Wiadomość od księgowej z prośbą o pilny przelew, link do rzekomej faktury, powiadomienie o kończącym się haśle – większość poważnych incydentów zaczyna się właśnie w skrzynce odbiorczej. Dlatego pytanie, jak chronić pocztę firmową, nie dotyczy wyłącznie działu IT. To kwestia ciągłości działania, bezpieczeństwa pieniędzy, danych klientów i reputacji firmy.
Poczta firmowa jest centralnym punktem komunikacji z kontrahentami, bankami, pracownikami i urzędami. Przejęcie jednego konta może pozwolić przestępcom podszywać się pod firmę, przechwytywać faktury, resetować hasła do innych usług albo wysyłać złośliwe wiadomości do całej książki kontaktów. Dobra ochrona nie polega na zainstalowaniu jednego filtra. Wymaga połączenia technologii, jasnych zasad i świadomych użytkowników.
Jak chronić pocztę firmową w praktyce
Pierwszym krokiem jest ustalenie, gdzie firma rzeczywiście korzysta z poczty i kto nią zarządza. W małych organizacjach zdarza się, że skrzynki są zakładane u różnych dostawców, dostęp administracyjny ma były pracownik, a hasła zapisano w przeglądarce na prywatnym komputerze. Taki układ działa do pierwszego problemu.
Warto uporządkować konta, domeny, urządzenia i uprawnienia. Każdy pracownik powinien używać indywidualnej skrzynki, a nie wspólnego adresu typu biuro@ dostępnego dla kilku osób jednym hasłem. Wspólne skrzynki mogą być potrzebne, ale dostęp do nich powinien być nadawany osobno, zgodnie z rolą pracownika, i możliwy do odebrania bez zmieniania hasła wszystkim pozostałym użytkownikom.
Równie istotne jest konto administratora usługi pocztowej. To ono pozwala tworzyć użytkowników, zmieniać reguły przekazywania wiadomości oraz odzyskiwać dostęp. Powinno mieć silne, unikalne hasło i zabezpieczenie wieloskładnikowe, a dostęp do niego należy ograniczyć do osób, które faktycznie go potrzebują.
Hasła nadal mają znaczenie
Hasło nie musi być skomplikowanym ciągiem przypadkowych znaków, którego nikt nie zapamięta. Musi być długie, unikalne i niedostępne dla osób postronnych. Dobra fraza hasłowa może składać się z kilku niepowiązanych słów, liczyć co najmniej kilkanaście znaków i nie zawierać nazwy firmy, imienia użytkownika ani łatwych do odgadnięcia danych.
Największym błędem jest używanie tego samego hasła do poczty, bankowości, portali zakupowych i prywatnych serwisów. Wyciek hasła z jednej usługi może wtedy otworzyć przestępcy drogę do firmowej skrzynki. Bezpieczniejszym rozwiązaniem jest menedżer haseł, który tworzy i przechowuje odrębne dane logowania dla każdego konta.
Nie ma też potrzeby wymuszać comiesięcznej zmiany haseł wyłącznie dla zasady. Jeśli pracownicy muszą stale wymyślać nowe hasła, często tworzą przewidywalne warianty. Lepiej reagować na podejrzenie wycieku, stosować silne hasła oraz włączyć drugi składnik uwierzytelniania.
MFA zatrzymuje wiele prób przejęcia konta
Uwierzytelnianie wieloskładnikowe, najczęściej nazywane MFA lub 2FA, wymaga po haśle dodatkowego potwierdzenia logowania. Może to być kod z aplikacji uwierzytelniającej, klucz sprzętowy albo zatwierdzenie powiadomienia w telefonie. Samo przechwycenie hasła przestaje wtedy wystarczać do wejścia do skrzynki.
Dla firm najlepszym wyborem zwykle jest aplikacja uwierzytelniająca lub klucz sprzętowy. Kody SMS są lepsze niż brak zabezpieczenia, ale mogą być narażone na przejęcie numeru telefonu. Trzeba też uprzedzić pracowników o zagrożeniu związanym z tzw. MFA fatigue. Oszust może wielokrotnie wysyłać prośby o zatwierdzenie logowania, licząc, że użytkownik kliknie „zaakceptuj”, aby pozbyć się komunikatów. Każde nieoczekiwane żądanie należy odrzucić i zgłosić.
Phishing nie zawsze wygląda jak oczywiste oszustwo
Wiadomości phishingowe rzadko przypominają dziś amatorski spam pełen błędów. Mogą zawierać logo znanej firmy, poprawną polszczyznę, dane prawdziwego kontrahenta, a nawet odniesienie do realnej faktury lub trwającego projektu. Celem bywa wyłudzenie hasła, nakłonienie do przelewu, zainstalowanie złośliwego pliku albo przekazanie poufnych danych.
