Wewnętrzny phishing: Co zrobić, gdy e-mail pochodzi ze skrzynki współpracownika?

Taki scenariusz wywołuje natychmiastowy alarm u każdego CISO i szefa działu bezpieczeństwa IT. Pewnego ranka dziesiątki pracowników otrzymują wiadomość zawierającą pilny link logowania lub załącznik. Adres nadawcy nie zawiera żadnej literówki, domena odpowiada dokładnie infrastrukturze organizacji, a filtry SPF, DKIM oraz DMARC potwierdzają pełną zgodność techniczną. Przyczyna jest prosta: atak nie nadchodzi z zewnątrz, lecz jest prowadzony bezpośrednio z legalnej skrzynki pocztowej pracownika, którego dane uwierzytelniające zostały skradzione.

Gdy cyberprzestępca uzyskuje nieautoryzowany dostęp do środowiska Microsoft 365 lub Google Workspace, nie zawsze dąży do natychmiastowej eksfiltracji zasobów. Najczęstszym pierwszym krokiem jest ruch boczny (lateral movement), wykorzystujący naturalne zaufanie, jakim pracownicy darzą wewnętrzną komunikację firmową. Wobec takiego wektora tradycyjne zapory brzegowe stają się bezradne. Wykrycie zagrożenia zależy wówczas od czujności pracowników oraz natychmiastowego wdrożenia procedur reagowania na incydenty.

Jak reagować, gdy podejrzana wiadomość pochodzi z autentycznego adresu firmowego współpracownika?#

W skrócie: Nigdy nie odpowiadaj bezpośrednio na podejrzaną wiadomość e-mail w celu potwierdzenia jej autentyczności. Skontaktuj się z rzekomym nadawcą niezależnym kanałem komunikacji (telefon, bezpośredni komunikator służbowy) i natychmiast przekaż wiadomość do zespołu bezpieczeństwa IT (SOC/CISO), aby odizolować przejęte konto.

Najczęstszym, odruchowym błędem odbiorcy jest kliknięcie przycisku "Odpowiedz" z pytaniem: "Czy to na pewno wiadomość od Ciebie?". Jeżeli konto pracownika znajduje się pod kontrolą intruza, to właśnie przestępca ma dostęp do skrzynki odbiorczej. Odpowie twierdząco w ciągu kilkunastu sekund, skutecznie usypiając czujność. Często w skrzynce skonfigurowane są już ukryte reguły przekierowań, które ukrywają pytania przed prawowitym właścicielem konta.

Aby skutecznie przerwać łańcuch ataku, reakcja musi być natychmiastowa i dwutorowa:

• Weryfikacja poza pasmem (Out-of-Band): Skontaktuj się ze współpracownikiem innym, niezależnym kanałem. Zadzwoń na jego bezpośredni numer służbowy lub podejdź do jego biurka, jeżeli pracujecie w tej samej lokalizacji.
• Natychmiastowe zgłoszenie incydentu do IT: Skorzystaj z wbudowanego przycisku zgłaszania phishingu w programie pocztowym lub prześlij wiadomość jako załącznik (format .eml lub .msg) na dedykowany adres zespołu bezpieczeństwa (CSIRT/SOC), co pozwoli zachować nienaruszone nagłówki techniczne.

Jakie sygnały ostrzegawcze zdradzają przejęte konto wewnętrzne mimo poprawnego adresu e-mail?#

W skrócie: Identyfikacja opiera się na behawioralnej analizie komunikacji: nagła zmiana tonu wypowiedzi, nietypowa presja czasu, wezwanie do logowania w celu pobrania dokumentu z zewnętrznego zasobu lub niespójna, generyczna wiadomość wklejona w trwający wątek korespondencji.

Wewnętrzny podszywający się phishing bazuje na nadużyciu zaufania, lecz napastnicy niemal zawsze pozostawiają subtelne ślady kontekstowe. Cyberprzestępca kontrolujący sesję nie zna specyfiki relacji wewnątrz zespołu, kultury organizacyjnej ani stylu pisania swojej ofiary.

Kluczowe sygnały ostrzegawcze obejmują:

• Zmianę stylu komunikacji: Współpracownik, z którym na co dzień komunikujesz się nieformalnie, nagle przechodzi na sztywny, oficjalny ton, używa nienaturalnych zwrotów grzecznościowych lub pisze w łamanej polszczyźnie generowanej maszynowo.
• Nieuzasadnioną presję czasu: E-mail alarmuje o rzekomej nieopłaconej fakturze, groźbie natychmiastowej blokady dostępów IT lub poufnej umowie NDA, którą trzeba podpisać w ciągu godziny.
• Wymuszenie ponownego logowania: Łącze prowadzi do fałszywego panelu logowania, żądającego podania loginu i hasła w celu wyświetlenia pliku w usłudze SharePoint, OneDrive lub Google Drive.
• Przejęcie wątku korespondencji (Thread Hijacking): Atakujący odpowiada w archiwalnym wątku sprzed kilku tygodni lub miesięcy, wklejając spreparowany link, zupełnie nie odnosząc się do merytorycznej treści poprzednich ustaleń.

Dlaczego phishing wewnętrzny stanowi idealne narzędzie do propagacji bocznej?#

Przejęcie konta i wysyłka wiadomości wewnątrz organizacji (Account Takeover, ATO) to jeden z najgroźniejszych wektorów eskalacji uprawnień. Gdy pojedyncze konto zostanie skompromitowane (najczęściej przez kradzież ciasteczek sesyjnych w ataku Adversary-in-the-Middle), napastnik zyskuje pełny wgląd w globalną książkę adresową firmy.

