Phishing w Microsoft 365 nie jest zwykłym problemem pocztowym. To jeden z najczęstszych sposobów wejścia do środowiska firmy, przejęcia konta użytkownika, uzyskania dostępu do dokumentów, wykonania oszustwa finansowego albo przygotowania dalszego ataku. Jeżeli mam wskazać obszar Microsoft 365, który powinien być zabezpieczony jak najwcześniej, wybieram właśnie pocztę i tożsamość użytkownika.
Dlaczego phishing w Microsoft 365 jest tak groźny?
Microsoft 365 jest dla wielu firm centrum pracy. Jedno konto użytkownika może dawać dostęp do poczty Exchange Online, plików w OneDrive, bibliotek SharePoint, zespołów Teams, kalendarza, dokumentów, aplikacji firmowych i usług zintegrowanych z Microsoft Entra ID. Jeżeli atakujący przejmie takie konto, nie dostaje wyłącznie skrzynki pocztowej. Dostaje punkt wejścia do organizacji.
Po przejęciu konta przestępca może czytać korespondencję, analizować relacje z kontrahentami, szukać faktur, tworzyć reguły ukrywające wiadomości, wysyłać maile z prawdziwego konta pracownika, pobierać pliki i przygotowywać kolejne oszustwa. Szczególnie groźne są ataki BEC, czyli Business Email Compromise. W takim scenariuszu celem nie jest złośliwe oprogramowanie, lecz manipulacja komunikacją biznesową: zmiana numeru rachunku, fałszywa prośba o pilny przelew, podszycie się pod prezesa, księgowość albo dostawcę.
Microsoft 365 jest atrakcyjnym celem również dlatego, że użytkownicy są przyzwyczajeni do logowania przez przeglądarkę. Fałszywa strona logowania może wyglądać bardzo podobnie do prawdziwego panelu Microsoft. Pracownik, który otrzymuje wiadomość o „udostępnionym dokumencie”, „zablokowanej skrzynce” albo „wymaganej weryfikacji konta”, często działa automatycznie. Jeżeli firma nie ma MFA, Conditional Access i dobrej ochrony linków, skutki mogą być poważne.
Trzeba też pamiętać o reputacji domeny. Jeżeli przestępcy podszywają się pod domenę firmy, odbiorcy mogą otrzymywać fałszywe wiadomości wyglądające jak oficjalna komunikacja. To szkodzi zaufaniu klientów i partnerów. Dlatego ochrona poczty wychodzącej jest równie ważna jak filtrowanie wiadomości przychodzących.
Podstawowe zabezpieczenia poczty, od których trzeba zacząć
Nie zaczyna się od zaawansowanych funkcji, jeżeli podstawy są słabe. Najpierw sprawdzamy domenę, uwierzytelnianie poczty, MFA, reguły transportu, alerty i uprawnienia administracyjne. Bez tego nawet dobre licencje bezpieczeństwa mogą nie dać oczekiwanego efektu.
SPF, DKIM i DMARC
SPF, DKIM i DMARC odpowiadają za uwierzytelnianie poczty. W uproszczeniu pomagają odbiorcom ocenić, czy wiadomość faktycznie została wysłana przez uprawniony system i czy nie doszło do podszycia pod domenę. Nie rozwiązują całego problemu phishingu, ale są fundamentem ochrony domeny.
SPF wskazuje, które serwery mogą wysyłać pocztę w imieniu domeny. Jeżeli firma korzysta z Microsoft 365, systemu CRM, narzędzia marketingowego i platformy do fakturowania, wszystkie legalne źródła wysyłki muszą być uwzględnione w konfiguracji. Zbyt luźny SPF osłabia ochronę. Zbyt restrykcyjny, ale źle przygotowany, może powodować problemy z dostarczaniem legalnych wiadomości.
DKIM dodaje podpis kryptograficzny do wiadomości. Odbiorca może sprawdzić, czy wiadomość nie została zmieniona po wysłaniu i czy pochodzi z domeny, która ją podpisała. W Microsoft 365 DKIM trzeba świadomie skonfigurować dla używanych domen, a nie zakładać, że sama migracja poczty załatwia temat.
DMARC spina SPF i DKIM w politykę domeny. Pozwala określić, co odbiorca ma zrobić z wiadomością, która nie przechodzi weryfikacji: zaakceptować, oznaczyć, poddać kwarantannie albo odrzucić. DMARC daje też raporty, dzięki którym można zobaczyć, kto wysyła wiadomości w imieniu domeny. To bardzo użyteczne przy porządkowaniu zewnętrznych systemów wysyłkowych.
