Phishing i skutki ataków e-mailowych

Phishing to wiadomość, która udaje, że pochodzi od kogoś zaufanego, żebyś kliknął link, otworzył plik, wpisał hasło albo wysłał pieniądze. Przychodzi najczęściej e-mailem, ale też SMS-em, telefonicznie, przez komunikatory i w kodach QR. Cel to zwykle jedna z trzech rzeczy: Twoje dane logowania, przyczółek na Twoim komputerze albo przelew na niewłaściwe konto. Phishing działa, bo korzysta z prawdziwego kontekstu: paczki, na którą czekasz, udostępnionego dokumentu, niezapłaconej faktury, wiadomości od szefa. Wciąż jest jednym z najczęstszych pierwszych kroków włamania, dlatego obrona ma kilka warstw: filtrowanie poczty, uwierzytelnianie wieloskładnikowe (MFA), pracowników, którzy szybko zgłaszają podejrzane wiadomości, i zasady płatności, które nie opierają się na samym e-mailu. Sensor sieciowy nie czyta poczty; pomaga później, jeśli kliknięcie prowadzi do nietypowego ruchu z urządzenia.

Mniej patrz na błędy ortograficzne, których współczesny phishing prawie nie ma, a bardziej na to, o co wiadomość prosi. Sygnały ostrzegawcze: presja, by działać natychmiast, prośba o zalogowanie się, zapłatę, zmianę numeru konta albo otwarcie nieoczekiwanego pliku, adres nadawcy minimalnie różny od prawdziwego, adres odpowiedzi prowadzący gdzie indziej i link, którego prawdziwy cel, widoczny po najechaniu kursorem, nie pasuje do firmy, za którą się podaje. Wiadomość od znanego kolegi też może być phishingiem, jeśli ktoś przejął jego skrzynkę, więc nietypowa prośba to powód, by sprawdzić ją innym kanałem, na przykład telefonem pod numer, który już masz. W razie wątpliwości nie klikaj: zgłoś wiadomość do IT i pozwól im ją obejrzeć. Fałszywy alarm kosztuje minutę, zignorowany prawdziwy atak może kosztować znacznie więcej.

Od razu powiedz o tym IT, nawet jeśli nic się nie wydarzyło; szybkość jest ważniejsza niż zakłopotanie. Potem, razem z IT: jeśli na otwartej stronie wpisałeś hasło, zmień je z innego, zaufanego urządzenia i zakończ wszystkie aktywne sesje konta. Jeśli pobrał się lub otworzył jakiś plik, odłącz komputer od sieci, wyjmując kabel albo wyłączając Wi-Fi, ale go nie wyłączaj, żeby można go było zbadać. Zapisz godzinę, wiadomość i link, żeby IT mogło zablokować go dla wszystkich i sprawdzić, kto jeszcze dostał tę wiadomość. Jeśli tylko otworzyłeś stronę i nic nie wpisałeś, ryzyko jest mniejsze, ale IT i tak powinno sprawdzić urządzenie swoimi narzędziami. W kolejnych dniach zwracaj uwagę na nieoczekiwane prośby o logowanie, żądania MFA, których nie wywołałeś, i odpowiedzi na e-maile, których nie wysłałeś.

Traktuj konto jako przejęte i działaj w ciągu minut. Zmień hasło z zaufanego urządzenia, a jeśli używałeś tego samego hasła gdzie indziej, zmień je również tam. Poproś IT o wylogowanie konta ze wszystkich sesji i unieważnienie jego tokenów dostępu, bo wiele zestawów phishingowych kradnie samą zalogowaną sesję, więc samo nowe hasło może nie odciąć napastnika. Następnie IT powinno sprawdzić dziennik logowań pod kątem logowań z nieznanych miejsc, przejrzeć metody MFA w poszukiwaniu nowego telefonu lub aplikacji dodanych przez napastnika i poszukać nowych reguł skrzynki, które przekazują albo ukrywają pocztę. Jeśli konto ma uprawnienia administratora albo dostęp do systemów finansowych, podnieś priorytet. Tutaj najpierw liczą się kroki dotyczące tożsamości. Monitoring sieci pomaga potem, obserwując dalsze działania, do których często prowadzi skradzione logowanie, na przykład zdalny dostęp do serwerów wewnętrznych.

