E-mail bezbednost : Kako zaustaviti napade koji prođu kroz zaštitu

Zaposleni u finansijama primi email koji izgleda kao da ga je poslao CEO.

Nema sumnjivog attachmenta. Nema očiglednih tipografskih grešaka. Nema čudnog formatiranja. Ton zvuči poznato.

Poruka jednostavno pita da li plaćanje dobavljaču može da se izvrši danas i navodi nove bankovne podatke.

Upravo zato zaslužuje pažnju.

 

Email bezbednost za timove

Email napadi koji izazivaju najveće probleme nisu uvek oni koji se obrađuju na osnovnim phishing obukama. Neki dolaze sa kompromitovanih legitimnih naloga. Drugi imitiraju rukovodioce, dobavljače ili kolege. Neki uopšte ne sadrže malware niti zlonamerni link. Jednostavno ubede nekoga da obavi legitimnu poslovnu radnju za pogrešnu osobu.

Efikasna email bezbednost za timove zato ne može da zavisi samo od spam filtera i intuicije zaposlenih. Potrebno je više slojeva koji rade zajedno: zaštita identiteta, email autentifikacija, kontrola pristupa, monitoring naloga, procedure verifikacije i jasan proces odgovora.

Cilj nije napraviti inbox u kojem se zlonamerne poruke nikada ne pojavljuju. To nije realno. Cilj je sprečiti da jedan ubedljiv email lako preraste u poslovni incident.

 

Zašto opasni emailovi i dalje stižu u poslovne inboxe

Email filtriranje postalo je znatno sofisticiranije. Platforme kao što su Microsoft 365 i Google Workspace analiziraju sumnjive pošiljaoce, linkove, obrasce poruka, autentifikacione signale i pokušaje impersonacije.

Ali napadači se prilagođavaju.

Savremeni phishing i business email compromise mogu uključivati:
• kompromitovane legitimne naloge
• impersonaciju rukovodilaca ili dobavljača
• lookalike domene
• lažne zahteve za plaćanje
• promene podataka za obračun zarada
• ubedljive poruke o deljenju dokumenata
• pažljivo napisani social engineering
• AI assisted phishing sadržaj

Microsoft anti phishing zaštita pokriva tehnike kao što su spoofing i impersonacija, ali nijedan sistem filtriranja ne može pouzdano razumeti svaki aspekt poslovnog konteksta.
Bezbednosna platforma možda zna da je email stigao sa tehnički validnog naloga. Ne može uvek znati da li je vaš dobavljač zaista tog jutra promenio bankovne podatke.

Tu proces postaje deo bezbednosti.

 

Email bezbednost zahteva više slojeva

Dobra poslovna email bezbednost kombinuje više kontrola.

Zaštita identiteta potvrđuje da je osoba koja se prijavljuje zaista vlasnik naloga.

Email autentifikacija pomaže sistemima primaoca da provere da li je poruka koja tvrdi da dolazi sa vašeg domena zaista autorizovana.

Upravljanje pristupom ograničava ko šta može da radi.

Monitoring pomaže u otkrivanju sumnjivih prijava, forwarding pravila i promena u mailboxu.

Verifikacija od strane zaposlenih pokriva situacije koje tehnologija ne može pouzdano da proceni.

Incident response definiše šta se dešava kada nešto ipak krene po zlu.

Najvažnija poenta je jednostavna: email bezbednost nikada ne bi trebalo da zavisi od samo jedne kontrole.

 

1. Zaštitite email naloge multi factor authentication metodom

Lozinke su i dalje važne, ali same po sebi nisu dovoljna zaštita za kritične poslovne naloge.

Multi factor authentication dodaje još jedan korak verifikacije, tako da posedovanje ukradene lozinke ne omogućava automatski pristup. CISA preporučuje MFA za poslovne naloge i podstiče organizacije da, gde je praktično, pređu na phishing resistant MFA metode.

 

Šta može da pođe po zlu

Zaposleni ponovo koristi lozinku koja je već kompromitovana na drugom mestu.

Napadač dođe do nje i pokuša da pristupi poslovnom emailu zaposlenog.

Bez MFA, ta lozinka može biti dovoljna.

Kako izgleda dovoljno dobro rešenje

Uključite MFA za sve email naloge, sa posebnom pažnjom na:
• administratore
• rukovodstvo
• finansije
• HR
• executive assistants

Gde su dostupni, authentication aplikacije, security keys i druge jače metode imaju prednost u odnosu na slabe recovery procese.

Česta greška

Kompanije štite administratore, ali ostavljaju obične korisnike bez MFA.

Kompromitovan non admin mailbox i dalje može da se koristi za impersonaciju kompanije, targetiranje kolega, praćenje razgovora ili pokretanje BEC napada.

