Když útočník píše z důvěryhodné adresy

Co je phishing z napadené schránky?

Klasický phishing dnes většina lidí dokáže poznat: zvláštní odesílatel, překlepy, falešná doména nebo podezřelá příloha. Bezpečnostní filtry jsou v tomto boji stále lepší.

Existuje ale nebezpečnější varianta. Útočník nejdříve získá přístup k reálné e-mailové schránce, například zaměstnance, dodavatele nebo obchodního partnera. Může se k ní dostat přes uniklé heslo, malware nebo předchozí phishing. Jakmile má přístup, začne posílat podvodné zprávy přímo z legitimní adresy.

Jak takový útok vypadá v praxi?

Útočníci často využívají komunikaci, která je pro firmu běžná: faktury, objednávky, smlouvy, sdílené dokumenty nebo upozornění na platby. Cílem je, aby zpráva nepůsobila výjimečně. Naopak má zapadnout do každodenního provozu.

Takový e-mail může působit důvěryhodně, protože používá skutečná jména, reálné částky, předchozí vlákna komunikace nebo cloudové služby, které firmy denně používají.

• Zpráva přichází ze skutečné domény obchodního partnera.
• Obsahuje konkrétní údaje, které útočník získal čtením e-mailové historie.
• Odkaz směřuje na cloudové úložiště jako OneDrive, SharePoint, Google Drive nebo Dropbox.
• Text vytváří časový tlak a vyvolává pocit, že je potřeba jednat okamžitě.

”

Útočník neposílá zprávu z podvržené adresy. Vystupuje jako skutečný odesílatel, protože má přístup k jeho e-mailové schránce.

Řetězec útoku krok za krokem

Útok z napadené schránky obvykle neprobíhá náhodně. Útočník si nejdříve připraví půdu, sleduje komunikaci a až potom zaútočí ve chvíli, kdy má největší šanci uspět.

Proč tato technika funguje tak dobře?

Lidský mozek je nastavený na sociální důvěru. Když vidíme jméno někoho, koho známe, přirozeně předpokládáme, že komunikace je bezpečná. Právě na tom stojí Business Email Compromise, známý také jako phishing přes převzetí účtu.

Technické zabezpečení zároveň často selhává z jednoduchého důvodu: zpráva skutečně pochází z deklarované domény. SPF, DKIM i DMARC mohou skončit výsledkem „pass“, protože útočník neposílá e-mail z falzifikátu, ale z reálné schránky.

Jak poznat podezřelou zprávu

U phishingu z napadené schránky nemusí být podezřelý samotný odesílatel. Důležité je všímat si kontextu, jazyka zprávy, odkazů a požadované akce.

Červené vlajky, u kterých je potřeba zpomalit

• Odkaz vede na cloudové úložiště, ne na web odesílatele.
• Zpráva vytváří umělý tlak: deadline, penále, urgentní upozornění.
• Žádá přihlášení tam, kde ho běžně nepotřebujete.
• Tón nebo formulace jsou mírně jiné než obvykle.
• Faktura byla údajně aktualizována a je potřeba stáhnout novou verzi.
• Platební údaje se změnily oproti předchozí komunikaci.
• Zpráva přišla v nezvyklém čase nebo působí mimo běžný kontext.

Co dělat při pochybnostech

• Zavolejte odesílateli na ověřené telefonní číslo, ne na číslo z podezřelé zprávy.
• Před kliknutím zkontrolujte URL adresu a doménu.
• Neotevírejte přílohy ani odkazy ve zprávách, které jste neočekávali.
• Nahlaste zprávu IT nebo bezpečnostnímu týmu ještě před jakoukoli akcí.
• U plateb a změn bankovních údajů vždy použijte druhý ověřovací kanál.

Jak se bránit: doporučení pro firmy

Nejúčinnější ochrana vzniká kombinací technických opatření, jasných procesů a pravidelné osvěty. Žádný jeden nástroj nestačí. Útočníci kombinují techniku s psychologií a obrana musí dělat totéž.

Co dělat, když k incidentu dojde?

Rychlost reakce je klíčová. Čas mezi prvním podezřením a izolací napadeného účtu přímo ovlivňuje rozsah škod.

• Okamžitě změňte heslo napadeného účtu a odvolejte všechny aktivní relace.
• Zkontrolujte pravidla schránky, zejména přeposílání a automatické mazání zpráv.
• Analyzujte logy: komu byly zprávy odeslány, kdy a s jakými odkazy.
• Informujte kontakty, které mohly dostat podvodnou zprávu.
• Nahlaste incident příslušným bezpečnostním autoritám nebo pojišťovně, pokud je to relevantní.
• Zdokumentujte průběh incidentu a upravte procesy, aby se podobný scénář neopakoval.

Závěr

Sofistikovaný phishing z napadených schránek je hrozba, u které samotná technologie nestačí. Útočníci jsou trpěliví, umí se přizpůsobit a využívají naši přirozenou důvěru ve známá jména, adresy a komunikační vlákna.

Kombinace MFA, zdravého skepticismu, jasných interních procesů a pravidelné osvěty dokáže výrazně snížit pravděpodobnost úspěšného útoku. A pokud k incidentu přesto dojde, pomáhá omezit jeho dopad.