Trzy osoby mogą powiedzieć dokładnie to samo: „mam problem z pocztą”, choć każda z nich znalazła się w zupełnie innej sytuacji. Pierwsza loguje się do skrzynki i odkrywa wiadomości, których nigdy nie wysyłała. Druga w poniedziałek rano nie może odebrać żadnego e-maila, ponieważ niedostępny jest serwer pocztowy. Trzecia loguje się bez problemu, poczta działa szybko, wiadomości przychodzą prawidłowo – i właśnie wtedy otrzymuje fakturę od znanego kontrahenta z informacją o zmianie numeru rachunku. W pierwszym przypadku problem dotyczy konta lub urządzenia użytkownika, w drugim serwera i infrastruktury, a w trzecim zagrożenie przychodzi w samej wiadomości. Z perspektywy użytkownika wszystko dzieje się „z pocztą”. Z perspektywy bezpieczeństwa mamy trzy różne zdarzenia, które wymagają zupełnie innego sposobu myślenia. I właśnie tak proponuję patrzeć na zagrożenia związane z pocztą elektroniczną.
- Skąd biorą się zagrożenia poczty e-mail?
- Zagrożenia konta e-mail i urządzenia
- Zagrożenia serwera pocztowego
- Niebezpieczne wiadomości e-mail
- Jedna wiadomość, kilka zagrożeń
- Atak na pocztę nie kończy się na poczcie
- Bezpieczeństwo poczty działa warstwowo
Dużo bardziej przydatne jest zrozumienie, gdzie właściwie zaczyna się problem. Jeżeli potrafisz przypisać go do właściwej warstwy, łatwiej później zrozumiesz, dlaczego dobre hasło nie rozwiązuje problemu fałszywej faktury, filtr antyspamowy nie zastępuje kopii zapasowej, a zabezpieczony serwer nie ochroni użytkownika, który sam przekaże dane logowania oszustowi. Wiem, że w dalszej części trafisz na sporo terminologii i nazw różnych zagrożeń. Nie musisz jednak na tym etapie zapamiętywać każdej z nich ani analizować wszystkich technicznych szczegółów. Większość tych problemów ma wspólne korzenie: ktoś próbuje przejąć dostęp, zawodzi infrastruktura albo do skrzynki trafia treść, która ma skłonić odbiorcę do niewłaściwej decyzji. Najpierw poukładajmy właśnie te trzy obszary. Nazwy poszczególnych technik zaczną mieć sens później.
Skąd biorą się zagrożenia poczty elektronicznej?
Zacznijmy od początku. Skąd w ogóle biorą się zagrożenia poczty e-mail? Przede wszystkim ustalmy jedno: bezpieczeństwo poczty nie sprowadza się tylko do jednego punktu. Holenderski NCSC ujął ochronę przed phishingiem i nadużyciami domen pocztowych jako podejście obejmujące jednocześnie człowieka, technologię i organizację. To trafne spojrzenie, bo sama technologia nie podejmie za pracownika decyzji dotyczącej przelewu, a nawet najlepiej przeszkolony użytkownik nie naprawi awarii serwera.
Powołuję się tutaj na zagraniczne źródło celowo. Regularnie obserwuję firmy, zespoły bezpieczeństwa i instytucje z różnych krajów, które potrafią w rzeczowy sposób nazwać problem, pokazać jego źródło i wyjaśnić, gdzie kończy się odpowiedzialność jednego zabezpieczenia, a zaczyna drugiego. Nie chodzi o kopiowanie ich klasyfikacji jeden do jednego. Chodzi raczej o wyciągnięcie z nich sensownego modelu myślenia. Dlatego cały proces odkrywania, skąd biorą się zagrożenia poczty elektronicznej, podzieliłbym na trzy obszary.