Najpierw zajmij się tożsamością: zresetuj hasło, unieważnij sesje, sprawdź dziennik logowań i metody MFA. Potem poszukaj w sieci śladów, że logowanie posłużyło do dalszych działań. Przydatne pytania: czy urządzenie lub konto pracownika łączyło się z serwerami, których normalnie nie używa, takimi jak serwery plików, kontroler domeny czy systemy finansowe? Czy z nietypowej maszyny ruszyły sesje pulpitu zdalnego lub zdalnego zarządzania? Czy któreś urządzenie zaczęło regularne, rytmiczne połączenia z nieznanym adresem zewnętrznym, co może oznaczać kanał zdalnego sterowania? Czy z sieci wypłynęło nietypowo dużo danych? W NetSenX historia alertów i mapa sieci pokazują takie wzorce w każdym planie: beaconing, skanowanie wewnętrzne, ruch boczny i nietypowe wolumeny danych wychodzących. Jeśli w dniach po kliknięciu nic takiego się nie pojawi, to uspokaja, ale nie dowodzi, bo do skrzynek w chmurze i aplikacji SaaS łączy się przez internet i ta aktywność w ogóle nie przechodzi przez Twoją sieć.

Narzędzie sieciowe nie wyczyści urządzenia; to zadanie ochrony stacji końcowych, a w razie wątpliwości reinstalacji. Praktyczna kolejność: odłącz urządzenie od sieci, ale go nie wyłączaj, żeby IT mogło w razie potrzeby zabezpieczyć dowody. Przeprowadź pełne skanowanie narzędziem EDR (endpoint detection and response) lub antywirusem i sprawdź nowe programy, rozszerzenia przeglądarki, zadania zaplanowane i elementy autostartu. Jeśli uruchomiło się coś podejrzanego albo urządzenie należy do administratora lub kogoś z działu finansów, bezpieczniej jest je wyczyścić do zera i zainstalować na nowo ze sprawdzonego obrazu, a pliki przywrócić z kopii zapasowej, niż ufać sprzątaniu. Przed ponownym podłączeniem zmień hasła użytkownika z innego urządzenia. Po powrocie obserwuj przez kilka tygodni jego zachowanie w sieci: NetSenX pokaże, czy znów zaczyna regularne połączenia wychodzące albo nietypowy ruch.

Zwykle w kilku przewidywalnych krokach. Złośliwy plik lub link daje im kanał zdalnego sterowania prowadzący do ich własnego serwera, widoczny jako regularne połączenia wychodzące. Potem się rozglądają: jakie są serwery, udziały i konta, często skanując sieć wewnętrzną albo odpytując katalog. Następnie zbierają kolejne dane uwierzytelniające, z pamięci laptopa, haseł zapisanych w przeglądarce lub z innych systemów, i używają ich do logowania na kolejne maszyny zwykłymi narzędziami administracyjnymi, takimi jak pulpit zdalny, zdalny PowerShell czy udziały plików. Stamtąd celują w kontroler domeny, kopie zapasowe i magazyny danych. Każdy krok zostawia ślad w sieci: nowe połączenia między maszynami wewnętrznymi, które rzadko się komunikują, skanowanie, protokoły administracyjne ze zwykłego laptopa i dane płynące w nietypowe miejsca. Właśnie takich śladów szuka NDR (network detection and response) i dlatego jedno kliknięcie w phishing nie musi skończyć się pełnym włamaniem.

