Feltörték a céges e-mail fiókot? 10 jel, amit nem szabad figyelmen kívül hagyni – és mit kell azonnal tenni

Egy ügyfél telefonál:

„Biztosan Önök küldték ezt a levelet?”

A munkatárs megnézi az elküldött üzeneteit, de nem talál semmit.

Néhány perccel később egy másik partner is jelentkezik. Ő egy számlát vagy fizetési adatokat tartalmazó e-mailt kapott a vállalkozás nevében.

A feladó címe látszólag helyes.

A levél hitelesnek tűnik.

A felhasználó pedig még mindig be tud jelentkezni a saját postaládájába.

Ez az a pont, ahol felmerül a kérdés:

Feltörték a céges e-mail fiókot?

A válasz nem mindig egyértelmű.

Egy kompromittált e-mail-fiók ugyanis nem feltétlenül úgy viselkedik, hogy a tulajdonosa többé nem tud bejelentkezni.

A támadó számára sokszor éppen az az előnyös, ha észrevétlenül bent maradhat a rendszerben.

Miért különösen veszélyes egy céges e-mail-fiók feltörése?

A vállalati e-mail ma már jóval több egyszerű kommunikációs eszköznél.

Egyetlen postafiókban megtalálhatók lehetnek:

ügyféladatok;
szerződések;
számlák;
pénzügyi információk;
belső levelezések;
üzleti partnerek elérhetőségei;
jelszó-visszaállító üzenetek;
Microsoft 365 értesítések;
bizalmas mellékletek;
naptárbejegyzések;
további rendszerekhez kapcsolódó információk.

Ha egy támadó hozzáfér egy ilyen fiókhoz, nem feltétlenül kezd azonnal leveleket küldeni.

Előfordulhat, hogy először megfigyeli:

kivel kommunikál rendszeresen a vállalkozás;
milyen számlák érkeznek;
ki jogosult pénzügyi döntésekre;
milyen beszállítókkal dolgozik a cég;
hogyan kommunikálnak egymással a munkatársak;
milyen szóhasználat jellemző a levelezésre.

Ez lehetővé teheti egy sokkal hitelesebb későbbi támadás előkészítését.

Nem minden támadás látványos

Sokan arra számítanak, hogy egy feltört fióknál azonnal megváltozik a jelszó, eltűnnek a levelek vagy megszűnik a hozzáférés.

A valóságban a támadó érdeke gyakran éppen ennek az ellenkezője.

Minél tovább marad észrevétlen, annál több információhoz férhet hozzá.

Egy kompromittált fiókban például:

létrehozhat automatikus továbbítási szabályt;
módosíthat postaláda-szabályokat;
figyelheti a beérkező leveleket;
törölhet bizonyos üzeneteket;
hozzáférhet üzleti dokumentumokhoz;
megpróbálhat más vállalati rendszerekhez hozzáférni;
a felhasználó nevében kapcsolatba léphet ügyfelekkel vagy kollégákkal.

Ezért önmagában az, hogy:

„A felhasználó még be tud jelentkezni.”

nem bizonyítja, hogy a fiók biztonságos.

Business Email Compromise – amikor a támadó a vállalkozás nevében kommunikál

A céges levelezés kompromittálásának egyik különösen veszélyes formája a Business Email Compromise (BEC).

Ennek során a támadó egy vállalati e-mail-fiókot vagy a vállalkozás nevével visszaélő kommunikációt használhat arra, hogy hitelesnek tűnő üzleti utasításokat küldjön.

Tipikus helyzet lehet például:

megváltozott bankszámlaszámot tartalmazó számla;
sürgős átutalási kérés;
vezető nevében küldött fizetési utasítás;
partnernek küldött hamis dokumentum;
munkatársnak küldött belépési vagy jelszó-visszaállítási kérés;
bizalmas adatok bekérése.

Az ilyen támadások azért különösen veszélyesek, mert az üzenet akár egy valódi vállalati postafiókból is érkezhet.

A címzett ilyenkor nem feltétlenül látja a klasszikus adathalász jeleket.

A feltört fiók a levelezés hírnevét is károsíthatja

Ha egy kompromittált postafiókból nagy mennyiségű kéretlen vagy rosszindulatú levél kerül kiküldésre, annak következménye nem feltétlenül ér véget a fiók helyreállításával.

Romolhat:

a küldő domain reputációja;
a levelezőszerver vagy szolgáltatás megítélése;
az e-mailek kézbesíthetősége;
az ügyfelek bizalma.

Ennek következtében később akár a teljesen legitim üzleti levelek is spam mappába kerülhetnek vagy elutasításra kerülhetnek.

A levelezési hitelesítés és reputáció működéséről részletesen írunk a Miért kerülnek spam mappába a céges levelek? SPF, DKIM, DMARC és a leggyakoribb hibák, amelyeket minden vállalkozásnak ismernie kell című cikkünkben.

A jelszó megváltoztatása fontos – de nem mindig ez az egyetlen szükséges lépés

Amikor felmerül egy fiók kompromittálásának gyanúja, sokan azonnal megváltoztatják a jelszót.

Ez fontos lépés.

De egy biztonsági incidens kivizsgálása ennél többet igényelhet.

Ellenőrizni kell többek között:

a korábbi bejelentkezéseket;
az aktív munkameneteket;
a regisztrált hitelesítési módszereket;
az MFA-beállításokat;
a postaláda-szabályokat;
az automatikus továbbításokat;
a delegált jogosultságokat;
a kapcsolódó alkalmazásokat;
és azt, hogy történt-e jogosulatlan levélküldés.

Microsoft 365 környezetben ráadásul egyetlen felhasználói fiók nemcsak az Outlook postaládához kapcsolódhat.

Ugyanazzal az identitással további vállalati szolgáltatások is elérhetők lehetnek.

Ha általános Microsoft 365 működési vagy bejelentkezési probléma merül fel, a Miért nem működik a Microsoft 365? A 12 leggyakoribb hiba és megoldás vállalkozások számára című útmutatónk további hibakeresési szempontokat mutat be.

Mit mutatunk be ebben a cikkben?

Megnézzük:

melyik 10 jel utalhat arra, hogy kompromittálták a céges e-mail-fiókot;
mit kell tenni közvetlenül a gyanú felmerülése után;
miért nem feltétlenül elegendő kizárólag a jelszó megváltoztatása;
milyen bejelentkezéseket és jogosultságokat kell ellenőrizni;
hogyan vizsgálhatók a gyanús postaláda-szabályok és továbbítások;
mit kell tenni, ha már az ügyfelek is kaptak hamis leveleket;
hogyan védhető meg a fiók többtényezős hitelesítéssel;
milyen szerepe van a biztonsági mentésnek;
hogyan csökkenthető egy újabb kompromittálás kockázata;
és mikor indokolt szakember bevonása.

A legfontosabb azonban az idő.

Ha felmerül a gyanú, hogy egy vállalati postafiókot illetéktelen személy használ, nem érdemes megvárni a következő gyanús levelet.

Először meg kell állítani a jogosulatlan hozzáférést, utána pedig ki kell deríteni, hogy pontosan mi történt.

A feltört céges e-mail-fiók 10 legfontosabb jele

Egy kompromittált postafiók nem mindig produkál látványos hibát.