| Gdzie zaczyna się problem? | Co jest zagrożone? | Przykłady | Do czego prowadzi? |
|---|---|---|---|
| Konto i urządzenie użytkownika | dostęp do skrzynki oraz danych | przejęte hasło, sesja, malware, obce urządzenie | przejęcie konta, kradzież danych, wysyłanie wiadomości w Twoim imieniu |
| Serwer i infrastruktura pocztowa | działanie i dostępność poczty | awaria, włamanie, podatność, DDoS, utrata danych | niedostępność poczty, wyciek lub utrata wiadomości |
| Wiadomości przychodzące | decyzja i zachowanie odbiorcy | spam, phishing, spear phishing, BEC, spoofing, malspam | wyłudzenie danych, pieniędzy, przejęcie dostępu, infekcja urządzenia |
I tutaj pojawia się pierwsza rzecz, którą warto sobie poukładać: bezpieczne hasło nie ochroni serwera przed awarią, a dobrze zabezpieczony serwer nie sprawi, że fałszywa faktura stanie się prawdziwa. Każda z tych warstw wymaga innego rodzaju ochrony.
Zagrożenia konta e-mail i urządzenia
Najłatwiej zacząć od elementu, który faktycznie kontrolujesz: własnego konta i sprzętu, z którego korzystasz. Tylko że nawet tutaj „silne hasło” jest zaledwie jednym elementem układanki.
| Zagrożenie | Co się dzieje? | Przykładowy skutek |
|---|---|---|
| Przejęcie hasła | napastnik zdobywa lub odgaduje dane logowania | uzyskuje dostęp do skrzynki |
| Credential stuffing | hasło wykradzione z innego serwisu jest testowane w poczcie | ponownie używane hasło otwiera kolejne konto |
| Przejęcie sesji | atakujący zdobywa aktywną sesję lub token | korzysta z już uwierzytelnionego dostępu |
| Infostealer lub inne malware | program na komputerze wykrada dane użytkownika | hasła, cookies i inne informacje opuszczają urządzenie |
| Obce urządzenie | sesja pozostaje zalogowana na cudzym lub współdzielonym sprzęcie | kolejna osoba uzyskuje dostęp do wiadomości |
| Przejęcie odzyskiwania konta | napastnik kontroluje zapasowy adres lub inną metodę resetowania | odzyskuje konto mimo późniejszej zmiany hasła |
Przez długi czas bezpieczeństwo poczty kojarzyło się przede wszystkim z pytaniem: „czy mam wystarczająco mocne hasło?”. To naturalne, bo hasło widzimy przy logowaniu i łatwo traktować je jak główne drzwi do skrzynki. Z punktu widzenia napastnika nie ma jednak większego znaczenia, w jaki sposób uzyska dostęp, dopóki rzeczywiście go ma. Jeżeli przejmie aktywną sesję, wykorzysta zainfekowany komputer albo kontroluje mechanizm resetowania hasła, efekt dla użytkownika pozostaje podobny. Czyta wiadomości, poznaje kontakty, widzi dokumenty i sprawdza, z jakich usług korzystasz. Może również wysyłać e-maile jako Ty, co otwiera drogę do atakowania kolejnych osób. Poczta przestaje być wtedy tylko skrzynką na wiadomości. Staje się źródłem informacji o dużej części Twojego cyfrowego życia.
Zwróć uwagę, drogi czytelniku, że mamy tutaj pewien efekt domina. Jedno przejęte hasło nie musi kończyć się na jednej skrzynce. Jeżeli z tego samego adresu korzystasz do resetowania innych kont, napastnik dostaje kolejne możliwości. Jeżeli w wiadomościach przechowujesz faktury, korespondencję z klientami albo dane usług, dowiaduje się coraz więcej o Tobie i Twojej pracy. Jeżeli konto jest firmowe, problem zaczyna dotyczyć także współpracowników i kontrahentów. Dlatego w bezpieczeństwie poczty dostęp do skrzynki jest często początkiem problemu, a nie jego końcem.
Jeżeli chcesz zacząć od zabezpieczenia własnego konta, przyda Ci się poradnik jak bezpiecznie korzystać z poczty e-mail, tekst o bezpieczeństwie podczas logowania oraz materiał wyjaśniający OAuth2 w poczcie e-mail.
