Пришло письмо с паролем и угрозой: что проверить

Обновлено: октябрь 2026

Но гадать, массовое это письмо или настоящий взлом, бесполезно: ответ дают четыре проверки — пароля, почты, устройства и того, не дошла ли угроза до ваших близких. Их можно вести параллельно, и ниже — что смотреть в каждой.

Прежде чем проверять: сохраните письмо целиком

Первое желание — удалить такое письмо и забыть. Но удаление ничего не меняет: пароль остаётся скомпрометированным, а вы теряете главное доказательство. Поэтому сначала три «не»: не отвечайте, не открывайте ссылки и вложения, не удаляйте. Ответ показывает отправителю, что адрес живой, и приносит новые письма.

Сохраните письмо вместе с техническими заголовками, а не только скриншот. В заголовках видно, через какие серверы письмо прошло на самом деле, — это пригодится и для жалобы почтовому сервису, и для заявления в полицию. В Яндекс Почте служебные данные открываются через «Свойства письма», а пункт «Скачать письмо» сохраняет файл EML со всеми свойствами. В VK Почте письмо тоже скачивается в EML — в таком виде его принимает служба поддержки. Положите файл туда, где он не потеряется, например в облако с другим паролем.

То же правило касается истории входов и самого устройства: не чистите их и не сбрасывайте компьютер до того, как всё записано. Сброс стирает и следы того, кто мог туда заходить.

Проверка пароля: жив ли он и где ещё стоит

Сначала ответьте себе на простой вопрос: пользуетесь ли вы этим паролем сейчас. Если он давно сменён везде, письмо опирается на старую утечку, и эта часть проверки закрывается быстро. Если пароль живой — он и есть настоящая дыра, независимо от того, что ещё написано в письме.

Проверить, засветился ли пароль в утечках, можно на Have I Been Pwned в разделе Pwned Passwords. Сам пароль туда не уходит: он превращается в хеш на вашем устройстве, и на сервер отправляются только первые пять символов этого хеша. Если сервис нашёл совпадение, пароль считается скомпрометированным, и его нужно сменить везде, где он стоял. Если не нашёл — менять всё равно надо: письмо уже показало, что пароль известен посторонним.

В каком порядке менять пароли

Дальше самое долгое — вспомнить все места, где стоит тот же пароль или его вариант с другой цифрой в конце. Менять лучше по степени вреда, с компьютера или телефона, в котором вы уверены. Порядок такой:

• Почта, на которую пришло письмо. Почему первой: через неё восстанавливаются все остальные пароли. Что включить: двухфакторную защиту и выход на всех устройствах.
• Аккаунт телефона — Google или Apple ID. Почему: в нём фото, контакты и резервные копии. Что включить: у Google — двухэтапную аутентификацию и проверку списка устройств; у Apple ID — то, что предлагает его справка по безопасности.
• Госуслуги и банки. Почему: здесь деньги и документы. Что сделать: сменить пароль и включить дополнительную защиту входа, если сервис её предлагает.
• Мессенджеры и соцсети. Почему: отсюда видны ваши контакты, а значит, адресаты возможной рассылки. Что сделать: сменить пароль, а если сервис показывает список устройств или сеансов — проверьте его и завершите чужие.
• Облачные хранилища. Почему: если там лежат личные снимки, облако — один из возможных путей, которым реальный материал мог уйти. Что сделать: сменить пароль и проверить, какие устройства и приложения к нему подключены.
• Всё остальное — магазины, форумы, старые сервисы. Почему последним: вред меньше, но такой аккаунт может стать дверью в первые пять, если там указана та же почта.

Google прямо советует менять пароль не только у основного аккаунта, но и во всех сервисах, где использовался тот же пароль. Это и есть ответ на вопрос, что делать, если вымогатель знает пароль: лишить его ценности везде, а не только в одном ящике.

Проверка почты: три места, куда заглядывают после взлома

Пароль сменили — но тот, кто успел зайти раньше, мог оставить себе лазейку, которая переживёт смену пароля. Поэтому почту проверяют в трёх местах.