Tak. Zgłoszona wiadomość pozwala IT usunąć ten sam e-mail ze wszystkich innych skrzynek, zablokować nadawcę i link oraz ostrzec kolegę, który mógłby kliknąć go jutro. Phishing zwykle trafia jednocześnie do wielu osób w tej samej firmie, więc jedno wczesne zgłoszenie może ochronić dziesiątki. Ułatw zgłaszanie: przycisk w programie pocztowym albo jeden adres do przekazywania i krótkie podziękowanie za każdym razem, także za fałszywe alarmy. Nigdy nie karz za zgłoszenie, nawet gdy ktoś przyznaje, że kliknął: strach przed winą zamienia pięciominutową naprawę w trzytygodniowy incydent. Mierz sukces tym, ile osób zgłasza i jak szybko, a nie tylko tym, jak mało osób klika. Zgłoszenia pokazują też IT, jakie przynęty docierają do pracowników, co pomaga dostroić filtry poczty i szkolenia.

Zmniejszają szkody, ale same nie powstrzymają phishingu i nie powinny być jedyną obroną. Dobre szkolenie pokazuje, jak wyglądają aktualne przynęty, wyrabia nawyk zgłaszania i jasno mówi, że błąd zgłoszony wcześnie to dobry wynik. Krótkie, regularne sesje działają lepiej niż jeden długi kurs raz w roku. Symulacje phishingu mogą pomóc, jeśli służą ćwiczeniu, a nie zawstydzaniu: pokazuj wyniki jako trendy zespołów, po kliknięciu daj dwuminutową lekcję zamiast nagany i uprzedź pracowników, że symulacje się odbywają. Ktoś zawsze kliknie, bo dobre przynęty są projektowane tak, by wyglądały jak zwykła praca. Dlatego łącz szkolenia z zabezpieczeniami, które nie zależą od idealnego osądu: filtrowaniem poczty, uwierzytelnianiem wieloskładnikowym odpornym na phishing, weryfikacją płatności telefonicznie i monitoringiem, który zauważy, że przejęte urządzenie zaczyna zachowywać się inaczej.

Spear phishing to phishing wymierzony w jedną osobę lub małą grupę, napisany ze szczegółami, które czynią go wiarygodnym: imieniem, stanowiskiem, bieżącymi projektami, dostawcami czy współpracownikami. Napastnicy zbierają te informacje ze strony firmy, LinkedIna, komunikatów prasowych, wcześniejszych wycieków danych albo ze skrzynki, którą już kontrolują. Wiadomość do księgowej może wspominać prawdziwego dostawcę i prawdziwy numer faktury; wiadomość do administratora IT może wyglądać jak alert z narzędzia, którego firma faktycznie używa. Gdy celem jest członek zarządu, mówi się czasem o whalingu. Ponieważ takie wiadomości są dopasowane, filtry wyłapują ich mniej, a pracownikom trudniej je rozpoznać. Najlepsza obrona to procedury: weryfikuj nietypowe prośby drugim kanałem, ograniczaj publikowane informacje o rolach wewnętrznych i procesach płatności, a osobom z dostępem do pieniędzy lub uprawnieniami administratora daj w pierwszej kolejności MFA odporne na phishing.

To phishing innymi kanałami. Smishing wykorzystuje SMS-y, często o paczkach, bankach, zwrocie podatku albo zablokowanym koncie, z linkiem do fałszywej strony logowania. Vishing to rozmowy telefoniczne: ktoś podaje się za wsparcie IT, bank, dostawcę albo przełożonego i namawia rozmówcę do podania kodu, zainstalowania narzędzia do zdalnej pomocy albo zatwierdzenia płatności. Vishing stał się częstą drogą do firm, bo przekonujący rozmówca omija zabezpieczenia, które zatrzymują e-maile, na przykład prosząc helpdesk o zresetowanie hasła pracownika albo zarejestrowanie nowego urządzenia MFA. Przydatna obrona: zasada, że IT nigdy nie prosi o hasła ani kody przez telefon, procedura helpdesku weryfikująca tożsamość przed każdym resetem i nawyk oddzwaniania na znany numer. Sensor sieciowy nie słyszy rozmów, ale pokazuje nowe zewnętrzne usługi, z którymi urządzenie zaczyna się potem łączyć.

