Wyciek danych rzadko zaczyna się od spektakularnego komunikatu na ekranie. Częściej od drobnej nieprawidłowości: pracownik nie może zalogować się do poczty, klient pyta o podejrzaną wiadomość albo w systemie pojawia się konto, którego nikt nie zakładał. 5 oznak wycieku danych firmowych warto znać nie po to, by wywoływać alarm przy każdym błędzie, lecz by szybko odróżnić zwykłą usterkę od incydentu wymagającego działania.
Dla małej lub średniej firmy czas reakcji ma znaczenie podwójne. Trzeba ograniczyć dostęp osoby nieuprawnionej, ale też zachować dowody, ustalić skalę problemu i ocenić obowiązki związane z ochroną danych osobowych. Pochopne usunięcie konta lub wyczyszczenie urządzenia może utrudnić późniejszą analizę.
5 oznak wycieku danych firmowych, których nie należy ignorować
1. Nietypowe logowania do poczty, chmury lub systemów firmowych
Logowanie z nowej lokalizacji nie jest samo w sobie dowodem włamania. Pracownik mógł wyjechać służbowo, korzystać z telefonu komórkowego lub uruchomić sieć VPN. Sygnał staje się poważny, gdy nietypowe logowanie łączy się z innymi zdarzeniami: próbą zmiany hasła, dodaniem nowej metody uwierzytelniania, logowaniem poza godzinami pracy albo serią nieudanych prób dostępu.
Szczególną uwagę warto zwrócić na konta osób mających dostęp do faktur, danych kadrowych, baz klientów i kont administracyjnych. Przejęta skrzynka dyrektora finansowego lub właściciela firmy daje przestępcom znacznie więcej możliwości niż konto bez dostępu do wrażliwych zasobów.
Nie należy zakładać, że zmiana hasła kończy sprawę. Jeśli atakujący zdążył dodać własne urządzenie, regułę przekazywania wiadomości lub token dostępu, może zachować dostęp również po zmianie hasła. Trzeba sprawdzić historię logowań, aktywne sesje, zarejestrowane urządzenia i konfigurację konta.
2. Wiadomości e-mail znikają, są przekazywane lub pojawiają się dziwne reguły
Przejęcie poczty firmowej często ma jeden cel: obserwację korespondencji oraz podszywanie się pod pracownika. Atakujący nie musi od razu wysyłać tysięcy wiadomości. Może przez kilka dni śledzić rozmowy o płatnościach, umowach lub rekrutacji, a następnie wysłać jedną dobrze przygotowaną wiadomość z prośbą o zmianę numeru rachunku.
Niepokojące są automatyczne reguły przekazywania poczty na zewnętrzny adres, ukrywanie wiadomości w archiwum, usuwanie odpowiedzi klientów lub nietypowe wiadomości wysłane z firmowej skrzynki. Problem może też zauważyć kontrahent, który otrzymał e-mail z prośbą o pilny przelew, choć pracownik twierdzi, że go nie wysyłał.
W takiej sytuacji warto natychmiast przerwać sesje na koncie i zabezpieczyć jego konfigurację. Nie wystarczy zapytać pracownika, czy rozpoznaje wiadomość. Należy ustalić, co zostało wysłane, do kogo, jakie załączniki mogły trafić poza firmę i czy korespondencja zawierała dane osobowe, informacje handlowe albo dokumenty finansowe.
3. Pliki są masowo pobierane, kopiowane lub udostępniane poza organizację
Nagły eksport dużej liczby dokumentów z dysku sieciowego, systemu CRM czy platformy chmurowej powinien zostać wyjaśniony. Oczywiście czasem jest uzasadniony: księgowość przygotowuje dokumenty dla audytora, handlowiec porządkuje projekt lub firma przenosi dane do nowego systemu. Różnicę robi kontekst i zakres dostępu.
Alarmujące będą zwłaszcza działania wykonywane nocą, z urządzenia prywatnego, przez konto pracownika będącego na wypowiedzeniu albo tuż po otrzymaniu wiadomości phishingowej. Podobnie należy traktować tworzenie publicznych linków do folderów zawierających umowy, skany dokumentów, dane klientów czy listy płac.
Warto pamiętać, że wyciek nie zawsze oznacza celowe działanie pracownika. Częstą przyczyną jest błędna konfiguracja uprawnień lub udostępnienie folderu „każdemu, kto ma link”. Dlatego systematyczny przegląd dostępów jest równie istotny jak ochrona przed złośliwym oprogramowaniem. Osoba, która zmieniła stanowisko, nie powinna zachowywać uprawnień tylko dlatego, że nikt nie usunął ich po reorganizacji.
4. Pojawiają się alerty bezpieczeństwa, których nikt nie potrafi wyjaśnić
Komunikat o wyłączonym programie ochronnym, nowym użytkowniku z uprawnieniami administratora, zablokowanym logowaniu lub nietypowym połączeniu z serwerem nie zawsze oznacza wyciek danych. Może wynikać z aktualizacji, testów albo zwykłego błędu konfiguracji. Nie powinien jednak zostać bez odpowiedzi tylko dlatego, że „system jakoś działa”.
