Pięć oznak przejęcia konta w Twojej firmie

Pracownik zgłasza, że nie może zalogować się do poczty, choć hasło wpisuje poprawnie. Kilka minut później kontrahent przesyła pytanie o nietypową fakturę wysłaną z firmowego adresu. To sytuacja, w której pięć oznak przejęcia konta może pomóc szybko ocenić skalę ryzyka i podjąć właściwe działania, zanim incydent przerodzi się w wyciek danych, oszustwo finansowe albo przestój.

Przejęcie konta nie musi oznaczać spektakularnego włamania. Często zaczyna się od wiadomości phishingowej, wykradzionego hasła używanego wcześniej w innym serwisie lub zaakceptowania fałszywego monitu logowania. Atakujący może przez pewien czas działać dyskretnie: czytać korespondencję, obserwować obieg faktur albo przygotowywać kolejne kroki. Dlatego liczy się nie tylko silne hasło, lecz także zdolność do zauważenia sygnałów ostrzegawczych.

Pięć oznak przejęcia konta, których nie warto ignorować

1. Nietypowe logowania i nieznane urządzenia

Pierwszym sygnałem są logowania z lokalizacji, urządzeń lub godzin, które nie pasują do zwyczajowego sposobu pracy użytkownika. W środowiskach Microsoft 365, Google Workspace i aplikacjach chmurowych informacje o aktywności logowania bywają dostępne administratorowi, a czasem także samemu użytkownikowi.

Nie każde logowanie z innego miasta oznacza atak. Pracownik może być w delegacji, korzystać z internetu komórkowego lub łączyć się przez firmowy VPN. Podejrzenie powinno wzrosnąć, gdy zdarzenia układają się w trudny do wyjaśnienia wzorzec: logowanie z Polski i kilka minut później z odległego kraju, nieznana przeglądarka, wiele nieudanych prób, a potem skuteczne wejście na konto.

Warto sprawdzić również, czy użytkownik rzeczywiście korzystał z danego urządzenia oraz czy nie zaakceptował powiadomienia wieloskładnikowego MFA przez pomyłkę. Takie potwierdzenie może dać atakującemu dostęp nawet wtedy, gdy hasło nie zostało bezpośrednio ujawnione.

2. Wiadomości, których pracownik nie wysłał

Przejęte konto e-mail jest szczególnie groźne dla biur rachunkowych, kancelarii, firm logistycznych i przedsiębiorstw realizujących płatności na podstawie korespondencji. Atakujący może podszyć się pod pracownika, wysłać prośbę o zmianę numeru rachunku, przekazać zainfekowany załącznik albo kontynuować istniejącą rozmowę z kontrahentem.

Charakterystyczne są krótkie, pilne wiadomości napisane w innym stylu niż zwykle, nietypowe prośby o płatność lub żądania poufnych dokumentów. Czasem odbiorca zauważy problem wcześniej niż właściciel konta i zapyta, dlaczego dostał wiadomość o nietypowej treści.

Należy przy tym odróżnić przejęcie konta od tzw. spoofingu, czyli podszycia się pod adres nadawcy bez realnego dostępu do skrzynki. Oba przypadki wymagają reakcji, ale w pierwszym trzeba pilnie zabezpieczyć konto, aktywne sesje i reguły poczty. W drugim trzeba dodatkowo przeanalizować domenę oraz mechanizmy uwierzytelniania wiadomości.

3. Zmienione reguły przekazywania poczty lub ustawienia konta

To jeden z najczęściej pomijanych sygnałów. Po uzyskaniu dostępu do skrzynki atakujący może utworzyć regułę automatycznego przekazywania wiadomości na zewnętrzny adres. Dzięki temu zachowuje wgląd w korespondencję nawet po zmianie hasła, jeśli reguła nie zostanie usunięta.

Inny wariant to ukrywanie wiadomości zawierających określone słowa, przenoszenie ich do archiwum lub usuwanie odpowiedzi od kontrahentów. Celem może być obserwacja rozmów dotyczących faktur, umów, danych osobowych albo dostaw. Użytkownik ma wówczas wrażenie, że korespondencja po prostu nie dotarła.

Podczas weryfikacji incydentu należy sprawdzić reguły skrzynki, delegacje, uprawnienia do kalendarza, podłączone aplikacje oraz metody odzyskiwania konta. Zmiana hasła jest konieczna, ale sama w sobie może nie wystarczyć, jeśli osoba nieuprawniona pozostawiła sobie inną drogę dostępu.

4. Niespodziewane monity MFA i problemy z logowaniem

Uwierzytelnianie wieloskładnikowe MFA istotnie ogranicza ryzyko przejęcia konta, lecz nie eliminuje go całkowicie. Jeżeli pracownik otrzymuje serię powiadomień z prośbą o zatwierdzenie logowania, mimo że nie próbuje się logować, ktoś najprawdopodobniej zna lub testuje jego hasło.