Phishing z kodem QR, nazywany czasem quishingiem, ukrywa złośliwy link w kodzie QR: w załączniku e-maila, w wydrukowanym liście, na parkometrze albo na fałszywym ogłoszeniu w biurze. Działa z dwóch powodów. Filtry poczty sprawdzają linki, ale często nie odczytają linku ukrytego w obrazku, a ludzie skanują kod telefonem, który zwykle jest poza firmową ochroną i pokazuje tylko krótki podgląd adresu. Otwarta strona zazwyczaj prosi o logowanie do Microsoft 365 lub innego konta służbowego albo o dane karty. Traktuj kod QR, który każe się zalogować, jak każdy inny link: sprawdź adres, zanim cokolwiek wpiszesz, a jeśli wiadomość nakłania do zeskanowania kodu, żeby utrzymać aktywne konto albo przeczytać dokument, najpierw zapytaj IT. W firmach MFA odporne na phishing ogranicza szkody, gdy hasło zostanie wpisane w telefonie.

Business e-mail compromise to oszustwo, w którym przestępcy za pomocą e-maila nakłaniają firmę do zapłaty na ich konto albo przekazania poufnych danych. Albo włamują się do prawdziwej skrzynki, często po wyłudzeniu logowania phishingiem, albo podszywają się pod nią adresem łudząco podobnym. Typowe warianty: fałszywy prezes proszący o pilny, poufny przelew, dostawca, któremu nagle zmienia się numer konta, prośba o przekierowanie pensji pracownika na nowe konto i prawnik prowadzący tajną transakcję. BEC często nie używa ani złośliwego oprogramowania, ani linku, tylko przekonującej wiadomości we właściwym momencie, dlatego filtry techniczne tak wiele z nich przepuszczają. To jedna z najkosztowniejszych form cyberprzestępczości: Internet Crime Complaint Center FBI podało około 2,8 miliarda dolarów strat z BEC za 2024 rok. Najsilniejsza obrona to proces płatności wymagający weryfikacji telefonicznej, pod znanym numerem, przed każdą zmianą danych konta lub nietypowym przelewem.

W większości przypadków nie i lepiej wiedzieć to od początku. W oszustwie na prezesa e-mail, telefon albo wiadomość na czacie, które wyglądają na pochodzące od członka kierownictwa, nakłaniają pracownika do wykonania przelewu. Wiadomości przechodzą przez chmurę dostawcy poczty, a płatność przez bankowość internetową, i jedno, i drugie wygląda w sieci zupełnie normalnie. Narzędzie do wykrywania zagrożeń sieciowych, takie jak NetSenX, nie czyta treści e-maili i nie odróżni prawdziwego polecenia płatności od fałszywego. Oszustwo na prezesa zatrzymują procedury: zasada, że żaden przelew nie wychodzi tylko na podstawie wiadomości, oddzwonienie na numer z własnej ewidencji, podwójna akceptacja przelewów powyżej ustalonej kwoty i wyraźne pozwolenie dla pracowników, by wstrzymać każdą prośbę, która ma być pilna i tajna. Monitoring sieci pomaga w jednym przypadku: gdy oszustwo zaczyna się od włamania do skrzynki, a napastnik dociera też do systemów firmy.

Tak, i to jedna z najskuteczniejszych form, bo przechodzi każdą kontrolę techniczną: adres jest prawdziwy, podpis jest prawdziwy, a wiadomość może nawet odpowiadać w istniejącym wątku. Dzieje się tak, gdy skrzynka kolegi została przejęta, często po wcześniejszym wyłudzeniu logowania, a napastnik wysyła z niej nowe przynęty do wszystkich z książki adresowej, wewnątrz firmy, ale też do klientów i dostawców. Sygnały ostrzegawcze tkwią w treści, nie w nadawcy: nietypowa prośba, nieoczekiwany udostępniony dokument, ton, który nie pasuje, albo wiadomość wysłana o dziwnej porze. Jeśli coś podejrzewasz, nie odpowiadaj na e-mail; skontaktuj się z kolegą inną drogą i powiedz IT. IT powinno wtedy traktować konto nadawcy jako przejęte: zresetować je, unieważnić sesje, sprawdzić reguły skrzynki i ustalić, kto jeszcze dostał z niego wiadomości.

