Cyberpediaod Brain
PLDEENESFRITNLPT

Przejęcie firmowej poczty (BEC)

Jak atakujący przejmuje firmową skrzynkę lub podszywa się pod znanego nadawcę i jak sprawdzić prośbę o płatność.

W 30 sekund

Gdzie to się zdarza
W poczcie, w wiadomości, która wygląda, jakby pochodziła od znanego rozmówcy, czasem z prawdziwego, przejętego konta współpracownika23.
Czego chce atakujący
Nieautoryzowanej płatności lub haseł1.
Odruch
Każdą prośbę o płatność lub zmianę potwierdzić drugim kanałem komunikacji, używając danych kontaktowych, które już Pan/Pani zna, a nie tych z wiadomości14.
Jeśli już się stało
Proszę zgłosić to od razu, także po kliknięciu. Szybkie zgłoszenie ogranicza szkody1.

O co chodzi

W ataku typu BEC (przejęcie firmowej skrzynki) atakujący wykorzystuje zaufany adres, aby oszukać współpracownika, klienta lub dostawcę. Przejął kontrolę nad prawdziwą skrzynką albo przygotował wiadomość, która udaje nadawcę. Pracownik dostaje pozornie zwyczajną prośbę, na przykład o wykonanie płatności. Atakujący wykorzystują przy tym przyzwyczajenia w pracy organizacji, aby uzyskać nieautoryzowane płatności1.

Nie wszystkie cytowane tu źródła opisują to oszustwo pod jego nazwą. Dokumentują one techniki, które je umożliwiają: podszywanie się pod nadawcę, przejęte konta, ukryte reguły przekazywania, słabo chronione domeny. Ta fiszka trzyma się tego, co mówią źródła.

Pytania wprost

Czym jest przejęcie firmowej skrzynki pocztowej?

To oszustwo przez pocztę elektroniczną, w którym atakujący odgrywa rolę osoby godnej zaufania. Źródła opisują dwie drogi. Albo podszywa się pod nadawcę, co MITRE nazywa „Email Spoofing”2. Albo przejmuje prawdziwe konto i używa go do pisania do współpracowników ofiary3.

Jak rozpoznać taką wiadomość?

CISA wymienia typowe sygnały: pospieszny lub emocjonalny język, prośbę o dane osobowe lub finansowe, nieprawidłowe adresy lub linki, takie jak amazan.com4. Ten sam tekst zaznacza, że błędy językowe nie są już wiarygodną wskazówką, bo niektóre e-maile mają teraz doskonałą gramatykę4.

Czy znany adres dowodzi, kto jest nadawcą?

Nie. Podszycie się pod nadawcę może oszukać zarówno odbiorcę, jak i automatyczne narzędzia bezpieczeństwa2. Atakujący może też wejść do istniejącego wątku rozmowy, co MITRE nazywa „thread hijacking”2. A gdy wewnętrzne konto jest naprawdę przejęte, atakujący wykorzystuje zaufanie do tego konta, by oszukać więcej osób3.

Co zrobić, gdy prośba wydaje się prawdziwa?

Nie należy klikać żadnego linku ani dzwonić pod numer podany w wiadomości. CISA zaleca poszukać innego sposobu kontaktu z firmą lub osobą, na przykład numeru ze zweryfikowanej strony, albo zadzwonić do kontaktu, którego numer już się ma4. Brytyjskie NCSC dodaje, że ważne prośby otrzymane e-mailem trzeba sprawdzić drugim rodzajem komunikacji: SMS-em, rozmową telefoniczną, zalogowaniem się na konto, potwierdzeniem listownie lub osobiście1.

Czy trzeba zgłosić omyłkowe kliknięcie?

Tak. NCSC apeluje, by nie ganić osób, które dały się nabrać, bo ci, którzy obawiają się kar, nie zgłaszają błędów na czas, a nawet wcale1. Zachęca też organizacje, by umożliwiły użytkownikom zgłoszenie e-maila, także po kliknięciu1.

1W skórze atakującego1 min

Atakujący ma dwa punkty wyjścia. Pierwszym jest skradzione konto. Według MITRE prawdziwe konto można przejąć, kontrolując urządzenie użytkownika lub zdobywając jego dane logowania, a atakujący używa go potem, by oszukać inne osoby z tej samej organizacji3. Aby wykraść dane logowania, może wysłać link do strony udającej stronę logowania3.

Gdy jest już w skrzynce, może w niej ustawić regułę przekazywania. Pozwala mu ona śledzić działania ofiary, wykradać informacje i lepiej poznać organizację5. Może też zachować mu dostęp do e-maili ofiary po tym, jak administratorzy zresetują hasło5.

Drugim punktem wyjścia jest podszywanie się, które nie wymaga żadnego dostępu. Atakujący zbiera wtedy informacje z tego, co jest publiczne. Według NCSC informacje ze strony internetowej i z mediów społecznościowych służą do uwiarygodniania wiadomości kierowanych do wybranych osób, zwłaszcza gdy celem jest członek kierownictwa w ataku zwanym „whaling”1. Bardziej interesują go osoby zarządzające pieniędzmi lub administrujące informatyką1.

2Co widać na ekranie1 min

Wiadomość przychodzi od znanej osoby i domaga się szybkiego działania. Sygnały opisane przez CISA to pośpiech, prośba o informacje finansowe i adres lekko zmieniony4. Wystarczyć może podobna domena: MITRE zauważa, że grupa Leviathan wysyłała e-maile z linkiem, często używając fałszywej domeny „lookalike” i skradzionej identyfikacji wizualnej marki6.

