Przejęta poczta Microsoft 365: instrukcja dla firmy

Co może zrobić pracownik

Zanotuj czas, treść podejrzanych wiadomości oraz komunikaty logowania. Skontaktuj się z firmą innym zaufanym kanałem, jeśli Twoja skrzynka może być obserwowana. Nie usuwaj samodzielnie całej poczty ani nie rozsyłaj masowych ostrzeżeń bez uzgodnienia. Osoba podszywająca się pod pracownika może próbować kierować odbiorców na nowy rachunek lub stronę logowania.

Zakres działań administratora

• Ustalić dotknięte konto i czas incydentu, a następnie ograniczyć logowanie oraz sesje zgodnie z aktualną procedurą Microsoft i posiadanymi uprawnieniami.
• Sprawdzić metody uwierzytelniania, role i dostępy aplikacji. Ocenić, czy atak dotyczy wyłącznie jednej skrzynki.
• Przejrzeć reguły, przekierowania, delegacje i wysyłane wiadomości. Zachować potrzebne logi przed zmianami, uwzględniając dostępność danych w używanym planie.

Dlaczego hasło może nie wystarczyć

Aplikacje i przeglądarki mogą korzystać z już wydanych tokenów oraz własnych sesji. Czas odwołania dostępu zależy od usługi. Z tego powodu administrator sprawdza również sesje i zgody aplikacyjne, zamiast przyjmować, że reset hasła natychmiast kończy każdy dostęp. Nie wykonuj na próbę masowych poleceń znalezionych w internecie na całej organizacji.

Jak opisać incydent administratorowi bez wysyłania sekretów

Przekaż nazwę dotkniętej skrzynki, przybliżony czas ostatniej poprawnej pracy oraz przykłady objawów. Rozróżnij wiadomość otrzymaną od oszusta, podanie hasła na stronie i faktycznie zauważoną obcą operację. Jeśli zdarzenie dotyczy płatności, zaznacz to od razu, aby właściwa osoba w firmie mogła zweryfikować sytuację innym kanałem.

Nie wysyłaj nowego hasła na przejętą skrzynkę. Uzgodnij z administratorem sposób przekazania instrukcji i potwierdzenia Twojej tożsamości. Gdy problem obejmuje więcej osób, zgłoszenia powinny trafiać do jednego ustalonego kontaktu. Pozwala to zobaczyć wspólne objawy, których pojedynczy pracownik może nie dostrzegać.

Przykład: kontrahent otrzymał zmieniony numer rachunku

Skrzynka działa, a jej właściciel nie widzi oczywistego błędu. Tymczasem klient pokazuje wiadomość ze zmienioną informacją o płatności. Nie wystarczy sprawdzić, czy nowa wiadomość testowa dochodzi. Trzeba zachować treść i czas korespondencji, powiadomić odpowiedzialną osobę oraz przeanalizować aktywność konta i ustawienia poczty. Z kontrahentem kontaktuj się pod znanym wcześniej numerem, nie tym z podejrzanej wiadomości.

Co powinno znaleźć się w podsumowaniu naprawy

• Jakie konto i okres aktywności sprawdzono oraz jakie dane były dostępne do analizy.
• Które metody dostępu, ustawienia skrzynki lub uprawnienia zmieniono i dlaczego.
• Czy sprawdzono aplikacje oraz zasoby związane z kontem, czy wymaga to oddzielnych prac.
• Kto potwierdził działanie poczty i kto odbiera zgłoszenia o nowych objawach po przywróceniu dostępu.

Czy pracownik powinien sam wykonywać polecenia administratora znalezione w poradniku?

Nie, jeśli nie ma właściwych uprawnień i nie zna zależności organizacji. Masowa zmiana kont lub ról może zakłócić pracę innych osób. Zadaniem pracownika jest szybkie zgłoszenie i przekazanie faktów, a zadaniem uprawnionego administratora dobranie działań do konfiguracji firmy.

Kiedy można uznać pocztę za gotową do pracy?

Po wykonaniu uzgodnionych czynności i testach potrzebnych funkcji, z zapisaną listą pozostałych ustaleń. Samo poprawne logowanie nie odpowiada na pytanie, czy ktoś wcześniej uzyskał dostęp do danych. Taką ocenę należy prowadzić osobno od przywrócenia bieżącej obsługi skrzynki.

Warunki powrotu do pracy

Przed ponownym użyciem konta ustal, jakie zmiany wykonano i które objawy zniknęły. Przetestuj pocztę oraz uzgodnione aplikacje. Zaplanuj obserwację dalszej aktywności i kontakt dla pracownika. Techniczne przywrócenie dostępu nie rozstrzyga osobno oceny ujawnienia danych ani obowiązków firmy.