Zweryfikuj to kanałem, z którego prośba nie przyszła. Zadzwoń do dostawcy na numer, który już masz w dokumentach, z umowy lub wcześniejszej faktury, nigdy na numer podany w nowej wiadomości, i potwierdź zmianę z osobą, którą tam znasz. Wiele firm wymaga też drugiej osoby akceptującej w dziale finansów, zanim zmienią się dane podstawowe dostawcy, i oznacza pierwszą płatność na nowe konto do dodatkowej kontroli. Szczególnie uważaj, gdy prośbie towarzyszy pośpiech, nowa osoba kontaktowa, bank w innym kraju albo wyjaśnienie w rodzaju audytu czy zmiany banku. To oszustwo działa nawet wtedy, gdy e-mail naprawdę przychodzi z adresu dostawcy, bo jego skrzynka mogła zostać przejęta. Monitoring sieci nie oceni takiej prośby; robi to oddzwonienie.

Natychmiast zadzwoń do banku i poproś o odwołanie przelewu; poproś też, by bank skontaktował się z bankiem odbiorcy w sprawie zamrożenia środków. O wyniku decyduje szybkość: pieniądze, których jeszcze nie przelano dalej, czasem udaje się zatrzymać w pierwszych godzinach lub dniach, później znacznie rzadziej. Następnie zgłoś oszustwo na policję, zachowaj wszystkie e-maile z pełnymi nagłówkami i powiadom ubezpieczyciela cyber, jeśli masz polisę, bo wiele polis obejmuje takie oszustwa tylko pod konkretnymi warunkami i w określonych terminach. Ustal, skąd oszust znał szczegóły: z podobnej domeny, z Twojej skrzynki czy ze skrzynki dostawcy? Jeśli użyto któregoś z Twoich kont, potraktuj to jako incydent: zresetuj je, unieważnij sesje, sprawdź reguły skrzynki i kto jeszcze dostał wiadomości. Na koniec powiadom prawdziwego dostawcę, bo to on może być stroną przejętą, i zaostrz zasadę oddzwaniania przy zmianach numerów kont.

Zakładaj, że każda niedawna wiadomość od tego dostawcy może być fałszywa, dopóki jej nie potwierdzisz. Wstrzymaj na krótko płatności na jego rzecz i potwierdź dane konta telefonicznie, pod numerem, który już masz. Ostrzeż dział finansów i wszystkich, którzy mają kontakt z dostawcą, i poproś IT o przeszukanie skrzynek pod kątem wiadomości z tego adresu w danym okresie, zwłaszcza z linkami, załącznikami lub instrukcjami płatności, oraz o ich usunięcie lub kwarantannę. Jeśli ktoś kliknął link albo wpisał hasło, zastosuj swoje procedury reagowania na phishing. Zapytaj dostawcę, kiedy zaczęło się przejęcie i co wie, i prowadź krótki zapis: bezpieczeństwo łańcucha dostaw to jeden ze środków zarządzania ryzykiem, których NIS2 oczekuje od objętych firm. Sprawdź, czy ktoś z Twoich pracowników nie odpowiedział, przesyłając wrażliwe dane. Po stronie sieci zobacz, czy urządzenia osób, które otworzyły te wiadomości, pokazują nowe połączenia wychodzące lub nietypową aktywność.

Bo oszustwo fakturowe dzieje się w rozmowach i decyzjach, a nie w ruchu sieciowym. Fałszywa faktura przychodzi jako zwykły e-mail do skrzynki w chmurze; osoba, która ją płaci, korzysta z bankowości internetowej jak każdego innego dnia; nigdzie nie musi uruchomić się żadne złośliwe oprogramowanie. Z punktu widzenia sieci wszystko jest w porządku. NDR (network detection and response) obserwuje zachowanie urządzeń: które maszyny rozmawiają z którymi, regularne połączenia z serwerami zewnętrznymi, skanowanie wewnętrzne, nietypowe wolumeny danych. Nie czyta treści e-maili i nie może wiedzieć, że numer konta jest zły. To nie słabość do ukrywania, tylko granica, którą trzeba uwzględnić w planie. Oszustwo fakturowe zatrzymują kontrole płatności, uwierzytelnianie poczty we własnej domenie i ludzie, którym wolno się zatrzymać i oddzwonić. NDR ma znaczenie dopiero wtedy, gdy oszustwo zaczyna się od włamania, na przykład od przejętej skrzynki użytej do wejścia do innych systemów.

