Jak zabezpieczyć Microsoft 365 przed przejęciem konta?

Co może zrobić osoba, która przejmie konto Microsoft 365?

Zakres szkód zależy od uprawnień oraz zasobów dostępnych dla konta. Przejęta skrzynka może pozwolić na odczytywanie i wysyłanie wiadomości, poznanie kontaktów i obserwowanie rozmów biznesowych. Jeśli konto ma dostęp do OneDrive lub SharePoint, zagrożone mogą być także dokumenty.

Przykład hipotetyczny: napastnik obserwuje korespondencję dotyczącą płatności, a następnie wysyła kontrahentowi prośbę o zmianę rachunku bankowego. Wiadomość pochodzi z prawdziwej skrzynki i nawiązuje do wcześniejszych ustaleń. Dlatego zmianę rachunku należy potwierdzić innym kanałem, pod znanym wcześniej numerem telefonu.

Przejęcie konta administratora może dodatkowo umożliwić zmianę konfiguracji, nadanie nowych dostępów lub ingerencję w zabezpieczenia innych kont. Uprawnienia administracyjne trzeba ograniczać do powierzonych zadań. Zasady przeglądu dostępów opisuje poradnik o kontroli dostępu pracowników do danych.

Jak dochodzi do przejęcia kont Microsoft 365?

Atak nie musi polegać na przełamaniu zabezpieczeń usługi. Może wykorzystywać pośpiech, ujawnione dane logowania, niekontrolowane urządzenie lub zbyt szerokie uprawnienia aplikacji.

• Fałszywe logowanie. Link do faktury lub dokumentu prowadzi na stronę podszywającą się pod Microsoft.
• Wyłudzenie potwierdzenia MFA. Pracownik zatwierdza żądanie, którego nie wywołał, albo podaje kod osobie udającej pomoc techniczną.
• Hasło używane w kilku miejscach. Dane ujawnione w innym serwisie zostają sprawdzone przy logowaniu do firmowego konta.
• Kradzież sesji. Niektóre ataki przechwytują tokeny po uwierzytelnieniu. Sam fakt użycia MFA nie wyklucza takiego incydentu.
• Niepotrzebny dostęp. Aktywne konto byłego pracownika, utracone urządzenie lub aplikacja z nadanymi uprawnieniami pozostają poza bieżącą kontrolą.

Pracownik powinien odrzucić nieoczekiwane żądanie MFA i zgłosić je do IT. Nie należy zatwierdzać powiadomienia tylko po to, aby zniknęło, ani wpisywać kodu otrzymanego od rozmówcy bez sprawdzenia, jaki dostęp autoryzuje.

Włącz MFA dla użytkowników - z naciskiem na administratorów

MFA, czyli uwierzytelnianie wieloskładnikowe, wymaga potwierdzenia tożsamości więcej niż jednym składnikiem. Utrudnia wykorzystanie samego wykradzionego hasła. Metodę trzeba nie tylko zarejestrować, lecz także objąć konto odpowiednią zasadą logowania.

Sprawdź użytkowników, administratorów, gości i konta zewnętrznych opiekunów. Dostępy aplikacji oraz integracji wymagają oddzielnego przeglądu: nie należy rozwiązywać ich potrzeb przez szerokie wyjątki dla zwykłych kont użytkowników.

Security Defaults czy Conditional Access?

Security Defaults to gotowy zestaw podstawowych zabezpieczeń Microsoft Entra ID. Conditional Access, czyli dostęp warunkowy, pozwala tworzyć bardziej szczegółowe zasady dostępu. Wybór powinien wynikać z licencji oraz potrzeb środowiska.

Przy przechodzeniu z Security Defaults na Conditional Access przygotuj zasady zastępujące dotychczasową ochronę. Przetestuj je i zaplanuj dostęp awaryjny. Samo wyłączenie ustawień domyślnych bez wdrożenia odpowiednich reguł pozostawia lukę w ochronie.

Dobierz metody MFA i odzyskiwanie dostępu

Dla administratorów i kont z dostępem do istotnych danych preferuj metody odporne na phishing, takie jak passkeys/FIDO2 lub Windows Hello for Business. Powiadomienie aplikacji i kod SMS nie zapewniają takiej samej odporności na wyłudzenie.

