Плейбук: подмена SIM или потеря второго фактора MFA

Отзовите методы второго фактора (MFA, многофакторная аутентификация) и сеансы, если SIM-карту сменили без вас, украли токен или телефон с приложением MFA. Потеря ноутбука целиком: потеря устройства. Корпоративный телефон: MDM. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Оператора связи не «взламываем»: только официальная блокировка номера.

Признаки и что не делать

Коды MFA перестали приходить, оператор говорит о новой SIM, вход с SMS, которого человек не запрашивал. Не восстанавливайте MFA через тот же номер. Не подтверждайте сброс по звонку «из поддержки», который сами не инициировали.

Первые шаги

1. С чистой машины: завершить сеансы, снять старые MFA-методы, выдать новый токен или приложение на проверенном устройстве.
2. Почта: приложения и пересылка — соседний плейбук, часто идут парой: приложение в почте.
3. Оператор связи: блокировка SIM по паспорту в салоне или по их официальному каналу.
4. Банк и госуслуги — по их процедурам, это не «ИБ само». VPN и jump: ключи перевыпустить: jump-хост.
5. MDM: удалённая блокировка корпоративного телефона, если он ещё в консоли.

Приоритет: критический для админов и бухгалтерии; высокий для остальных. Эскалация директору при доступе к деньгам или ИСПДн.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). MFA в доступе — профилактика. Плейбук — когда фактор уже не у человека.

Как проверить

1. Сброс MFA делается с чистой машины, не по SMS на спорный номер.
2. Контакт оператора связи записан.
3. Плейбук связан с отзывом приложений почты.

Источники

• CIS Control 17: cisecurity.org/controls.