פריצה למייל בעסק: מה עושים מיד ואיך להגן על המייל

חשדתם שמישהו נכנס לתיבת המייל של העסק? בדף הזה: מה לעשות בשעה הראשונה, איך מבינים מה קרה, ואיך מקטינים את הסיכוי שזה יחזור.

מה עושים כשהמייל נפרץ? מחליפים סיסמה ממחשב נקי, מנתקים את כל ההתחברויות הפעילות, בודקים כללי העברה אוטומטית ואפליקציות מחוברות ומוחקים מה שלא מוכר, מפעילים אימות דו-שלבי, ומודיעים בטלפון ללקוחות ולספקים שייתכן שקיבלו הודעות חשודות.

מה בעצם נקרא "מייל שנפרץ"

כשבעל עסק אומר "המייל שלי נפרץ", הוא יכול להתכוון לכמה מצבים שונים:

• מישהו נכנס לתיבה, כי גנב את הסיסמה.
• מישהו שולח הודעות בשם העסק בלי להיכנס לתיבה, בהתחזות לדומיין. זה מצב אחר, וטיפול אחר. ראו איך בודקים אם אפשר להתחזות אליכם.
• אפליקציה חיצונית קיבלה הרשאה לקרוא או לשלוח מייל, אחרי שמישהו לחץ "אישור" על בקשה שנראתה תמימה.

ההבחנה חשובה כי הצעדים שונים. להלן הפירוט, בעיקר לשני המצבים הראשונים.

איך תיבות נפרצות בדרך כלל

• פישינג: הודעה שמובילה לדף כניסה מזויף. העובד מקליד סיסמה, והתוקף מקבל אותה.
• שימוש חוזר בסיסמה: אותה סיסמה בכמה שירותים. כשאחד מהם נחשף, התוקף מנסה אותה במקומות אחרים.
• סיסמה חלשה או חשבון בלי אימות דו-שלבי: בלי אימות דו-שלבי, סיסמה אחת מספיקה כדי להיכנס.
• אישור הרשאה לאפליקציה זדונית: קישור שמבקש גישה לתיבה "כדי לצפות במסמך".
• מכשיר נגוע שמעביר סיסמאות שמורות.

סימנים שכדאי לשים לב אליהם

• הודעות בתיקיית "נשלחו" שלא שלחתם, או הודעות שנמחקו.
• לקוחות או ספקים שמקבלים בקשות מוזרות מכם.
• כללי תיבה או העברה אוטומטית שלא הגדרתם.
• התראה על כניסה ממיקום, מכשיר או שעה לא מוכרים.
• שינוי פרטי חשבון בנק בחשבוניות או בהודעות.

מייל נפרץ: מה עושים מיד

1. ממחשב נקי, החליפו סיסמה לחשבון.
2. נתקו את כל ההתחברויות הפעילות (sign out of all sessions).
3. הפעילו אימות דו-שלבי.
4. בדקו כללי העברה, כללי תיבה, האצלת גישה ואפליקציות מחוברות, ומחקו מה שלא מוכר.
5. עברו על הפריטים שנשלחו, כדי להבין מי קיבל הודעות.
6. הודיעו למי שרלוונטי בערוץ אחר, למשל בטלפון: לקוחות, ספקים, הנהלת חשבונות.
7. החליפו סיסמאות בשירותים אחרים שבהם הייתה אותה סיסמה.
8. שמרו ראיות (הודעות חשודות, צילומי מסך) למקרה שיידרש בירור.
9. בדקו מבחינה משפטית אם נחשף מידע אישי של אחרים ואם יש חובת פעולה. זו שאלה לעורך דין.

אם יש ספק איתן, ספק ה-IT או ספק המייל שלכם יכולים לבדוק יומני כניסה.

איך להגן על המייל של העסק

• אימות דו-שלבי בכל התיבות והמערכות הקריטיות.
• סיסמה ייחודית לכל שירות ומנהל סיסמאות.
• הרשאות מינימום ובדיקה תקופתית של אפליקציות מחוברות.
• הגדרת SPF, DKIM ו-DMARC כדי להקשות על התחזות: המדריך כאן. הגדרות אלה לא מונעות פריצה לתיבה, אך משלימות את ההגנה.
• הדרכת עובדים כדי שפחות ילחצו על הודעה חשודה. למה זה חשוב.

