Ktoś kliknął. Wpisał hasło na stronie, która wyglądała jak logowanie do firmowej poczty, a chwilę później zorientował się, że coś było nie tak. Teraz stoi nad biurkiem i pyta, co robić. Przez najbliższy kwadrans robimy cztery rzeczy w konkretnej kolejności. Dopiero potem zaczynamy myśleć.
Pierwszy kwadrans — cztery ruchy
Kolejność ma znaczenie, bo atakujący pracuje równolegle z tobą. Przy zautomatyzowanych kampaniach logowanie na świeżo przejęte konto potrafi nastąpić w kilkanaście minut od wpisania hasła w podstawiony formularz.
- Odetnij komputer od sieci. Wyciągnij kabel, wyłącz Wi-Fi. Samej maszyny nie wyłączaj.
- Zmień hasło z innego urządzenia. Z telefonu, z komputera administratora — z czegokolwiek poza maszyną, na której padło kliknięcie.
- Unieważnij wszystkie aktywne sesje tego konta. Sama zmiana hasła zazwyczaj nie wystarcza.
- Sprawdź reguły przekierowań w skrzynce. To pierwsze miejsce, do którego zagląda atakujący — i pierwsze, do którego powinieneś zajrzeć ty.
Przegląd wysłanych wiadomości, ostrzeżenie zespołu, ustalenie zasięgu — to może poczekać dziesięć minut. Te cztery punkty nie mogą.
Dlaczego nie wyłączać komputera
Odłączenie od sieci robi to, co ma zrobić: przerywa komunikację ze światem. Wyłączenie zasilania dokłada już tylko straty. W pamięci operacyjnej bywa jedyny ślad tego, co się działo — procesy, otwarte połączenia, czasem klucze. Część złośliwego oprogramowania dokańcza swoją robotę właśnie przy zamykaniu systemu. A jeśli na dysku trwa szyfrowanie, twarde odcięcie prądu w połowie zapisu potrafi rozjechać pliki, które akurat były przetwarzane. Tych nie odzyska już nikt.
Jest wyjątek i widać go gołym okiem: pliki masowo zmieniają rozszerzenia, na pulpicie wyskakuje notatka z żądaniem okupu, dysk sieciowy zaczyna się sypać. To nie jest już phishing, tylko trwający atak szyfrujący, i tam obowiązuje inna procedura — natychmiastowe odcięcie od udziałów sieciowych i od kopii zapasowych, zanim szyfrowanie się rozleje.
Zmiana hasła to dopiero połowa roboty
Hasło zmienione, a atakujący dalej czyta pocztę. Widziałem to nie raz. Powód jest prosty: aktywna sesja w jego przeglądarce żyje własnym życiem, oparta na tokenie wystawionym wcześniej. W panelu administracyjnym poczty albo systemu logowania jest opcja wylogowania wszystkich sesji użytkownika i unieważnienia tokenów — trzeba jej użyć świadomie. Przy okazji odbierz hasła aplikacji i sprawdź listę aplikacji zewnętrznych, którym konto nadało dostęp. Podpięcie własnego klienta przez OAuth to wygodny sposób na przetrwanie zmiany hasła.
Reguły w skrzynce — klasyka gatunku
Standardowy ruch po przejęciu konta wygląda tak samo od lat. Powstaje reguła, która przenosi wiadomości zawierające słowa w rodzaju „faktura”, „przelew”, „hasło” albo „potwierdzenie” prosto do kosza lub do jakiegoś nieużywanego folderu. Do tego automatyczne przekierowanie na zewnętrzny adres. Efekt: atakujący widzi całą korespondencję, a użytkownik nie widzi odpowiedzi na maile, których nie wysyłał.
Zanim skasujesz taką regułę, zrób zrzut ekranu. To dowód i punkt odniesienia przy odtwarzaniu przebiegu incydentu. Sprawdź też metody uwierzytelniania dwuskładnikowego i listę zaufanych urządzeń — dopisanie własnego numeru telefonu albo aplikacji to drugi najczęstszy ruch. Jeśli atakujący zdążył dodać własną metodę, zmiana hasła nie wyrzuca go z konta. Usuń wszystko, czego użytkownik nie rozpoznaje.
Skąd wiedzieć, co atakujący zdążył zobaczyć
Punktem odniesienia jest godzina kliknięcia. Od niej przeglądasz logi logowań: adresy IP, lokalizacje, typ klienta pocztowego, godziny. Wszystko, co nie pasuje do wzorca pracy tej osoby, jest podejrzane. Dalej: wysłane i usunięte wiadomości, historia pobrań plików z dysku w chmurze, nowo utworzone reguły, zmiany uprawnień do folderów współdzielonych.
