Faktura do pilnego opłacenia, prośba prezesa o zakup kart podarunkowych, dokument „do podpisu” z chmury – wiele incydentów zaczyna się właśnie od wiadomości e-mail. Gdy atakujący przejmie jedno konto, może czytać korespondencję, podszywać się pod pracownika, resetować hasła do innych systemów i wyłudzać płatności. Dlatego pytanie, jak zabezpieczyć skrzynkę firmową, nie dotyczy wyłącznie ustawień poczty. To decyzja o ochronie pieniędzy, danych i ciągłości działania organizacji.
Sama skrzynka jest też często kluczem do całego środowiska pracy. Przez pocztę odzyskuje się dostęp do systemów księgowych, paneli zakupowych, platform HR, dysków chmurowych czy narzędzi do obsługi klientów. Im większe uprawnienia ma użytkownik, tym większe skutki może mieć jego przejęcie.
Jak zabezpieczyć skrzynkę firmową od podstaw
Najpierw należy ustalić, z jakich kont organizacja korzysta, kto nimi zarządza i które z nich mają dostęp do danych lub procesów krytycznych. W wielu firmach problemem nie jest brak technologii, lecz brak porządku: istnieją konta byłych pracowników, wspólne skrzynki bez właściciela albo konta administracyjne używane do codziennej korespondencji.
Podstawą jest indywidualne konto dla każdej osoby. Wspólna skrzynka typu biuro@ lub faktury@ może być potrzebna operacyjnie, ale nie powinna oznaczać jednego hasła przekazywanego między pracownikami. Dostęp należy nadawać konkretnym użytkownikom, zgodnie z zakresem ich obowiązków, a po zmianie stanowiska lub odejściu z firmy – niezwłocznie go odbierać.
Warto również oddzielić zwykłe konto użytkownika od konta z uprawnieniami administracyjnymi. Administrator, który każdego dnia przegląda internet i otwiera załączniki na uprzywilejowanym koncie, zwiększa ryzyko, że błąd w wiadomości przełoży się na przejęcie całego środowiska pocztowego.
Hasło nie może być jedyną barierą
Długie, unikalne hasło pozostaje konieczne, ale nie daje pełnej ochrony. Hasła wyciekają z innych serwisów, bywają wyłudzane przez fałszywe strony logowania albo przechwytywane po infekcji urządzenia. Zakaz używania tych samych haseł prywatnie i służbowo powinien być jasną zasadą, nie sugestią.
Praktycznym rozwiązaniem jest menedżer haseł. Pozwala tworzyć długie, różne hasła dla każdego systemu bez potrzeby zapamiętywania ich przez pracownika. Z perspektywy organizacji ogranicza też ryzyko przechowywania danych dostępowych w arkuszach, notatnikach i komunikatorach.
Najważniejszym zabezpieczeniem konta jest jednak uwierzytelnianie wieloskładnikowe, czyli MFA. Poza hasłem użytkownik potwierdza logowanie drugim składnikiem, na przykład w aplikacji uwierzytelniającej, kluczem sprzętowym lub komunikatem zatwierdzanym na telefonie. Kody SMS są lepsze niż samodzielne hasło, lecz w miarę możliwości warto stosować aplikacje lub klucze bezpieczeństwa.
MFA trzeba włączyć przede wszystkim na kontach administracyjnych, finansowych, zarządczych i skrzynkach osób mających kontakt z klientami. Docelowo powinno obejmować całą organizację. Wyjątki bywają potrzebne przy starszych urządzeniach lub systemach, ale powinny być czasowe, opisane i zaakceptowane przez osobę odpowiedzialną za ryzyko.
Phishing omija filtry, gdy człowiek się spieszy
Filtry antyspamowe i antyphishingowe są potrzebne, lecz żaden z nich nie zatrzyma każdego ataku. Przestępcy korzystają z prawdziwych, wcześniej przejętych skrzynek kontrahentów. W takiej sytuacji wiadomość może wyglądać wiarygodnie, odnosić się do trwającej współpracy i zawierać poprawne dane kontaktowe.
Pracownik powinien zwracać uwagę na kontekst, a nie tylko na literówki. Czy prośba o płatność jest nietypowa? Czy kontrahent nagle zmienił numer rachunku? Czy wiadomość wywołuje presję czasu, poufność albo strach przed konsekwencjami? Czy dokument wymaga ponownego zalogowania, mimo że odbiorca ma już aktywną sesję w firmowej chmurze?
Szczególnego ryzyka wymagają wiadomości dotyczące przelewów, danych osobowych, zmian rachunku bankowego, haseł oraz dostępu do systemów. W takich sprawach procedura powinna wymagać potwierdzenia innym kanałem – na przykład telefonicznie na znany wcześniej numer, a nie numer podany w otrzymanym e-mailu. To prosta kontrola, która może zatrzymać kosztowne oszustwo typu Business Email Compromise.
