złośliwe reguły przekierowania

Złośliwe reguły przekierowania kierują korespondencję do atakującego bez wiedzy właściciela konta.

Złośliwe reguły przekierowania – czym są i dlaczego powstają

Złośliwe reguły przekierowania to ukryte ustawienia zapisane w skrzynce pocztowej, aplikacji pocztowej albo usłudze obsługującej korespondencję. Ich zadaniem jest zmiana sposobu dostarczania wiadomości bez świadomej zgody właściciela konta. W praktyce może dochodzić do automatycznego przesyłania wybranych e-maili na obcy adres, przenoszenia ich do niewidocznego folderu, oznaczania jako przeczytane albo usuwania po wykonaniu przekierowania. Takie działanie ma utrudnić zauważenie przejęcia konta.

Reguła może obejmować wszystkie wiadomości lub tylko te, które spełniają określone warunki. Filtrowanie bywa ustawiane na podstawie nadawcy, tematu, słów występujących w treści, załączników albo nazwy folderu. Przykładowo wiadomości zawierające określenia związane z płatnościami, umowami, fakturami lub odzyskiwaniem dostępu mogą być przekazywane dalej, a pozostała korespondencja pozostaje na koncie. Dzięki temu osoba atakująca otrzymuje informacje przydatne do podszywania się pod właściciela, a użytkownik przez pewien czas nie widzi oznak problemu.

Nie każda reguła przekierowania jest niebezpieczna. Automatyczne porządkowanie poczty może być przydatne, gdy wiadomości są rozdzielane na foldery według projektu, nadawcy lub rodzaju sprawy. Ryzyko pojawia się wtedy, gdy ustawienie zostało utworzone bez wiedzy użytkownika, prowadzi do nieznanego adresu, obejmuje poufną korespondencję albo korzysta z warunków, których nie da się logicznie wyjaśnić. Szczególnej uwagi wymagają reguły utworzone w czasie, gdy doszło do nietypowego logowania lub zmiany ustawień bezpieczeństwa.

Złośliwe reguły przekierowania a przejęcie skrzynki

Najczęściej złośliwe reguły przekierowania są skutkiem wcześniejszego uzyskania dostępu do konta. Do przejęcia może dojść po wpisaniu hasła na stronie podszywającej się pod dostawcę poczty, po otwarciu niebezpiecznego załącznika, po wykorzystaniu hasła używanego w kilku miejscach albo po zaakceptowaniu podejrzanej prośby o dostęp. Samo utworzenie reguły nie zawsze jest pierwszym etapem ataku. Często jest to sposób na utrzymanie kontroli nad korespondencją nawet po zmianie hasła, jeżeli dostęp osoby atakującej do innych ustawień nie zostanie usunięty.

Przekierowanie poczty może służyć do obserwowania rozmów, przechwytywania kodów, poznawania relacji biznesowych i przygotowywania wiarygodnych wiadomości. Jeżeli w skrzynce znajdują się wcześniejsze ustalenia, dokumenty lub podpisy, łatwiej dopasować styl komunikacji. Może pojawić się wiadomość sugerująca zmianę numeru rachunku, pilne przesłanie dokumentów, potwierdzenie dostępu albo wykonanie czynności w imieniu właściciela konta. W takim scenariuszu problem nie ogranicza się do samego e-maila, ponieważ konsekwencje mogą dotyczyć także innych usług powiązanych z adresem.

Warto odróżnić przekierowanie realizowane w ustawieniach skrzynki od przekierowania wykonywanego przez program zainstalowany na urządzeniu. Pierwsze może działać niezależnie od tego, czy komputer jest włączony, ponieważ reguła znajduje się po stronie usługi pocztowej. Drugie może wynikać z dodatku do aplikacji, rozszerzenia przeglądarki, złośliwego programu lub przejętej sesji użytkownika. Sprawdzenie tylko jednego miejsca nie daje pełnej pewności, że korespondencja jest bezpieczna.

W środowisku pocztowym mogą występować także reguły utworzone przez administratora albo wynikające z legalnej organizacji pracy. Z tego powodu nie powinno się usuwać wszystkich ustawień bez sprawdzenia ich pochodzenia. Istotne jest ustalenie, kiedy reguła została dodana, jaki adres odbiorczy wykorzystuje, jakie warunki zawiera oraz czy odpowiada rzeczywistym potrzebom użytkownika. Niekiedy pomocne są dzienniki aktywności i historia logowań, o ile dana usługa je udostępnia.

Złośliwe reguły przekierowania – typowe objawy i problemy

Pierwszym sygnałem może być brak spodziewanej wiadomości. Nadawca twierdzi, że odpowiedział, lecz odpowiedź nie pojawia się w skrzynce. Innym objawem jest znikanie wybranych e-maili, automatyczne oznaczanie ich jako przeczytanych lub przenoszenie do folderu, którego wcześniej nie używano. Czasem wiadomość jest widoczna przez krótki czas, a potem znika. Zdarza się również, że kopia trafia do folderu archiwalnego, kosza albo do niestandardowej etykiety, przez co wyszukiwanie w skrzynce odbiorczej nie przynosi rezultatu.

Niepokój powinny wzbudzić powiadomienia o zmianie ustawień, logowaniu z nieznanego miejsca, dodaniu urządzenia lub przyznaniu dostępu aplikacji, którego nie rozpoznaje się. Warto sprawdzić także wiadomości wysłane. Jeżeli znajdują się tam e-maile, których nie napisano, albo odpowiedzi do rozmów, których nie prowadzono, może to wskazywać na wykorzystanie konta do dalszego ataku. Podobne znaczenie ma pojawienie się automatycznej odpowiedzi, zmienionego podpisu, innego numeru telefonu w stopce lub adresu odzyskiwania, którego nie ustawiano.