Zagrożenia serwera pocztowego
Teraz odwróćmy sytuację. Masz unikalne hasło. Korzystasz z 2FA. Komputer jest aktualny i zabezpieczony. Nie otworzyłeś żadnego podejrzanego załącznika. A mimo tego nie możesz odebrać poczty albo okazuje się, że część wiadomości zniknęła.
Problem nie wydarzył się po Twojej stronie.
Serwer pocztowy jest usługą działającą na określonej infrastrukturze, korzystającą z systemu operacyjnego, oprogramowania, pamięci masowej, DNS, sieci i kont administracyjnych. Każdy z tych elementów tworzy własną powierzchnię ryzyka. Wystarczy podatność w oprogramowaniu, błędna konfiguracja lub przejęte konto administratora, żeby problem objął wiele skrzynek jednocześnie. Do tego dochodzą zwykłe awarie techniczne, które nie mają nic wspólnego z cyberprzestępczością. Awaria nie jest cyberatakiem. Brak backupu nie jest włamaniem. DDoS nie oznacza automatycznie kradzieży wiadomości. Wszystkie te sytuacje mogą jednak doprowadzić do podobnego efektu widocznego dla użytkownika: poczta nie działa albo dane przestają być dostępne.
Po stronie infrastruktury problemem są między innymi:
- podatności i włamania do systemu pocztowego,
- przejęcie kont administratorów,
- awarie sprzętu lub pamięci masowej,
- utrata albo zaszyfrowanie danych,
- ataki DDoS ograniczające dostępność usługi,
- błędy DNS i rekordów MX wpływające na kierowanie poczty,
- wykorzystanie przejętego serwera do spamu lub phishingu.
Ten ostatni przypadek jest szczególnie ciekawy. Stwórzmy sobie prosty scenariusz: źle zabezpieczony serwer pocztowy zostaje przejęty i zaczyna być wykorzystywany do masowych kampanii spamowych albo phishingowych. Właściciel serwera nie musi od razu stracić wszystkich wiadomości, więc na pierwszy rzut oka „poczta nadal działa”. Problem pojawia się chwilę później. Adres IP lub domena zaczynają tracić reputację, trafiają na listy blokujące, a inne serwery coraz częściej odrzucają wiadomości albo kierują je do spamu. W efekcie cierpi także zupełnie prawidłowa korespondencja firmy. Klient nie dostaje faktury, handlowiec nie może skutecznie wysłać oferty, a wiadomość do kontrahenta ląduje obok typowego spamu. Jeden incydent bezpieczeństwa zaczyna więc wpływać również na dostarczalność poczty.
Jeżeli chcesz lepiej zrozumieć, co właściwie znajduje się po tej „drugiej stronie” Twojej skrzynki, zobacz również artykuł co to jest hosting poczty.
Niebezpieczne wiadomości e-mail
Trzeci scenariusz jest najbardziej przewrotny: poczta działa dokładnie tak, jak powinna. Serwer odebrał wiadomość. System dostarczył ją do właściwego użytkownika. Konto nie zostało przejęte. Połączenie było szyfrowane. Problem tkwi w tym, co właśnie znalazło się w skrzynce.
Do głównych zagrożeń dostarczanych za pośrednictwem poczty zaliczymy przede wszystkim spam, phishing i jego ukierunkowane odmiany, Business Email Compromise, spoofing oraz wiadomości dostarczające złośliwe oprogramowanie. Nie wszystkie są tym samym typem zagrożenia. Jedne opisują sposób dystrybucji, inne technikę podszywania się, jeszcze inne cały scenariusz oszustwa. Dlatego najlepiej zobaczyć je obok siebie.
