Yandex.Почта — «секретный вопрос» нам не помеха
Топик будет об одной небольшой уязвимости Яндекс.Почты, которая тем не менее сводит на нет все защитные функции «секретного вопроса».
В двух словах: зная пароль от аккаунта можно легко угнать его у пользователя банально удалив и перерегив заново.
И так — есть аккаунт на яндексе от коего был утащен пароль. Радостно потирая потные ручонки мы заходим в почту — настройки — изменить пароль. Готово, пароль изменен. Как продвинутые кулхацкеры мы там же рядом находим пункт, где можно удалить введенные хозяином адреса электронной почты для связи. Можно даже добавить свои при желании, нет проблем.
Так, вроде бы все, хозяину теперь предстоит или забыть про акк или попытаться восстановить его через техподдержку. На всякий случай все же попробуем ткнуть в пункт «вспомнить пароль» на главной странице. Опаньки!
Попытки изменить секретный вопрос натыкаются на требование ввести текущий ответ.
«Хех!» — сказали суровые сибирские лесорубы.
Не сдаемся сразу и еще немножко полазив в настройках находим один интересный пункт (для того чтобы мы его не пропустили Яндекс даже специально выделил его красным цветом). 
Нажимаем на него. Достаточно только пароля. Удаление происходит моментально. Регистрируемся заново с тем же логином. Получилось, работает.
Попробовал сделать тоже самое на gmail.com — удаляется моментально, достаточно пароля, единственное отличие в том, что зарегиться под этим именем еще раз не удается.
- яндекс.почта
- уязвимость
Как восстановить почту на Яндексе?
Yandex.ru — самая крупная и популярная русскоязычная поисковая система. А еще это огромное количество всевозможных сервисов, в том числе почтовый, которым ежедневно пользуются миллионы пользователей. Заводя аккаунт в почте Яндекса, вы получаете доступ ко всем сервисам компании, где необходимо проходить авторизацию. Именно поэтому так важно не терять пароль к почте. Но что делать, если вы его все-таки потеряли?
Выход один — восстанавливать доступ к сервису. Сейчас я покажу, как это можно сделать.
Заходим на Яндекс, вводим логин и пароль, нажимаем «Войти» — пробуем зайти в почту.
Поскольку пароль был неверным (вы его забыли или просто потеряли), то нажимаем на кнопку «Вспомнить пароль». Открывается новая страница. На ней мы вводим наш логин, капчу и нажимаем на кнопку «Дальше».
Теперь самое интересное. Вы должны ввести ответ на контрольный вопрос (официально он называется секретным, хотя чего в нем секретного, если его может увидеть любой пользователь, непонятно). Если ответ верный, вам будет предложено ввести свой новый пароль.
В некоторых случаях все еще проще. Если ваш аккаунт привязан к мобильному телефону, то необходимо ввести номер своего сотового — на него придет СМС с кодом для восстановления доступа и отвечать ни на какие секретные вопросы не нужно.
Что делать в том случае, если вы забыли ответ на секретный вопрос? Выход только один — необходимо написать письмо в службу поддержки Яндекса, описав проблему. Однако восстановление почтового ящика возможно только в том случае, если при регистрации вы указывали свои настоящие данные и можете подтвердить их, предъявив свой паспорт. Если имя вымышленное, то ничего сделать не получится, увы. К слову, служба поддержки не может выслать вам ответ на секретный вопрос, так как попросту не знает его.
Комментарии к записи “ Как восстановить почту на Яндексе? ”
- Натали7 апреля 2014 в 13:53 Странно это. То есть каждый будет видеть, какой я задал вопрос к своему почтовому ящику?
- НИКА7 апреля 2014 в 13:53 Да, все именно так и есть. Поэтому ответ на вопрос лучше потяжелее придумать)
- Людок13 мая 2014 в 11:58 Да вы просто везунчик ��
Как восстановить пароль для входа в почту?
Если при входе в почтовый ящик появилась ошибка «Неправильная почта или пароль», проверьте, не ошиблись ли вы при вводе данных.
- Проверьте, не нажата ли кнопка Caps Lock;
- Установите правильный язык ввода на клавиатуре;
- Убедитесь, что в начале или в конце пароля нет лишнего пробела;
- Вспомните, возможно вы меняли пароль и забыли об этом.
Если это не помогло, нажмите на кнопку Забыли пароль.
