--- id: CP-017 slug: kompromitacja-poczty-firmowej-bec lang: pl title: Przejęcie firmowej poczty (BEC) description: Jak atakujący przejmuje firmową skrzynkę lub podszywa się pod znanego nadawcę i jak sprawdzić prośbę o płatność. canonical_url: https://startbrain.io/cyberpedia/pl/articles/kompromitacja-poczty-firmowej-bec/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/kompromitacja-poczty-firmowej-bec.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Przejęcie firmowej poczty (BEC)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/kompromitacja-poczty-firmowej-bec/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-007 schema: G1 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/kompromitacja-poczty-firmowej-bec/ fr: https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ en: https://startbrain.io/cyberpedia/en/articles/business-email-compromise-bec/ de: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ es: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ it: https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec/ nl: https://startbrain.io/cyberpedia/nl/articles/compromittering-zakelijke-e-mail-bec/ pt: https://startbrain.io/cyberpedia/pt/articles/comprometimento-correio-eletronico-empresarial-bec/ sources: - "n": 1 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 2 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 3 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" - "n": 4 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ published: "2021-05-27" accessed: "2026-11-03" --- # Przejęcie firmowej poczty (BEC) W ataku typu BEC (przejęcie firmowej skrzynki) atakujący wykorzystuje zaufany adres, aby oszukać współpracownika, klienta lub dostawcę. Przejął kontrolę nad prawdziwą skrzynką albo przygotował wiadomość, która udaje nadawcę. Pracownik dostaje pozornie zwyczajną prośbę, na przykład o wykonanie płatności. Atakujący wykorzystują przy tym przyzwyczajenia w pracy organizacji, aby uzyskać nieautoryzowane płatności [1]. Nie wszystkie cytowane tu źródła opisują to oszustwo pod jego nazwą. Dokumentują one techniki, które je umożliwiają: podszywanie się pod nadawcę, przejęte konta, ukryte reguły przekazywania, słabo chronione domeny. Ta fiszka trzyma się tego, co mówią źródła. ## W 30 sekund - Gdzie to się zdarza: w poczcie, w wiadomości, która wygląda, jakby pochodziła od znanego rozmówcy, czasem z prawdziwego, przejętego konta współpracownika [2][3]. - Czego chce atakujący: nieautoryzowanej płatności lub haseł [1]. - Odruch: każdą prośbę o płatność lub zmianę potwierdzić drugim kanałem komunikacji, używając danych kontaktowych, które już Pan/Pani zna, a nie tych z wiadomości [1][4]. - Jeśli już się stało: proszę zgłosić to od razu, także po kliknięciu. Szybkie zgłoszenie ogranicza szkody [1]. ## Pytania wprost ### Czym jest przejęcie firmowej skrzynki pocztowej? To oszustwo przez pocztę elektroniczną, w którym atakujący odgrywa rolę osoby godnej zaufania. Źródła opisują dwie drogi. Albo podszywa się pod nadawcę, co MITRE nazywa „Email Spoofing” [2]. Albo przejmuje prawdziwe konto i używa go do pisania do współpracowników ofiary [3]. ### Jak rozpoznać taką wiadomość? CISA wymienia typowe sygnały: pospieszny lub emocjonalny język, prośbę o dane osobowe lub finansowe, nieprawidłowe adresy lub linki, takie jak amazan.com [4]. Ten sam tekst zaznacza, że błędy językowe nie są już wiarygodną wskazówką, bo niektóre e-maile mają teraz doskonałą gramatykę [4]. ### Czy znany adres dowodzi, kto jest nadawcą? Nie. Podszycie się pod nadawcę może oszukać zarówno odbiorcę, jak i automatyczne narzędzia bezpieczeństwa [2]. Atakujący może też wejść do istniejącego wątku rozmowy, co MITRE nazywa „thread hijacking” [2]. A gdy wewnętrzne konto jest naprawdę przejęte, atakujący wykorzystuje zaufanie do tego konta, by oszukać więcej osób [3]. ### Co zrobić, gdy prośba wydaje się prawdziwa? Nie należy klikać żadnego linku ani dzwonić pod numer podany w wiadomości. CISA zaleca poszukać innego sposobu kontaktu z firmą lub osobą, na przykład numeru ze zweryfikowanej strony, albo zadzwonić do kontaktu, którego numer już się ma [4]. Brytyjskie NCSC dodaje, że ważne prośby otrzymane e-mailem trzeba sprawdzić drugim rodzajem komunikacji: SMS-em, rozmową telefoniczną, zalogowaniem się na konto, potwierdzeniem listownie lub osobiście [1]. ### Czy trzeba zgłosić omyłkowe kliknięcie? Tak. NCSC apeluje, by nie ganić osób, które dały się nabrać, bo ci, którzy obawiają się kar, nie zgłaszają błędów na czas, a nawet wcale [1]. Zachęca też organizacje, by umożliwiły użytkownikom zgłoszenie e-maila, także po kliknięciu [1]. ## W skórze atakującego Atakujący ma dwa punkty wyjścia. Pierwszym jest skradzione konto. Według MITRE prawdziwe konto można przejąć, kontrolując urządzenie użytkownika lub zdobywając jego dane logowania, a atakujący używa go potem, by oszukać inne osoby z tej samej organizacji [3]. Aby wykraść dane logowania, może wysłać link do strony udającej stronę logowania [3]. Gdy jest już w skrzynce, może w niej ustawić regułę przekazywania. Pozwala mu ona śledzić działania ofiary, wykradać informacje i lepiej poznać