 

2. Zaustavite ponovno korišćenje lozinki

Reći zaposlenima da prave jače lozinke, a ne dati im odgovarajuće alate, obično vodi do predvidivih prečica.

Poslovni password manager omogućava jedinstvene lozinke za svaki nalog bez potrebe da ih ljudi pamte.

Takođe smanjuje prakse kao što su:
• lozinke sačuvane u spreadsheetovima
• credentials deljeni kroz chat
• ista lozinka korišćena u više alata
• bivši zaposleni koji zadržavaju pristup
• jedna administratorska lozinka korišćena svuda

Bezbednost lozinki bolje funkcioniše kada je organizovana kao proces kompanije, a ne kao individualni test pamćenja.

3. Pravilno konfigurišite SPF, DKIM i DMARC

SPF, DKIM i DMARC su ključni mehanizmi email autentifikacije.

SPF identifikuje servere ovlašćene da šalju email u ime vašeg domena.

DKIM dodaje kriptografski potpis koji pomaže da se potvrdi da je poruka autorizovana i da nije izmenjena.

DMARC se nadovezuje na SPF i DKIM i omogućava vlasnicima domena da definišu kako sistemi primaoca treba da postupaju sa porukama koje ne prođu autentifikacione i alignment provere.

Microsoft preporučuje korišćenje sva tri zajedno, umesto oslanjanja na samo jedan mehanizam.

Šta pomažu da se spreči

Otežavaju napadačima da direktno spoofuju legitimni domen vaše kompanije.

Šta ne sprečavaju

Ne zaustavljaju svaki phishing pokušaj.

Napadači i dalje mogu koristiti:
• lookalike domene
• kompromitovane legitimne naloge
• nepovezane domene
• social engineering bez ikakvog domain spoofinga

Ta razlika je važna.

Praktičan problem implementacije koji kompanije često previde

Ako vaša kompanija šalje email preko više sistema, kao što su Microsoft 365, CRM, newsletter platforma ili alat za fakturisanje, svi ti legitimni pošiljaoci moraju biti uzeti u obzir pre primene stroge DMARC politike.

U suprotnom, bezbednosno unapređenje može slučajno blokirati legitiman poslovni email.

DMARC zato treba implementirati promišljeno, pratiti ga i postepeno pooštravati, a ne uključiti naslepo.

4. Pravilno zaštitite Microsoft 365 ili Google Workspace

Kupovina cloud email platforme ne znači da su sva relevantna bezbednosna podešavanja automatski optimizovana za vašu organizaciju.

Email administracija treba redovno da obuhvata:
• MFA
• zaštitu administratorskih naloga
• upozorenja na sumnjive prijave
• forwarding pravila
• mailbox dozvole
• pristup third party aplikacija
• audit logove
• neaktivne naloge
• recovery podešavanja

Microsoft posebno preporučuje proveru sumnjivih inbox pravila, forwardinga, sent items foldera, pristupa aplikacijama i povezanih promena u mailboxu prilikom istrage kompromitovanih naloga.

Tu email bezbednost postaje odgovornost IT administracije, a ne samo pitanje obuke zaposlenih.

 

5. Obratite posebnu pažnju na business email compromise

Business email compromise, odnosno BEC, često uopšte ne sadrži malware.

Sam zahtev je napad.

Uobičajeni primeri uključuju:
• impersonaciju CEO-a
• promenu bankovnih podataka dobavljača
• lažne zahteve za fakture
• promene podataka za obračun zarada
• poverljive zahteve za plaćanje
• zahteve za gift cards
• pokušaje zaobilaženja procedura odobravanja

Poruka može izgledati potpuno legitimno.

Zato su procedure finansijske verifikacije važne.

Jednostavno pravilo koje sprečava mnoge probleme

Svaka značajna promena koja se odnosi na bankovne podatke, obračun zarada, instrukcije za plaćanje, credentials ili osetljiv pristup treba da bude potvrđena preko drugog komunikacionog kanala.

Ako dobavljač emailom pošalje nove bankovne podatke, pozovite prethodno poznat broj kontakta.

Nemojte potvrđivati promenu jednostavnim odgovorom na isti email thread.

Tehnologija ne može uvek da utvrdi da li je poslovni zahtev koji izgleda legitimno zaista autentičan. Drugi korak verifikacije može.

 

6. Posebno obratite pažnju na finansije, HR i administratore

Svaki zaposleni je važan za bezbednost, ali neki nalozi imaju veće posledice ako budu kompromitovani.

Finansijski timovi odobravaju plaćanja.

HR timovi imaju podatke zaposlenih.

Executive assistants često upravljaju osetljivom komunikacijom i kalendarima.

Administratori mogu kontrolisati čitava okruženja.

Rukovodstvo kompanije može biti impersonirano kako bi se stvorili autoritet i osećaj hitnosti.