Pytanie, które zadaję zaraz potem: do czego to konto miało dostęp poza pocztą. Jeśli firma korzysta z logowania jednym kontem do wielu systemów, przejęta skrzynka oznacza też CRM, dysk, system księgowy. To argument za tym, żeby uprawnienia były przypisane do roli i odbierane przy zmianie stanowiska, a nie doklejane latami.
Uczciwie: bez logów nie ma odpowiedzi. Jeśli usługa pocztowa trzyma dzienniki audytowe przez kilka dni, dowiesz się dokładnie tyle, ile zdążysz sprawdzić dziś. To zwykle moment, w którym firmy po raz pierwszy zauważają, że nikt nie patrzy na to, co się dzieje w ich systemach.
Kiedy to już nie jest „tylko phishing”
Przestaje być incydentem jednego konta, gdy pojawia się którakolwiek z tych rzeczy: konto miało uprawnienia administracyjne, w logach jest udane logowanie z nietypowej lokalizacji, powstało nowe konto użytkownika, z firmowego adresu poszła prośba o zmianę numeru rachunku do przelewu, na maszynie widać nieznane procesy lub nowe zadania w harmonogramie, albo na udziale sieciowym są już zaszyfrowane pliki.
Wtedy zakres rośnie z jednej skrzynki na całe środowisko: hasła kont administracyjnych, konta usługowe, integracje, serwery. Jeśli w grę wchodzą dane osobowe klientów lub pracowników, taki incydent ma osobny reżim zgłoszeniowy do organu nadzorczego, z terminem liczonym w godzinach — to rozmowa do odbycia od razu, nie po weekendzie. Zgłoszenie do CERT Polska też ma sens, choćby po to, żeby domena phishingowa trafiła na listy blokujące. To nie jest porada prawna, tylko sygnał, że ten wątek istnieje i ma swój zegar.
Czego nie robić
- Nie kasuj wiadomości phishingowej. Adres nadawcy, nagłówki i domena docelowa to materiał, na którym opiera się ostrzeżenie dla reszty zespołu.
- Nie reinstaluj systemu od razu „na wszelki wypadek”, zanim ktoś spisze, co się na tej maszynie działo. Czysty system to komfort, ale też skasowane dowody.
- Nie odpowiadaj na wiadomość i nie klikaj w niej niczego więcej — także linku „wypisz się”.
- Nie odkładaj tego na jutro. Konto przejęte w środę wieczorem, wykryte w poniedziałek, to weekend spokojnego czytania korespondencji przez kogoś obcego.
- Nie udawaj, że nic się nie stało. Kontrahenci, do których poszła poczta z waszego adresu, dowiedzą się i tak — lepiej od was.
Nie karz pracownika za zgłoszenie
To najważniejsze zdanie w tym tekście. Ludzie zgłaszają szybko wyłącznie tam, gdzie zgłoszenie nie kończy się awanturą przy wszystkich. Wystarczy jedna publiczna burza, żeby następnym razem ktoś pomyślał „może się rozejdzie” i wrócił do pracy. Różnica między zgłoszeniem po pięciu minutach a po pięciu dniach to różnica między jednym zresetowanym hasłem a odbudową środowiska.
Pierwsze zdanie do pracownika, który przyznał się do kliknięcia, brzmi: dobrze, że mówisz od razu. Wszystko inne może poczekać.
Fałszywe alarmy też przyjmuj z podziękowaniem. Dziesięć niepotrzebnych zgłoszeń kosztuje mniej niż jedno przemilczane. Jeśli w trakcie takiej godziny brakuje kogoś, kto to poukłada, numer 22 379 26 26 działa również wtedy — dane kontaktowe są tutaj.
Co zrobić, żeby następnym razem było nudniej
- Drugi składnik logowania na poczcie i na wszystkim, co widać z internetu. Aplikacja lub klucz sprzętowy, SMS dopiero jako ostatnia opcja — jak to wygląda w praktyce, opisałem osobno.
- Osobne konto administracyjne. Codzienna poczta i przeglądarka na koncie bez uprawnień. Przejęcie takiego konta boli znacznie mniej.
- Blokada automatycznego przekierowania poczty na zewnątrz na poziomie polityki serwera, nie zaufania do użytkowników.
- Widoczne oznaczanie wiadomości z zewnątrz i filtrowanie poczty przed skrzynką. Nie zatrzyma wszystkiego, ale odsiewa masówkę.
- Krótki test wewnętrzny raz na kwartał. Mierz czas do pierwszego zgłoszenia, nie liczbę kliknięć. Cel to szybka reakcja, nie lista winnych.
- Jedna znana ścieżka zgłaszania. Jeden adres, jeden numer, wywieszony tam, gdzie ludzie go zobaczą pod presją.
Kliknięcie w phishing zdarza się w każdej firmie. Ostatecznie o rozmiarze szkody decyduje nie to, czy ktoś kliknął, tylko ile minut minęło, zanim powiedział o tym głośno — i czy ktoś wiedział, co zrobić w tych minutach.