Może precyzyjnie wytypować newralgiczne działy: księgowość, kadry i płace czy administratorów systemów. W kilka minut rozsyła złośliwe ładunki do osób posiadających wysokie uprawnienia w systemach ERP czy bankowości elektronicznej. Ponieważ wiadomość pochodzi z domeny wewnętrznej, czujność pracowników drastycznie spada w porównaniu z wiadomościami z zewnątrz. Z punktu widzenia regulacji, takich jak wytyczne KNF dla sektora finansowego, DORA czy wdrożenie wymogów dyrektywy NIS 2 w ramach nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa, odporność na ruch boczny staje się priorytetem audytowym.

Sama sucha teoria nie wystarcza do ochrony organizacji. Niezbędny jest regularny, praktyczny trening w kontrolowanych warunkach. Z wykorzystaniem narzędzia Super Phisher, wdrażanego we współpracy z naszym zespołem, Państwa organizacja może sprawdzić reakcję pracowników na realne scenariusze socjotechniczne, replikujące mechanizmy podszywania się i ruchu bocznego, utrwalając właściwe nawyki przed faktycznym incydentem.

INTERFEJS I DOŚWIADCZENIE BRAIN SECURITY · Super Phisher

Jakie procedury awaryjne musi natychmiast wdrożyć dział IT i SOC po otrzymaniu zgłoszenia?#

Po otrzymaniu potwierdzenia o wysyłce phishingu z konta wewnętrznego, zespół reagowania na incydenty musi podjąć natychmiastowe kroki operacyjne:

• Unieważnienie aktywnych sesji: Zespół IT musi zresetować hasło do skompromitowanego konta oraz wymusić natychmiastowe wygaśnięcie wszystkich tokenów uwierzytelniających i sesji na wszystkich zarejestrowanych urządzeniach.
• Audyt ukrytych reguł skrzynki: Cyberprzestępcy regularnie tworzą ukryte filtry i reguły przesyłania dalej (forwarding rules), usuwające przychodzące maile zawierające frazy takie jak "phishing", "hasło" czy "incydent". Wszystkie reguły muszą zostać zweryfikowane i usunięte.
• Globalne usunięcie złośliwych wiadomości: Przy użyciu narzędzi administracyjnych tenanta (np. funkcji Content Search i procedur Purge w Microsoft 365) dział bezpieczeństwa powinien automatycznie usunąć złośliwy e-mail ze wszystkich skrzynek odbiorczych w firmie, zanim kolejni użytkownicy klikną w odnośnik.
• Analiza logów dostępowych: Weryfikacja adresów IP, lokalizacji geograficznych, nietypowych logowań warunkowych oraz sygnatur User-Agent pozwala określić moment przełamania zabezpieczeń i sprawdzić, czy nie doszło do naruszenia poufności danych osobowych podlegających zgłoszeniu do Prezesa UODO w reżimie RODO.

Skuteczna ochrona przed wewnętrznym phishingiem wymaga ścisłej synergii zaawansowanych zabezpieczeń technicznych z czujnością zespołów biznesowych. Aby opracować program cybertreningu dopasowany do profilu ryzyka Państwa firmy, zapraszamy do umówienia rozmowy o Państwa potrzebach ze specjalistami Brain Security.

Przeczytaj również: powiązane artykuły i rozwiązania Brain Security#

Powiązane artykuły na ten temat

• Praca zdalna, pociag, hotel: 6 bledow cyberbezpieczenstwa w podrozy (Phishing & Social Engineering) : Poznaj kluczowe zasady cyberbezpieczenstwa w pracy mobilnej: publiczne Wi-Fi, shoulder surfing i VPN chroniace dane Panstwa firmy.
• Infostealery: Dlaczego zapisywanie firmowych hasel w przegladarce to krytyczne ryzyko (Phishing & Social Engineering) : Dowiedz sie, jak zlosliwe oprogramowanie typu infostealer kradnie hasla i pliki cookie z przegladarek, prowadzac do powaznych incydentow w organizacji.
• Scareware i falszywe alerty przegladarki : Jak nauczyc pracownikow rozpoznawac pulapki webowe (Phishing & Social Engineering) : Zablokuj scareware i falszywe alerty w przegladarce. Poznaj techniki ClickFix i naucz personel bezpiecznych nawykow online z Brain Security.
• Cyberbezpieczeństwo HR i rekrutacji: Jak wykryć zainfekowane CV i fałszywych kandydatów AI (Industries & Roles) : Dowiedz się, jak chronić zespół HR przed złośliwymi plikami CV, fałszywymi portfolio i kandydatami deepfake wideo podczas rozmów rekrutacyjnych.

Poznaj rozwiązania Brain Security na naszej stronie

• Powiązane rozwiązanie : Super Phisher : Realistyczne symulacje phishingu (Super Phisher): bezpieczny trening rozpoznawania socjotechniki i zgłaszania incydentów.
• Sprawdź przypadki użycia według celów i branż
• Porównaj nasze formaty budowania świadomości cyber i AI
• Zobacz pełny interaktywny katalog Brain Security
• Porozmawiaj o swoich potrzebach z naszym zespołem (demo i wdrożenie)