Hasła i nadużyty adres e-mail: włamanie czy sfałszowanie?

Moduł 3: Zarządzanie skrzynką pocztową · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili dobrze zabezpieczyć swoją skrzynkę pocztową, rozpoznać różnicę między sfałszowanym nadawcą a przejętą skrzynką oraz podjąć właściwe kroki w obu przypadkach.

Kluczowe pojęcia: silne hasło, fraza hasła, menedżer haseł, ponowne użycie hasła, wyciek danych, atak siłowy (brute force), blokada IP, weryfikacja dwuetapowa, hasło aplikacji, phishing, spoofing (sfałszowany nadawca), backscatter, przejęta skrzynka pocztowa, podejrzane reguły i przekierowania, limit wysyłki

Dwa rodzaje sytuacji "z mojego adresu wysyłany jest spam"

Niemal każdy administrator słyszy to prędzej czy później: "z mojego adresu wysyłany jest spam". Istnieją dwie zupełnie różne przyczyny, a sposób postępowania jest inny w każdym przypadku.

1. Sfałszowanie (spoofing): nikt nie włamał się do Państwa skrzynki

Adres nadawcy to zwykły tekst. Każdy może wysłać wiadomość z Od: info@example.com, korzystając z własnego serwera, bez konieczności uzyskania dostępu do Państwa skrzynki pocztowej. Nazywa się to spoofingiem.

Jak to rozpoznać:

• Nagle otrzymują Państwo dziesiątki lub setki zwrotek (bounce) dotyczących wiadomości, których nigdy nie wysyłali, często na nieznane adresy. To backscatter: odbiorcy odrzucili sfałszowaną wiadomość i wysłali komunikat o błędzie na adres, który w niej widnieje, czyli na Państwa adres.
• We własnym folderze Wysłane nie ma nic.
• W dziennikach (logach) serwera pocztowego (w wielu panelach: funkcja typu "śledzenie e-mail") nie widzą Państwo tych wiadomości jako poczty wychodzącej.
• W nagłówkach takiej zwróconej wiadomości (lekcja 1.5) znajduje się linia Received pochodząca z serwera, który nie należy do Państwa.

Zmiana hasła w tym przypadku nic nie daje: nikt go przecież nie znał. Pomaga natomiast DMARC (lekcja 4.4). Dzięki p=quarantine lub p=reject informują Państwo odbiorców, że wiadomości, które nie przechodzą Państwa SPF ani DKIM, powinny być odkładane lub odrzucane. Dzięki temu sfałszowana wiadomość rzadziej dociera do odbiorców, a mniej osób pada ofiarą oszustwa posługującego się Państwa nazwą. Zwrotki zwykle ustają same po kilku dniach; można je po prostu usunąć.

2. Przejęta skrzynka pocztowa: ktoś zna Państwa hasło

Jeśli ktoś zna Państwa hasło, loguje się na Państwa serwer i rzeczywiście wysyła spam za pośrednictwem Państwa skrzynki pocztowej. Jest to znacznie poważniejsza sytuacja: spam pochodzi z zaufanego serwera z Państwa prawidłowym SPF i DKIM, więc częściej dociera do odbiorców. Serwer traci przy tym swoją dobrą reputację (lekcja 5.2).

Jak to rozpoznać:

• W dzienniku serwera widoczna jest poczta wychodząca, której Państwo nie wysyłali, często w dużych ilościach.
• Liczba wysłanych wiadomości ze skrzynki jest znacznie wyższa niż zwykle lub nagle osiągają Państwo limit wysyłki.
• Dostawca zgłasza problem lub blokuje możliwość wysyłania.
• W skrzynce pocztowej pojawiają się rzeczy, których Państwo nie rozpoznają: reguła przekierowania na nieznany adres, filtr, który określone wiadomości (na przykład od banku lub dostawcy) natychmiast przenosi do kosza, inny adres odpowiedzi (Reply-To) w ustawieniach lub komunikat o nieobecności.

