Bezpieczeństwo poczty firmowej – phishing, podszywanie się i przejęte konta

Jak wyglądają ataki na pocztę firmową

Wspólnym mianownikiem jest zaufanie: wiadomość wygląda, jakby pochodziła od kogoś znajomego, i prosi o coś pilnego. Ochrona to połączenie techniki (żeby oczywiste fałszywki w ogóle nie docierały) i nawyków (żeby te sprytniejsze nie zadziałały).

Nie pozwól podszywać się pod swoją domenę

Bez uwierzytelnienia każdy może wysłać wiadomość z nagłówkiem From: prezes@twojafirma.pl. Powstrzymują to trzy rekordy DNS:

• SPF wskazuje serwery, które mogą wysyłać pocztę z Twojej domeny,
• DKIM podpisuje każdą wiadomość, dzięki czemu odbiorca sprawdzi, że nie została podrobiona ani zmieniona,
• DMARC każe odbiorcom odrzucać albo kierować do kwarantanny pocztę, która nie przeszła testów – ale tylko z p=quarantine lub p=reject. Polityka p=none jedynie raportuje i niczego nie blokuje.

Dlatego test DNS w AnyMail wymaga egzekwującej polityki DMARC, zanim domena zostanie uznana za zweryfikowaną. Sprawdź swoją domenę za pomocą narzędzia do sprawdzania domeny. Domena, z której nigdy nie wysyłasz poczty, też powinna mieć rekordy v=spf1 -all i v=DMARC1; p=reject, żeby nikt jej nie wykorzystał.

DMARC ma ograniczenie, o którym warto pamiętać: chroni dokładnie Twoją domenę. Nie pomoże wobec podobnej domeny, którą atakujący zarejestrował i poprawnie skonfigurował. Tam ostatnią linią obrony są ludzie czytający pocztę.

Naucz się rozpoznawać podobne domeny

Większość fałszywych domen powstaje na kilka sposobów. Dla firmy z domeną firma.pl:

Kolejny wariant to domeny z literami z innych alfabetów, które wyglądają identycznie jak łacińskie. Praktyczne zasady dla każdego, kto obsługuje faktury i płatności:

• Patrz na adres, a nie na nazwę nadawcy – w telefonie dotknij nadawcy, żeby go zobaczyć.
• Porównaj Reply-To z From: jeśli odpowiedź poszłaby do innej domeny, to sygnał ostrzegawczy.
• Przed kliknięciem najedź kursorem na link (w telefonie przytrzymaj go), a adresy stron, na których się logujesz, wpisuj samodzielnie.
• Uważaj na pośpiech, tajemnicę („na razie nikomu nie mów”) i prośby o pominięcie zwykłej procedury.

Oszustwa BEC to problem procedur

Klasyczny scenariusz: „dostawca” pisze, że zmienił numer konta, albo „prezes” w podróży prosi o pilny przelew. Wiadomość może przyjść z podobnej domeny – albo z prawdziwej, przejętej skrzynki dostawcy, i wtedy wszystkie testy techniczne wypadają poprawnie. Dlatego ochroną jest zasada, a nie filtr:

• Każdą zmianę numeru konta potwierdzaj telefonicznie, pod numerem, który już znasz – nigdy pod numerem z wiadomości.
• Przelewy powyżej ustalonej kwoty zatwierdza druga osoba.
• Nikt nie ponosi konsekwencji za sprawdzanie. Polecenie od szefa, które nie wytrzymuje jednego telefonu, nie pochodziło od szefa.

Chroń same konta

Hasła i logowanie dwuskładnikowe

Do każdego konta pocztowego używaj długiego, unikalnego hasła – menedżer haseł bardzo to ułatwia – i włącz logowanie dwuskładnikowe. Z aplikacją uwierzytelniającą (TOTP) samo wykradzione hasło nie wystarczy. Kody odzyskiwania przechowuj w bezpiecznym miejscu, poza komputerem – dzięki nim wrócisz na konto, gdy zgubisz telefon.