| Zagrożenie | Co właściwie się dzieje? | Czego chce nadawca? |
|---|---|---|
| Spam | niezamówiona wiadomość jest rozsyłana masowo | reklama, ruch, kontakt lub rozpoczęcie dalszego oszustwa |
| Phishing | nadawca manipuluje odbiorcą i podszywa się pod zaufane źródło | hasło, dane, pieniądze albo wykonanie określonej czynności |
| Spear phishing | phishing jest przygotowany dla konkretnej osoby lub firmy | wykorzystanie wiedzy o odbiorcy do zwiększenia wiarygodności |
| BEC | atakujący wchodzi w firmową komunikację i proces biznesowy | przelew, zmiana rachunku, dane lub dostęp |
| Spoofing | zmieniana lub imitowana jest tożsamość nadawcy | zwiększenie wiarygodności innego ataku |
| Malspam | masowa wiadomość dostarcza złośliwy link lub plik | infekcja urządzenia albo przejęcie danych |
Te pojęcia nie są synonimami. I nie musisz od razu znać wszystkich różnic na pamięć. Ważniejsze jest zrozumienie, że wiadomość może być jednocześnie spamem, phishingiem i próbą dostarczenia malware. Za chwilę zobaczysz to na jednym przykładzie.
Jedna wiadomość, kilka zagrożeń
Weźmy prosty przykład:
„Twoja paczka czeka na dopłatę 1,49 zł. Ureguluj należność, aby przesyłka nie wróciła do nadawcy.”
Na pierwszy rzut oka chcielibyśmy odpowiedzieć: „to phishing”. I faktycznie może nim być. Tylko że ta sama wiadomość potrafi należeć jednocześnie do kilku kategorii:
- została wysłana automatycznie do 100 000 przypadkowych adresów → spam,
- nazwa i adres wyglądają jak dane firmy kurierskiej → spoofing lub impersonacja,
- link prowadzi do fałszywego formularza płatności → phishing,
- strona proponuje pobranie rzekomej aplikacji do śledzenia paczki → pojawia się malware.
Czy w takim razie jest to spam czy phishing? Jedno nie wyklucza drugiego. Pytamy po prostu o różne elementy tego samego zdarzenia. Spam opisuje sposób dystrybucji. Spoofing opisuje podszycie. Phishing określa próbę manipulacji użytkownikiem. Malware jest złośliwym oprogramowaniem dostarczonym na dalszym etapie.
Przywołam tutaj ciekawy scenariusz opisany przez belgijski Safeonweb. Użytkownik otrzymuje wiadomość wyglądającą tak, jakby pochodziła z adresu, który zna – banku, urzędu, firmy, a nawet własnej skrzynki. Sam adres wyświetlany w polu nadawcy buduje zaufanie, więc odbiorca łatwiej akceptuje dalszą historię. Tymczasem mamy do czynienia ze spoofingiem: oszust manipuluje informacją o nadawcy, żeby uwiarygodnić kolejny etap ataku. To świetny przykład pokazujący, że spoofing nie musi być celem samym w sobie. Często jest tylko narzędziem, dzięki któremu phishing albo inne oszustwo wygląda znacznie bardziej przekonująco.
Jeżeli chcesz analizować takie przypadki dokładniej, bardzo przydatny będzie poradnik co można odczytać z nagłówka wiadomości e-mail oraz wyjaśnienie pola From.
Atak na pocztę nie kończy się na poczcie
Najbardziej oczywista konsekwencja przejęcia skrzynki to możliwość przeczytania cudzej korespondencji. Tyle że dla napastnika stare wiadomości nie zawsze są najcenniejszym łupem. Poczta pełni dla wielu użytkowników rolę klucza zapasowego do innych usług – to na nią trafiają linki do resetowania haseł, potwierdzenia rejestracji, faktury, informacje o płatnościach i komunikaty bezpieczeństwa. W środowisku firmowym dochodzą kontrahenci, pracownicy, zamówienia, dokumenty, harmonogramy oraz informacje o sposobie działania organizacji. Przejęta skrzynka daje więc materiał do kolejnych ataków: na właściciela konta, jego współpracowników albo klientów. Napastnik może najpierw przeczytać historię rozmów, później odpowiedzieć w istniejącym wątku, a na końcu wykorzystać zdobyte informacje do przygotowania bardzo wiarygodnego spear phishingu lub BEC. Dlatego przejęcie poczty często nie jest końcem incydentu. Jest początkiem kolejnego.
