Jak zabezpieczyć firmową pocztę
przed przejęciem?

Dla wielu firm poczta elektroniczna jest najważniejszym systemem informatycznym. To przez e-mail przechodzą faktury, zamówienia, dane klientów, umowy i komunikacja z kontrahentami. Dlatego właśnie skrzynki pocztowe są jednym z głównych celów cyberprzestępców.

Podczas audytów bezpieczeństwa regularnie spotykamy organizacje, które inwestują w serwery, firewalle i backupy, a jednocześnie pozostawiają pocztę praktycznie bez ochrony.

Jak wygląda przejęcie firmowej poczty?

Właściciele firm często wyobrażają sobie cyberatak jako skomplikowane włamanie do serwera. W praktyce najczęściej wygląda to znacznie prościej. Pracownik otrzymuje wiadomość wyglądającą jak komunikat od Microsoft 365, Google, firmy kurierskiej lub kontrahenta. Po kliknięciu linku wpisuje login i hasło na fałszywej stronie.

Kilka sekund później atakujący posiada pełny dostęp do skrzynki. Od tego momentu może:

• › czytać korespondencję
• › pobierać załączniki
• › wysyłać wiadomości w imieniu firmy
• › resetować hasła do innych usług
• › prowadzić dalsze ataki na klientów i partnerów

Najgroźniejszy scenariusz: Business Email Compromise (BEC)

Jednym z najdroższych incydentów bezpieczeństwa jest BEC, czyli przejęcie firmowej skrzynki i wykorzystanie jej do oszustwa finansowego. Przykładowy scenariusz: atakujący przejmuje konto pracownika, przez kilka tygodni obserwuje korespondencję, poznaje procesy finansowe firmy, a w odpowiednim momencie wysyła wiadomość z prośbą o zmianę numeru rachunku lub pilny przelew.

Ponieważ wiadomość pochodzi z prawdziwej skrzynki, bardzo trudno zauważyć oszustwo. W wielu przypadkach straty liczone są w dziesiątkach lub setkach tysięcy złotych.

1. Włącz MFA dla wszystkich użytkowników

Jeżeli miałbyś wdrożyć tylko jedno zabezpieczenie, powinno być nim MFA. Uwierzytelnianie wieloskładnikowe wymaga dodatkowego potwierdzenia logowania przez aplikację Microsoft Authenticator, Google Authenticator, klucz sprzętowy lub powiadomienie push.

Dzięki temu samo hasło przestaje wystarczać do przejęcia konta. Największy błąd: MFA włączone tylko dla administratorów. W praktyce każde konto może stać się punktem wejścia dla atakującego.

Najprościej i najbezpieczniej wdrożyć to centralnie przez Microsoft Entra ID i MFA - jedna konfiguracja obejmuje pocztę, VPN, WiFi i aplikacje SaaS jednocześnie.

2. Usuń stare i nieużywane konta

Podczas audytów często znajdujemy konta byłych pracowników, stare skrzynki projektowe, testowe konta administracyjne i nieużywane aliasy. Takie konta są idealnym celem dla atakujących, ponieważ rzadko ktoś je monitoruje. Regularnie przeglądaj wszystkie skrzynki i usuwaj te, które nie są już potrzebne.

3. Wdróż Conditional Access

W przypadku Microsoft 365 jednym z najskuteczniejszych zabezpieczeń jest Conditional Access. Pozwala między innymi:

• › blokować logowania z wybranych krajów
• › wymuszać MFA
• › ograniczać dostęp do zaufanych urządzeń
• › wykrywać nietypowe logowania

Dla wielu firm samo wdrożenie odpowiednich polityk dostępu eliminuje znaczną część ryzyka.

4. Włącz SPF, DKIM i DMARC

To podstawowe mechanizmy chroniące domenę przed podszywaniem się pod Twoją firmę.

Brak tych rekordów oznacza, że ktoś może próbować wysyłać wiadomości podszywając się pod Twoją domenę.

5. Ogranicz liczbę administratorów

Nie każdy pracownik IT powinien posiadać pełne prawa administracyjne. Najlepsza praktyka to osobne konto użytkownika i osobne konto administracyjne, MFA na obu kontach oraz używanie konta administratora wyłącznie do zadań administracyjnych.

6. Edukuj pracowników

Nawet najlepsze zabezpieczenia techniczne nie pomogą, jeśli użytkownik sam odda swoje hasło. Regularne szkolenia powinny obejmować:

• › rozpoznawanie phishingu
• › sprawdzanie adresów nadawców
• › bezpieczne otwieranie załączników
• › zgłaszanie podejrzanych wiadomości

7. Monitoruj logowania i alerty

Nowoczesne systemy pocztowe pozwalają wykrywać logowania z nietypowych lokalizacji, logowania z nowych urządzeń, masowe pobieranie wiadomości i próby obejścia MFA. Warto skonfigurować automatyczne alerty dla takich zdarzeń.

8. Przygotuj plan reakcji na incydent

Jeżeli dojdzie do przejęcia skrzynki, liczą się pierwsze minuty. Procedura powinna obejmować:

• › Natychmiastową zmianę hasła
• › Wylogowanie wszystkich aktywnych sesji
• › Weryfikację i usunięcie podejrzanych reguł pocztowych
• › Sprawdzenie logowań i wysłanych wiadomości
• › Powiadomienie osób, które mogły otrzymać fałszywe wiadomości

Brak procedury oznacza chaos dokładnie wtedy, gdy potrzebne jest szybkie działanie.

Jak sprawdzić poziom bezpieczeństwa poczty?

Podsumowanie

Przejęcie firmowej poczty to jeden z najczęstszych i najbardziej kosztownych incydentów bezpieczeństwa. Atakujący nie muszą włamywać się do serwerów ani wykorzystywać zaawansowanych podatności. Często wystarczy jedno hasło i jeden nieostrożny klik.

Dobra wiadomość jest taka, że większości takich incydentów można skutecznie zapobiec. MFA, Conditional Access, SPF, DKIM, DMARC, monitoring logowań oraz regularne szkolenia pracowników znacząco podnoszą poziom bezpieczeństwa.

Bezpieczeństwo poczty warto rozpatrywać jako element szerszej strategii ochrony IT - obejmującej zarządzanie hasłami, wykrywanie ataków i regularne audyty bezpieczeństwa.