A támadó sok esetben úgy próbál hozzáférni a levelezéshez, hogy a felhasználó minél tovább ne vegye észre jelenlétét.

Éppen ezért bizonyos apró változásokat is komolyan kell venni.

1. Ismeretlen bejelentkezések jelennek meg

Az egyik legerősebb figyelmeztető jel, ha a felhasználói fiók bejelentkezési előzményeiben olyan aktivitás jelenik meg, amelyet a felhasználó nem ismer fel.

Gyanús lehet például:

ismeretlen ország;
szokatlan földrajzi hely;
ismeretlen IP-cím;
ismeretlen eszköz;
szokatlan időpontban történt bejelentkezés;
rövid időn belül több, egymástól távoli helyről érkező próbálkozás.

Fontos azonban, hogy egy idegen IP-cím vagy földrajzi hely önmagában még nem bizonyít kompromittálást.

VPN, mobilinternet, vállalati proxy vagy szolgáltatói hálózat miatt a bejelentkezés helyadata eltérhet a felhasználó tényleges tartózkodási helyétől.

Ezért mindig a teljes bejelentkezési eseményt és annak környezetét kell vizsgálni.

2. Olyan levelek kerültek elküldésre, amelyeket a felhasználó nem írt

Ez már rendkívül komoly figyelmeztető jel.

A munkatársak vagy ügyfelek jelezhetik, hogy olyan üzenetet kaptak a felhasználótól, amelyet ő nem küldött.

A levél tartalmazhat:

gyanús linket;
mellékletet;
fizetési felszólítást;
bankszámlaszám-változást;
jelszó-visszaállítási kérést;
hamis dokumentumot;
sürgős pénzügyi utasítást.

Ilyenkor nem elegendő egyszerűen törölni a gyanús levelet.

Fel kell tételezni, hogy a fiókhoz illetéktelen hozzáférés történhetett, amíg ennek ellenkezője nem igazolható.

Azt is meg kell vizsgálni, hogy:

hány üzenet került kiküldésre;
kik kapták meg;
milyen tartalommal;
tartalmaztak-e rosszindulatú linket vagy mellékletet;
történt-e válasz;
történt-e pénzügyi vagy adatvédelmi következmény.

3. Váratlan MFA-értesítések érkeznek

Ha a felhasználó úgy kap többtényezős hitelesítési értesítést, hogy éppen nem próbál bejelentkezni, azt nem szabad automatikusan jóváhagyni.

Ez arra utalhat, hogy valaki:

ismeri a felhasználó jelszavát;
megpróbál bejelentkezni a fiókba;
és már csak a második hitelesítési tényező választja el a hozzáféréstől.

Különösen veszélyes, ha rövid idő alatt sok jóváhagyási kérés érkezik.

A támadó abban bízhat, hogy a felhasználó figyelmetlenségből vagy azért, hogy megszűnjenek az értesítések, végül jóváhagy egyet.

Ismeretlen MFA-kérést soha nem szabad jóváhagyni.

Ilyen esetben a jelszó azonnali megváltoztatása és a bejelentkezési események ellenőrzése indokolt lehet.

4. Ismeretlen automatikus továbbítás jelenik meg

A támadónak nem feltétlenül kell folyamatosan belépnie a postaládába ahhoz, hogy hozzáférjen az új üzenetekhez.

Beállíthat automatikus továbbítást egy külső e-mail-címre.

Ez különösen veszélyes, mert a felhasználó közben továbbra is normálisan használhatja saját postaládáját.

A támadó pedig megkaphatja például:

az ügyfelek leveleit;
számlákat;
belső kommunikációt;
jelszó-visszaállító üzeneteket;
szerződéseket;
pénzügyi információkat.

Ezért kompromittálás gyanúja esetén mindig ellenőrizni kell az automatikus továbbítási beállításokat is.

5. Ismeretlen postaláda-szabályok jelennek meg

A postaláda-szabályok szintén felhasználhatók arra, hogy a támadó elrejtse saját tevékenységét.

Létrehozható például olyan szabály, amely bizonyos:

feladótól;
tárggyal;
kulcsszóval;
pénzügyi tartalommal

érkező leveleket automatikusan:

másik mappába helyez;
olvasottnak jelöl;
továbbít;
vagy töröl.

Így például egy ügyfél figyelmeztető válasza sem feltétlenül kerül a felhasználó szeme elé.

Ha olyan Outlook- vagy Exchange-szabály található a postaládában, amelyet a felhasználó nem ismer, annak eredetét ki kell vizsgálni.

6. Levelek eltűnnek vagy váratlan helyre kerülnek

Önmagában egy eltűnt levél természetesen még nem bizonyít támadást.

Ha azonban rendszeresen történik olyan, hogy:

fontos üzenetek a törölt elemek közé kerülnek;
levelek ismeretlen mappákban jelennek meg;
bizonyos feladóktól érkező üzenetek eltűnnek;
olvasatlan levelek váratlanul olvasottnak látszanak,

akkor érdemes ellenőrizni a postaláda-szabályokat és a fiók aktivitását.

Különösen gyanús, ha a jelenség más kompromittálásra utaló tünettel együtt jelentkezik.

7. Megváltoznak a hitelesítési vagy biztonsági adatok

Komoly figyelmeztető jel lehet, ha a fiókhoz olyan hitelesítési módszer kerül hozzáadásra, amelyet a felhasználó nem ismer.

Ilyen lehet például:

ismeretlen Authenticator-regisztráció;
új telefonszám;
új hitelesítési módszer;
ismeretlen eszköz.

Ha a támadó saját hitelesítési lehetőséget tud hozzáadni, azzal megpróbálhatja tartósabbá tenni a hozzáférését.

Ezért egy kompromittálás kivizsgálásakor nem elegendő csak a jelszót ellenőrizni.

A regisztrált hitelesítési módszereket is felül kell vizsgálni.

8. Ismeretlen alkalmazás kap hozzáférést a fiókhoz

A modern felhőszolgáltatásokban a felhasználó különböző alkalmazások számára is engedélyezhet hozzáférést bizonyos adataihoz vagy szolgáltatásaihoz.

Egy rosszindulatú vagy megtévesztő alkalmazás engedélyezése ezért biztonsági kockázatot jelenthet.

Gyanús lehet, ha a felhasználó olyan alkalmazást vagy hozzáférést lát, amelyre nem emlékszik.

Ez azért különösen fontos, mert bizonyos támadási helyzetekben nem kizárólag a jelszó ismerete jelenthet hozzáférési lehetőséget.

A kapcsolódó alkalmazások és megadott jogosultságok felülvizsgálása ezért szintén része kell legyen az incidens kivizsgálásának.

9. Az ügyfelek gyanús levelekre vagy fizetési kérésekre panaszkodnak

Sok vállalkozás nem saját monitoringrendszeréből értesül először egy kompromittált postaládáról.

Hanem egy ügyféltől.

Például:

„Megváltozott a bankszámlaszámuk?”

vagy:

„Ezt a számlát valóban Önök küldték?”

Ez már kritikus helyzet lehet.

Különösen akkor, ha a támadó korábbi valódi levelezések alapján készített hitelesnek tűnő üzenetet.

Ilyenkor nemcsak technikai incidensről beszélünk.

Az ügyfelek, beszállítók és pénzügyi tranzakciók is veszélybe kerülhetnek.