Najpierw ustal, jak to robi, bo reakcja jest różna. Jeśli wiadomości mają Twoją domenę, a nie przechodzą przez Twoje serwery pocztowe, potrzebujesz uwierzytelniania poczty: SPF, DKIM i ścisłej polityki DMARC, żeby serwery odbiorców odrzucały fałszerstwa. Jeśli przychodzą z domeny łudząco podobnej, na przykład z jedną zmienioną literą, możesz złożyć skargę na nadużycie u rejestratora i dostawcy hostingu oraz rozważyć samodzielną rejestrację najbardziej oczywistych wariantów. Jeśli przychodzą z Twojej prawdziwej skrzynki, została ona przejęta i masz incydent do obsłużenia: zresetuj konto, unieważnij sesje, sprawdź reguły skrzynki. W każdym przypadku ostrzeż klientów kanałem, któremu ufają, mówiąc, że Twoje dane bankowe nigdy nie zmieniają się e-mailem i jak to zweryfikować; zgłoś oszustwo na policję; zachowaj próbki z pełnymi nagłówkami. Działy finansowe klientów będą wdzięczne za jasne ostrzeżenie.

Opublikuj trzy rekordy DNS, które pozwalają serwerom odbiorców sprawdzać Twoją pocztę. SPF wymienia serwery, które mogą wysyłać pocztę w imieniu domeny. DKIM dodaje do każdej wychodzącej wiadomości podpis kryptograficzny. DMARC mówi odbiorcom, co zrobić z wiadomością, która nie przejdzie tych testów, i wysyła Ci raporty o tym, kto wysyła pocztę w Twoim imieniu. Zacznij DMARC od polityki none, która tylko raportuje, i przez kilka tygodni czytaj raporty, żeby znaleźć wszystkich uprawnionych nadawców: dostawcę poczty, narzędzie do newslettera, system fakturowania i CRM. Dodaj ich do SPF i DKIM, potem przejdź na quarantine, a na końcu na reject. Od 2024 roku Google i Yahoo wymagają DMARC od nadawców masowych, więc chroni to też dostarczalność Twoich wiadomości. Zatrzymuje dokładne fałszerstwa Twojej domeny, ale nie domeny łudząco podobne; na nie potrzebny jest monitoring i wnioski o usunięcie.

DMARC, czyli Domain-based Message Authentication, Reporting and Conformance, to opublikowana reguła, która mówi innym serwerom pocztowym, jak traktować wiadomości podające się za pochodzące z Twojej domeny. Opiera się na dwóch starszych mechanizmach: SPF, który określa, jakie serwery mogą wysyłać pocztę domeny, i DKIM, który podpisuje wiadomości. Wiadomość przechodzi DMARC, gdy co najmniej jeden z tych testów się powiedzie i zgadza się z domeną w polu Od, czyli tą, którą faktycznie widzi czytelnik. Polityka może brzmieć none (tylko raportuj), quarantine (przenoś nieudane do spamu) albo reject (odrzucaj je). DMARC wysyła też zbiorcze raporty z listą wszystkich źródeł, które wysłały pocztę w Twoim imieniu; często dopiero wtedy firma widzi wszystkich zapomnianych nadawców. Sam nie zatrzyma phishingu w ogóle, bo napastnicy po prostu użyją innej, podobnie wyglądającej domeny. Zamyka jednak najłatwiejsze drzwi: dokładne podszycie się pod Twój własny adres.