Szczególnie groźne są alerty dotyczące podniesienia uprawnień, nowych aplikacji z dostępem do poczty i plików, wyłączonych kopii zapasowych oraz prób połączenia z nieznanymi usługami zewnętrznymi. Takie zdarzenia mogą wskazywać, że ktoś przygotowuje grunt pod kradzież danych lub atak ransomware.
W firmach bez własnego działu IT problemem bywa brak osoby, która codziennie analizuje podobne sygnały. Automatyczne powiadomienie bez ustalonej procedury jest tylko informacją. Dopiero szybka weryfikacja pozwala określić, czy to fałszywy alarm, błąd użytkownika czy początek poważniejszego incydentu.
5. Klienci, partnerzy lub pracownicy otrzymują podejrzane wiadomości związane z firmą
Czasem pierwszym dowodem problemu nie jest log systemowy, lecz telefon od klienta. Ktoś pyta, dlaczego firma wysłała prośbę o dopłatę, formularz do ponownego podania danych albo wiadomość z podejrzanym załącznikiem. Jeżeli przestępca poznał nazwy projektów, dane kontaktowe, numery faktur lub styl komunikacji firmy, wiadomość może wyglądać bardzo wiarygodnie.
Nie wolno ograniczać reakcji do ostrzeżenia, że „to nie my”. Trzeba ustalić, skąd atakujący mógł mieć dane. Źródłem może być przejęta skrzynka, źle zabezpieczona usługa zewnętrzna, wyciek z urządzenia pracownika lub błędnie dostępny folder. Warto również sprawdzić, czy ofiary otrzymały tylko fałszywą wiadomość, czy też doszło do użycia prawdziwych dokumentów i danych.
Jeden sygnał to jeszcze nie wyrok, ale kilka to powód do działania
Nie każda anomalia oznacza naruszenie ochrony danych. Rozsądne podejście polega na zebraniu faktów, zamiast na uspokajaniu sytuacji na podstawie przypuszczeń. Należy ustalić, jakie konto lub urządzenie dotyczy zdarzenie, kiedy się rozpoczęło, jakie dane były dostępne oraz czy doszło do ich skopiowania, zmiany lub wysłania na zewnątrz.
W przypadku danych osobowych trzeba też ocenić ryzyko dla osób, których dane dotyczą. To ocena jakościowa, nie formalność do odhaczenia. Inne konsekwencje ma omyłkowo wysłany wewnętrzny kontakt, a inne ujawnienie dokumentacji pracowniczej, danych finansowych czy skanów dokumentów tożsamości.
Co zrobić w pierwszych godzinach po wykryciu podejrzenia
Najpierw ogranicz dostęp, ale nie niszcz śladów. Zablokuj podejrzane konto, zakończ aktywne sesje, odłącz zainfekowane urządzenie od sieci i wstrzymaj podejrzane udostępnienia. Nie formatuj komputera i nie usuwaj poczty przed zabezpieczeniem informacji o zdarzeniu. Historia logowań, wiadomości, zrzuty ekranu oraz alerty mogą być potrzebne do ustalenia przebiegu incydentu.
Następnie wyznacz jedną osobę odpowiedzialną za koordynację. W stresie łatwo o sprzeczne działania: ktoś zmienia hasła, ktoś inny usuwa konto, a dział handlowy wysyła klientom niesprawdzone informacje. Dobra komunikacja wewnętrzna pozwala działać szybciej i ogranicza ryzyko powtórzenia błędu.
Kolejny krok to analiza zakresu zdarzenia oraz obowiązków prawnych. Jeśli istnieje ryzyko naruszenia praw i wolności osób fizycznych, może być konieczne zgłoszenie naruszenia do właściwego organu w terminie 72 godzin od stwierdzenia naruszenia. Termin nie oznacza jednak, że należy zgadywać. Oznacza, że firma powinna sprawnie dokumentować fakty, podejmować środki zaradcze i korzystać ze wsparcia specjalistów, gdy sytuacja tego wymaga.
Na końcu należy usunąć przyczynę, nie tylko skutek. Może to oznaczać wymianę haseł, włączenie uwierzytelniania wieloskładnikowego, zmianę uprawnień, aktualizację urządzeń, przegląd konfiguracji poczty albo dodatkowe szkolenie pracowników. Ceprobi w podobnych sytuacjach pomaga firmom połączyć analizę techniczną z uporządkowaniem procedur, tak aby ten sam scenariusz nie powtórzył się za miesiąc.
Najlepszym momentem na przygotowanie procedury reagowania jest spokojny dzień, a nie chwila po telefonie od zaniepokojonego klienta. Jeśli firma wie, kto podejmuje decyzje, gdzie sprawdza logi i jak zabezpiecza dane, może szybciej odzyskać kontrolę – oraz ochronić relacje, na które pracowała latami.