Плейбук: поддельный сайт под ваш бренд и фишинговый домен

Зафиксируйте поддельный сайт под ваш бренд, предупредите сотрудников и клиентов и подайте жалобу хостеру фейка по их форме. Не нагружайте чужой адрес. DDoS вашего сайта — другой плейбук: DDoS своего сайта. Компрометация MX: почта домена. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Фишинговые страницы не собираем и не «тестируем паролем».

Признаки и что не делать

Клиент прислал ссылку с опечаткой домена, «ваш» вход на другом URL, реклама в поиске. Не вводите пароль «чтобы посмотреть». Не заказывайте атаку на хостинг фейка. Не пересылайте ссылку всем без пометки.

Первые шаги

1. Сохраните URL, скрин, время, whois/хостер фейка скриптом только как фиксация, без обхода защиты.
2. Своим: канал и короткое предупреждение без полной ссылки: канал сообщений.
3. Жалоба в форму abuse хостера и регистратора фейка, в поисковик по их процессу для фишинга. Юрист — претензия, не «хакерский ответ».
4. Свои пароли не считайте украденными, пока нет ввода. Если сотрудники вводили — сценарий учётки в обзоре пяти.
5. Платёжный фишинг с вашим логотипом — ещё и плейбук поручения: платёжное поручение.

Приоритет: высокий; критический, если уже идут платежи. Эскалация директору и юристу. Регулятору — если ПДн клиентов уже увели через форму фейка.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Осведомлённость учит не нажимать. Плейбук — когда фейк уже в выдаче.

Как проверить

1. Есть текст предупреждения без полной фишинговой ссылки.
2. В плейбуке нет атаки на чужой хостинг.
3. Переход к сценарию учётки описан, если пароль вводили.

Источники

• CIS Control 17: cisecurity.org/controls.