Ustal, jak firma potwierdza tożsamość osoby proszącej o zmianę metody MFA po utracie telefonu. Zapasowa metoda lub klucz powinny być kontrolowane. Nie resetuj zabezpieczeń tylko na podstawie wiadomości z konta, które mogło zostać przejęte.

Ogranicz ryzyko użycia wykradzionego hasła

Stosuj długie, unikalne hasła i menedżer haseł. Nie udostępniaj jednego loginu kilku pracownikom i nie używaj hasła do Microsoft 365 w prywatnych serwisach. Przy podejrzeniu ujawnienia danych logowania reaguj od razu.

Skontroluj starsze uwierzytelnianie oraz wyjątki dotyczące poczty, skanerów i aplikacji biznesowych. Wiele starszych sposobów logowania nie obsługuje MFA. Nie należy jednak utożsamiać samego protokołu, na przykład IMAP, ze starym uwierzytelnianiem: znaczenie ma faktyczny mechanizm autoryzacji. Przed zmianą sprawdź zależności i przygotuj obsługiwany sposób dostępu.

Komputery i telefony powinny otrzymywać aktualizacje, mieć blokadę ekranu oraz ochronę odpowiednią dla systemu. Jeśli firma wymaga urządzeń zarządzanych lub zgodnych z polityką, potrzebuje także właściwej konfiguracji i licencji. Samo zarejestrowanie telefonu do MFA nie oznacza objęcia go zarządzaniem.

Regularnie przeglądaj logowania i alerty. Nietypowa lokalizacja, urządzenie lub seria nieudanych prób wymagają analizy, ale sam adres IP nie rozstrzyga o ataku. Dostępność oraz okres przechowywania logów zależą od usług i licencji. Wyznacz osobę odpowiedzialną za ich ocenę.

Uporządkuj administratorów i konta awaryjne

Administrator powinien korzystać z oddzielnego konta do zarządzania, a pocztę i dokumenty obsługiwać na zwykłym koncie. Nadawaj role odpowiadające zadaniu, zamiast przyznawać wszystkim rolę administratora globalnego. Przegląd obejmuje również dostępy partnerów i osób obsługujących firmę z zewnątrz.

Dostęp awaryjny pozwala odzyskać kontrolę, gdy zwykłe konta administracyjne nie działają. Microsoft zaleca co najmniej dwa konta awaryjne działające wyłącznie w chmurze, w domenie .onmicrosoft.com, niezależne od lokalnej synchronizacji i federacji.

Konta te wymagają silnego uwierzytelniania odpornego na phishing, bezpiecznego przechowywania środków dostępu, monitorowania użycia i okresowych testów. Administrator powinien tak zaprojektować zasady, aby nie zablokowały dostępu właśnie w sytuacji awaryjnej. Konto awaryjne nie powinno służyć do codziennej pracy.

Po odejściu pracownika zablokuj logowanie, unieważnij sesje i zabezpiecz potrzebne dane. Nie usuwaj konta automatycznie przed ustaleniem, co stanie się ze skrzynką i plikami. Uporządkowane odbieranie dostępów zmniejsza liczbę kont pozostawionych bez nadzoru.

Zablokuj zbędne przekazywanie poczty i kontroluj reguły

Po przejęciu skrzynki napastnik może ustawić przekazywanie wiadomości na zewnętrzny adres lub regułę ukrywającą odpowiedzi. Dzięki temu obserwuje korespondencję i utrudnia wykrycie oszustwa.

Ogranicz automatyczne przekazywanie na zewnątrz, jeśli nie ma uzasadnionej potrzeby biznesowej. Sprawdź efektywne ustawienia polityk, reguły skrzynek oraz przekazywanie ustawione przez administratora. Nie zakładaj, że nazwa ustawienia domyślnego sama potwierdza blokadę.

Kontroluj także delegacje i uprawnienia aplikacji do poczty. Wyjątek dla konkretnego procesu powinien mieć właściciela i być okresowo weryfikowany. Blokada automatycznego przekazywania nie uniemożliwia wszystkich sposobów wyprowadzenia danych, jeśli konto jest już przejęte.

Zmianę rachunku bankowego lub nietypowe polecenie zapłaty potwierdzaj niezależnie od wiadomości e-mail. Użyj znanego wcześniej kontaktu, a nie numeru podanego w podejrzanej korespondencji.