Az érintett partnerek gyors és megfelelő tájékoztatása ezért az incidenskezelés részévé válhat.

10. A korábban működő céges levelek spam mappába kerülnek vagy visszapattannak

Ha egy kompromittált fiókot spam, adathalász vagy más rosszindulatú üzenetek küldésére használtak, annak következménye lehet a levelezési reputáció romlása.

A vállalkozás később azt tapasztalhatja, hogy:

a legitim levelek spam mappába kerülnek;
egyes címzettek elutasítják az üzeneteket;
kézbesítési hibák jelennek meg;
romlik a domain vagy a küldési infrastruktúra reputációja.

Fontos: a spam mappába kerülésnek számos más oka is lehet, ezért ez önmagában nem bizonyítja, hogy feltörték a postafiókot.

Ha azonban közvetlenül egy biztonsági incidens után kezdődik, mindenképpen ki kell vizsgálni.

A kézbesítési problémák, valamint az SPF, DKIM és DMARC szerepéről részletesen írunk a Miért kerülnek spam mappába a céges levelek? SPF, DKIM, DMARC és a leggyakoribb hibák, amelyeket minden vállalkozásnak ismernie kell című cikkünkben.

Egyetlen jel még nem mindig bizonyít feltörést

Fontos különbséget tenni a gyanús esemény és a bizonyított kompromittálás között.

Egy ismeretlen IP-cím, egy elveszett levél vagy egy sikertelen bejelentkezés önmagában még nem feltétlenül jelenti azt, hogy valaki hozzáfért a fiókhoz.

Ha azonban egyszerre több jel is megjelenik – például:

ismeretlen sikeres bejelentkezés;
váratlan MFA-kérés;
ismeretlen postaláda-szabály;
automatikus továbbítás;
jogosulatlanul elküldött levelek;

akkor az esetet potenciális biztonsági incidensként kell kezelni.

Ilyenkor az idő kritikus.

Nem az a következő kérdés, hogy:

„Biztosan feltörték?”

hanem az, hogy:

„Hogyan akadályozzuk meg azonnal a további jogosulatlan hozzáférést, miközben megőrizzük a kivizsgáláshoz szükséges információkat?”

Feltörték a céges e-mail-fiókot – mit kell azonnal tenni?

Ha több jel is arra utal, hogy illetéktelen személy hozzáférhetett egy vállalati e-mail-fiókhoz, akkor az esetet nem egyszerű jelszóproblémaként, hanem biztonsági incidensként érdemes kezelni.

A cél ilyenkor három dolog:

a támadó további hozzáférésének megszüntetése;
annak felmérése, hogy mihez férhetett hozzá és mit módosíthatott;
az üzleti következmények korlátozása.

Fontos, hogy a technikai beavatkozás előtt – amennyiben ez a helyzet súlyossága mellett megoldható – érdemes rögzíteni a releváns eseményeket, naplókat és gyanús beállításokat is. Ezek később fontosak lehetnek az incidens kivizsgálásához.

1. Tiltsa le vagy korlátozza a kompromittált fiók hozzáférését

Ha aktív támadás gyanúja áll fenn, az elsődleges cél annak megakadályozása, hogy az illetéktelen fél tovább használhassa a fiókot.

A konkrét lépések az alkalmazott levelezési rendszertől függnek.

Microsoft 365 környezetben rendszergazdai beavatkozásra lehet szükség, különösen akkor, ha:

a felhasználó már nem tud bejelentkezni;
megváltoztak a hitelesítési adatok;
ismeretlen MFA-módszer jelent meg;
aktív jogosulatlan munkamenet gyanítható;
a fiókból továbbra is gyanús levelek kerülnek kiküldésre.

Ilyenkor nem célszerű kizárólag arra hagyatkozni, hogy a felhasználó saját maga megváltoztatja a jelszavát.

2. Változtassa meg a jelszót

A kompromittált fiók jelszavát meg kell változtatni.

Az új jelszó legyen:

egyedi;
megfelelően hosszú;
korábban nem használt;
más szolgáltatásban nem alkalmazott.

Ha ugyanazt vagy hasonló jelszót más rendszerekben is használták, azokat a fiókokat is ellenőrizni kell.

Ez különösen fontos, mert egy megszerzett felhasználónév-jelszó párossal a támadó más szolgáltatásokban is megpróbálhat bejelentkezni.

A jelszó újrafelhasználása ezért jelentősen növeli egyetlen kompromittált fiók üzleti hatását.

3. Vonja vissza az aktív munkameneteket

Ez az egyik olyan lépés, amely könnyen kimaradhat.

A jelszó megváltoztatása fontos, de kompromittálás esetén azt is ellenőrizni kell, hogy maradt-e aktív jogosulatlan munkamenet vagy olyan hitelesítési állapot, amely további hozzáférést tehet lehetővé.

Microsoft 365 környezetben ezért indokolt lehet a felhasználó aktív munkameneteinek visszavonása és az újbóli hitelesítés kikényszerítése.

A cél egyszerű:

ne csak az új bejelentkezést akadályozzuk meg, hanem a már létrejött jogosulatlan hozzáférést is szakítsuk meg.

4. Ellenőrizze az MFA-beállításokat

Ha a vállalkozás többtényezős hitelesítést használ, ellenőrizni kell a felhasználóhoz regisztrált hitelesítési módszereket.

Keressen:

ismeretlen telefonszámot;
ismeretlen Authenticator-regisztrációt;
újonnan hozzáadott hitelesítési módszert;
olyan eszközt, amelyet a felhasználó nem ismer.

A gyanús hitelesítési módszereket el kell távolítani, majd szükség esetén újra kell regisztrálni a felhasználó legitim MFA-eszközét.

Az MFA jelentősen növeli a fiókok biztonságát, de csak akkor, ha megfelelően van konfigurálva és a felhasználók tudják, hogy ismeretlen hitelesítési kérést nem szabad jóváhagyni.

5. Ellenőrizze a postaláda-szabályokat és automatikus továbbításokat

Ezt a lépést nem szabad kihagyni.

A támadó létrehozhat olyan szabályokat, amelyekkel:

külső címre továbbítja a leveleket;
elrejti bizonyos partnerek üzeneteit;
törli a figyelmeztető leveleket;
másik mappába mozgat bizonyos üzeneteket;
automatikusan olvasottnak jelöl leveleket.

Ellenőrizni kell:

az Inbox Rules szabályokat;
az automatikus továbbítást;
a külső továbbítási címeket;
a felhasználó által nem ismert szabályokat.

A gyanús konfigurációt dokumentálni, majd eltávolítani szükséges.

6. Ellenőrizze a delegált jogosultságokat

A vállalati levelezőrendszerek lehetővé tehetik, hogy más felhasználók hozzáférést kapjanak egy postaládához.

Ez önmagában teljesen legitim funkció.

Gyanús azonban, ha olyan jogosultság jelenik meg, amelyet senki nem állított be tudatosan.

Érdemes ellenőrizni többek között:

ki fér hozzá a postaládához;
ki küldhet a felhasználó nevében;
ki rendelkezik teljes postaláda-hozzáféréssel;
történt-e jogosultságváltozás.

Egy támadó számára ugyanis nem feltétlenül csak a közvetlen bejelentkezés jelenthet hozzáférési lehetőséget.