Problematyczne bywają również reguły, które nie przekazują całej wiadomości, lecz tylko jej kopię albo konkretne załączniki. Wówczas użytkownik może normalnie korzystać z poczty i nie zauważyć, że poufne dane są równocześnie wysyłane gdzie indziej. Szczególnie istotne jest sprawdzenie korespondencji dotyczącej kont, dokumentów, płatności, zamówień, umów i resetowania haseł. Jeżeli dostęp do skrzynki jest współdzielony, trzeba ustalić, czy ustawienie nie zostało dodane przez uprawnioną osobę w ramach zwykłej organizacji pracy.

Skutkiem pozostawienia złośliwej reguły może być także utrata kontroli nad innymi kontami. Skrzynka pocztowa często służy do odzyskiwania haseł, potwierdzania zmian i otrzymywania kodów. Przechwycenie takich wiadomości ułatwia przejęcie kolejnych usług. Dlatego sama zmiana hasła do poczty może okazać się niewystarczająca, jeśli nie zostaną sprawdzone reguły, aktywne sesje, urządzenia, adresy odzyskiwania oraz dodatkowe metody logowania.

Złośliwe reguły przekierowania – praktyczne sprawdzenie i zabezpieczenie

Na początku należy otworzyć ustawienia skrzynki z poziomu oficjalnej strony lub zaufanej aplikacji, a następnie odszukać sekcje nazwane regułami, filtrami, przekazywaniem, delegowaniem albo automatycznym sortowaniem. Trzeba przeanalizować każdą pozycję, zwracając uwagę na nieznane adresy, nietypowe warunki oraz działania wykonywane po odebraniu wiadomości. Sam adres przekierowania powinien być sprawdzony znak po znaku, ponieważ różnica jednej litery lub domeny może być trudna do zauważenia.

Jeśli znaleziono ustawienie, którego nie utworzono, należy zachować podstawowe informacje potrzebne do późniejszego wyjaśnienia zdarzenia, a następnie usunąć lub wyłączyć regułę zgodnie z procedurą dostawcy. Następnie powinno się zmienić hasło na unikatowe i długie, używane wyłącznie dla tego konta. Zmiana powinna być wykonana na zaufanym urządzeniu. Warto zakończyć wszystkie aktywne sesje, usunąć nieznane urządzenia, odebrać zbędne zgody aplikacjom i sprawdzić, czy nie dodano obcego adresu odzyskiwania.

Duże znaczenie ma włączenie dodatkowego składnika logowania. Kod z aplikacji uwierzytelniającej, klucz bezpieczeństwa lub inna dostępna metoda utrudnia ponowne użycie samego hasła. Należy jednak pamiętać, że dodatkowa ochrona nie zastępuje kontroli reguł. Jeżeli nieznane ustawienie nadal działa, nowe wiadomości mogą być przechwytywane mimo poprawnego logowania właściciela.

Po zabezpieczeniu konta powinno się przejrzeć ostatnią korespondencję pod kątem zmian danych, próśb o płatność, nietypowych załączników i wiadomości wysłanych bez zgody. W przypadku kont wykorzystywanych do logowania do innych usług trzeba sprawdzić ich aktywność oraz zmienić hasła wszędzie tam, gdzie użyto tego samego hasła. Dobrą praktyką jest także poinformowanie ważnych rozmówców, że wcześniejsze wiadomości mogły zostać przechwycone. Pozwala to ograniczyć ryzyko, że ktoś zaufa komunikatowi wysłanemu przez osobę atakującą.

Jeżeli ustawienia są niejasne, dostęp do konta jest ograniczony lub problem powraca po zmianie hasła, warto skorzystać z pomocy technicznej. Przydatne może być przygotowanie zrzutów ustawień, czasu zauważenia problemu, informacji o podejrzanych logowaniach i listy usług powiązanych z adresem. Nie powinno się przesyłać osobom postronnym haseł, kodów jednorazowych ani pełnych treści poufnej korespondencji.

Kiedy zgłosić złośliwe reguły przekierowania do serwisu

Zgłoszenie do serwisu jest zasadne, gdy reguły samoczynnie wracają, nie można ich usunąć, konto zachowuje się inaczej na kilku urządzeniach albo pojawiają się oznaki infekcji. Pomoc może być potrzebna również wtedy, gdy nie wiadomo, czy źródłem problemu jest skrzynka, przeglądarka, aplikacja pocztowa czy sam komputer. W takiej sytuacji ważne jest rozdzielenie działań związanych z kontem od sprawdzenia urządzenia, aby po usunięciu jednego objawu nie pozostawić przyczyny.

Warszawskie Pogotowie Komputerowe 24/7 może zostać wskazane jako miejsce, w którym analizuje się takie zdarzenia i porządkuje kolejne działania. Przed przekazaniem sprzętu należy opisać, co dokładnie się wydarzyło: jakie wiadomości zniknęły, kiedy zauważono regułę, czy wystąpiły nietypowe logowania i czy zmieniano już hasło. Taki opis ułatwia ocenę sytuacji oraz ogranicza ryzyko pominięcia ważnego szczegółu.

Nie należy zwlekać, jeżeli z konta wysyłano wiadomości do kontaktów, pojawiły się nieznane zmiany ustawień bezpieczeństwa lub przechwytywane były informacje dotyczące innych usług. Im wcześniej zostaną sprawdzone reguły, sesje, urządzenia i programy pocztowe, tym łatwiej ustalić zakres zdarzenia. Po zakończeniu działań warto pozostawić tylko potrzebne filtry, regularnie przeglądać aktywność konta i reagować na każde powiadomienie, którego nie da się powiązać z własnym działaniem.