Phishing i ataki na firmowa poczte: jak sie bronic bez dzialu IT

Dlaczego zwykły e-mail potrafi sparaliżować firmę bez działu IT?

Zwykły e-mail potrafi sparaliżować firmę, bo w małych i średnich przedsiębiorstwach to właśnie ludzie są pierwszą linią obrony. Jak podaje Poradnik Przedsiębiorcy, w takich firmach często brakuje rozbudowanych działów IT i sformalizowanych procedur bezpieczeństwa. Jeden pracownik, który w dobrej wierze kliknie w link, może uruchomić całą lawinę: od zablokowania systemów, przez wyciek danych klientów, po utratę pieniędzy z konta firmowego.

Atakujący nie liczą już na przypadek. Coraz częściej wykorzystują dane z otoczenia firmy: nazwiska pracowników, strukturę działów, nazwy systemów, z których korzystacie. Wiadomość o "pilnej weryfikacji konta" albo "zaległej fakturze od kontrahenta" wygląda wiarygodnie, bo jest dopasowana do kontekstu. CERT Polska, czyli zespół reagujący na incydenty w polskim internecie, odnotował w ostatnim czasie znaczącą liczbę incydentów bezpieczeństwa, z czego phishing odpowiadał za znaczną część wszystkich zdarzeń.

Sam e-mail to dopiero początek. Po kliknięciu w link pracownik często trafia na fałszywą stronę logowania, gdzie sam podaje hasło do skrzynki. Atakujący dostaje wtedy dostęp nie tylko do poczty, ale też do systemów, które są z nią powiązane. Stamtąd już prosta droga do przelewu na konto oszusta albo do zainfekowania całej sieci ransomware, czyli oprogramowaniem blokującym dostęp do danych.

Dlatego ochrona nie polega na zakazaniu klikania, tylko na przygotowaniu ludzi. Nawet co trzeci pracownik klika w nieznany link, wynika z badania "Phishing by Industry", o którym pisze PublicRelations.pl. To nie jest kwestia głupoty, tylko braku wprawy w rozpoznawaniu sygnałów ostrzegawczych. Warto sprawdzać adres nadawcy, dokładnie czytać URL, czyli adres strony, na którą prowadzi link, i weryfikować prośby o podanie hasła przez telefon.

Kluczowe jest też to, żeby pracownicy nie bali się zgłaszać podejrzanych wiadomości. Jeśli ktoś kliknie i zorientuje się, że coś jest nie tak, szybkie poinformowanie reszty zespołu może uratować firmę przed poważniejszymi skutkami. Nie można stygmatyzować osób, które dały się nabrać, bo strach przed karą sprawia, że incydenty są ukrywane, a atakujący dostaje więcej czasu na działanie.

Jak rozpoznać wiadomość, która udaje kogoś zaufanego?

Najbardziej zdradliwą rzeczą w dzisiejszym phishingu jest to, że wiadomości przestają wyglądać jak oszustwa. Atakujący nie wysyła już masowo tekstów z błędami, tylko wykorzystuje informacje z otoczenia twojej firmy: nazwiska pracowników, nazwy systemów, a nawet realne procesy, żeby e-mail wyglądał na wewnętrzną korespondencję. Zanim klikniesz w link, sprawdź adres nadawcy, a nie tylko wyświetlaną nazwę. Oszust może podpisać się jako prezes, ale jeśli dokładnie przyjrzysz się adresowi e-mail, zauważysz, że domena nie ma nic wspólnego z waszą firmą. Zdarza się, że różni się jedną literą, więc warto czytać ją znak po znaku. Podobnie traktuj linki w treści: najedź na nie kursorem i zobacz, dokąd faktycznie prowadzą, zanim klikniesz. Jeśli adres docelowy nie pasuje do opisu, to sygnał ostrzegawczy. Równie ważna jest weryfikacja prośby o działanie. Jeśli wiadomość nakłania do pilnego przelewu, zmiany hasła lub logowania na stronie, a przy tym wywołuje presję czasu, to klasyczny schemat ataku. Zweryfikuj taką prośbę drugim kanałem, na przykład telefonicznie lub przez komunikator, zanim cokolwiek klikniesz. Warto też wdrożyć w firmie zasadę, że nikt nie ponosi kary za zgłoszenie podejrzanej wiadomości, nawet jeśli omyłkowo kliknął w link. Strach przed odpowiedzialnością sprawia, że pracownicy ukrywają błędy, a to daje atakującemu więcej czasu na działanie.

Kto w firmie jest najsłabszym ogniwem i jak to zmienić?

