Przejęta skrzynka pocztowa w firmie: co zrobić w pierwszej godzinie
Kontrahent pyta o fakturę, której nie wysyłałeś, albo w folderze wysłanych są wiadomości do obcych ludzi. Gdy ktoś ma dostęp do firmowej poczty, liczy się kolejność działań, bo sama zmiana hasła często nie zamyka mu drogi.
Autor: Szymon Łakomy. Aktualizacja:
Sygnały, że ktoś czyta Twoją pocztę
- kontrahenci dostają od Ciebie link do „udostępnionego dokumentu” albo fakturę, której nikt nie wystawiał,
- w wysłanych lub w koszu są maile, których nie pamiętasz,
- klient twierdzi, że odpisał, a jego odpowiedzi nie ma w skrzynce,
- dostawca poczty powiadomił o logowaniu z nieznanego miejsca albo o nowej metodzie logowania,
- wracają powiadomienia o niedostarczeniu do adresów, na które nic nie wysyłałeś.
Jeden taki sygnał wystarczy, żeby działać od razu. Włamywacz zwykle siedzi w skrzynce cicho i czeka na korespondencję o pieniądzach.
Pierwsza godzina krok po kroku
- Hasło z czystego urządzenia. Nowe, długie hasło ustawiam na sprzęcie bez podejrzeń. Jeśli hasło wykradł szkodnik, zmiana na zainfekowanym komputerze niewiele daje.
- Wylogowanie wszystkich sesji. W Microsoft 365 i Google Workspace administrator wylogowuje konto ze wszystkich urządzeń. Przy poczcie u hostingu zależy to od panelu.
- Metody logowania. Usuwam telefon, aplikację albo hasło aplikacji dodane przez włamywacza i włączam drugi składnik, co opisuje poradnik uwierzytelnianie dwuskładnikowe w firmie.
- Ustawienia skrzynki. Reguły, przekierowania i aplikacje z tabeli niżej.
- To samo hasło gdzie indziej. Zmieniam je wszędzie, gdzie działało, zaczynając od banku i panelu domeny.
Jeśli zmieniają się też nazwy i rozszerzenia plików, to inny scenariusz: ransomware w małej firmie. Gdy trudno ocenić, co przestało działać, zacznij od poradnika awaria IT w firmie, co robić.
Co włamywacz zostawia w ustawieniach skrzynki
| Co sprawdzam | Po co włamywacz to ustawia |
|---|---|
| Reguły przenoszące albo usuwające maile, na przykład od jednego kontrahenta | żebyś nie zobaczył odpowiedzi na wiadomości wysłane w Twoim imieniu |
| Przekierowanie na adres zewnętrzny | kopia każdej wiadomości trafia do niego także po zmianie hasła |
| Aplikacje i dodatki z dostępem do konta | zgoda dla aplikacji działa niezależnie od hasła, dopóki ktoś jej nie odbierze |
| Hasła aplikacji i dodatkowe metody logowania | pozwalają wrócić na konto bez nowego hasła |
| Uprawnienia innych kont do skrzynki | drugie konto może po cichu czytać pocztę |
Nazwy i położenie tych ustawień zależą od dostawcy poczty i licencji, więc sprawdzam je w panelu konkretnej usługi.
Przeglądam też dziennik logowań, o ile dostawca go udostępnia. Widać w nim, od kiedy ktoś miał dostęp.
Kontrahenci i podmieniony numer konta
Najdroższym skutkiem bywa przelew, a nie wyciek. Włamywacz czeka na fakturę i wysyła „korektę” z nowym rachunkiem, z Twojego adresu albo z domeny różniącej się jedną literą. Dlatego:
- sprawdzam wysłane, kosz i archiwum, żeby ustalić, do kogo poszły fałszywe wiadomości,
- te osoby dostają informację telefonicznie albo z innego adresu, że prośby o zmianę rachunku z ostatnich dni są nieważne,
- każdą zmianę rachunku kontrahenta potwierdzasz rozmową pod numerem z dokumentów, a nie z wiadomości,
- rachunek czynnego podatnika VAT możesz porównać z wykazem, o czym piszę w tekście weryfikacja kontrahentów na białej liście VAT.
Jeśli ktoś już zapłacił na obcy rachunek, płacący od razu dzwoni do swojego banku, a sprawę zgłaszacie na policję. Zachowaj wiadomości razem z nagłówkami.
Zgłoszenie do CERT Polska i ślad po incydencie
Incydent zgłaszam przez formularz zgłoszeniowy CERT Polska, z opisem i przykładowymi wiadomościami. Dla Ciebie spisuję przebieg: kiedy zauważono problem, co zmieniono i kogo ostrzeżono.
Skrzynka prawie zawsze zawiera dane osobowe, więc przejęcie może być naruszeniem wymagającym zgłoszenia, a czasem powiadomienia osób, których dotyczy. Termin jest krótki, więc decyzję podejmij szybko z inspektorem ochrony danych albo prawnikiem.
Najczęstsze pytania
Czy wystarczy zmienić hasło do poczty?
Nie. Reguła przekierowania, zgoda dla aplikacji i metoda logowania dodana przez włamywacza działają dalej po zmianie hasła. Dlatego zaraz potem wylogowuję sesje i przeglądam ustawienia skrzynki.
Skąd włamywacz miał hasło?
Typowe drogi to fałszywa strona logowania z linku w mailu albo wyciek z innego serwisu, w którym pracownik użył tego samego hasła. Na pierwszą pomaga szkolenie pracowników z cyberbezpieczeństwa, na drugą menedżer haseł.
Czy muszę informować wszystkich kontrahentów?
Zwykle wystarczy ostrzec osoby, do których poszły podejrzane wiadomości, i tych, z którymi rozliczasz się w najbliższym czasie. Jeśli włamywacz pisał do całej książki adresowej, informację dostają wszyscy.
Ile kosztuje pomoc przy przejętej skrzynce?
Zależy od dostawcy poczty, liczby kont do sprawdzenia i tego, czy włamywacz dostał się dalej, więc wyceniam po rozmowie. Na początek opisz objawy i podaj, z jakiej poczty korzystacie.
Powiązane strony
Ktoś przejął firmową pocztę?
Opisz objawy i napisz, z jakiej poczty korzystacie. Najlepiej z innego adresu niż ten, który mógł zostać przejęty.