7. Ellenőrizze a kapcsolódó alkalmazásokat és jogosultságokat

A modern felhőalapú rendszerekben külső alkalmazások is hozzáférést kaphatnak bizonyos felhasználói adatokhoz.

Ezért kompromittálás esetén érdemes ellenőrizni, hogy található-e:

ismeretlen alkalmazás;
indokolatlan hozzáférési engedély;
olyan integráció, amelyet a felhasználó nem ismer.

Ha gyanús alkalmazás vagy jogosultság található, nem elegendő kizárólag a jelszó megváltoztatása.

A jogosulatlan alkalmazáshozzáférést is meg kell szüntetni.

8. Vizsgálja meg a bejelentkezési és auditnaplókat

Miután a közvetlen hozzáférést sikerült korlátozni, meg kell próbálni rekonstruálni az eseményeket.

A vizsgálat során fontos kérdések:

mikor történt az első gyanús bejelentkezés;
milyen IP-címről érkezett;
milyen eszköz vagy kliens kapcsolódott;
történt-e sikeres bejelentkezés;
milyen műveleteket hajtottak végre;
módosultak-e a hitelesítési beállítások;
létrejött-e továbbítás vagy postaláda-szabály;
történt-e jogosulatlan levélküldés.

Microsoft 365 környezetben a bejelentkezési és auditadatok különösen értékesek lehetnek az incidens idővonalának összeállításához.

A Microsoft 365 működésével és gyakori hibáival részletesebben a Miért nem működik a Microsoft 365? A 12 leggyakoribb hiba és megoldás vállalkozások számára című cikkünkben foglalkozunk.

9. Ellenőrizze, milyen leveleket küldtek a támadó hozzáférése alatt

Ha a támadó a vállalkozás nevében kommunikált, meg kell határozni az érintettség körét.

Érdemes megvizsgálni:

kiknek küldtek levelet;
milyen tartalommal;
történt-e adathalász kísérlet;
küldtek-e módosított számlát;
kértek-e átutalást;
továbbítottak-e bizalmas dokumentumot;
érkezett-e válasz az ügyfelektől;
történt-e tényleges pénzügyi tranzakció.

Ha pénzügyi visszaélés gyanúja merül fel, az idő különösen kritikus.

A szükséges technikai, pénzügyi, jogi és adatvédelmi lépéseket az adott incidens körülményei alapján kell meghatározni.

10. Értesítse az érintett partnereket, ha szükséges

Ha bizonyítható vagy erősen valószínűsíthető, hogy a kompromittált fiókból ügyfeleknek, beszállítóknak vagy munkatársaknak hamis üzeneteket küldtek, az érintetteket gyorsan tájékoztatni kell.

A kommunikációnak egyértelműnek kell lennie.

Például jelezni kellhet, hogy:

melyik e-mail-cím volt érintett;
milyen időszakban történhetett jogosulatlan levélküldés;
mely üzeneteket ne tekintsék hitelesnek;
ne nyissanak meg bizonyos mellékleteket vagy linkeket;
ne teljesítsenek megváltozott fizetési utasítást;
szükség esetén milyen hivatalos csatornán ellenőrizhetik a vállalkozástól érkező kéréseket.

Különösen pénzügyi adatok módosítását tartalmazó e-mail esetén fontos a második kommunikációs csatornán történő ellenőrzés.

Miért nem elég egyszerűen megváltoztatni a jelszót?

Mert egy kompromittált fiókban a támadó a hozzáférés ideje alatt további módosításokat is végrehajthatott.

Például:

létrehozhatott továbbítási szabályt;
módosíthatott postaláda-szabályokat;
hozzáadhatott hitelesítési módszert;
engedélyezhetett alkalmazáshozzáférést;
hozzáférhetett dokumentumokhoz;
leveleket küldhetett ügyfeleknek;
megszerezhetett további belépési adatokat.

Ezért a megfelelő incidenskezelés nem:

Jelszócsere → kész.

Hanem inkább:

Hozzáférés megszüntetése → hitelesítés helyreállítása → jogosultságok ellenőrzése → naplók vizsgálata → érintettség felmérése → helyreállítás → megelőző intézkedések.

Ha az e-mail-fiók Microsoft 365 környezet része, azt is figyelembe kell venni, hogy ugyanaz a felhasználói identitás más vállalati adatokhoz és szolgáltatásokhoz is hozzáférést biztosíthat.

Ezért az incidens vizsgálatát nem feltétlenül szabad kizárólag az Outlook postaládára korlátozni.

Hogyan előzhető meg, hogy újra feltörjék a céges e-mail-fiókot?

A kompromittált fiók helyreállítása csak az első lépés.

Ha nem derül ki, hogyan történt a támadás, ugyanaz a probléma később újra bekövetkezhet.

Ezért az incidens lezárása előtt érdemes megvizsgálni:

hogyan szerezhették meg a hitelesítési adatokat;
volt-e többtényezős hitelesítés;
újrahasználták-e a jelszót más szolgáltatásban;
történt-e adathalász támadás;
kapott-e külső alkalmazás indokolatlan jogosultságot;
megfelelően voltak-e konfigurálva a hozzáférési szabályok;
voltak-e olyan figyelmeztető jelek, amelyeket korábban nem vettek észre.

A cél nem pusztán a korábbi állapot visszaállítása.

A helyreállított környezetnek lehetőség szerint biztonságosabbnak kell lennie annál, mint amilyen az incidens előtt volt.

1. Többtényezős hitelesítés használata

A többtényezős hitelesítés – MFA – az egyik legfontosabb védelmi réteg a vállalati felhasználói fiókoknál.

Lényege, hogy a jelszó önmagában ne legyen elegendő a bejelentkezéshez.

Ez azért fontos, mert a jelszó többféleképpen is illetéktelen kezekbe kerülhet:

adathalászattal;
kártékony programmal;
adatszivárgás során;
jelszó-újrafelhasználás miatt;
megtévesztő weboldalon keresztül.

Ha a támadó megszerzi a jelszót, megfelelő MFA mellett továbbra is szüksége lehet egy további hitelesítési tényezőre.

Az MFA azonban nem jelenti azt, hogy a fiók többé feltörhetetlen.

Ezért fontos az is, hogy a felhasználó felismerje a váratlan hitelesítési kéréseket, és soha ne hagyjon jóvá olyan bejelentkezést, amelyet nem ő kezdeményezett.

2. Minden szolgáltatáshoz egyedi jelszó

Ugyanannak a jelszónak több szolgáltatásban történő használata jelentősen növeli a kockázatot.

Ha egy kevésbé védett szolgáltatásból kiszivárog egy e-mail-cím és jelszó kombinációja, a támadók megpróbálhatják ugyanazokat az adatokat:

Microsoft 365-ben;
webmailben;
VPN-en;
felhőszolgáltatásokban;
ügyviteli rendszerekben;
más vállalati alkalmazásokban.

Ez az úgynevezett credential stuffing támadások egyik alapja.

A céges fiókokhoz ezért egyedi, megfelelően hosszú jelszavakat érdemes használni.

3. A felhasználóknak fel kell ismerniük az adathalászatot

A technikai védelem önmagában nem elegendő.

Egy jól elkészített adathalász levél akár teljesen hiteles vállalati értesítésnek is tűnhet.