Szkolenie pracowników ma sens wtedy, gdy odnosi się do rzeczywistych sytuacji z ich pracy. Inaczej wygląda podejrzana wiadomość w dziale księgowości, inaczej w placówce medycznej, urzędzie czy firmie produkcyjnej. Zespół powinien wiedzieć nie tylko, czego nie klikać, ale też gdzie zgłosić podejrzenie i co zrobić, gdy kliknięcie już nastąpiło.
Skonfiguruj ochronę poczty i domeny
Zespół IT lub dostawca usług powinien skonfigurować zabezpieczenia techniczne dostępne w używanej platformie pocztowej. Chodzi między innymi o filtrowanie spamu i złośliwych załączników, blokowanie logowań z nietypowych lokalizacji, alerty o zmianie reguł przekazywania poczty oraz rejestrowanie aktywności na kontach.
Szczególnej uwagi wymagają reguły automatycznego przekazywania wiadomości. Po przejęciu skrzynki atakujący często ustawia je tak, by kopie korespondencji trafiały na zewnętrzny adres. Może też ukrywać odpowiedzi od kontrahentów albo usuwać ostrzeżenia. Alert o utworzeniu nowej reguły i okresowy przegląd konfiguracji pozwalają wykryć taki ślad wcześniej.
Warto wdrożyć SPF, DKIM i DMARC dla firmowej domeny. Te mechanizmy pomagają odbiorcom ocenić, czy wiadomość rzeczywiście została wysłana z autoryzowanej infrastruktury. Nie rozwiązują problemu wszystkich podszyć – przestępca może użyć łudząco podobnej domeny – ale istotnie ograniczają nadużywanie własnej nazwy firmy w kampaniach phishingowych.
Nie należy też bezrefleksyjnie blokować wszystkich załączników czy linków. Firma projektowa może potrzebować wymiany dużych plików, a dział handlowy – dokumentów od nowych klientów. Lepiej zastosować ochronę adekwatną do pracy zespołu: skanowanie, bezpieczne udostępnianie plików, ograniczenia dla najbardziej ryzykownych formatów oraz jasne zasady postępowania z nieoczekiwanymi dokumentami.
Kopie zapasowe i plan na przejęte konto
Dostęp do skrzynki może zostać utracony nie tylko w wyniku ataku. Przyczyną bywają błąd konfiguracji, nieudana migracja, usunięcie danych przez pracownika lub blokada konta. Retencja dostępna w usłudze pocztowej nie zawsze odpowiada potrzebom firmy, dlatego warto zweryfikować, jak długo można odzyskać wiadomości, kontakty i kalendarze oraz kto ma prawo uruchomić taki proces.
Równie ważny jest prosty plan reakcji. Gdy użytkownik zgłosi podejrzenie przejęcia, organizacja powinna umieć szybko: zablokować aktywne sesje, zresetować hasło, sprawdzić metody MFA, przejrzeć reguły skrzynki, zweryfikować historię logowań i ocenić, jakie wiadomości lub dane były dostępne. Jeśli z konta wysłano fałszywe prośby o płatność, trzeba ostrzec właściwych odbiorców bez zwłoki.
W przypadku danych osobowych konieczna może być również ocena naruszenia i realizacja obowiązków wynikających z RODO. Nie każda podejrzana wiadomość oznacza naruszenie, ale zwlekanie z analizą utrudnia ustalenie skali zdarzenia oraz ograniczenie szkód.
Bezpieczeństwo skrzynki firmowej to nawyk całego zespołu
Najlepsza konfiguracja techniczna traci wartość, jeśli pracownik zatwierdzi nietypowe logowanie pod presją rozmówcy albo przekaże kod MFA osobie podszywającej się pod wsparcie IT. Z drugiej strony nie można oczekiwać od pracowników, że samodzielnie rozpoznają każdy zaawansowany atak. Organizacja musi zapewnić im proste zasady, sprawny kanał zgłoszeń i kulturę, w której zgłoszenie pomyłki nie kończy się szukaniem winnego.
Dobrą praktyką jest regularne przypominanie zasad na krótkich, konkretnych przykładach oraz sprawdzanie, czy procedury działają w codziennej pracy. W szkoleniach z cyberbezpieczeństwa prowadzonych dla zespołów najwięcej zmienia nie liczba technicznych pojęć, lecz przećwiczenie decyzji: kiedy zatrzymać płatność, komu zgłosić wiadomość i jak zareagować po kliknięciu.
Bezpieczna poczta firmowa nie powstaje po jednorazowym włączeniu MFA. Powstaje wtedy, gdy technologia, odpowiedzialne uprawnienia i zachowania ludzi wzajemnie się uzupełniają – szczególnie w tych kilku minutach, gdy podejrzana wiadomość trafia do skrzynki osoby mającej podjąć decyzję.