Tekst bywa nienaganny. NCSC przytacza przypadek, w którym fałszywy e-mail z fakturą, który „needed urgent attention”, był dobrze napisany, bez błędów ortograficznych i gramatycznych1.

Wyświetlana nazwa nie mówi wszystkiego. W kampanii opisanej poniżej e-mail wyglądał, jakby pochodził z adresu usaid.gov, podczas gdy rzeczywisty adres nadawczy należał do użytego serwisu masowej wysyłki, a adres odpowiedzi (Reply-To) również był w usaid.gov7.

Poniższa ilustracja jest zmyślona i zneutralizowana. Pokazuje typową formę podejrzanej prośby.

Fragment
Illustration inventée, sans valeur réelle
De : [nom d'un dirigeant] <[email protected]>
Objet : [paiement urgent]
Corps : [demande de régler tout de suite une facture, de garder
         l'affaire confidentielle et de ne parler à personne]
3Pod maskąZespoły IT1 min

W źródłach powtarzają się trzy mechanizmy.

Pierwszy to kradzież danych logowania przez phishing, opisana wyżej. Przeciwko niej NCSC zaleca uwierzytelnianie wieloskładnikowe: z drugim składnikiem atakujący nie wejdzie na konto samym skradzionym hasłem1. CISA daje tę samą radę osobom prywatnym4.

Drugi to reguła przekazywania. Reguły można tworzyć z aplikacji lokalnej, interfejsu webowego lub wiersza poleceń, a mogą wysyłać wiadomości do odbiorców wewnętrznych lub zewnętrznych bez ograniczeń5. Atakujący może też ukryć regułę, zmieniając jej właściwości przez interfejs MAPI firmy Microsoft, przez co jest ona niewidoczna w Outlooku, OWA i większości narzędzi administracyjnych Exchange5. W Exchange reguły transportu mogą nawet obejmować całą pocztę organizacji5. MITRE radzi wyłączyć zewnętrzne przekazywanie, regularnie sprawdzać reguły i skonfigurować alerty poza głównym kanałem dla nietypowych wysyłek, takich jak masowe przekazywanie5.

Trzeci to kontrola domeny nadawczej. MITRE zaleca SPF do weryfikacji domeny nadawcy i DKIM do sprawdzania integralności wiadomości oraz zauważa, że polityka taka jak DMARC pomaga odbiorcom filtrować w ten sam sposób2. NCSC wyjaśnia, że DMARC uniemożliwia oszustom podszywanie się pod Państwa domenę, a jeśli nadawca ma politykę DMARC typu kwarantanna lub odrzucenie, odbiorca musi ją zastosować, gdy weryfikacja się nie powiedzie1. MITRE przyznaje zresztą, że wewnętrzną pocztę z pułapką trudno zablokować kontrolami zapobiegawczymi, bo opiera się na nadużyciu zwykłych funkcji3.

4Analizy incydentówPrawdziwe przypadki1 min

28 stycznia 2021: kampania NOBELIUM, pierwsze fale

Microsoft śledzi od stycznia 2021 kampanię złośliwych e-maili prowadzoną przez NOBELIUM, aktora stojącego za atakami na SolarWinds7. Zaczyna się ona 28 stycznia 2021: aktor wysyła najpierw samą część uzupełniającą wiadomości, aby wyłowić cele, które klikają, bez dostarczania złośliwego ładunku7. Ten przypadek zmierza do zainstalowania złośliwego oprogramowania, a nie do płatności. Pokazuje jednak metodę: testować, obserwować, kto reaguje, dostosowywać się7.

25 maja 2021: zaufany nadawca podrobiony na dużą skalę

25 maja 2021 NOBELIUM używa legalnego serwisu masowej wysyłki Constant Contact, aby udawać amerykańską organizację rozwojową7. Celem jest około 3000 kont w ponad 150 organizacjach7. W jednym z przykładów e-mail wygląda, jakby pochodził od USAID, z autentycznym adresem nadawczym kończącym się na @in.constantcontact.com i adresem odpowiedzi w usaid.gov7. Link prowadzi najpierw do legalnego serwisu, potem do infrastruktury atakującego, która dostarcza złośliwy plik ISO7.

Systemy automatyczne zablokowały większość e-maili i sklasyfikowały je jako spam, ale część pierwszych wiadomości mogła zostać dostarczona7. Microsoft zaleca uwierzytelnianie wieloskładnikowe, aby ograniczyć skutki przejętych danych logowania7.

Karta

Identyfikator
CP-017
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Rozpoznawanie phishingu (detect_phishing)
Odruch Brain
cr-007
Schemat
G1 · Łańcuch ataku (Kill Chain)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 7
ŹródłaŹródła: 7
  1. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1534/ (dostęp 3 listopada 2026)
  4. CISA, „Recognize and Report Phishing | CISA”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1114/003/ (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (dostęp 3 listopada 2026)
  7. Microsoft, „New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog”, 27 maja 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Przejęcie firmowej poczty (BEC)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/kompromitacja-poczty-firmowej-bec/

BibTeX 
@misc{brain_cp017_pl_2026,
  author = {Brain},
  title = {Przejęcie firmowej poczty (BEC)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/kompromitacja-poczty-firmowej-bec/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0