A támadó például azt állíthatja, hogy:

lejárt a Microsoft 365 jelszó;
megtelt a postaláda;
új dokumentum érkezett;
megosztottak egy OneDrive fájlt;
újra be kell jelentkezni;
biztonsági ellenőrzés szükséges;
zárolni fogják a fiókot.

A link pedig egy olyan oldalra vezethet, amely megtévesztésig hasonlít az eredeti bejelentkezési felületre.

Ezért a felhasználóknak tudniuk kell:

ellenőrizni a feladót;
felismerni a sürgető vagy szokatlan kéréseket;
ellenőrizni a link célját;
nem megadni hitelesítési adatokat gyanús oldalon;
jelenteni a gyanús leveleket.

Egyetlen megfelelően megtévesztett felhasználó elegendő lehet ahhoz, hogy a támadó belépési adatokat szerezzen.

4. A jogosultságokat a szükséges minimumra kell korlátozni

Nem minden felhasználónak van szüksége minden adathoz és rendszerhez hozzáférésre.

Ha egy kompromittált felhasználói fiók indokolatlanul széles jogosultságokkal rendelkezik, az incidens hatása is nagyobb lehet.

Érdemes ezért a legkisebb szükséges jogosultság elvét követni.

Ez azt jelenti, hogy a felhasználó csak azokhoz az erőforrásokhoz férjen hozzá, amelyek a munkájához valóban szükségesek.

Különösen fontos az adminisztrátori jogosultságok elkülönítése a mindennapi felhasználói fiókoktól.

5. A régi és nem használt fiókokat meg kell szüntetni

Komoly kockázatot jelenthetnek azok a felhasználói fiókok, amelyeket már senki nem használ, de továbbra is aktívak.

Ilyen lehet például:

korábbi munkatárs fiókja;
ideiglenes felhasználó;
régi tesztfiók;
már nem használt külső partneri hozzáférés.

Ezeket rendszeresen felül kell vizsgálni.

Egy elfelejtett, de aktív fiók ideális célpont lehet, mert a jogosulatlan használatát kisebb eséllyel veszik észre.

6. A bejelentkezéseket és biztonsági eseményeket is figyelni kell

A proaktív védelem egyik alapja, hogy ne kizárólag akkor kezdődjön vizsgálat, amikor egy ügyfél már gyanús levelet kapott.

Érdemes figyelni többek között:

szokatlan bejelentkezéseket;
sikertelen hitelesítési kísérleteket;
új MFA-regisztrációkat;
jogosultságváltozásokat;
gyanús alkalmazáshozzáféréseket;
szokatlan levélküldési aktivitást.

A cél ugyanaz, mint a szerver- és hálózati monitoringnál:

a problémát lehetőség szerint még azelőtt észlelni, hogy abból komoly üzleti incidens legyen.

7. SPF, DKIM és DMARC megfelelő konfigurációja

Az SPF, DKIM és DMARC fontos része a vállalati levelezés védelmének és hitelesítésének.

Ezek azonban nem arra szolgálnak, hogy megakadályozzák egy felhasználó jelszavának ellopását.

Más problémát kezelnek.

Segíthetnek többek között annak meghatározásában és ellenőrzésében, hogy:

mely rendszerek jogosultak a domain nevében levelet küldeni;
hitelesen aláírható-e a küldött levél;
hogyan kezeljék a fogadó rendszerek a hitelesítési ellenőrzéseken megbukó üzeneteket.

Ez különösen fontos a domainnel történő visszaélések és a levelezési reputáció szempontjából.

A három technológia működéséről részletesen a Miért kerülnek spam mappába a céges levelek? SPF, DKIM, DMARC és a leggyakoribb hibák, amelyeket minden vállalkozásnak ismernie kell című cikkünkben írunk.

8. A céges levelezésről is szükség lehet külön biztonsági mentésre

A felhőszolgáltatás és a biztonsági mentés nem ugyanaz.

Egy vállalkozásnak érdemes előre meghatároznia, hogyan állíthatók helyre a kritikus levelezési és együttműködési adatok például:

véletlen törlés;
felhasználói hiba;
rosszindulatú törlés;
hibás módosítás;
biztonsági incidens

után.

Microsoft 365 környezetben ezért az adatvédelmi és helyreállítási stratégia kialakítását nem célszerű kizárólag arra alapozni, hogy az adatok felhőben találhatók.

A témáról részletesen a Microsoft 365 adatmentés – Hogyan védje meg vállalkozása kritikus adatait? című cikkünkben írunk.

Az antivírus önmagában nem védi meg az e-mail-fiókot

Gyakori tévhit, hogy egy megfelelő végpontvédelmi vagy antivírus-megoldás önmagában elegendő a vállalkozás informatikai védelméhez.

Nem az.

Egy antivírus fontos védelmi réteg lehet, de nem helyettesíti:

az MFA-t;
az egyedi jelszavakat;
a megfelelő jogosultságkezelést;
a felhasználók biztonságtudatosságát;
a levelezési hitelesítést;
a naplózást és ellenőrzést;
a biztonsági mentést;
az incidenskezelést.

Ha a felhasználó például egy hitelesnek tűnő adathalász oldalon saját maga adja meg a Microsoft 365 bejelentkezési adatait, attól még nem biztos, hogy a végponton klasszikus kártékony program fut.

Ez jól mutatja, miért szükséges több, egymást kiegészítő védelmi réteg.

Erről részletesebben a Miért nem elég egy antivírus a vállalkozások védelmére? című cikkünkben írunk.

A legfontosabb szemlélet: ne egyetlen védelmi megoldásban bízzunk

Nincs olyan egyetlen technológia, amely önmagában megoldja a céges e-mail-fiókok biztonságát.

A hatékony védelem több rétegből épül fel:

egyedi jelszó + MFA + megfelelő jogosultságok + felhasználói tudatosság + naplózás + levelezési hitelesítés + biztonsági mentés + incidenskezelés

Ha az egyik réteg hibázik, a következő még megakadályozhatja vagy mérsékelheti a támadás következményeit.

Ez különösen fontos a céges e-mail esetében, mert egy kompromittált postafiók nemcsak egy felhasználót veszélyeztethet.

A támadó a vállalkozás nevében kommunikálhat az ügyfelekkel, beszállítókkal és munkatársakkal is.

Mi történhet egy vállalkozással egyetlen feltört e-mail-fiók miatt?

Egy kompromittált céges postafiók következménye nem feltétlenül korlátozódik arra, hogy valaki elolvashat néhány levelet.

Az e-mail sok vállalkozásnál központi szerepet tölt be a napi működésben.

Kapcsolódhat hozzá:

ügyfélkommunikáció;
számlázás;
szerződések;
belső dokumentumok;
naptár;
felhőtárhely;
jelszó-visszaállítás;
Microsoft 365 szolgáltatások;
külső üzleti rendszerek.

Ezért egyetlen felhasználói fiók kompromittálása akár több további rendszer biztonságára is hatással lehet.

Adatszivárgás történhet

Ha a támadó hozzáfér a postaládához, olyan információkat is megszerezhet, amelyeket a vállalkozás nem nyilvános kezelésre szánt.