Восстановление доступа к почтовому ящику
Укажите полностью электронную почту, отметьте пункт «Я человек» и нажмите Продолжить.
Если вы ранее привязывали номер телефона для восстановления доступа, то на следующем этапе вам понадобится мобильный телефон с этим номером. Также вы можете восстановить доступ через ответ на контрольный вопрос, выбрав соответствующий пункт.
Восстановление доступа по номеру телефона
Если у вас привязан номер телефона, система первым делом предложит вам восстановить доступ именно таким образом.
Укажите номер телефона.
Запросите код доступа на ваш мобильный телефон: Получить код в SMS.
Если SMS не поступило, вы можете запросить его повторно через 15 секунд.
Полученный код из 6 цифр введите в специальное поле на странице. Ниже придумайте и введите новый пароль, затем подтвердите его и нажмите кнопку Сохранить пароль. Пароль будет изменен.
Если номер телефона вам недоступен или возникли другие проблемы, вы можете восстановить доступ, выбрав в начале страницы пункт Контрольный вопрос.
Восстановление доступа через ответ на контрольный вопрос
Если номер телефона не привязан к профилю, сразу появится страница восстановления через ответ на контрольный вопрос.
Заполните форму и нажмите кнопку Сохранить пароль. Пароль будет изменен.
Если эта статья не помогла вам решить проблему с доступом к почтовому ящику, пожалуйста, напишите нам об этом через форму обратной связи.
Просто чудо из чудес, об этом знает целый лес. Яндекc.ID
Много лет я пользуюсь сервисами Яндекса и до сих пор меня все относительно устраивало: почта, станция, облако, kinopoisk.hd, новый сезон смешариков. В общем, все было хорошо до появления Яндекс.ID. Протухла у меня однажды сессия в браузере и понеслась.
Ввожу я, значит, правильный логин и пароль, а меня просят ввести.
Ответ на контрольный вопрос, контрольный, его, вопрос.
Откуда? Кому такое могло прийти в голову?
- почему нельзя выслать СМС на номер телефона, который вы меня обязали привязать?
- кто, вообще, помнит ответы на свои контрольные вопросы?
- покажите мне пальцем сервис, который просит ввести контрольный вопрос при логине
- куда смотрели инженеры QA, когда это выпускали?
Что делать? Давайте попробуем обратится в поддержку?
Это просто гениально и находится на недостижимом уровне. Поддержки нет, её просто нет. Что бы ты не выбрал, тебя просто еще раз попросят прочитать документацию. Представляю, как это придумали — а давайте мы забьем на пользователей, они все равно тупые, и просто скинем им ссылку на документацию как поддержку.
Ладно, доступ как-то надо восстанавливать, нахожу планшет с рабочей сессией, пытаюсь изменить контрольный вопрос. И?
Меня опять просят ввести этот контрольный вопрос, просто нет слов.
Что делать дальше? Попытаемся настроить 2FA с QR кодом. Читаем следующее:
Ага, забывать PIN код тоже нельзя, а то больше никогда не войдешь в свой аккаунт. Знаем мы, как потом тебе поддержка поможет.
И о чудо, наконец-таки после этого я вошел в аккаунт. По 2FA. Азбука. Б. Безопасность, которая называется 2FA. Двухфакторная аутентификация. А я вхожу в аккаунт по одному QR-коду. Одному.
Что же дальше. Все закончилось? Нет, я лег спать и ночью в 4 часа утра Алиса мне начала орать на ухо — вы вышли из аккаунта, привяжите станцию повторно. Это было последней каплей.
У меня еще есть 3 аккаунта, в которые я уже не смогу войти таким образом. Это петиция и от лица всех пострадавших я требую выполнения следующих условий (если бы была форма обратной связи, я бы написал туда, но её, увы, нет):
- спрашивать контрольный вопрос при логине, только если это разрешено ранее в настройках
- разрешить нормально менять контрольный вопрос без указания предыдущего ответа (пусть даже через СМС на телефон)
- сделать галочку — спрашивать пароль при 2FA. Это называется безопасность
- сделать галочку — запретить восстановление пароля по привязанному телефону. Восстановление пароля по телефону — это не безопасность. Любой бомж придет в салон связи, даст взятку и получит доступ к телефону и любой почте.
- Информационная безопасность
- IT-компании