MFA fatigue, nazywane też push bombingiem, to atak na konta, które w uwierzytelnianiu wieloskładnikowym używają powiadomień push. Napastnik ma już hasło, często z phishingu albo wycieku, i raz za razem wywołuje próby logowania, więc telefon użytkownika ciągle prosi o zatwierdzenie, czasem w środku nocy. W końcu człowiek naciska zatwierdź, żeby to ustało, albo ktoś dzwoniący jako IT go do tego namawia. Obrona: przełącz zatwierdzanie push na dopasowanie liczb, w którym użytkownik musi wpisać liczbę widoczną na ekranie logowania, co Microsoft Authenticator stosuje obecnie domyślnie; ogranicz liczbę monitów w danym czasie; pozwól zgłaszać nieoczekiwane monity jednym dotknięciem; a konta wysokiego ryzyka przenieś na metody odporne na phishing, takie jak klucze bezpieczeństwa czy passkeys. Powiedz pracownikom wprost, że żądanie MFA, którego sami nie wywołali, oznacza, że ktoś zna ich hasło, i że powinni je odrzucić i zadzwonić do IT.

Tak, niektóre rodzaje MFA da się obejść i dlatego liczy się ich typ. W ataku adversary-in-the-middle strona phishingowa stoi między Tobą a prawdziwą stroną logowania: w czasie rzeczywistym przekazuje prawdziwej usłudze Twoje hasło i jednorazowy kod lub zatwierdzenie push, a potem zatrzymuje ciasteczko sesji, które usługa odsyła. Z tym ciasteczkiem napastnik jest zalogowany bez ponownego podawania hasła i MFA. Podatne są na to kody SMS, kody z aplikacji uwierzytelniającej i proste zatwierdzenia push. MFA odporne na phishing, czyli klucze bezpieczeństwa FIDO2 i passkeys, nie jest, bo klucz sprawdza adres strony i nie odpowie fałszywej witrynie. MFA jakiegokolwiek rodzaju jest i tak dużo lepsze niż brak MFA. Praktyczne kroki: najpierw daj passkeys lub klucze bezpieczeństwa administratorom i działowi finansów, włącz zasady logowania, które oznaczają nieznane urządzenia i lokalizacje, a po każdym incydencie phishingowym unieważniaj sesje, nie tylko hasła.

Nie zawsze. Napastnicy, którzy przejmują skrzynkę, często zostawiają sobie sposoby na pozostanie w środku, które przetrwają nowe hasło. Sprawdź i usuń wszystkie: aktywne sesje i tokeny odświeżania, które trzeba unieważnić wprost; metody MFA zarejestrowane przez napastnika, na przykład nowy numer telefonu lub aplikację uwierzytelniającą; reguły skrzynki, które przekazują pocztę na adres zewnętrzny, przenoszą wiadomości o fakturach lub bezpieczeństwie do mało widocznego folderu albo usuwają odpowiedzi; automatyczne przekazywanie ustawione w opcjach skrzynki; hasła aplikacji i podłączone aplikacje firm trzecich z dostępem do poczty; oraz dostęp delegowany innemu kontu. Potem zobacz, co zrobiono w tym czasie: wysłane wiadomości, udostępnione pliki, wyeksportowane kontakty. W Microsoft 365 i Google Workspace dziennik audytu pokazuje te zmiany z sygnaturami czasu. Zapisz, co znajdziesz, bo od tego zależy, kogo trzeba ostrzec i czy incydent trzeba zgłosić.

Przestępcy używają dziś głosu, a czasem obrazu generowanego przez AI, żeby podszyć się pod członka kierownictwa podczas rozmowy telefonicznej lub wideo i poprosić o pilny przelew albo poufne dane. Kilka minut publicznie dostępnego nagrania, z wystąpienia na konferencji czy podcastu, może wystarczyć do sklonowania głosu. W szeroko opisywanej sprawie z 2024 roku w Hongkongu pracownik przelał około 25 milionów dolarów po wideorozmowie, w której wszyscy pozostali uczestnicy byli deepfake'ami. Nie możesz liczyć na to, że rozpoznasz podróbkę, bo jakość ciągle rośnie. Chroń więc proces: żadnej płatności ani przekazania danych tylko na podstawie rozmowy, oddzwonienie na numer z własnej ewidencji, druga osoba akceptująca przelewy powyżej ustalonej kwoty i ewentualnie umówione pytanie weryfikacyjne przy prośbach kierownictwa. Jasno pozwól pracownikom rozłączyć się i oddzwonić, nawet gdy rozmówca brzmi dokładnie jak prezes. Monitoring sieci nie odgrywa tu żadnej roli.