Takie reguły to znany sposób działania. Atakujący, który przejął skrzynkę pocztową, często chce przez długi czas niezauważenie czytać korespondencję, na przykład aby w odpowiednim momencie wysłać fałszywą fakturę z innym numerem konta. Reguła przekierowania na jego własny adres działa nadal, nawet po zmianie hasła.

Jak ktoś zdobywa Państwa hasło?

• Phishing: fałszywa wiadomość z linkiem do podrobionej strony logowania ("Państwa skrzynka jest pełna, proszę się tu zalogować"). Najczęstsza przyczyna.
• Ponowne użycie hasła: używają Państwo tego samego hasła także w sklepie internetowym lub na forum, które zostaje zhakowane. Skradzione kombinacje adresu e-mail i hasła są następnie automatycznie sprawdzane na serwerach pocztowych. Za pomocą usług takich jak Have I Been Pwned mogą Państwo sprawdzić, czy Państwa adres figuruje w znanym wycieku danych.
• Odgadywanie: krótkie lub oczywiste hasła (Welkom2026!, nazwa firmy) są odgadywane metodą brute force: tysiące prób jedna po drugiej.
• Złośliwe oprogramowanie na komputerze, które przechwytuje hasła lub pobiera je z przeglądarki.

Dobre zabezpieczenie skrzynki pocztowej

1. Długie, unikalne hasło dla każdej skrzynki pocztowej. Długość liczy się bardziej niż dziwne znaki. Fraza hasła złożona z czterech lub pięciu niepowiązanych słów jest silna i łatwa do zapamiętania. Proszę nie używać jej nigdzie indziej.
2. Menedżer haseł. Dzięki niemu nie trzeba pamiętać wszystkich haseł, a ponowne ich używanie staje się zbędne.
3. Weryfikacja dwuetapowa tam, gdzie to możliwe. Przy biznesowej poczcie w chmurze (Microsoft 365, Google Workspace) oraz w panelu klienta dostawcy jest to zwykle możliwe. Przy zwykłej skrzynce IMAP często nie da się tego zastosować bezpośrednio do IMAP i SMTP, ponieważ programy pocztowe przesyłają jedynie hasło. Niektóre usługi oferują wówczas hasła aplikacji: osobne, długie hasło dla każdego programu, które można odwołać bez konieczności zmiany hasła głównego.
4. Proszę zachować ostrożność co do miejsca logowania. Hasło należy wpisywać wyłącznie we własnym programie pocztowym lub na prawdziwym adresie poczty webowej. Dostawca nigdy nie prosi o hasło drogą mailową.
5. Proszę poznać zabezpieczenia własnego serwera. Wiele serwerów blokuje adres IP po pewnej liczbie nieudanych prób logowania. Chroni to przed atakami typu brute force, ale oznacza też, że stare urządzenie z błędnym hasłem (stary tablet, drukarka skanująca do poczty) może spowodować zablokowanie całej sieci biurowej.

Co zrobić w przypadku przejęcia skrzynki pocztowej?

Proszę natychmiast wykonać poniższe kroki, w tej kolejności:

1. Proszę zmienić hasło w panelu swojego dostawcy (nie poprzez link z wiadomości e-mail). Proszę wybrać nowe, unikalne hasło.
2. Proszę sprawdzić reguły przekierowania, filtry, aliasy i komunikat o nieobecności, zarówno w poczcie webowej, jak i w panelu. Proszę usunąć wszystko, czego Państwo sami nie utworzyli.
3. Proszę sprawdzić, które urządzenia i programy łączą się ze skrzynką, i wprowadzić wszędzie nowe hasło. Zapomniane urządzenie ze starym hasłem może spowodować zablokowanie Państwa adresu IP.
4. Proszę przeskanować komputer pod kątem złośliwego oprogramowania, szczególnie jeśli nie klikali Państwo w link phishingowy.
5. Proszę zmienić hasło także gdzie indziej, jeśli było ono używane ponownie, a także hasło do panelu klienta, jeśli było takie samo.
6. Proszę zgłosić to dostawcy. Może on sprawdzić, co zostało wysłane, wyczyścić kolejkę i zdjąć blokadę.
7. Proszę ostrzec swoich kontaktów, jeśli wiadomości do nich dotarły, zwłaszcza w przypadku fałszywych faktur. Wyciek danych osobowych może na mocy RODO wymagać również zgłoszenia do organu nadzorczego ds. ochrony danych osobowych w Państwa kraju; w razie wątpliwości proszę to zweryfikować.

