копии корреспонденции всё равно уходят постороннему человеку. Поэтому при любом подозрении на компрометацию почты проверку правил пересылки нужно делать в первую очередь — до смены пароля или сразу после него.

В этой статье разобрано, где именно прячется автопересылка в популярных почтовых сервисах, какие ещё механизмы могут дублировать её функцию, как отличить легитимные правила от вредоносных и что делать, если подозрение подтвердилось.

Почему пересылку настраивают первой и почему её легко пропустить

Пересылка даёт злоумышленнику постоянный доступ к переписке даже после того, как владелец заметит проблему и сменит пароль. Это выгоднее, чем просто «сидеть» в ящике: сессия может прерваться, пароль — измениться, а правило пересылки продолжит работать само.

Пропустить такую настройку легко по трём причинам:

• правило создаётся в настройках, куда обычный пользователь заглядывает редко;
• пересылка не меняет поведение ящика для владельца — письма приходят как раньше;
• часть сервисов показывает уведомление о новой переадресации только один раз или вовсе ограничивается письмом на сам ящик, который взломщик мог удалить.

Отдельная опасность — финансовые последствия. Если через почту восстанавливается доступ к банкам, госуслугам, облачным хранилищам и корпоративным системам, человек, читающий вашу переписку, видит реквизиты счетов, номера договоров и коды подтверждения. Классический сценарий злоупотребления — подмена банковских реквизитов в переписке об оплате: злоумышленник перехватывает письмо со счётом на оплату и отправляет контрагенту «обновлённые» данные со своего счёта.

Признаки того, что ящик могли скомпрометировать

Проверять настройки пересылки стоит не только после явного взлома, но и при косвенных признаках:

• вы получили уведомление о входе в аккаунт с незнакомого устройства или страны;
• в папке «Отправленные» есть письма, которые вы не писали;
• контакты сообщают о странных письмах от вашего имени;
• часть писем исчезла из входящих или переместилась в архив, корзину, малозаметную папку;
• сервис сообщает, что пароль или данные восстановления были изменены без вашего участия;
• коллеги или партнёры говорят, что ваши ответы выглядят необычно или содержат просьбы перевести деньги;
• двухфакторная аутентификация была отключена или добавлен новый способ её прохождения.

Даже одного такого признака достаточно, чтобы провести полную проверку настроек, описанную ниже.

Где искать пересылку в разных почтовых сервисах

Названия разделов периодически меняются, поэтому ориентируйтесь на смысл: ищите пункты «Пересылка», «Переадресация», «Forwarding», «Правила», «Фильтры». Ниже — типичный путь в настройках основных сервисов; если интерфейс обновился, найдите соответствующий раздел через поиск по настройкам.

Gmail

1. Откройте настройки аккаунта (значок шестерёнки → «Все настройки»).
2. Вкладка «Пересылка и POP/IMAP»: проверьте блок «Пересылка». Должно быть выбрано «Не пересылать» либо указан только ваш собственный второй адрес, если вы настраивали его намеренно.
3. Вкладка «Фильтры и заблокированные адреса»: просмотрите все правила. Опасны фильтры с действиями «Переслать на…», «Удалить», «Пропустить входящие (архивировать)», особенно применяемые ко всем письмам.
4. Проверьте «Аккаунты и импорт»: разделы «Отправлять письма как» и «Проверять почту из других аккаунтов». Посторонний адрес отправки позволяет писать от вашего имени.
5. Посмотрите историю активности аккаунта: внизу страницы Gmail — ссылка «Сведения об активности аккаунта», там видны устройства, IP-адреса и время последних сеансов. Завершите все неизвестные сеансы кнопкой выхода.

Outlook.com и Microsoft 365

1. Настройки → «Почта» → «Обработка» → «Пересылка». Убедитесь, что переключатель выключен или адрес ваш.
2. Раздел «Правила» («Правила обработки почты»): изучите каждое правило. Вредоносные часто называются нейтрально («..», «system», «no-reply») и содержат действия «Переслать», «Удалить», «Переместить в другую папку».
3. Проверьте «Подключения» → «POP и IMAP»: сторонние протоколы позволяют скачивать всю почту внешней программой без пересылки. Если вы ими не пользуетесь — отключите.
4. Для корпоративного Microsoft 365 правила может задавать администратор на уровне Exchange; если вы сотрудник, уточните у IT-отдела, нет ли транспортных правил пересылки на уровне организации.