Najsłabszym ogniwem rzadko bywa technologia. Dużo częściej jest nim pracownik, który w pośpiechu kliknie link z wiadomości, zanim zdąży sprawdzić nadawcę. Z badania „Phishing by Industry” wynika, że nawet co trzeci pracownik klika w nieznany link albo niewłaściwie reaguje na podejrzane powiadomienie. Atakujący doskonale o tym wiedzą i celują właśnie w ludzi, a nie w systemy. Coraz częściej wysyłają wiadomości, które nie mają literówek, są dopasowane do roli odbiorcy i wyglądają wiarygodnie. Wykorzystują przy tym dane z otoczenia firmy: nazwiska, strukturę działów czy nazwy systemów, których naprawdę używasz. Dlatego zamiast walczyć z technologią, zacznij od zmiany nawyków w zespole. Pracownicy muszą wiedzieć, że zgłoszenie podejrzanej wiadomości to nie wstyd, tylko element ochrony. Nie można stygmatyzować osoby, która omyłkowo kliknęła spreparowany link, bo wtedy następnym razem po prostu nic nie powie, a ryzyko wzrośnie. Dobrze zaprojektowany program antyphishingowy przynosi pierwsze efekty po 6 do 12 tygodni, więc warto wdrożyć go jeszcze w tym kwartale.

Co zrobić, gdy pracownik już kliknął w podejrzany link?

Gdy pracownik przyzna się, że kliknął w podejrzany link, najgorsze, co możesz zrobić, to nakrzyczeć na niego albo udawać, że nic się nie stało. Liczy się czas. Poproś go, żeby od razu zmienił hasło do firmowej skrzynki, a jeśli używał tego samego hasła w innych miejscach, w systemach, płatnościach czy u klientów, tam także. Jednocześnie poproś, żeby nie kasował wiadomości, tylko ją oznaczył i pokazał. Atakujący często po pierwszym kliknięciu wysyła kolejne, bardziej wiarygodne wiadomości, a treść oryginału pomoże ocenić, co dokładnie mógł zdziałać. Następnie sprawdź, co właściwie się wydarzyło. Czy pracownik tylko otworzył stronę, czy wpisał gdzieś login i hasło? Jeśli to drugie, ktoś może mieć teraz dostęp do konta i np. czytać korespondencję z klientami. Warto też zajrzeć w ustawienia skrzynki, czy nie pojawiły się reguły przekierowujące maile na obcy adres. To częsty trik, bo atakujący nie musi wtedy ruszać hasła, wystarczy, że przechwytuje nowe wiadomości. Jeśli masz włączoną weryfikację dwuetapową (MFA), czyli dodatkowy kod z SMS lub aplikacji przy logowaniu, to dobra wiadomość. Nawet ze skradzionym hasłem atakujący może nie dostać się do środka, ale tylko pod warunkiem, że pracownik nie podał mu też tego kodu. Nie chodzi o to, żebyś teraz sam tropił cyberprzestępcę. Twoim zadaniem jest odcięcie dostępu i powiadomienie właściwych osób. Jeśli macie kogoś od IT, przekaż mu całą historię bez owijania w bawełnę. Jeśli nie macie, a w wiadomości były dane klientów, numery przelewów albo faktury, warto rozważyć kontakt z bankiem i zgłoszenie sprawy. Pamiętaj, że pojedynczy udany atak może sparaliżować działalność firmy, prowadząc do utraty pieniędzy, danych klientów, a także reputacji, na której opiera się konkurencyjność małych i średnich przedsiębiorstw. Najważniejsza jest jednak rozmowa z pracownikiem po fakcie. Nie stygmatyzuj go i nie rób z niego kozła ofiarnego, bo następnym razem po prostu nie przyzna się do błędu i będziesz się o wszystkim dowiadywać za późno. Potraktuj to jako sygnał, że szkolenia z bezpieczeństwa nie zadziałały albo że wiadomość była naprawdę podstępna. Wykorzystaj sytuację, żeby pokazać całemu zespołowi, na czym polegał atak, i wspólnie przećwiczcie, jak rozpoznać fałszywe domeny czy adresy nadawcy. Im szybciej pracownicy zobaczą, że zgłoszenie błędu jest bezpieczne, tym szybciej realnie zmniejszysz ryzyko poważnego incydentu.

Jak wdrożyć ochronę przed phishingiem bez zatrudniania specjalistów?