Zato ove uloge treba da imaju jače kontrole, stroži pristup, bolji monitoring i jasno definisane procedure verifikacije.

 

7. Obučite zaposlene da proveravaju, a ne samo da „prepoznaju phishing“

Starije phishing obuke često se fokusiraju na očigledne znakove kao što su pravopisne greške, loša gramatika, čudan branding i sumnjivi attachmenti.

Ti signali su i dalje važni, ali više nisu dovoljni.

Savremeni phishing email može:
• koristiti savršenu gramatiku
• imitirati legitiman branding
• pozivati se na stvarni projekat
• stići sa kompromitovanog autentičnog naloga
• ne sadržati attachment niti zlonamerni link

Bolje pitanje nije:
„Možete li prepoznati lažni email?“

Već:
„Znate li kada zahtev treba nezavisno proveriti?“

Korisni triggeri za verifikaciju uključuju:
• promenjene bankovne podatke
• neuobičajene zahteve za plaćanje
• zahteve za resetovanje lozinke
• neočekivane login notifikacije
• zahteve za credentials
• neuobičajenu tajnost
• neočekivane deljene dokumente
• zahteve da se zaobiđe uobičajena procedura

Ponašanje treba da bude jednostavno:
Zastani. Proveri. Prijavi.

 

8. Učinite prijavljivanje sumnjivih emailova jednostavnim

Zaposleni ne bi trebalo da pretražuju dokumentaciju kako bi saznali kako da prijave phishing.

Napravite jedan očigledan način:
• report phishing dugme
• poseban IT kanal
• security mailbox
• jasan help desk proces

Još važnije, zaposleni treba da znaju šta da urade nakon greške.

Ako neko klikne na sumnjiv link i odmah ga prijavi, IT može brzo reagovati.

Ako se ljudi plaše kazne, možda će sakriti šta se dogodilo.

Brza prijava je korisnija od pretvaranja da niko nikada ne klikne na pogrešnu stvar.

 

9. Pratite forwarding pravila i aktivnost naloga

Napadači koji dobiju pristup mailboxu često pokušavaju da ostanu neprimećeni.

Jedna od tehnika je kreiranje pravila koja automatski prosleđuju poruke, skrivaju odgovore ili premeštaju bezbednosne notifikacije.

Microsoft navodi sumnjiva forwarding i inbox manipulation pravila kao indikatore koje administratori treba da istraže.

Obratite pažnju na:
• neočekivane forwarding adrese
• novokreirana mailbox pravila
• obrisane bezbednosne notifikacije
• neuobičajene login lokacije
• nepoznate povezane aplikacije
• neočekivane OAuth dozvole
• nepoznate mailbox delegate

Zato samo promena lozinke možda nije dovoljna nakon kompromitovanja email naloga.

 

10. Imajte response plan pre nego što neko klikne

Najgori trenutak za osmišljavanje incident response procesa jeste dok incident već traje.

Ako neko unese credentials na phishing stranici, otvori sumnjiv attachment ili primeti neuobičajenu mailbox aktivnost:

1. Odmah prijavite incident.
2. Obezbedite pogođeni nalog.
3. Pregledajte i prekinite sumnjive aktivne sesije.
4. Proverite forwarding i mailbox pravila.
5. Pregledajte skorašnju aktivnost naloga i dozvole.
6. Po potrebi procenite pogođeni uređaj.
7. Utvrdite da li su podaci ili sistemi bili izloženi.
8. Dokumentujte šta se dogodilo i šta je promenjeno.

Microsoft smernice za kompromitovane naloge slično naglašavaju pregled promena u mailboxu, pristupa, forwardinga i povezanih aplikacija, a ne samo resetovanje lozinke.

 

Napadi koji prolaze kroz zaštitu: 7 znakova upozorenja koji su najvažniji

Savremeni phishing često je lakše prepoznati kroz kontekst nego kroz vizuelne znakove.

1. Neočekivana hitnost
„Molim vas, završite ovo pre 14 časova.“
Hitnost sama po sebi ništa ne dokazuje, ali bi trebalo da uspori proces, a ne da ga ubrza.

2. Promenjeni podaci za plaćanje
Novi bankovni podaci uvek treba da pokrenu nezavisnu verifikaciju.

3. Zahtev za zaobilaženje procedure
„Preskočite uobičajeno odobravanje ovog puta.“
To zaslužuje pažnju čak i ako pošiljalac deluje legitimno.

4. Neuobičajena tajnost
„Neka ovo za sada ostane između nas.“
Kontekst je važan, posebno kada su uključeni novac ili osetljive informacije.

5. Neočekivani login ili sharing zahtev
Posebno kada poruka traži autentifikaciju preko linka.

6. Blago izmenjen domen
Male promene u pisanju lako se previde kada neko radi brzo.

7. Čudan zahtev od poznate osobe
Legitiman pošiljalac ne garantuje legitiman zahtev.