מה בודקת סריקה חיצונית

הסריקה החינמית של PhishingU בודקת את רשומות DMARC, SPF ו-DKIM של הדומיין. היא אינה בודקת אם תיבה נפרצה. היא נותנת תמונה ראשונה של האם קל להתחזות לדומיין, וזה חלק מהסיפור.

תרחיש לדוגמה (לא מקרה אמיתי): איך פריצה אחת מתגלגלת

מנהלת משרד מקבלת הודעה שנראית כמו התראה על "מסמך משותף". היא לוחצת, מקלידה סיסמה בדף שנראה כמו דף הכניסה הרגיל, ולא שמה לב לכלום. התוקף נכנס לתיבה ולא עושה רעש: הוא מגדיר כלל שמעביר עותק של כל הודעה אל כתובת חיצונית, ומוחק את התראות האבטחה. אחרי כמה ימים הוא כבר מכיר את הלקוחות, את הספקים ואת סגנון הכתיבה, ושולח ללקוח בקשה לשינוי פרטי תשלום בתוך שרשור אמיתי.

הנקודה: הנזק לא קורה ברגע הלחיצה, אלא בימים שאחריה. לכן בדיקת כללי ההעברה והאפליקציות המחוברות חשובה לא פחות מהחלפת הסיסמה.

מי אחראי על זה בעסק קטן

בעסקים קטנים אין לרוב צוות אבטחה, ולכן כדאי להגדיר מראש:

• מי מקבל דיווח כשעובד חושב שלחץ על משהו חשוד. עדיף אדם אחד עם מספר טלפון מוכר.
• מי מוסמך לנתק גישה ולהחליף סיסמאות, כולל מחוץ לשעות העבודה.
• מי מדבר עם לקוחות כשצריך להסביר מה קרה.
• מי מייעץ משפטית, כדי שלא תצטרכו לחפש עורך דין תוך כדי אירוע.

כתבו את הפרטים בעמוד אחד והדפיסו. דף כזה עוזר דווקא כשהכול בלחץ.

בדיקה חודשית קצרה

אחת לחודש אפשר להקדיש רבע שעה לעבור על: משתמשים שעזבו ועדיין פעילים, כללי העברה בתיבות, אפליקציות מחוברות לחשבונות המייל, ומי מחזיק הרשאות ניהול. הרגל פשוט כזה תופס הרבה בעיות לפני שהן הופכות לאירוע.

רשימת השעה הראשונה

כשיש חשד סביר שהתיבה נפרצה, הסדר חשוב. הרשימה הבאה מיועדת לבעל עסק או לספק IT שמטפל באירוע, והיא פועלת בסדר הזה:

1. ממחשב נקי שאינו חשוד, החליפו את סיסמת החשבון. אם אותה סיסמה משמשת במקומות אחרים, החליפו גם אותם.
2. נתקו כל התחברות פעילה (Sign out of all sessions), כי תוקף שכבר מחובר ימשיך להיות מחובר גם אחרי החלפת סיסמה אם לא ניתקו אותו.
3. הפעילו אימות דו-שלבי והעדיפו אפליקציית אימות או מפתח אבטחה על פני הודעת SMS.
4. סקרו כללי תיבה והעברה אוטומטית. כלל שמעביר עותק של כל הודעה לכתובת חיצונית הוא שיטה נפוצה להמשך ריגול גם אחרי החלפת הסיסמה.
5. בדקו אפליקציות מחוברות והרשאות, והסירו כל גישה שלא זיהיתם.
6. בדקו האצלת גישה (delegates) ותיבות משותפות שנוספו.
7. סרקו את תיקיית "נשלחו" ואת "פריטים שנמחקו" כדי להבין מי קיבל הודעות מהחשבון ומה נשלח.
8. הודיעו בטלפון ללקוחות ולספקים רלוונטיים, ובקשו מהם להתעלם מבקשות כספיות שהגיעו בימים האחרונים עד לאימות.
9. תעדו: מתי נתגלה, מה נמצא, מה נעשה. תיעוד כזה יעזור גם לספק ה-IT וגם לייעוץ משפטי אם יידרש.

הרשימה אינה מחליפה בדיקה מקצועית של יומני הכניסה אצל ספק המייל, ובמקרה של נזק כספי או חשיפת מידע אישי כדאי לערב ספק IT ויועץ משפטי.