To sztuczka, dzięki której ofiara sama uruchamia polecenie napastnika. Przejęta lub fałszywa strona pokazuje coś, co wygląda jak CAPTCHA albo komunikat o błędzie, z instrukcją, jak udowodnić, że jesteś człowiekiem, lub naprawić problem: naciśnij kombinację klawiszy, która otwiera okno poleceń lub uruchamiania, wklej i naciśnij Enter. Strona wcześniej skopiowała do schowka złośliwe polecenie, więc w rzeczywistości uruchamiasz skrypt, który pobiera złośliwe oprogramowanie, często program kradnący dane albo narzędzie zdalnego dostępu. Ponieważ uruchamia go sam użytkownik, wiele zabezpieczeń przeglądarki i poczty w ogóle nie widzi pliku do zablokowania. Badacze bezpieczeństwa, w tym Microsoft, opisują gwałtowny wzrost tej techniki od 2024 roku. Obrona: powiedz pracownikom, że żadna prawdziwa strona nie prosi o wklejanie poleceń, ogranicz, kto może uruchamiać skrypty na zwykłych stacjach roboczych, i aktualizuj ochronę stacji końcowych. Jeśli do tego dojdzie, traktuj urządzenie jako przejęte; w sieci obserwuj nowe regularne połączenia wychodzące z niego.

Tak, choć zmieniły się niebezpieczne typy. Od 2022 roku Microsoft Office domyślnie blokuje makra w plikach pobranych z internetu, co w większości firm zamknęło starą drogę zainfekowanego dokumentu Word. Napastnicy przeszli na inne formaty: archiwa skompresowane z hasłem podanym w treści wiadomości, pliki obrazów dysków, pliki skrótów, załączniki HTML, które po otwarciu budują fałszywą stronę logowania lub pobierają plik, oraz PDF-y zawierające tylko link albo kod QR. Prosta zasada dla pracowników: nieoczekiwany załącznik, który prosi o włączenie zawartości, wpisanie hasła, zeskanowanie kodu albo otwarcie kolejnego pliku, to powód, by się zatrzymać i zapytać. Dla IT: blokuj rzadko używane typy załączników na bramie pocztowej, utrzymuj blokadę makr i upewnij się, że ochrona stacji końcowych sprawdza pliki otwierane z archiwów. Jeśli ktoś otworzył coś podejrzanego, postępuj tak samo jak po kliknięciu w phishing.

NetSenX widzi, co urządzenie robi potem w sieci, a nie sam e-mail czy kliknięcie. Nie czyta treści poczty i nie odszyfrowuje ruchu. Co może pokazać w każdym planie: urządzenie, które zaczyna regularne, rytmiczne połączenia z zewnętrznym serwerem, z którego nigdy wcześniej nie korzystało (beaconing); urządzenie, które zaczyna skanować inne maszyny; połączenia między hostami wewnętrznymi wskazujące na ruch boczny; oraz nietypowe wolumeny danych opuszczających sieć. Tam, gdzie agent przechwytuje pakiety, na Linuksie lub przez port lustrzany (SPAN), plany od Starter pokazują też odciski TLS, które pomagają wyłowić narzędzia niepasujące do zwykłego oprogramowania urządzenia. Alerty podają technikę MITRE ATT&CK, a od planu Starter zawierają też rekomendacje reakcji. Jeśli phishing tylko wykradnie logowanie do chmury, którego napastnik potem używa z własnego komputera, nic z tego ruchu nie przechodzi przez Twoją sieć, a właściwym miejscem do sprawdzenia są logi logowań u dostawcy tożsamości.