Szczególną ostrożność powinny wzbudzać prośby o zmianę numeru rachunku, nagłe polecenia przelewu od zarządu, wezwania do szybkiego zalogowania oraz dokumenty wymagające włączenia makr. Presja czasu jest tu narzędziem, nie dowodem wiarygodności. Jeżeli wiadomość dotyczy pieniędzy, danych lub dostępu do systemu, warto potwierdzić ją drugim kanałem – telefonicznie, przez znany numer lub w rozmowie z osobą, która rzekomo ją wysłała.
Nie należy odpowiadać na podejrzaną wiadomość ani dzwonić pod numer podany w jej treści. Oszust może kontrolować oba kanały. Bezpieczne dane kontaktowe trzeba odszukać w firmowej bazie, umowie lub na wcześniej zweryfikowanej stronie kontrahenta.
Edukacja pracowników bez straszenia
Najlepszy filtr antyspamowy nie rozpozna każdej wiadomości, zwłaszcza gdy atak jest przygotowany pod konkretną firmę. Pracownik powinien wiedzieć, że może zgłosić wątpliwość bez obawy, że zostanie uznany za mało samodzielnego. W bezpieczeństwie lepiej sprawdzić autentyczność zwykłej faktury niż zignorować dobrze przygotowane oszustwo.
Krótkie, regularne przypomnienia są skuteczniejsze niż jedno szkolenie raz na kilka lat. Dobrą praktyką jest omawianie realnych przykładów: fałszywych powiadomień o przesyłce, podszywania się pod dostawcę usług chmurowych czy wiadomości od „prezesa” wysłanej z bardzo podobnego adresu. Pracownicy powinni umieć sprawdzić pełny adres nadawcy, rozpoznać nietypową domenę i wiedzieć, komu przekazać podejrzaną wiadomość.
Zabezpieczenia techniczne po stronie firmy
Ochrona poczty wymaga właściwej konfiguracji usługi, a nie tylko ostrożności użytkowników. Filtry antyspamowe i antyphishingowe powinny skanować wiadomości, załączniki oraz odsyłacze. Warto blokować pliki wykonywalne i ograniczać formaty załączników, które nie są potrzebne w codziennej pracy. Zakres blokad trzeba jednak dopasować do firmy. Biuro projektowe może legalnie wymieniać inne typy plików niż kancelaria czy firma handlowa.
Istotne są również mechanizmy SPF, DKIM i DMARC. W prostych słowach pomagają one odbiorcom zweryfikować, czy wiadomość wysłana z firmowej domeny rzeczywiście pochodzi z uprawnionego serwera. Nie zatrzymają wszystkich oszustów, ale ograniczają możliwość podszywania się pod adresy firmowe i poprawiają wiarygodność korespondencji.
Administrator powinien regularnie sprawdzać reguły automatycznego przekazywania wiadomości. Przestępcy po przejęciu konta często ustawiają ukryte przekierowanie na zewnętrzny adres, aby przez dłuższy czas obserwować korespondencję. Warto monitorować także nietypowe logowania, zwłaszcza z nieznanych lokalizacji, oraz nagłe zmiany metod odzyskiwania konta.
Urządzenie pracownika jest częścią ochrony poczty
Skrzynka zabezpieczona przez MFA nadal może być zagrożona, jeżeli użytkownik otwiera ją na niezaktualizowanym komputerze pełnym złośliwego oprogramowania. Aktualizacje systemów, przeglądarek i programów pocztowych należy traktować jako element ochrony, nie jako uciążliwy komunikat do odłożenia na później.
Firmowe urządzenia powinny mieć aktywną ochronę antywirusową, szyfrowanie dysku oraz blokadę ekranu. Przy pracy zdalnej warto określić, czy poczta może być używana na prywatnych urządzeniach. Jeśli tak, firma powinna mieć zasady dotyczące aktualizacji, zabezpieczenia ekranu i możliwości zdalnego usunięcia danych służbowych w razie zgubienia telefonu.
Co zrobić po kliknięciu podejrzanego linku
Najgorszą reakcją jest milczenie. Im szybciej firma dowie się o incydencie, tym większa szansa, że uda się ograniczyć jego skutki. Osoba, która kliknęła link, wpisała hasło na podejrzanej stronie lub otworzyła ryzykowny załącznik, powinna od razu zgłosić sprawę do osoby odpowiedzialnej za IT.
Następnie trzeba zmienić hasło, wylogować aktywne sesje, sprawdzić ustawione reguły przekazywania, zweryfikować logowania oraz ocenić, czy z konta wysłano wiadomości do kontrahentów. Jeżeli doszło do ujawnienia danych osobowych, konieczna może być również analiza obowiązków wynikających z RODO. Nie każdy incydent oznacza naruszenie wymagające zgłoszenia, ale każdy zasługuje na udokumentowaną ocenę.
Firmowa poczta nie jest zwykłym narzędziem do wysyłania wiadomości. To dostęp do relacji biznesowych, dokumentów i innych systemów. Najbezpieczniejsze firmy nie zakładają, że atak ich ominie. Budują zasady, które sprawiają, że pojedynczy błąd nie zamienia się w kosztowny kryzys – a w razie wątpliwości korzystają ze wsparcia partnera IT, który potrafi szybko ocenić sytuację i przywrócić kontrolę.