Nie polecam wdrażania DMARC od razu w najbardziej restrykcyjnym trybie, jeżeli firma nie wie, jakie systemy wysyłają pocztę w jej imieniu. Najpierw trzeba zebrać raporty, sprawdzić legalne źródła, poprawić SPF i DKIM, a dopiero później zaostrzać politykę. W przeciwnym razie można zablokować własną komunikację.
MFA dla użytkowników
MFA jest jednym z najprostszych i najbardziej opłacalnych zabezpieczeń w Microsoft 365. Jeżeli pracownik poda hasło na fałszywej stronie, drugi składnik logowania może zatrzymać przejęcie konta. Nie zawsze, bo istnieją ataki omijające słabe wdrożenia MFA, ale brak MFA nadal jest jedną z najpoważniejszych luk w środowisku.
MFA powinno obejmować wszystkich użytkowników, nie tylko zarząd i administratorów. Przestępca często wybiera najsłabsze konto, a potem porusza się dalej. Konto pracownika sprzedaży, księgowości albo asystenta może być wystarczające, żeby odczytać korespondencję, wysłać fałszywe wiadomości albo uzyskać dostęp do dokumentów.
Trzeba też zadbać o sposób wdrożenia MFA. Użytkownicy powinni wiedzieć, jak działa aplikacja uwierzytelniająca, co zrobić po utracie telefonu, jak rozpoznać podejrzane żądanie zatwierdzenia logowania i dlaczego nie wolno akceptować powiadomień, których sami nie wywołali. MFA bez edukacji użytkowników może prowadzić do zmęczenia alertami i mechanicznego zatwierdzania próśb.
Reguły transportu i alerty
Reguły transportu pozwalają kontrolować przepływ wiadomości w Exchange Online. Można nimi dodawać ostrzeżenia do wiadomości spoza organizacji, oznaczać komunikację z określonych domen, ograniczać automatyczne przekierowania, blokować niektóre typy załączników albo wymuszać dodatkowe warunki dla wybranych scenariuszy.
Nie lubię nadmiaru reguł tworzonych bez projektu. Zbyt wiele ostrzeżeń powoduje, że użytkownik przestaje je czytać. Reguły powinny odpowiadać realnym ryzykom firmy. Inaczej konfiguruje się organizację, która często wymienia dokumenty z kontrahentami zagranicznymi, a inaczej firmę, w której największym problemem są fałszywe faktury i podszywanie się pod zarząd.
Alerty są równie ważne. Administrator powinien wiedzieć o nietypowych logowaniach, masowej wysyłce wiadomości, tworzeniu podejrzanych reguł skrzynki, zmianach uprawnień, wyłączeniu zabezpieczeń i wiadomościach zgłaszanych przez użytkowników. Brak alertów oznacza, że firma dowiaduje się o ataku dopiero od klienta, banku albo pracownika, który zauważył coś przypadkiem.
Zaawansowana ochrona z Microsoft Defender for Office 365
Microsoft Defender for Office 365 rozszerza ochronę poczty i narzędzi współpracy. W zależności od planu i licencji może obejmować zaawansowane polityki antyphishingowe, ochronę przed podszywaniem się pod użytkowników i domeny, Safe Links, Safe Attachments, wykrywanie zagrożeń, automatyzację reakcji i narzędzia dla zespołów bezpieczeństwa.
Safe Links chroni przed złośliwymi linkami. Mechanizm analizuje adresy URL i może sprawdzać je także w momencie kliknięcia, a nie tylko w chwili dostarczenia wiadomości. To ważne, bo przestępcy potrafią wysłać wiadomość z linkiem, który na początku wygląda neutralnie, a dopiero później prowadzi do strony phishingowej.
Safe Attachments analizuje załączniki w bezpiecznym środowisku, zanim użytkownik je otworzy. Ma to znaczenie przy fałszywych fakturach, dokumentach dostawy, skanach, plikach udających oferty i załącznikach wykorzystywanych do dystrybucji malware. Sama blokada plików wykonywalnych nie wystarczy, bo ataki często wykorzystują formaty, które wyglądają biznesowo wiarygodnie.
Polityki antyphishingowe w Defenderze pozwalają chronić osoby i domeny szczególnie narażone na podszywanie. Do tej grupy zaliczam zarząd, finanse, HR, administrację, sprzedaż, osoby odpowiedzialne za płatności oraz skrzynki typu faktury@, biuro@, kontakt@. Ochrona przed impersonacją pomaga wykrywać wiadomości, które próbują wyglądać jak komunikacja od znanej osoby albo z podobnej domeny.