Первое — сеансы и устройства. В Яндекс ID это вкладка «Безопасность», разделы «Активность» и «Устройства», там же кнопка «Выйти везде» завершает все сеансы. В Google список устройств с доступом есть на странице «Устройства», а в разделе безопасности — недавние события. Незнакомое устройство или вход из чужого города — повод для более серьёзного разбора: массовая рассылка следов в аккаунте не оставляет.

Второе — способы восстановления. Чужой телефон или запасной адрес позволит вернуть доступ даже после того, как вы сменили пароль. Яндекс советует проверить разделы «Способы восстановления», «Вход по лицу или отпечатку» и удалить всё незнакомое.

Третье — пересылка и правила. Самая тихая лазейка: настроенная пересылка отправляет копии ваших писем на чужой адрес, а правило может прятать уведомления о входе. В Gmail смотрят пересылку, фильтры и делегирование доступа. В другой почте ищите в настройках то же самое — пересылку и правила для входящих. Всё, что вы не настраивали сами, удаляйте.

Отдельно загляните в «Отправленные»: нет ли там писем, которых вы не писали. Это важно, если письмо с угрозой пришло якобы от самого себя. Такое письмо от самого себя с шантажом не означает, что в ящик зашли: поле отправителя подделывается снаружи, и Google прямо пишет, что такие письма создаются не в Gmail, поэтому пресечь подмену сервис не может. Тревожный признак другой — когда знакомые говорят, что получили от вас спам.

Если войти в почту уже не получается, у Яндекса есть анкета восстановления доступа — путь к ней описан в справке на случай взлома, у Google — страница восстановления аккаунта, о ней справка о взломанном аккаунте.

Проверка камеры и устройства: что смотреть и когда звать специалиста

Фраза «я записал вас через веб-камеру» сама по себе ничего не доказывает. В массовых письмах нет ни времени входа, ни IP-адреса, ни кадра, ни образца видео, а угроза написана так, чтобы подойти любому из миллионов адресатов. При этом по тексту письма нельзя ни подтвердить, ни исключить, что запись существует. Проверка устройства помогает найти признаки доступа к нему, но отсутствие таких признаков не гарантирует, что записи не было.

Как проверить, взломана ли камера, своими силами:

• Mac. Зелёный индикатор сбоку от камеры загорается, когда она включена. По руководству Apple по безопасности, на современных моделях программа даже с полными правами в системе не может использовать камеру, не включив индикатор на экране.
• Windows. В «Параметрах» откройте «Конфиденциальность и защита», затем «Камера»: там есть список классических приложений, которые обращались к камере, вплоть до конкретного файла. Незнакомое название — повод разбираться дальше.
• Любое устройство. Проверка антивирусом — Яндекс в своей справке на такой случай называет Dr.Web и Kaspersky.

Если в письме нет ничего, кроме пароля и общих слов, а в аккаунтах только ваши устройства, без чужой пересылки и способов восстановления, начните с паролей и почты: это закрывает дыру, которая точно есть. Безопасность устройства такая картина не доказывает — она только говорит, что срочнее. Анализ устройства стоит ставить первым, если:

• в письме есть кадр, фрагмент или деталь, которую не взять из утечки, — что было на экране, с кем вы переписывались;
• к камере обращалось приложение, которое вы не ставили;
• после смены пароля снова появляются чужие входы;
• вы ставили взломанные программы или давали кому-то удалённый доступ к компьютеру.

В этих случаях компьютер не сбрасывают сразу: сначала фиксируют, что на нём стоит и что обращалось к камере, а уже потом чистят.

Проверка угрозы: дошло ли что-то до ваших близких

Пока вы меняете пароли, четвёртая проверка идёт рядом: не начал ли отправитель выполнять обещание. Когда угрожают отправить видео всем контактам, проверять стоит людей. Спросите двух-трёх человек, которым доверяете, не приходило ли им странное письмо или сообщение от вас или о вас. Говорить подробности не нужно, хватит одной фразы: «Если придёт что-то от меня или обо мне — не открывайте, перешлите мне».