Atakujący może liczyć, że użytkownik zaakceptuje monit odruchowo, aby pozbyć się kolejnych powiadomień. To metoda określana jako MFA fatigue – zmęczenie komunikatami MFA. W innych przypadkach pracownik zostaje nagle wylogowany, traci dostęp do konta lub otrzymuje komunikat o zmianie hasła, której nie inicjował.

Takich zdarzeń nie należy traktować jako zwykłego problemu technicznego. Warto od razu przerwać nieznane sesje, zmienić hasło z bezpiecznego urządzenia i zgłosić sytuację osobie odpowiedzialnej za IT lub bezpieczeństwo. Administracja powinna przejrzeć historię logowań oraz ustalić, czy konto było wykorzystywane do dalszych działań.

5. Nietypowa aktywność po zalogowaniu

Samo udane logowanie nie pokazuje, co zrobiła osoba korzystająca z konta. Dlatego ostatnia z pięciu oznak przejęcia konta dotyczy zachowania po uzyskaniu dostępu. Alarmujące mogą być masowe pobieranie plików, próby dostępu do folderów, z których użytkownik zwykle nie korzysta, tworzenie nowych kont uprzywilejowanych czy instalowanie nieznanych aplikacji.

W przypadku komputerów firmowych warto zwracać uwagę na próby wyłączenia ochrony, uruchomienie narzędzi administracyjnych poza standardową procedurą oraz nietypowe połączenia sieciowe. Na serwerach i urządzeniach sieciowych sygnałem może być zmiana konfiguracji, nowe konto administratora lub logowanie poza oknem serwisowym.

Pojedynczy alert nie zawsze przesądza o ataku. Właśnie dlatego analiza alertów powinna uwzględniać kontekst: rolę pracownika, jego bieżące zadania, używane systemy i sekwencję zdarzeń. To pozwala odróżnić nietypową, ale uzasadnioną pracę od aktywności, która wymaga reagowania na incydenty.

Co zrobić, gdy podejrzenie jest uzasadnione

Pierwsze działania powinny ograniczyć możliwość dalszego dostępu. Należy niezwłocznie zmienić hasło, zakończyć wszystkie aktywne sesje i zweryfikować metody MFA. Jeżeli istnieje ryzyko, że komputer użytkownika został zainfekowany, nie należy wykonywać zmiany haseł właśnie na tym urządzeniu – lepiej użyć innego, zaufanego sprzętu.

Następnie trzeba sprawdzić ustawienia skrzynki, reguły przekazywania, podłączone aplikacje i uprawnienia. Warto także ustalić, czy z konta wysyłano wiadomości, pobierano dokumenty lub uzyskiwano dostęp do innych systemów. Jeśli konto miało uprawnienia administracyjne, zakres analizy powinien być szerszy, ponieważ skutki incydentu mogą wykraczać poza pojedynczą skrzynkę pocztową.

Ważne jest zachowanie informacji o zdarzeniu: godzin, komunikatów, adresów IP, zrzutów ekranu i treści podejrzanych wiadomości. Te dane pomagają odtworzyć przebieg incydentu i ustalić, czy podobne działania dotknęły innych kont. Nie warto usuwać śladów w pośpiechu, zanim zespół IT lub specjaliści bezpieczeństwa ocenią sytuację.

Dlaczego monitoring kont nie może działać tylko w godzinach pracy

Ataki na konta często odbywają się wieczorem, w weekend albo w okresie urlopowym, gdy nietypowa aktywność łatwiej pozostaje niezauważona. Dla MŚP problemem bywa nie brak narzędzi, lecz brak czasu i kompetencji do stałego przeglądania logów z poczty, urządzeń, serwerów i usług chmurowych.

Monitoring bezpieczeństwa IT 24/7 pozwala łączyć sygnały z różnych źródeł. Nietypowe logowanie do Microsoft 365, utworzenie reguły przekazywania i pobranie dużej liczby plików mogą osobno wyglądać niejednoznacznie. Zestawione razem tworzą jednak obraz zdarzenia wymagającego szybkiej reakcji.

W modelu SOC as a Service lub MDR specjaliści analizują takie alerty, oceniają ich znaczenie i wspierają firmę w ograniczaniu skutków incydentu. W razie potrzeby centralne zbieranie logów w systemie SIEM ułatwia analizę zdarzeń z kluczowych systemów. Nie chodzi o rozbudowę technologii dla samej technologii, lecz o skrócenie czasu od pierwszego sygnału do świadomej decyzji.

Najlepszym momentem na ustalenie procedury dla przejętego konta jest czas przed incydentem. Jasne zasady zgłaszania podejrzanych logowań, regularne szkolenia z phishingu i stała obserwacja kluczowych systemów pomagają firmie reagować spokojniej, gdy liczą się minuty.

Dyrektor ds. Technologii (CTO). Ze względów bezpieczeństwa nie publikujemy imion i nazwisk autorów – artykuły podpisywane są wyłącznie stanowiskiem, bez danych identyfikujących konkretną osobę.