Przejęcie skrzynki pocztowej rzadko zdarza się w odosobnieniu. Proszę sprawdzić również, czy Państwa strona internetowa nie wysyła spamu: niezabezpieczony formularz kontaktowy lub zhakowana wtyczka również może wysyłać wiadomości w Państwa imieniu (lekcja 7.3).

W praktyce: jak to wygląda w panelu

W DirectAdmin hasło skrzynki pocztowej zmienia się w sekcji Konta E-mail, poprzez trzy kropki i opcję Zmiana hasła/nazwy użytkownika; w kolumnie Wysłane widać, ile wiadomości dana skrzynka wysłała danego dnia. Za pomocą funkcji Śledzenie e-mail można sprawdzić, czy wiadomość rzeczywiście została wysłana przez serwer. Przekierowania znajdują się w sekcji Przekierowania, komunikaty o nieobecności w sekcji Autorespondery, a w poczcie webowej w Ustawieniach. Inne panele oferują podobne funkcje, często pod nazwami takimi jak "ślad wiadomości", "message trace" czy "reguły skrzynki pocztowej".

Podsumowanie

• Zwrotki dotyczące wiadomości, których Państwo nie wysyłali, bez śladu w folderze Wysłane: sfałszowanie. Pomaga tu DMARC, a nie nowe hasło.
• Rzeczywisty spam wychodzący widoczny w dzienniku serwera: przejęta skrzynka pocztowa. Należy zmienić hasło, sprawdzić reguły i przekierowania, zaktualizować urządzenia i poinformować dostawcę.
• Atakujący często ustawiają regułę przekierowania lub filtr, aby móc nadal czytać korespondencję.
• Proszę używać długiego, unikalnego hasła dla każdej skrzynki, menedżera haseł oraz tam, gdzie to możliwe, weryfikacji dwuetapowej lub haseł aplikacji.

Quiz

Zadanie

Zadanie O3.4: Kontrola bezpieczeństwa skrzynki pocztowej. Proszę przejrzeć własną skrzynkę pocztową. Czy hasło jest unikalne i długie oraz zapisane w menedżerze haseł? Proszę sprawdzić swój adres w usłudze dotyczącej wycieków danych (takiej jak Have I Been Pwned) i zapisać, czy figuruje on w jakimś wycieku. Proszę sprawdzić w poczcie webowej lub w panelu wszystkie reguły przekierowania, filtry, adres odpowiedzi i komunikat o nieobecności. Proszę zapisać, które urządzenia korzystają ze skrzynki pocztowej. Następnie proszę odpowiedzieć: jeśli jutro otrzymają Państwo zwrotki dotyczące wiadomości, których Państwo nie wysyłali, jak sprawdzić, czy jest to spoofing czy włamanie?

Więcej informacji

Kroki opisane w tych artykułach dotyczą paneli WebOké; u innych dostawców działanie jest podobne.

• Instrukcja DirectAdmin 9.6: Co zrobić, gdy Pana/Pani adres e-mail jest nadużywany
• Instrukcja DirectAdmin 7.2: Wijzianie hasła adresu e-mail
• Instrukcja DirectAdmin 9.3: Śledzenie e-mail: gdzie podziała się moja wiadomość?
• Jak zmienić hasło lub limity adresu e-mail?
• Przejęcie skrzynki pocztowej lub spam wysyłany z Państwa adresu: jak to uporządkować
• NCSC, porady dotyczące haseł i weryfikacji dwuetapowej (Holandia): https://www.ncsc.nl