Osobne hasło aplikacji dla każdego urządzenia

Programy pocztowe w telefonach i na komputerach często same nie obsługują logowania dwuskładnikowego. Zamiast wpisywać w każdym z nich główne hasło, daj każdemu urządzeniu osobne hasło aplikacji. Gdy ktoś ukradnie laptopa, unieważniasz jedno hasło, a główne hasło i pozostałe urządzenia działają dalej.

Mniej osób, mniej uprawnień

Zamiast dzielić się hasłem, daj każdemu własny dostęp i tylko takie uprawnienia, jakich potrzebuje – zobacz wspólna skrzynka dla zespołu. Gdy ktoś odchodzi, tego samego dnia odbierz mu dostęp, hasła aplikacji i urządzenia.

Gdy konto zostało przejęte

Sygnały to m.in. odpowiedzi na wiadomości, których nie wysyłałeś, nieznane pozycje w Wysłanych, znikająca poczta albo pytania współpracowników o dziwną wiadomość od Ciebie. Działaj w tej kolejności:

1. Zmień hasło z zaufanego urządzenia – na takie, którego nigdy nigdzie nie używałeś.
2. Wyloguj wszystkie inne sesje, żeby zakończyć otwartą sesję atakującego.
3. Włącz logowanie dwuskładnikowe, a jeśli było włączone – skonfiguruj je od nowa i wygeneruj nowe kody odzyskiwania.
4. Unieważnij hasła aplikacji i klucze API. Zwykle działają dalej po zmianie hasła – na tym polega ich rola i właśnie dlatego atakujący chętnie je tworzy.
5. Sprawdź przekierowania i reguły filtrowania. Atakujący lubią dodać regułę, która po cichu przekazuje im pocztę albo ukrywa odpowiedzi na ich fałszywe wiadomości. Sprawdź też, komu jeszcze udostępniono skrzynkę.
6. Przejrzyj Wysłane i narzędzia podłączone do konta (webhooki, integracje), żeby zobaczyć, co zrobiono w Twoim imieniu.
7. Ostrzeż osoby, których to dotyczy – współpracowników, klientów i dostawców, którzy mogli dostać fałszywe wiadomości – innym kanałem niż e-mail.
8. Zmień to samo hasło wszędzie, gdzie go używałeś, i sprawdź też konta u rejestratora domeny i dostawcy DNS.
9. Pamiętaj o obowiązkach prawnych. Przejęta skrzynka zwykle zawiera dane osobowe. Zgodnie z art. 33 RODO naruszenie ochrony danych osobowych zgłasza się Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób, których dane dotyczą. Incydent możesz też zgłosić do CERT Polska przez stronę incydent.cert.pl.

Jak pomaga AnyMail

• Domena: każdy serwer pocztowy ma własny 2048-bitowy klucz DKIM, a domena zostaje zweryfikowana dopiero z egzekwującą polityką DMARC.
• Logowanie: logowanie dwuskładnikowe z aplikacją uwierzytelniającą (TOTP) i ośmioma jednorazowymi kodami odzyskiwania; reset hasła go nie omija. Na stronie konta zmienisz hasło i użyjesz opcji Sign out other devices (wylogowanie pozostałych urządzeń).
• Hasła aplikacji: każda skrzynka może mieć do pięciu; każde jest pokazywane raz, przy tworzeniu, i można je unieważnić osobno, co od razu zamyka otwarte połączenie IMAP tego urządzenia. Działają tylko przez szyfrowane połączenie i tylko dla swojej skrzynki. Podobnie jak klucze API nie są unieważniane przy zmianie hasła, więc po incydencie unieważnij je samodzielnie.
• Gdzie zajrzeć po incydencie: panele Filters (reguły przekierowań), Access (komu udostępniono skrzynkę) i Mail app (hasła aplikacji) przy każdej skrzynce oraz klucze API i webhooki w sekcji dla programistów.
• Spam: każda wiadomość jest oceniana pod kątem spamu, a poczta HTML jest oczyszczana, zanim ją zobaczysz.