Кого предупреждать, решаете вы. Обычно это те, кому письмо навредило бы сильнее всего: кто-то из семьи и человек на работе, через которого пошли бы разговоры. Остальным писать заранее не обязательно.

Если одновременно проверять доступы и следить за угрозой трудно, можно обратиться к нам до публикации: разберём цифровой след и доступные отправителю пути к вашим близким.

Одна деталь из нашей практики: если пугают не рассылкой по вашим контактам, а публикацией в городских группах, обычно это значит, что настоящих контактов у отправителя нет. Но называть угрозу пустой нельзя: рассылки бывают, а предсказать поведение конкретного отправителя не может никто. Срок в письме выдуман для давления — в наших обращениях шантажисты дают от 20 минут до 3 часов, — и оплата от рассылки не спасает. Поэтому каналы закрывают сейчас, а не по истечении таймера.

Типичный случай из наших обращений выглядит так. Человеку пришло письмо от его собственного адреса: старый пароль, обещание разослать видео коллегам, требуют деньги в биткоинах. Сеансы в почте оказались чистыми, отправитель был подставным, а вот пароль из письма стоял на облаке с семейными фото. Пароли он сменил за вечер, а мы за несколько часов проверили его цифровой след: какие данные о нём лежат в открытом доступе и в утечках, есть ли у отправителя путь к его коллегам. Закрыли найденное и неделю следили за упоминаниями. Рассылки не было, но человек знал это наверняка, а не надеялся.

Если вы уже перевели деньги

Не переводите больше. По нашим обращениям повторное требование после перевода — типовой сценарий: появляется новая сумма, «администратор» или «служба безопасности». Перевод не покупает молчание, а подтверждает, что вы платите. Когда требуют биткоины за удаление видео, стоит помнить ещё одно: биткоин-перевод отменить нельзя, деньги вернутся, только если их отправит обратно сам получатель.

Сохраните всё, что связано с переводом: адрес кошелька, подтверждение операции, чек обменника или биржи, само письмо в EML. Это доказательства для заявления в полицию. Требование денег под угрозой распространить позорящие сведения о человеке или его близких — это вымогательство, статья 163 УК РФ. Заявление само по себе денег не вернёт. Сохранённые письмо и данные перевода понадобятся для него и в том случае, если рассылка всё-таки начнётся.

Если рассылка или публикация всё-таки началась

Здесь порядок другой. Не вступайте в переписку с отправителем и не пытайтесь договориться. Зафиксируйте каждое место, где появился материал: ссылку, снимок экрана с датой, кто прислал. Затем жалобы — площадке, где опубликовано, и в поиск, чтобы ссылка не всплывала по вашему имени. Близким, которые получили рассылку, — короткое объяснение и просьба не пересылать.

Проверку аккаунтов человек обычно проходит сам за вечер. Тяжелее другое: в те же часы нужно следить, не появилось ли что-то новое, находить копии и закрывать то, через что отправитель вышел на ваших близких. Одному это вести параллельно трудно, а каждый пропущенный час даёт материалу разойтись дальше.

Мы берём эту часть на себя: анализ цифрового следа занимает 2–4 часа, превентивная блокировка снимка по цифровому отпечатку — 1–2 часа, деиндексация ссылки из Яндекса — 1–3 дня. Если вы хотите закрыть рассылку и следы, пока сами проверяете аккаунты, опишите ситуацию — начнём с того, что горит сильнее.

Если на снимке человек, которому на момент съёмки не было 18 лет, есть бесплатный сервис Take It Down (takeitdown.ncmec.org): он работает по цифровому отпечатку, сам файл не покидает устройство. Оговорка: площадки-участники там в основном западные, на ВКонтакте и в Telegram сервис не действует.

Вопросы о письмах с паролем