Яндекс Почта

1. Настройки (шестерёнка) → «Все настройки» → «Сбор почты и пересылка» или раздел «Правила обработки входящих писем».
2. Проверьте условия и действия каждого правила: пересылка на чужой адрес, удаление, перемещение в скрытую папку.
3. Загляните в «Безопасность» аккаунта Яндекса: история входов, привязанные устройства, приложения с доступом. Отозвите доступ у незнакомых приложений.

Mail.ru

1. Настройки → «Правила фильтрации»: просмотрите все правила и их действия.
2. Раздел «Пересылка», если он есть в вашем интерфейсе: убедитесь, что переадресация не включена на посторонний адрес.
3. В настройках безопасности аккаунта проверьте историю входов, привязанные телефоны, резервные адреса и приложения с доступом к почте.

Корпоративные серверы и прочие сервисы

Если почта работает на собственном домене (через Exchange, Postfix, cPanel, панель хостинга), пересылка может быть настроена на нескольких уровнях: в клиенте, в веб-интерфейсе, на сервере. Проверьте все три уровня или передайте проверку администратору. В cPanel, например, за это отвечает раздел «Пересылка» (Forwarders) и «Фильтры электронной почты».

Механизмы, маскирующиеся под пересылку

Ограничиваться проверкой одной галочки «переадресация» недостаточно. Злоумышленники используют несколько каналов получения ваших писем:

Механизм	Как работает	Где проверить
Автопересылка (forwarding)	Копия каждого письма автоматически уходит на другой адрес	Настройки пересылки/переадресации
Правила и фильтры	Выборочные письма (например, только от банка) пересылаются, удаляются или прячутся	Разделы «Правила», «Фильтры»
POP-загрузка	Внешний клиент регулярно скачивает всю почту по протоколу POP3	Настройки POP/IMAP, «Сбор почты»
IMAP-клиент	Подключённое устройство постоянно синхронизирует ящик	Список активных устройств и сеансов
Сторонние приложения с доступом	Авторизованное приложение имеет право читать почту через API	Настройки безопасности, «Приложения с доступом»
Делегирование / доступ к аккаунту	Другому аккаунту официально выданы права чтения или отправки	«Аккаунты», «Доступ к почте», делегирование
Резервный адрес и телефон	Добавлены контакты восстановления, позволяющие вернуть доступ после блокировки	Данные восстановления аккаунта

Последние два пункта особенно важны: даже если вы отключили пересылку и сменили пароль, злоумышленник с доступом к резервному адресу сможет восстановить контроль над ящиком повторно.

Как отличить вредоносное правило от нужного

У многих пользователей есть легитимные правила: рабочая почта пересылается ассистенту, письма с определённой меткой уходят на второй адрес, фильтры раскладывают рассылки по папкам. Чтобы не удалить полезное, оценивайте каждое правило по признакам:

• Адрес получателя. Вам знаком этот e-mail? Правило на незнакомый внешний адрес — главный красный флаг.
• Охват. Правило «ко всем входящим» или «ко всем письмам от банка, налоговой, бухгалтерии» опаснее узкого фильтра для рассылки новостей.
• Действие. Пересылка, удаление, пометка как прочитанного и перемещение в архив скрывают следы. Сортировка по папкам — типичное безобидное действие.
• Дата создания. Если сервис показывает дату, сопоставьте её с периодом, когда вы не работали с настройками или когда появились признаки взлома.
• Название. Осмысленные названия вы обычно даёте сами; бессмысленные наборы символов характерны для автоматизированных атак.

Если сомневаетесь хотя бы в одном правиле — временно отключите его, а не удаляйте: так сохранятся детали для разбора, например при обращении в поддержку.

Что делать, если пересылка обнаружена

Сам факт постороннего правила означает, что доступ к ящику был у кого-то ещё. Отключить правило — необходимый, но недостаточный шаг. Действуйте в таком порядке:

1. Зафиксируйте улики. Сделайте скриншоты правил, истории входов, списка устройств. Это пригодится поддержке, работодателю или полиции.
2. Отключите пересылку и подозрительные правила, но сначала запишите их параметры.
3. Смените пароль на длинный и уникальный, не используемый больше нигде. Меняйте его из чистого, доверенного устройства, а не с того, где возможна заражённость.
4. Завершите все активные сеансы и выйдите со всех устройств через настройки безопасности.
5. Проверьте и обновите способы восстановления: резервный e-mail, телефон, секретные вопросы. Уберите всё, чего не добавляли вы.
6. Включите двухфакторную аутентификацию. Предпочтительнее приложение-аутентификатор или аппаратный ключ; SMS-код надёжнее отсутствия защиты, но уязвимее к перехвату.
7. Просмотрите историю входов за последние месяцы: длительный незаметный доступ — обычное дело.
8. Проверьте связанные сервисы. Через почту восстановите и защитите аккаунты банков, госуслуг, соцсетей, облачных хранилищ — везде, где этот e-mail указан как контактный.
9. Предупредите контактов о возможных письмах от вашего имени с просьбами, ссылками или счётами.
10. Проверьте компьютер и телефон антивирусом: если пароль украли стилером с устройства, смена пароля без лечения устройства приведёт к повторному взлому.