Njegov nalog je možda kompromitovan.

Nijedan pojedinačni znak upozorenja ne dokazuje da je email zlonameran. Svrha ovih signala je da prepoznaju situacije u kojima je verifikacija neophodna.

 

Email security checklista za timove

Koristite ovo kao praktičnu osnovu:
• Uključite MFA na svim email nalozima
• Koristite jače MFA metode gde su dostupne
• Uvedite poslovni password manager
• Eliminišite ponovno korišćenje lozinki
• Konfigurišite SPF
• Konfigurišite DKIM
• Pažljivo implementirajte DMARC
• Posebno zaštitite administratorske naloge
• Redovno proveravajte external forwarding
• Pratite sumnjivu login aktivnost
• Pregledajte third party app permissions
• Održavajte email klijente i operativne sisteme ažurnim
• Finansijske promene potvrđujte preko drugog kanala
• Odmah uklonite pristup bivšim zaposlenima
• Napravite jednostavan phishing reporting proces
• Periodično pregledajte mailbox dozvole
• Održavajte osnovnu incident response proceduru

CISA smernice za male biznise takođe stavljaju MFA i osnovne bezbednosne prakse među ključne kontrole kojima kompanije treba da daju prioritet.

 

Šta zaposleni mogu da rade, a čime treba da upravlja IT

Email bezbednost najbolje funkcioniše kada su odgovornosti jasno podeljene.

Zaposleni treba da:
• koriste MFA
• koriste odobreni password manager
• proveravaju neuobičajene zahteve
• poštuju procedure odobravanja plaćanja
• prijavljuju sumnjive poruke
• nikada ne dele credentials
• brzo prijavljuju greške

IT ili IT administracija treba da:
• konfigurišu email autentifikaciju
• održavaju email security politike
• štite administratorske naloge
• prate sumnjivu aktivnost
• upravljaju dozvolama
• kontrolišu onboarding i offboarding
• pregledaju forwarding pravila
• upravljaju logovima i alertima
• koordiniraju incident response

Zaposleni ne mogu nadoknaditi loše konfigurisane sisteme.

 

Najčešće greške u email bezbednosti koje biznisi i dalje prave

Nekoliko grešaka posebno se uporno ponavlja:
Oslanjanje samo na spam filtere. Filtriranje je ključno, ali nikada ne bi trebalo da bude cela strategija.
Pretpostavka da phishing uvek izgleda sumnjivo. Neki od najuverljivijih napada deluju potpuno rutinski.
Deljenje lozinki. Kratkoročno je praktično, ali kasnije je teško kontrolisati.
Ostavljanje starih naloga aktivnim. Bivši zaposleni i saradnici ne bi trebalo da zadrže nepotreban pristup.
Ignorisanje mailbox forwarding pravila. Kompromitovani nalozi mogu neprimetno odavati informacije.
Preskakanje nezavisne verifikacije plaćanja. To ostavlja finansijske timove izloženim napadima koji uopšte ne sadrže malware.
Tretiranje security awareness obuke kao godišnjeg događaja. Navike verifikacije moraju biti deo svakodnevnog rada.

Kada email bezbednost postane problem IT administracije

U nekom trenutku, email bezbednost prestaje da bude prvenstveno pitanje svesti zaposlenih.

Neko mora da bude odgovoran za:
• konfiguraciju naloga
• autentifikaciju
• dozvole
• MFA
• email politike
• mailbox monitoring
• logging
• onboarding i offboarding
• incident response
• dokumentaciju

Za male i srednje biznise bez dedicated internog IT tima, tu outsourced IT administracija postaje praktično rešenje.

Vrednost nije samo u tome da imate nekoga koga možete pozvati nakon što stigne sumnjiv email.

Vrednost je u tome da neko bude odgovoran da celo email okruženje od početka bude teže zloupotrebiti.

Email bezbednost najbolje funkcioniše kao sistem

Savršeno filtriranje ne postoji.

I podjednako je nerealno očekivati da svaki zaposleni prepozna svaki sofisticirani phishing pokušaj.

Dobra email bezbednost za timove prihvata obe realnosti.

Cilj je izgraditi dovoljno slojeva zaštite da jedan ubedljiv email ili jedna ljudska greška ne prerastu automatski u kompromitovan mailbox, prevarno plaćanje ili širi poslovni incident.

To znači kombinovanje bezbednih naloga, MFA, SPF, DKIM i DMARC, odgovarajućih dozvola, mailbox monitoringa, procedura verifikacije i response procesa koji svi razumeju.

 

Za više vesti i zanimljivih priča, posetite naš blog ili zapratite naš Instagram profil.