Co zrobić przy podejrzeniu przejęcia konta Microsoft 365?

Jeżeli pracownik podał hasło na podejrzanej stronie, zatwierdził nieoczekiwane żądanie lub zauważył wiadomości, których nie wysyłał, powinien niezwłocznie zgłosić to do IT. Nie należy czekać na kolejne objawy.

1. Ogranicz dostęp. Administrator blokuje logowanie podejrzanego konta i unieważnia sesje. Jeśli zagrożone jest urządzenie, obejmuje reakcją również ten sprzęt.
2. Zabezpiecz uwierzytelnianie. Zmień hasło we właściwym źródle tożsamości i sprawdź metody MFA oraz odzyskiwania. Usuń nieuprawnione metody i zbędne hasła aplikacji.
3. Sprawdź utrzymane dostępy. Zweryfikuj uprawnienia aplikacji, zgody, role i zmiany konfiguracji. Reset hasła nie usuwa automatycznie wszystkich takich dostępów.
4. Przeanalizuj skrzynkę i zdarzenia. Sprawdź reguły, przekazywanie, delegacje, wysłane wiadomości i dostępne logi. Zabezpiecz informacje potrzebne do ustalenia zakresu incydentu.
5. Ogranicz skutki biznesowe. Ustal odbiorców podejrzanych wiadomości i potrzebny sposób kontaktu. Oceń, jakie dane i zasoby mogły zostać udostępnione.
6. Przywróć dostęp po weryfikacji. Potwierdź stan urządzenia, ustawienia konta i wymaganie MFA. Monitoruj kolejne logowania oraz udokumentuj działania.

Unieważnienie sesji nie gwarantuje natychmiastowego zakończenia każdego dostępu: znaczenie mają tokeny i zachowanie aplikacji. Dlatego nie kończ reakcji na samym kliknięciu „wyloguj” lub resecie hasła. Nowego hasła nie wysyłaj na skrzynkę, którą może nadal obserwować atakujący.

W firmie powinno być jasno ustalone, kto podejmuje te działania i kto go zastępuje. Przy zlecaniu obsługi sprawdź zakres opieki informatycznej oraz to, czy koszt obsługi IT obejmuje kontrolę kont i reakcję na incydenty.

Najczęstsze pytania

Czy status MFA „Disabled” oznacza brak ochrony konta?

Niekoniecznie. W widoku starszego MFA ustawianego osobno dla użytkownika taki status może występować, gdy uwierzytelnianie jest wymagane przez Security Defaults lub Conditional Access. Sprawdź obowiązujące zasady i logi uwierzytelnienia, zamiast oceniać ochronę po jednym polu.

Czy Business Basic lub Standard pozwala włączyć MFA?

Tak, podstawową ochronę można wdrożyć przez Security Defaults. Szczegółowe zasady Conditional Access wymagają odpowiedniej licencji Entra ID. Microsoft 365 Business Premium obejmuje możliwości Conditional Access, ale zakup planu nie zastępuje poprawnej konfiguracji.

Czy pracownik może używać prywatnego telefonu do MFA?

Tak, jeśli firma dopuszcza taki sposób pracy i ustali zasady rejestracji, utraty telefonu oraz odebrania dostępu. Sama instalacja aplikacji MFA nie oznacza zarządzania całym prywatnym urządzeniem. Firma powinna również zapewnić ustalony sposób logowania osobie, która nie korzysta z prywatnego telefonu do pracy.

Czy brak alertu potwierdza, że konto nie zostało przejęte?

Nie. Alerty zależą od konfiguracji, dostępnych funkcji i rozpoznania zdarzenia. Zgłoszenie pracownika o wpisaniu hasła na fałszywej stronie wymaga reakcji także wtedy, gdy panel nie pokazuje ostrzeżenia.

Źródła i dokumentacja

• Microsoft: Security Defaults i wymagania MFA.
• Microsoft: Conditional Access i licencje.
• Microsoft: siła metod uwierzytelniania.
• Microsoft: konta dostępu awaryjnego.
• Microsoft: kontrola automatycznego przekazywania poczty.
• Microsoft: reakcja na przejęcie konta pocztowego.
• Microsoft: awaryjne odebranie dostępu i ograniczenia sesji.