Dobrze pokazuje to prosty łańcuch:
- przejęcie skrzynki,
- poznanie kontaktów i usług,
- reset haseł do kolejnych kont,
- wykorzystanie prawdziwej korespondencji,
- atak na kolejne osoby.
Wiele instytucji zajmujących się cyberbezpieczeństwem oraz dostawców usług pocztowych zwraca uwagę właśnie na taki mechanizm: użytkownik i jego skrzynka mogą stać się punktem wejścia do znacznie większego incydentu w organizacji. Wystarczy jedno przejęte konto, aby napastnik dostał coś znacznie cenniejszego niż samą historię wiadomości – kontekst. Wie, z kim rozmawiasz, jak wygląda komunikacja w firmie, z jakich usług korzystasz i komu inni użytkownicy ufają. To materiał, z którego później powstają znacznie skuteczniejsze ataki.
Jak ograniczać zagrożenia poczty elektronicznej?
Po przeczytaniu tego tekstu być może dojdziesz do wniosku, że potrzebujesz po prostu „lepszego zabezpieczenia poczty”. Problem w tym, że nie istnieje jedno zabezpieczenie, które rozwiązuje wszystkie opisane scenariusze. Silne hasło ogranicza jeden rodzaj ryzyka, MFA kolejny, filtr antyspamowy jeszcze inny. Backup nie zatrzyma phishingu, ale uratuje sytuację po utracie danych. SPF, DKIM i DMARC pomagają ograniczać część scenariuszy podszywania się pod domenę, ale nie rozwiążą problemu prawdziwego konta, które zostało wcześniej przejęte. Procedura potwierdzania zmiany rachunku bankowego nie zatrzyma awarii serwera, ale może uratować firmę przed BEC. Dlatego bezpieczeństwo poczty trzeba budować warstwowo, a nie szukać jednej funkcji, która „załatwi temat”.
| Zabezpieczenie | Przed czym pomaga? | Czego samo nie rozwiązuje? |
|---|---|---|
| Silne, unikalne hasło | zgadywanie hasła, credential stuffing po wycieku z innej usługi | phishing, przejęcie sesji, awaria serwera |
| MFA | wykorzystanie samego loginu i hasła | część ataków na sesję, malware, BEC |
| Filtr antyspamowy | spam, część phishingu i masowych kampanii | dobrze przygotowany spear phishing i część BEC |
| Backup | utrata lub uszkodzenie danych | przejęcie konta i oszustwa finansowe |
| SPF, DKIM i DMARC | część przypadków podszywania się pod domenę | wiadomość wysłana z prawdziwego, przejętego konta |
| Procedury firmowe | BEC, nietypowe płatności, zmiany danych kontrahentów | awarie infrastruktury |
W firmie procedura jest równie ważna jak technologia. Jeżeli zmianę numeru rachunku kontrahenta potwierdza się niezależnym kanałem, sama fałszywa wiadomość nie wystarcza do wykonania przelewu. Jeżeli większa płatność wymaga dwóch akceptacji, konto jednego przejętego pracownika nie kończy całej historii. Jeśli użytkownicy zgłaszają podejrzane wiadomości zamiast tylko je usuwać, dział IT może zobaczyć wzór, którego pojedynczy odbiorca nie jest w stanie zauważyć.
Dlatego pytanie „czy moja poczta jest bezpieczna?” jest trochę zbyt ogólne. Lepsze pytanie brzmi: którą warstwę mam już zabezpieczoną, a co nadal pozostaje poza nią? Poczta może działać prawidłowo, konto może mieć 2FA, a niebezpieczeństwo nadal może znajdować się w wiadomości, którą właśnie czytasz.