Prośba od pracownika, którego już nie było
Najważniejszy szczegół tej wiadomości nie był ukryty w numerze rachunku. Był nim człowiek, który rzekomo prosił o jego zmianę.
Do firmy trafia wiadomość z prośbą o zmianę rachunku powiązanego z wypłatą wynagrodzeń. Ma pochodzić od osoby uprawnionej do takich dyspozycji. Wskazany numer należy jednak do przestępcy. Żądanie dotyczy pieniędzy, ale próba oszustwa — według przekazanej relacji — zaczęła się wcześniej, od pendrive’a.
Historia zaczyna się poza skrzynką
Z relacji wynika, że złośliwe oprogramowanie trafiło na komputer z pamięci USB i uzyskało dostęp do korespondencji. Informacje z poczty zostały następnie wykorzystane do przygotowania wiadomości podszywającej się pod pracownika uprawnionego do zmiany rachunku. Odbiorca miał wykonać pozornie zwykłą czynność służbową.
Tak zdobyta korespondencja może dostarczyć atakującemu czegoś cenniejszego niż sam adres e-mail: kontekstu. Pokazuje, kto z kim rozmawia i jakie sprawy załatwia. W tej historii poczta nie była więc wyłącznie kanałem doręczenia prośby. Według relacji stała się także źródłem informacji wykorzystanych w próbie oszustwa.
Jedno nazwisko nie pasowało
Był jednak szczegół, którego nie dało się uzgodnić z sytuacją w firmie. Pracownik, od którego miała pochodzić prośba, został wcześniej zwolniony. Nie był już osobą, od której należało przyjmować taką dyspozycję.
To właśnie ta sprzeczność zatrzymała oszustwo. Zgodnie z przekazaną relacją próba nie doszła do skutku. Nie wiemy, kto konkretnie zauważył niezgodność ani jak wyglądały późniejsze prace techniczne. Wiemy, jaki fakt podważył wiarygodność wiadomości.
Wniosek z tego momentu jest praktyczny: poprawnie brzmiąca prośba nie wystarcza. Liczy się także to, czy nadawca nadal ma prawo podjąć daną decyzję.
Wiarygodna wiadomość to jeszcze nie uprawniona dyspozycja.
Co naprawdę otworzyło drogę do ataku
W przekazanym opisie punktem wejścia był zainfekowany nośnik USB, a kolejnym etapem — dostęp do poczty. Celem było wykorzystanie cudzej tożsamości do przekierowania wypłaty. To opis relacjonowanego przebiegu, nie wynik analizy informatyki śledczej.
Bez oryginalnej wiadomości, jej pełnych nagłówków i logów nie rozstrzygniemy, czy wysłano ją przez przejęte konto, czy tylko podrobiono dane nadawcy. Nie wiadomo również, czy analizę korespondencji wykonało samo oprogramowanie, czy człowiek korzystający z wykradzionych danych. Samo pojawienie się nazwiska byłego pracownika nie dowodzi, że jego konto nadal było aktywne.
Zatrzymać dyspozycję, potem odzyskać kontrolę
Poniższy sposób reakcji jest zaleceniem dla podobnego zdarzenia, a nie opisem potwierdzonych prac w tej firmie. Najpierw należy wstrzymać zmianę rachunku i sprawdzić jej autentyczność poza podejrzaną korespondencją — przez znany wcześniej numer telefonu lub uzgodniony kanał kadrowy. Numer podany w spornej wiadomości nie może służyć do jej potwierdzenia.
Równolegle administrator powinien odizolować podejrzany komputer od sieci i zabezpieczyć wiadomość, logi oraz nośnik do analizy. Pendrive’a nie podłącza się do kolejnego komputera „na próbę”. Przy potwierdzonym lub podejrzewanym przejęciu konta trzeba z czystego urządzenia ograniczyć dostęp, unieważnić aktywne sesje, zmienić dane uwierzytelniające i sprawdzić reguły przekazywania poczty oraz metody odzyskiwania konta. Przywrócenie komputera do pracy wymaga usunięcia przyczyny kompromitacji, a nie tylko skasowania jednego pliku.
Blokada USB — ale czego dokładnie?
W tym przypadku sensowną propozycją zapobiegania jest centralne ograniczenie używania pamięci wymiennych. Chodzi o pendrive’y i dyski USB, nie automatycznie o wszystkie porty, klawiatury czy myszy. Polityka może domyślnie odmawiać odczytu, zapisu i uruchamiania plików z niezatwierdzonych nośników, z kontrolowanymi wyjątkami dla potrzebnych urządzeń.
Sama blokada zapisu nie zatrzymuje odczytu szkodliwego pliku. Samo wyłączenie AutoRun także nie zastępuje kontroli dostępu do nośnika. Administrator powinien przetestować regułę na używanych komputerach i sprawdzić rejestrowanie prób jej naruszenia. Zablokowanie nośników ogranicza tę drogę wejścia; nie usuwa już działającego malware i nie cofa dostępu do poczty.
Nie opierać bezpieczeństwa na szczęśliwym szczególe
Odejście pracownika powinno uruchamiać ustalony proces wyłączenia dostępów, zakończenia sesji i odebrania uprawnień. Osobnym zabezpieczeniem pozostaje potwierdzanie zmiany rachunku niezależnym kanałem oraz zatwierdzanie jej przez drugą uprawnioną osobę. To zalecenia dotyczące organizacji pracy — nie twierdzenie, że w opisywanej firmie ich brakowało.
Tutaj oszustwo zatrzymała wiedza o tym, kto już nie pracuje w organizacji. Dobra procedura powinna zadziałać również wtedy, gdy podszywający się wybierze osobę, która nadal w niej pracuje.
O tej historii
Opracowanie anonimowej relacji przekazanej redakcji NetOpiekuna. Nie udostępniono materiału dowodowego ani raportu z analizy. Przebieg i rezultat opisujemy według relacji; przyczyny techniczne wymagające weryfikacji oraz zalecane działania oznaczamy oddzielnie. Nie jest to opis interwencji wykonanej przez NetOpiekuna.
Źródła zaleceń technicznych: Microsoft — Respond to a compromised cloud email account · Microsoft — Device control in Microsoft Defender for Endpoint · Microsoft — Device control walkthroughs