organizację [5]. Może też zachować mu dostęp do e-maili ofiary po tym, jak administratorzy zresetują hasło [5]. Drugim punktem wyjścia jest podszywanie się, które nie wymaga żadnego dostępu. Atakujący zbiera wtedy informacje z tego, co jest publiczne. Według NCSC informacje ze strony internetowej i z mediów społecznościowych służą do uwiarygodniania wiadomości kierowanych do wybranych osób, zwłaszcza gdy celem jest członek kierownictwa w ataku zwanym „whaling” [1]. Bardziej interesują go osoby zarządzające pieniędzmi lub administrujące informatyką [1]. ## Co widać na ekranie Wiadomość przychodzi od znanej osoby i domaga się szybkiego działania. Sygnały opisane przez CISA to pośpiech, prośba o informacje finansowe i adres lekko zmieniony [4]. Wystarczyć może podobna domena: MITRE zauważa, że grupa Leviathan wysyłała e-maile z linkiem, często używając fałszywej domeny „lookalike” i skradzionej identyfikacji wizualnej marki [6]. Tekst bywa nienaganny. NCSC przytacza przypadek, w którym fałszywy e-mail z fakturą, który „needed urgent attention”, był dobrze napisany, bez błędów ortograficznych i gramatycznych [1]. Wyświetlana nazwa nie mówi wszystkiego. W kampanii opisanej poniżej e-mail wyglądał, jakby pochodził z adresu usaid.gov, podczas gdy rzeczywisty adres nadawczy należał do użytego serwisu masowej wysyłki, a adres odpowiedzi (Reply-To) również był w usaid.gov [7]. Poniższa ilustracja jest zmyślona i zneutralizowana. Pokazuje typową formę podejrzanej prośby. ```text Illustration inventée, sans valeur réelle De : [nom d'un dirigeant] Objet : [paiement urgent] Corps : [demande de régler tout de suite une facture, de garder l'affaire confidentielle et de ne parler à personne] ``` ## Pod maską W źródłach powtarzają się trzy mechanizmy. Pierwszy to kradzież danych logowania przez phishing, opisana wyżej. Przeciwko niej NCSC zaleca uwierzytelnianie wieloskładnikowe: z drugim składnikiem atakujący nie wejdzie na konto samym skradzionym hasłem [1]. CISA daje tę samą radę osobom prywatnym [4]. Drugi to reguła przekazywania. Reguły można tworzyć z aplikacji lokalnej, interfejsu webowego lub wiersza poleceń, a mogą wysyłać wiadomości do odbiorców wewnętrznych lub zewnętrznych bez ograniczeń [5]. Atakujący może też ukryć regułę, zmieniając jej właściwości przez interfejs MAPI firmy Microsoft, przez co jest ona niewidoczna w Outlooku, OWA i większości narzędzi administracyjnych Exchange [5]. W Exchange reguły transportu mogą nawet obejmować całą pocztę organizacji [5]. MITRE radzi wyłączyć zewnętrzne przekazywanie, regularnie sprawdzać reguły i skonfigurować alerty poza głównym kanałem dla nietypowych wysyłek, takich jak masowe przekazywanie [5]. Trzeci to kontrola domeny nadawczej. MITRE zaleca SPF do weryfikacji domeny nadawcy i DKIM do sprawdzania integralności wiadomości oraz zauważa, że polityka taka jak DMARC pomaga odbiorcom filtrować w ten sam sposób [2]. NCSC wyjaśnia, że DMARC uniemożliwia oszustom podszywanie się pod Państwa domenę, a jeśli nadawca ma politykę DMARC typu kwarantanna lub odrzucenie, odbiorca musi ją zastosować, gdy weryfikacja się nie powiedzie [1]. MITRE przyznaje zresztą, że wewnętrzną pocztę z pułapką trudno zablokować kontrolami zapobiegawczymi, bo opiera się na nadużyciu zwykłych funkcji [3]. ## Analizy incydentów ### 28 stycznia 2021: kampania NOBELIUM, pierwsze fale Microsoft śledzi od stycznia 2021 kampanię złośliwych e-maili prowadzoną przez NOBELIUM, aktora stojącego za atakami na SolarWinds [7]. Zaczyna się ona 28 stycznia 2021: aktor wysyła najpierw samą część uzupełniającą wiadomości, aby wyłowić cele, które klikają, bez dostarczania złośliwego ładunku [7]. Ten przypadek zmierza do zainstalowania złośliwego oprogramowania, a nie do płatności. Pokazuje jednak metodę: testować, obserwować, kto reaguje, dostosowywać się [7]. ### 25 maja 2021: zaufany nadawca podrobiony na dużą skalę 25 maja 2021 NOBELIUM używa legalnego serwisu masowej wysyłki Constant Contact, aby udawać amerykańską organizację rozwojową [7]. Celem jest około 3000 kont w ponad 150 organizacjach [7]. W jednym z przykładów e-mail wygląda, jakby pochodził od USAID, z autentycznym adresem nadawczym kończącym się na @in.constantcontact.com i adresem odpowiedzi w usaid.gov [7]. Link prowadzi najpierw do legalnego serwisu, potem do infrastruktury atakującego, która dostarcza złośliwy plik ISO [7]. Systemy automatyczne zablokowały większość e-maili i sklasyfikowały je jako spam, ale część pierwszych wiadomości mogła zostać dostarczona [7]. Microsoft zaleca uwierzytelnianie wieloskładnikowe, aby ograniczyć skutki przejętych danych logowania [7]. ## Źródła 1. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1534/ (dostęp 3 listopada 2026) 4. CISA, „Recognize and Report Phishing | CISA”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1114/003/ (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (dostęp 3 listopada 2026) 7. Microsoft, „New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog”, 27 maja 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/kompromitacja-poczty-firmowej-bec/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.