Ochrona przed phishingiem w małej firmie nie wymaga etatowego specjalisty. Wystarczy kilka konkretnych działań, które realnie zmniejszają ryzyko, że pracownik kliknie w fałszywy link. Najpierw zadbaj o podstawy techniczne. Włącz w firmowej skrzynce weryfikację dwuetapową, czyli dodatkowe potwierdzenie logowania kodem z telefonu, nawet jeśli ktoś zdobędzie hasło. To pierwsza zapora, która zatrzymuje atakującego, zanim wejdzie na konto. Kolejny krok to ustawienie zabezpieczeń domeny, z której wysyłasz firmowe e-maile. Chodzi o to, żeby serwery odbiorcy mogły sprawdzić, czy wiadomość faktycznie pochodzi od Ciebie, a nie od oszusta podszywającego się pod Twoją firmę. Większość operatorów poczty oferuje te ustawienia w panelu administracyjnym, a konfiguracja zajmuje kilkanaście minut.

1. Włącz weryfikację dwuetapową (kod z telefonu przy logowaniu) dla wszystkich pracowników.
2. Skonfiguruj zabezpieczenia domeny, aby serwery pocztowe weryfikowały nadawcę Twoich wiadomości.
3. Przeprowadź krótkie szkolenie dla zespołu, jak rozpoznać fałszywe e-maile i SMS-y.
4. Ustal prostą procedurę zgłaszania podejrzanych wiadomości do jednej wyznaczonej osoby.
5. Przetestuj czujność zespołu, wysyłając wewnętrzną, nieszkodliwą wiadomość testową.

Szkolenie pracowników to fundament, bo nawet co trzeci pracownik klika w nieznany link, jak wynika z badania „Phishing by Industry”. Nie chodzi o techniczne wykłady, ale o pokazanie, jak wygląda typowa wiadomość z prośbą o pilne logowanie, fałszywy adres nadawcy czy link prowadzący do strony, która wyłudza dane. Kluczowa jest też atmosfera w zespole. Pracownik, który omyłkowo kliknie w spreparowany link, nie może bać się zgłosić tego dalej. Szybkie poinformowanie o błędzie pozwala zablokować konto i ograniczyć straty, zanim atakujący zdąży cokolwiek zrobić. Stygmatyzowanie osoby, która się pomyliła, sprawia, że następnym razem incydent zostanie zamieciony pod dywan.

Od czego zacząć już w tym tygodniu?

Najpierw włącz na firmowej poczcie uwierzytelnianie dwuetapowe, czyli dodatkowy kod potwierdzający logowanie, zwykle wysyłany SMS-em albo generowany w aplikacji. Nawet jeśli ktoś zdobędzie hasło, bez tego kodu nie wejdzie na konto. To najtańsze i najskuteczniejsze zabezpieczenie, które możesz wdrożyć samodzielnie, bez działu IT.

Kolejny krok to sprawdzenie, czy wiadomości od Twojej firmy nie da się łatwo podrobić. Chodzi o trzy mechanizmy, które potwierdzają, że nadawca jest prawdziwy. Większość firm hostingowych włącza je w panelu administracyjnym w kilkanaście minut.

Potem ustal prostą procedurę zgłaszania podejrzanych wiadomości. Pracownik, który kliknie w fałszywy link, nie powinien się bać konsekwencji. Według ekspertów stygmatyzowanie osób, które omyłkowo kliknęły spreparowany link, tylko zniechęca do zgłaszania incydentów. Bez zgłoszenia nie dowiesz się o ataku, dopóki nie będzie za późno.

W tym tygodniu zrób też szybki audyt najważniejszych kont, czyli tych, przez które można przejąć płatności lub dane klientów. Sprawdź, kto ma do nich dostęp i czy wszystkie mają włączone dwuetapowe logowanie. Warto też ustalić, że przelewy powyżej określonej kwoty wymagają potwierdzenia telefonicznego.

1. Włącz dwuetapowe logowanie na wszystkich firmowych skrzynkach, szczególnie tych używanych do przelewów.
2. Sprawdź w panelu hostingu, czy domena ma włączone mechanizmy potwierdzające autentyczność nadawcy.
3. Ustal z zespołem, że każda prośba o pilny przelew lub zmianę danych odbiorcy jest weryfikowana telefonicznie.
4. Ustal, że każdy podejrzany e-mail pracownik zgłasza do jednej osoby, która wie, jak go sprawdzić.
5. Zorganizuj krótkie szkolenie, na którym pokażesz przykłady fałszywych wiadomości, które faktycznie krążą po polskich firmach.

Na koniec zaplanuj regularne, krótkie szkolenia. Nawet co trzeci pracownik klika w nieznany link lub niewłaściwie reaguje na podejrzane powiadomienie, jak wynika z badania „Phishing by Industry”. Ataki są coraz lepiej dopasowane do roli odbiorcy, więc sama znajomość podstawowych zasad to za mało.