Ilyenek lehetnek:

személyes adatok;
ügyféladatok;
szerződések;
pénzügyi dokumentumok;
számlák;
belső levelezések;
üzleti tervek;
csatolt dokumentumok;
munkatársakkal kapcsolatos információk.

Ezért egy e-mail-fiók kompromittálása bizonyos körülmények között már nem kizárólag informatikai kérdés.

Adatvédelmi és jogi következményei is lehetnek.

Ha személyes adatok érintettsége merül fel, a vállalkozásnak az incidens konkrét körülményei alapján azt is meg kell vizsgálnia, hogy fennáll-e személyes adatok megsértésével kapcsolatos incidens, és ebből milyen további kötelezettségek következnek.

Pénzügyi csalás indulhat egy valódi levelezésből

Az egyik legsúlyosabb kockázat akkor jelentkezik, amikor a támadó nem azonnal cselekszik.

Előfordulhat, hogy először figyeli a levelezést.

Megismeri:

a rendszeres beszállítókat;
az ügyfeleket;
a pénzügyi folyamatokat;
a döntéshozókat;
a kommunikáció stílusát;
a folyamatban lévő ügyleteket.

Ezután kivárhat egy megfelelő pillanatot.

Például egy valódi számlázási folyamat közben olyan üzenetet küldhet, amely szerint:

„Kérjük, a számlát már az új bankszámlaszámra utalják.”

Ha az üzenet egy valódi postaládából érkezik, megfelelő előzményekkel és megszokott kommunikációs stílusban, a csalás felismerése lényegesen nehezebb lehet.

Ezért céges környezetben különösen fontos szabály lehet, hogy bankszámlaszám vagy más kritikus fizetési adat e-mailben közölt megváltoztatását egy második, független kommunikációs csatornán is ellenőrizni kell.

A támadó további fiókokat is célba vehet

Egy megszerzett postafiók értékes kiindulópont lehet további támadásokhoz.

A támadó már nem egy ismeretlen külső címről ír.

Hanem például:

egy kolléga valódi céges e-mail-címéről.

Így sokkal hitelesebb lehet egy olyan üzenet, amely például:

dokumentum megnyitását kéri;
Microsoft 365 bejelentkezést kér;
jelszó-visszaállításra hivatkozik;
fájlmegosztási linket tartalmaz;
sürgős vezetői kérést imitál.

Egyetlen kompromittált postafiókból ezért akár további belső felhasználók kompromittálása is megkísérelhető.

Az ügyfelek bizalma is sérülhet

Technikailag helyre lehet állítani egy fiókot.

Meg lehet változtatni a jelszót.

Vissza lehet vonni a munkameneteket.

Törölni lehet a rosszindulatú szabályokat.

Az ügyfél bizalmának helyreállítása azonban sokkal nehezebb lehet.

Ha egy partner a vállalkozás valódi e-mail-címéről:

hamis számlát;
adathalász linket;
kártékony mellékletet;
megtévesztő fizetési kérést

kapott, számára ez nem feltétlenül egyszerű informatikai hibaként jelenik meg.

A vállalkozás nevében történt visszaélés reputációs problémává is válhat.

Mi a helyzet a törölt vagy módosított adatokkal?

A támadó nem feltétlenül csak adatokat olvas.

Törölhet vagy módosíthat is.

Ezért egy incidens során érintettek lehetnek például:

e-mailek;
csatolmányok;
névjegyek;
naptáradatok;
felhőben tárolt dokumentumok;
együttműködési adatok.

Ez különösen Microsoft 365 környezetben fontos, ahol ugyanaz a felhasználói identitás több szolgáltatáshoz is kapcsolódhat.

A Microsoft 365 adatainak védelméről részletesen a Microsoft 365 adatmentés – Hogyan védje meg vállalkozása kritikus adatait? című cikkünkben írunk.

Mikor tekinthető lezártnak egy e-mail-biztonsági incidens?

Nem akkor, amikor ismét működik a bejelentkezés.

És nem feltétlenül akkor, amikor megváltozott a jelszó.

Egy komolyabb incidens akkor közelít a lezáráshoz, amikor a vállalkozás megfelelő bizonyossággal választ tud adni többek között ezekre a kérdésekre:

Hogyan történt a jogosulatlan hozzáférés?
Mikor kezdődött?
Meddig állhatott fenn?
Milyen fiókok és rendszerek lehettek érintettek?
Milyen adatokat érhetett el a támadó?
Küldött-e üzeneteket a vállalkozás nevében?
Módosított-e szabályokat vagy jogosultságokat?
Maradt-e más hozzáférési lehetősége?
Érintettek lehetnek-e személyes adatok?
Szükséges-e ügyfelek vagy más érintettek tájékoztatása?
Milyen intézkedés akadályozza meg ugyanennek a támadásnak a megismétlődését?

Ez az incidens utáni elemzés – gyakran root cause analysis – azért fontos, mert a tünet megszüntetése nem feltétlenül szünteti meg a kiváltó okot.

Mikor érdemes informatikai szakembert bevonni?

Ha csak egy téves MFA-értesítés történt, az még nem feltétlenül jelent teljes körű kompromittálást.

Más a helyzet, ha például:

ismeretlen sikeres bejelentkezés történt;
leveleket küldtek a felhasználó nevében;
postaláda-szabályokat módosítottak;
külső továbbítás jelent meg;
hitelesítési módszereket változtattak;
ügyfelek kaptak megtévesztő üzeneteket;
pénzügyi visszaélés gyanúja merült fel;
több felhasználó is érintett lehet;
nem állapítható meg a támadás kezdete vagy kiterjedése.

Ilyenkor már nem egyszerű Outlook-hibakeresésről beszélünk.

Az incidenst strukturáltan kell kivizsgálni, és nem célszerű találomra törölni a nyomokat vagy módosítani a rendszert.

Hogyan készülhet fel egy vállalkozás még az incidens előtt?

A legrosszabb időpont incidenskezelési folyamat kialakítására az, amikor az incidens már megtörtént.

Érdemes előre meghatározni:

kihez fordulhatnak a munkatársak gyanús e-mail esetén;
ki rendelkezik megfelelő rendszergazdai jogosultsággal;
hogyan történik a kompromittált fiók letiltása;
hol érhetők el a szükséges naplók;
hogyan történik a helyreállítás;
hogyan kommunikál a vállalkozás az ügyfelekkel;
milyen biztonsági mentések állnak rendelkezésre;
hogyan ellenőrzik a kritikus pénzügyi módosításokat.

A jól kialakított IT-üzemeltetés egyik feladata éppen az, hogy egy biztonsági incidens során ne akkor kelljen először kitalálni, mit kell tenni.

A céges e-mail biztonsága nem csak az e-mailről szól

Egy céges postafiók ma gyakran egy teljes digitális identitás része.

Ezért a megfelelő védelemhez nem elegendő kizárólag a levelezőprogramot vizsgálni.

Figyelembe kell venni:

az identitásvédelmet;
a hozzáférés-kezelést;
az MFA-t;
a végpontok biztonságát;
a jogosultságokat;
a levelezési hitelesítést;
a naplózást;
a biztonsági mentést;
és az incidenskezelést.

Ha ezek egymásra épülnek, egyetlen megszerzett jelszóból lényegesen nehezebb teljes vállalati biztonsági incidenst kialakítani.

Gyakori kérdések

Honnan tudhatom, hogy feltörték a céges e-mail-fiókomat?