Defender for Office 365 wymaga konfiguracji. Sam zakup licencji nie oznacza, że firma wykorzystuje jego możliwości. Trzeba dobrać polityki, określić grupy objęte ochroną, przetestować wpływ ustawień na użytkowników, ustalić obsługę kwarantanny, przygotować proces zgłoszeń i sprawdzać raporty. Zbyt łagodne ustawienia przepuszczą wiele ataków. Zbyt agresywne mogą blokować legalną komunikację i powodować presję na wyłączanie zabezpieczeń.
Security Masters wspiera firmy w audycie i konfiguracji ochrony poczty Microsoft 365, w tym SPF, DKIM, DMARC, MFA, Exchange Online Protection oraz Microsoft Defender for Office 365. Jeżeli organizacja chce sprawdzić, czy jej poczta jest odporna na phishing, dobrym pierwszym krokiem jest przegląd obecnej konfiguracji i scenariuszy ataku, które realnie dotyczą firmy.
Jak szkolić pracowników i testować odporność firmy?
Technologia ogranicza ryzyko, ale nie zastępuje świadomości użytkowników. Phishing działa, bo uderza w pośpiech, rutynę, zaufanie do znanych marek i presję służbową. Dlatego szkolenia powinny być krótkie, konkretne i oparte na przykładach, które pracownik może spotkać w swojej skrzynce.
Nie wystarczy powiedzieć: „nie klikaj w podejrzane linki”. Użytkownik powinien wiedzieć, jak wygląda fałszywe logowanie Microsoft 365, czym różni się prawdziwe udostępnienie dokumentu od phishingu, dlaczego trzeba sprawdzać domenę nadawcy, jak rozpoznać próbę wyłudzenia płatności, co zrobić z nietypową prośbą od przełożonego i jak zgłosić wiadomość do IT.
Bardzo dobre efekty daje testowanie odporności firmy. Symulacje phishingu pokazują, które działy są bardziej narażone, jakie typy wiadomości działają najlepiej i czy użytkownicy zgłaszają podejrzane maile. Nie chodzi o zawstydzanie pracowników. Chodzi o pomiar ryzyka i poprawę zachowań.
Szkolenia powinny obejmować również kadrę zarządzającą. Zarząd, dyrektorzy i osoby decyzyjne są atrakcyjnym celem, bo mają dostęp do danych, decyzji finansowych i komunikacji strategicznej. W atakach BEC przestępca często nie potrzebuje malware. Potrzebuje tylko wiarygodnej wiadomości i osoby, która wykona przelew albo przekaże dokument.
Co zrobić dalej, żeby ograniczyć ryzyko phishingu?
Ochronę poczty w Microsoft 365 zacząłbym od audytu. Trzeba sprawdzić, czy domeny mają poprawny SPF, DKIM i DMARC, czy MFA obejmuje wszystkich użytkowników, czy konta administracyjne są oddzielone od codziennej pracy, czy polityki antyphishingowe są aktywne, czy działa ochrona linków i załączników, czy alerty trafiają do właściwych osób i czy użytkownicy wiedzą, jak zgłosić podejrzaną wiadomość.
Następnie trzeba poprawić konfigurację. Najpierw podstawy: domena, MFA, role, alerty, reguły i ochrona poczty. Później polityki Defender for Office 365, Safe Links, Safe Attachments, ochrona przed podszywaniem, kwarantanna, raporty i testy. Równolegle trzeba szkolić ludzi, bo phishing jest atakiem na technologię i decyzję człowieka jednocześnie.
Security Masters pomaga firmom zabezpieczać pocztę w Microsoft 365 przed phishingiem, przejęciem kont, fałszywymi fakturami i atakami BEC. W ramach audytów bezpieczeństwa Microsoft 365, konfiguracji Defender for Office 365, szkoleń cyberbezpieczeństwa oraz wsparcia IT sprawdzamy realny poziom ochrony, wskazujemy luki i wdrażamy ustawienia, które odpowiadają sposobowi pracy firmy. Dowiedz się więcej tutaj: https://securitymasters.pl/uslugi/microsoft-365/
Phishingu nie da się wyeliminować jednym przełącznikiem. Można jednak znacząco ograniczyć ryzyko, jeżeli firma potraktuje pocztę jako część systemu bezpieczeństwa, a nie tylko kanał komunikacji. Microsoft 365 daje do tego bardzo dobre narzędzia. Trzeba je świadomie skonfigurować, utrzymywać i regularnie testować.
Materiał powstał we współpracy z Security Masters.
