Skrzynka jest węzłem zaufania

Poczta łączy archiwum dokumentów, resetowanie haseł i uzgadnianie płatności. Przejęcie jednej skrzynki może otworzyć drogę do innych usług, nawet jeśli na firmowym komputerze nie wykryto złośliwego programu. Przegląd powinien objąć role konta i jego powiązania.

Zidentyfikuj, czy chodzi o zwykłego użytkownika, księgowość czy administratora. Różnica uprawnień zmienia priorytety. Konto z możliwością zmiany konfiguracji całej domeny wymaga szerszego zakresu reakcji niż pojedyncze konto bez uprawnień administracyjnych.

Zabezpiecz konto i ślady razem

Administrator powinien uzgodnić kolejność unieważniania sesji, resetu metod logowania i zabezpieczenia dzienników. Automatyczne kasowanie podejrzanych obiektów bez kopii może usunąć ważne informacje. Prowadź listę zmian i czasu ich wykonania.

Sprawdź ukryte reguły, delegacje, zgodę na aplikacje oraz alternatywne adresy odzyskiwania. Ustal, czy napastnik usuwał odpowiedzi kontrahentów lub przygotowywał późniejsze podszycie. Bez tego konto może wyglądać poprawnie, mimo że proces komunikacji został zmieniony.

Ustal ekspozycję danych i kontrahentów

Nie utożsamiaj pojemności skrzynki z liczbą poszkodowanych osób. Ważne są konkretne foldery, wyszukiwania, eksporty i okres dostępu. Jeżeli logi nie pozwalają ocenić zakresu, opisz tę niepewność w raporcie dla zespołu prawnego.

Ostrzeżenie partnerów powinno wskazywać, jak potwierdzać rachunki i dokumenty oraz gdzie kierować pytania. Nie rozsyłaj masowo kopii przejętej korespondencji jako dowodu; mogłoby to powiększyć ujawnienie danych. Komunikat wymaga przemyślanej listy odbiorców.

Koszty i wnioski do ochrony

Wycena ryzyka powinna uwzględniać liczbę skrzynek, retencję logów, sposób zarządzania MFA i dostęp administratorów. Po incydencie oddziel pracę dochodzeniową od wdrożenia nowych narzędzi i zwykłego abonamentu pocztowego.

Ustal z agentem zakres analizy danych, reakcji i odpowiedzialności według dokumentów produktu. Ewentualny fałszywy przelew ma osobną kwalifikację; nie wolno obiecywać jego zwrotu pod hasłem „ochrona poczty”.

Lista kont powiązanych

Wypisz usługi resetowane przez przejętą skrzynkę i ustal ich priorytet. Zacznij od finansów, administracji domeną i repozytoriów dokumentów. Zapisz właściciela każdej usługi oraz potwierdzenie zabezpieczenia. To pozwala zamknąć reakcję na podstawie sprawdzonych działań, zamiast samego braku kolejnych podejrzanych wiadomości.