Fiókkompromittálásra utalhat többek között az ismeretlen sikeres bejelentkezés, váratlan MFA-kérés, jogosulatlanul elküldött levél, ismeretlen automatikus továbbítás, új postaláda-szabály, megváltozott hitelesítési módszer vagy olyan alkalmazáshozzáférés, amelyet a felhasználó nem engedélyezett.

Egyetlen jel önmagában nem minden esetben bizonyít támadást, de több ilyen esemény együttes megjelenését biztonsági incidensként érdemes kezelni.

Mit tegyek először, ha feltörték az e-mail-fiókomat?

Elsőként meg kell akadályozni a további jogosulatlan hozzáférést.

A szükséges intézkedések közé tartozhat:

a fiók hozzáférésének korlátozása;
a jelszó megváltoztatása;
az aktív munkamenetek visszavonása;
az MFA-módszerek ellenőrzése;
a postaláda-szabályok és továbbítások vizsgálata;
az alkalmazás-hozzáférések ellenőrzése;
a bejelentkezési és auditnaplók vizsgálata;
a jogosulatlanul elküldött levelek felderítése.

Komolyabb incidensnél fontos lehet a releváns naplók és bizonyítékok megőrzése is.

Elég megváltoztatni a jelszót egy feltört e-mail-fióknál?

Nem feltétlenül.

A támadó a hozzáférés során létrehozhatott automatikus továbbítást, postaláda-szabályokat, új hitelesítési módszert vagy más hozzáférési lehetőséget.

Ezért a jelszócsere mellett az aktív munkameneteket, MFA-beállításokat, jogosultságokat, továbbításokat, szabályokat és kapcsolódó alkalmazásokat is ellenőrizni kell.

Feltörhető egy Microsoft 365 fiók akkor is, ha MFA védi?

Igen.

Az MFA jelentősen növeli a fiók biztonságát, de nem teszi feltörhetetlenné.

Kockázatot jelenthet például:

egy tévesen jóváhagyott MFA-kérés;
adathalászat;
munkamenet vagy hitelesítési token megszerzésére irányuló támadás;
rosszindulatú alkalmazásnak adott jogosultság;
hibásan kialakított hozzáférési környezet.

Ezért az MFA-t további biztonsági kontrollokkal együtt célszerű alkalmazni.

Mit jelent, ha olyan MFA-kérést kapok, amelyet nem én indítottam?

Ez arra utalhat, hogy valaki megpróbál bejelentkezni a fiókba.

Az ismeretlen MFA-kérést nem szabad jóváhagyni.

Ha ilyen esemény történik, érdemes ellenőrizni a bejelentkezési előzményeket, és ha felmerül a hitelesítési adatok kompromittálásának lehetősége, megváltoztatni a jelszót és felülvizsgálni a fiók biztonsági beállításait.

Mi az a Business Email Compromise (BEC)?

A Business Email Compromise olyan üzleti e-mailes visszaélés, amelyben a támadó egy vállalkozás vagy annak munkatársa nevében próbálja megtéveszteni az áldozatot.

A cél lehet például:

pénz átutaltatása;
bankszámlaszám megváltoztatása;
bizalmas információ megszerzése;
hamis számla elfogadtatása;
további felhasználók megtévesztése.

Különösen veszélyes, ha a támadó egy valóban kompromittált vállalati postaládát használ.

Mit jelent az ismeretlen automatikus e-mail-továbbítás?

Ha a postaládában olyan külső továbbítás található, amelyet a felhasználó vagy a rendszergazda nem állított be, az komoly figyelmeztető jel lehet.

A támadó így a postaládába érkező új levelekről másolatot kaphat anélkül, hogy minden alkalommal közvetlenül be kellene jelentkeznie.

Ezért kompromittálás gyanúja esetén a forwarding beállításokat mindig ellenőrizni kell.

Miért hoz létre egy támadó Outlook- vagy postaláda-szabályokat?

A szabályok segítségével megpróbálhatja elrejteni saját tevékenységét.

Például automatikusan áthelyezheti vagy törölheti azokat az üzeneteket, amelyek:

fizetéssel kapcsolatosak;
egy adott ügyféltől érkeznek;
figyelmeztetést tartalmaznak;
a támadó által küldött korábbi levélre adott válaszok.

Ezért az ismeretlen Inbox Rules szabályokat mindig ki kell vizsgálni.

Miért kerülhetnek spam mappába a levelek egy feltörés után?

Ha a kompromittált fiókból kéretlen, adathalász vagy más rosszindulatú üzeneteket küldtek, romolhat a küldési reputáció.

A problémát ugyanakkor hibás SPF-, DKIM- vagy DMARC-konfiguráció és számos más tényező is okozhatja.

A témát részletesen bemutatjuk a Miért kerülnek spam mappába a céges levelek? SPF, DKIM, DMARC és a leggyakoribb hibák, amelyeket minden vállalkozásnak ismernie kell című cikkünkben.

Szükséges biztonsági mentést készíteni a Microsoft 365 adatairól?

A biztonsági mentési és helyreállítási igényt a vállalkozás adatvédelmi, megőrzési és üzletmenet-folytonossági követelményei alapján kell meghatározni.

Fontos különbséget tenni a felhőszolgáltatás rendelkezésre állása és egy külön mentési stratégia között.

Erről részletesen a Microsoft 365 adatmentés – Hogyan védje meg vállalkozása kritikus adatait? című cikkünkben írunk.

Hogyan előzhető meg a céges e-mail-fiók feltörése?

A kockázat több egymásra épülő védelmi réteggel csökkenthető:

egyedi és megfelelően erős jelszavakkal;
többtényezős hitelesítéssel;
megfelelő jogosultságkezeléssel;
felhasználói biztonságtudatossággal;
bejelentkezési és biztonsági események felügyeletével;
megfelelő levelezési hitelesítéssel;
rendszeres hozzáférés-felülvizsgálattal;
megfelelő mentési és incidenskezelési folyamattal.

A cél nem egyetlen „tökéletes” biztonsági megoldás alkalmazása, hanem több egymást kiegészítő védelmi réteg kialakítása.

Mit tegyek, ha az ügyfelek már kaptak hamis levelet a céges fiókomból?

Először meg kell akadályozni a további jogosulatlan hozzáférést, majd meg kell határozni, hogy mely címzettek milyen üzeneteket kaptak.

Az érintett partnereket szükség esetén gyorsan és egyértelműen tájékoztatni kell.

Különösen fontos lehet jelezni, hogy:

ne kattintsanak a gyanús linkre;
ne nyissák meg a mellékletet;
ne teljesítsenek gyanús fizetési kérést;
megváltozott bankszámlaszámot más kommunikációs csatornán ellenőrizzenek.

Ha pénzügyi tranzakció vagy személyes adatok érintettsége is felmerül, további pénzügyi, jogi vagy adatvédelmi intézkedésekre is szükség lehet.

Mikor érdemes informatikai szakemberhez fordulni?

Különösen akkor, ha:

bizonyított jogosulatlan bejelentkezés történt;
a támadó leveleket küldött;
ismeretlen továbbítás vagy szabály jelent meg;
megváltoztak a hitelesítési módszerek;
több felhasználó lehet érintett;
ügyfelek kaptak hamis üzeneteket;
pénzügyi visszaélés gyanúja merült fel;
vagy nem állapítható meg egyértelműen a kompromittálás mértéke.

