spoofing wewnętrzny

Spoofing wewnętrzny to podszycie się pod pracownika tej samej organizacji.

Podszycie się pod kogoś z tej samej organizacji

Spoofing wewnętrzny polega na wysłaniu wiadomości, która wygląda, jakby pochodziła od pracownika firmy, choć jej autor nie ma dostępu do firmowej skrzynki. Atakujący fałszuje adres nadawcy w nagłówku widocznym dla odbiorcy, licząc na to, że wiadomość od prezesa, głównej księgowej albo działu kadr zostanie potraktowana z mniejszą podejrzliwością niż korespondencja z zewnątrz. Najczęstszym celem jest wymuszenie pilnego przelewu, zmiany numeru konta u kontrahenta albo przesłania listy danych osobowych.

Wariantem trudniejszym do wychwycenia jest rejestracja domeny łudząco podobnej do firmowej, różniącej się jedną literą albo końcówką. Kontrola techniczna wypada wtedy pozytywnie, bo nadawca faktycznie jest właścicielem tej domeny, a myli się wyłącznie człowiek.

Mechanizmy obronne po stronie serwera

Podstawową ochroną jest komplet wpisów w systemie nazw domenowych: rekord określający uprawnione serwery wysyłkowe, podpis kryptograficzny wiadomości oraz polityka mówiąca odbiorcy, co zrobić z pocztą niezgodną z regułami. Osobno konfiguruje się reguły na serwerze pocztowym firmy, które odrzucają lub wyraźnie oznaczają wiadomość przychodzącą z internetu, jeśli w polu nadawcy widnieje adres w domenie własnej organizacji. To prosta i bardzo skuteczna zapora, bo prawdziwa poczta wewnętrzna nie wchodzi tą drogą.

Uzupełnieniem jest widoczne oznaczanie wiadomości spoza organizacji baneru na początku treści oraz blokowanie automatycznego pobierania obrazów, które potwierdzają nadawcy, że adres jest aktywny.

Sygnały, które powinny wzbudzić czujność

Adres w polu odpowiedzi inny niż adres nadawcy to najczęstszy ślad. Kolejne to presja czasu i poufności, prośba o obejście zwykłej procedury, nietypowa pora wysyłki, drobne różnice w stopce i podpisie oraz zmiana stylu wypowiedzi. Nagłówki techniczne wiadomości pokazują pełną drogę przesyłki i serwer, z którego faktycznie wyszła, co zwykle rozstrzyga sprawę w kilkanaście sekund. Najgroźniejszy jest wariant, w którym atakujący naprawdę przejął konto pracownika, bo wtedy wiadomość przechodzi wszystkie kontrole techniczne. Sygnałem bywa wówczas reguła przekierowania założona po cichu w skrzynce oraz logowania z nietypowych lokalizacji.

Zabezpieczenie firmowej poczty i stacji roboczych

Konfigurujemy uwierzytelnianie nadawcy dla domen firmowych, ustawiamy reguły odrzucające podszycie pod adresy wewnętrzne, sprawdzamy skrzynki pod kątem cichych przekierowań i wdrażamy logowanie dwuskładnikowe. Po incydencie zabezpieczamy dane, weryfikujemy stacje robocze i przywracamy je do bezpiecznego stanu. Zgłoszenia przyjmujemy przez całą dobę siedem dni w tygodniu, ponieważ przy takich sprawach liczy się reakcja tego samego dnia.