Плейбук: взлом аккаунта компании в соцсетях и рекламе

Официальный аккаунт компании публикует чужое, или в рекламном кабинете растут траты. Сначала верните доступ и остановьте платежи, потом объясняйтесь с клиентами. Учётка сотрудника: обзор пяти. Фишинговый сайт под бренд: поддельный сайт. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Просьбы выкупа за аккаунт не исполняем.

Признаки и что не делать

Публикации и сообщения, которых вы не писали; сменился адрес или телефон восстановления; в кабинете чужие кампании или карта; поддержка платформы молчит. Не отвечайте злоумышленнику и не платите. Не удаляйте публикации до скриншота. Не вводите пароль по ссылке из «поддержки платформы»: это частая вторая волна.

Схема решений

Читайте сверху вниз. Оранжевая рамка — вопрос: «да» уводит вправо, «нет» продолжает путь вниз. Текст ниже ведёт по тем же шагам и добавляет команды и пояснения.

Ответ «да» уходит вправо, «нет» продолжает путь вниз.

Первые шаги

Сделайте скриншоты публикаций, сообщений и настроек, зафиксируйте время.
Восстановите доступ по официальной процедуре платформы; смените почту и телефон восстановления на свои, включите второй фактор не через SMS.
Рекламный кабинет: остановите кампании, отвяжите карту, проверьте список администраторов, лишних уберите.
Платежи: обратитесь в банк по спорным списаниям, учтите сроки.
Предупредите клиентов и подписчиков на другом канале: сайте, рассылке, соседней соцсети. Не публикуйте ссылку из чужих постов.
Проверьте, кто имел доступ и у кого он лишний: заявка на доступ.

Приоритет: высокий; критический при платёжных ссылках или переписке с клиентами. Эскалация директору, юристу и маркетингу.

Кто что делает и в какой срок

Первый звонок: директор и маркетинг. Ориентир срока первой реакции в малой компании: критический приоритет — сразу и не позже 15 минут, высокий — в течение часа, средний — в течение рабочего дня. Подставьте свои сроки в карточку инцидента; уровень выбирайте по наибольшему возможному ущербу, а не по тому, что видно сейчас (классификация).

Роль	Кто в малой компании	Что делает в этом сценарии
Руководитель инцидента	ответственный за ИБ	возврат доступа, порядок действий
Владелец аккаунта	маркетинг или SMM	связь с платформой, публикации, предупреждение
Финансы	бухгалтерия	спорные списания, банк
Юрист	юрист	претензии и обращение к платформе

Если людей двое, руководитель инцидента ведёт и журнал, а администратор делает действия.

Когда считать закрытым

Доступ возвращён, администраторы сверены, токены и приложения отозваны
Рекламные кампании и карты проверены, спорные списания оспорены
Клиентов и подписчиков предупредили на другом канале
Почта и телефон восстановления принадлежат компании

Что сохранить: скриншоты публикаций, сообщений и настроек; обращения в поддержку платформы; выписка по рекламным платежам. Ссылки на материалы кладите в карточку инцидента, сами значения секретов и персональные данные в карточку не копируйте.

Разбор: в течение пяти рабочих дней по схеме разбора после инцидента. Типичная первопричина здесь: общий пароль на аккаунт и восстановление на личную почту сотрудника. Допишите в этот плейбук шаг, которого не хватило, и укажите дату правки. Остальные сценарии — в каталоге плейбуков.

Диагностика

Симптом	Причина и что делать
Доступ вернули, посты вернулись	Остались токены или приложения. Отзовите в настройках безопасности
Платформа не отвечает	Идёт канал для бизнеса и представитель. Фиксируйте обращения

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Один общий вход на аккаунт и общий пароль — типичная причина. Плейбук фиксирует, кто что делает за первый час.