Ilyenkor nemcsak a fiókot kell ismét működőképessé tenni.

A támadás okát és kiterjedését is meg kell határozni.

Összegzés

Egy céges e-mail-fiók kompromittálása jóval több lehet egyszerű informatikai kellemetlenségnél.

A támadó hozzáférhet üzleti levelezésekhez, dokumentumokhoz és ügyféladatokhoz, megfigyelheti a vállalkozás kommunikációját, módosíthat postaláda-szabályokat, továbbíthatja az üzeneteket, vagy akár a vállalkozás nevében is kommunikálhat.

A legfontosabb figyelmeztető jelek közé tartozhat:

az ismeretlen sikeres bejelentkezés;
a váratlan MFA-kérés;
a jogosulatlanul elküldött levél;
az ismeretlen automatikus továbbítás;
a gyanús postaláda-szabály;
a megváltozott hitelesítési módszer;
az ismeretlen alkalmazáshozzáférés;
az eltűnő vagy áthelyezett levelek;
az ügyfelektől érkező figyelmeztetések;
valamint a hirtelen jelentkező kézbesítési és reputációs problémák.

A legfontosabb azonban nem az, hogy a vállalkozás felismerje mind a tíz jelet.

Már egyetlen komoly gyanús eseményt is érdemes kivizsgálni.

A jelszócsere csak a helyreállítás egyik lépése

Ha egy e-mail-fiók kompromittálódott, a jelszó megváltoztatása fontos, de önmagában nem feltétlenül elegendő.

Ellenőrizni kell többek között:

az aktív munkameneteket;
az MFA-beállításokat;
a hitelesítési módszereket;
a postaláda-szabályokat;
az automatikus továbbításokat;
a delegált jogosultságokat;
a kapcsolódó alkalmazásokat;
a bejelentkezési és auditnaplókat;
valamint a jogosulatlanul elküldött üzeneteket.

A cél nem pusztán az, hogy a felhasználó ismét be tudjon jelentkezni.

Azt is meg kell állapítani, hogy a támadó hozzáférése valóban megszűnt-e, mit érhetett el, és milyen változtatásokat hajthatott végre.

Egyetlen e-mail-fiók az egész vállalkozást érintheti

A vállalati levelezés ma számos más informatikai szolgáltatással összekapcsolódik.

Microsoft 365 környezetben ugyanaz a felhasználói identitás kapcsolódhat többek között az Outlookhoz, OneDrive-hoz, SharePointhoz, Teamshez és további vállalati szolgáltatásokhoz.

Ezért egy fiók kompromittálásakor nem feltétlenül elegendő kizárólag a postaládát vizsgálni.

Ha Microsoft 365 környezetben általános működési, hitelesítési vagy kapcsolódási problémák jelentkeznek, érdemes átnézni a Miért nem működik a Microsoft 365? A 12 leggyakoribb hiba és megoldás vállalkozások számára című útmutatónkat is.

A megelőzés több egymásra épülő védelmi rétegből áll

Egyetlen biztonsági megoldás sem jelent teljes védelmet.

A céges e-mail-fiókok biztonságát több, egymást kiegészítő intézkedéssel lehet növelni:

egyedi jelszavak + MFA + megfelelő jogosultságok + felhasználói tudatosság + biztonsági naplózás + levelezési hitelesítés + adatmentés + incidenskezelés

A levelezési infrastruktúra hitelesítésében az SPF, DKIM és DMARC is fontos szerepet tölt be. Ezek működéséről részletesen a Miért kerülnek spam mappába a céges levelek? SPF, DKIM, DMARC és a leggyakoribb hibák, amelyeket minden vállalkozásnak ismernie kell című cikkünkben írunk.

Az adatvédelem másik fontos eleme a helyreállíthatóság. A Microsoft 365 adatok mentési lehetőségeiről a Microsoft 365 adatmentés – Hogyan védje meg vállalkozása kritikus adatait? című cikkünkben található részletesebb összefoglaló.

A végpontvédelem szintén fontos réteg, de önmagában nem oldja meg az identitás- és hozzáférésbiztonságot. Erről a Miért nem elég egy antivírus a vállalkozások védelmére? című cikkünkben írunk részletesebben.

Ne akkor kezdődjön a biztonság, amikor már megtörtént a támadás

Egy jól működő vállalati informatikai környezetben nem kizárólag az a kérdés, hogy:

„Mit csináljunk, ha feltörik a fiókot?”

Hanem az is:

„Milyen gyorsan vesszük észre, ha valami nincs rendben?”

Minél hamarabb felismerhető egy jogosulatlan hozzáférés, annál nagyobb az esély arra, hogy az incidens hatása korlátozható.

Ezért a megfelelő védelem nem kizárólag technológiából áll.

Szükség van megfelelő konfigurációra, hozzáférés-kezelésre, naplózásra, biztonsági mentésre, felhasználói tudatosságra és előre meghatározott incidenskezelési folyamatokra is.

Céges e-mail és Microsoft 365 biztonság vállalkozások számára

A SARABEL Informatika Kft. vállalkozások informatikai rendszereinek üzemeltetésében, felügyeletében és biztonságosabb működésének kialakításában nyújt támogatást.

A feladat nem kizárólag egy már bekövetkezett probléma elhárítása.

A cél olyan informatikai környezet kialakítása, amelyben a kockázatok lehetőség szerint már azelőtt felismerhetők és csökkenthetők, hogy azok komolyabb üzleti fennakadást vagy biztonsági incidenst okoznának.

A támogatás többek között kiterjedhet:

Microsoft 365 környezetek üzemeltetésére;
céges levelezési rendszerek felügyeletére;
MFA és hozzáférésvédelem kialakítására;
felhasználói jogosultságok felülvizsgálatára;
SPF, DKIM és DMARC konfiguráció ellenőrzésére;
Microsoft 365 adatmentési megoldások kialakítására;
biztonsági incidensek technikai kivizsgálására;
vállalati IT-biztonsági környezet felmérésére.

Egy biztonsági incidensnél minden perc számíthat. A megfelelő védelem célja azonban az, hogy lehetőség szerint ne az incidens után kelljen először feltenni a kérdést: ki fér hozzá a vállalkozás adataihoz?

Források

A cikk szakmai hátteréhez az alábbi hivatalos dokumentációk és ajánlások használhatók forrásként:

Microsoft Learn – Microsoft Entra ID és bejelentkezési naplók
Microsoft Learn – Revoke user access in Microsoft Entra ID
Microsoft Learn – Exchange Online mailbox forwarding és Inbox Rules
Microsoft Learn – Microsoft 365 compromised account response
Microsoft Security – Business Email Compromise
CISA – Phishing Guidance
CISA – Multifactor Authentication
NIST – Digital Identity Guidelines
NIST Cybersecurity Framework
ENISA – Cybersecurity guidance for organisations

A legfontosabb üzenet:

Egy feltört céges e-mail-fióknál nem az a cél, hogy csak a jelszót cseréljük le. A jogosulatlan hozzáférést meg kell szüntetni, az incidens kiterjedését fel kell mérni, majd meg kell akadályozni, hogy ugyanaz újra megtörténjen.