ترتیب مهم است. هدف اول قطع خون‌ریزی است، بعد بررسی.

فوری (دقیقه‌های اول):

1. رمز حساب را عوض کنید.
2. نشست‌های فعال را ببندید — فقط تغییر رمز کافی نیست اگر مهاجم نشست باز داشته باشد.
3. صف ارسال را پاک کنید از پیام‌های اسپمی که هنوز نرفته‌اند. هر پیامی که برود، به بلک‌لیست شدن نزدیک‌ترتان می‌کند.
4. ارسال آن حساب را موقتاً غیرفعال کنید.

بررسی (ساعت‌های بعد):

1. در تنظیمات حساب دنبال forward مخفی بگردید — مهاجم‌ها معمولاً یک قانون می‌گذارند که کپی ایمیل‌ها به آدرس خودشان برود. این کار حتی بعد از تغییر رمز ادامه پیدا می‌کند.
2. قوانین فیلتر و پاسخ خودکار را چک کنید.
3. لاگ‌ها را ببینید: از چه IPهایی وارد شده، از کی شروع شده، چه چیزهایی خوانده شده.
4. اگر حساب دسترسی مدیریتی داشته، همه‌ی حساب‌های مدیریتی را بررسی کنید و رمزهایشان را عوض کنید.

پیشگیری از تکرار:

• محدودیت ارسال برای هر کاربر
• احراز هویت دومرحله‌ای
• IDS با قوانین سخت‌گیرانه
• اعلان به مدیر وقتی کاربری به سقف ارسال می‌رسد

و بلافاصله IP را در بلک‌لیست‌ها چک کنید — هرچه زودتر متوجه شوید، خروج آسان‌تر است.