Если почта корпоративная, немедленно сообщите в IT-отдел или службу безопасности: они проверят серверные правила, журналы доступа и правила транспорта, недоступные обычному пользователю.

Типичные ошибки при проверке

• Проверить только пересылку и успокоиться. Фильтры, POP-доступ и сторонние приложения выполняют ту же функцию и остаются работать.
• Сменить пароль до отключения правил. Правила переживут смену пароля — их нужно убрать независимо.
• Игнорировать историю входов. Она показывает, был ли взлом вообще и как долго длился доступ.
• Не проверить устройства. Заражённый компьютер или украденные cookie-файлы сессии сводят смену пароля к нулю.
• Удалить улики сразу. Без скриншотов сложнее доказать факт инцидента и понять масштаб утечки данных.
• Забыть про связанные аккаунты. Почта — ключ ко всему остальному; взломщик начинает именно с неё.

Как снизить риск повторения

• Включите уведомления о новых входах и входах с новых устройств, если сервис их предлагает.
• Используйте менеджер паролей и уникальный пароль для каждого сервиса.
• Регулярно, раз в несколько месяцев, просматривайте правила фильтрации и список приложений с доступом — это занимает пару минут.
• Не переходите по ссылкам из писем «о блокировке аккаунта»: заходите в настройки напрямую через закладку или ввод адреса вручную.
• Для критичных переписок договоритесь с контрагентами о подтверждении реквизитов по отдельному защищённому каналу — телефону или видеосвязи.
• Включите предупреждения сервиса о внешней пересылке, если такая опция есть: многие корпоративные системы помечают письма, покидающие организацию автоматически.

Частые вопросы

Может ли пересылка появиться сама, без взлома?

Практически нет. Автопересылка всегда создаётся кем-то: вами, администратором организации или человеком, получившим доступ. Если вы её не настраивали и работаете с личным ящиком — считайте это признаком компрометации.

Я сменил пароль — старая пересылка точно перестала работать?

Нет. Правила пересылки и фильтры хранятся в настройках ящика и действуют независимо от пароля. Их нужно отключить вручную.

Как узнать, читал ли кто-то мои письма?

Точно определить это сложно. Косвенные показатели — история входов с незнакомых устройств, отметки «прочитано» на письмах, которые вы не открывали, изменения в папках и правилах. Журналы чтения большинство сервисов владельцу не показывает.

Нужно ли удалять подозрительное правило или достаточно отключить?

Если вы уверены, что правило вредоносное, — удалите. Если сомневаетесь, отключите и сохраните скриншот: детали пригодятся поддержке и службе безопасности.

Что делать, если поддержка сервиса не отвечает, а ящик рабочий?

Продолжайте защиту самостоятельно: смените пароль, отключите все посторонние правила и доступы, включите двухфакторную аутентификацию, проверьте устройства. Параллельно предупредите важные контакты о возможной подмене писем от вашего имени.

С чего начать прямо сейчас

Главный принцип: подозрение на взлом — это повод проверить не только пароль, но и всю «невидимую» автоматику ящика. Пересылка, фильтры, POP-доступ, сторонние приложения и данные восстановления — пять мест, где закрепляется посторонний доступ.

Конкретный план на ближайшие десять минут: откройте настройки вашего почтового сервиса, пройдите по разделам «Пересылка», «Правила/Фильтры», «POP/IMAP» и «Приложения с доступом», затем загляните в историю входов. Всё незнакомое — отключайте. После этого смените пароль, завершите все сеансы и включите двухфакторную аутентификацию. Если нашли пересылку на чужой адрес — зафиксируйте скриншотами и проверьте связанные с почтой аккаунты, начиная с финансовых.

Материал носит информационный характер и не заменяет консультацию специалиста по информационной безопасности. При взломе рабочей почты, утечке финансовых данных или юридических последствиях инцидента обратитесь в службу безопасности организации или к профильному эксперту.