Sygnał od klienta lub kontrahenta o otrzymaniu dziwnej wiadomości „z firmy" bywa pierwszym objawem infekcji — złośliwe oprogramowanie na jednym komputerze wykorzystuje skonfigurowaną skrzynkę pocztową do rozsyłania spamu bez wiedzy pracownika.

Pierwsza godzina

Klienci lub współpracownicy zgłaszają otrzymanie podejrzanych wiadomości z firmowego adresu, których nikt w firmie nie wysyłał, albo skrzynka pocztowa zostaje zablokowana przez dostawcę usług z powodu podejrzenia o wysyłkę spamu.

Co sprawdzamy w pierwszej kolejności

Który komputer w firmie jest źródłem podejrzanej aktywności.
Historię logowań do skrzynki pocztowej pod kątem nieznanych lokalizacji.
Obecność złośliwego oprogramowania na zainfekowanym stanowisku.
Czy dane logowania do poczty nie zostały ujawnione w innym incydencie (wyciek haseł).

Co robimy

Priorytetem jest natychmiastowa zmiana hasła do skrzynki oraz usunięcie złośliwego oprogramowania z zainfekowanego komputera. Sprawdzane są też ustawienia przekierowań i reguł w skrzynce — infekcje tego typu często dodają niewidoczne dla użytkownika reguły przekierowujące pocztę.

Ile to trwa

Zabezpieczenie skrzynki i usunięcie infekcji to zwykle jedna wizyta lub do 24 godzin przy głębszej analizie.

Warunki

Diagnoza komputera stacjonarnego door-to-door kosztuje 200 zł i wlicza się w cenę naprawy. Dojazd na terenie Warszawy i okolic jest bezpłatny, a naprawa objęta jest gwarancją do 12 miesięcy.

Mechanizmy przejęcia skrzynki i rozsyłania wiadomości

Rozsyłanie niechcianych wiadomości (spamu) z autentycznej skrzynki pocztowej przedsiębiorstwa rzadko bywa dziełem przypadku. W większości sytuacji odpowiada za to wyspecjalizowane złośliwe oprogramowanie, które wniknęło do systemu operacyjnego stacji roboczej pracownika. Współczesne zagrożenia wykorzystują zróżnicowane ścieżki techniczne do osiągnięcia tego celu.

Jednym z najczęstszych zagrożeń są programy typu infostealer (oprogramowanie szpiegujące ukierunkowane na kradzież poufnych danych). Skanują one dyski twarde w poszukiwaniu baz danych programów pocztowych, takich jak Microsoft Outlook czy Mozilla Thunderbird, a także pamięć podręczną przeglądarek internetowych. Wykradane są nie tylko zapisane loginy i hasła, ale przede wszystkim pliki cookie sesji (ciasteczka uwierzytelniające) oraz tokeny dostępu OAuth (protokołu autoryzacji bezprzekazowej). Posiadając aktywny token sesji, podmiot trzeci może wysyłać wiadomości bezpośrednio z serwera pocztowego w chmurze bez konieczności podawania hasła i bez wywoływania powiadomienia o logowaniu dwuskładnikowym.

Innym mechanizmem jest instalacja lokalnego silnika SMTP (Simple Mail Transfer Protocol – protokołu przesyłania poczty) na samym komputerze lub wstrzyknięcie złośliwego kodu do procesu klienta pocztowego. W takim przypadku komputer staje się elementem botnetu (sieci zainfekowanych maszyn sterowanych zdalnie) i wysyła tysiące wiadomości bezpośrednio przez skonfigurowane w programie konto pocztowe użytkownika. Taka aktywność często prowadzi do natychmiastowego wyczerpania dziennych limitów wysyłki u dostawcy hostingu i zablokowania całego serwera pocztowego firmy.

Kolejną powszechną techniką jest manipulacja regułami skrzynki pocztowej (Inbox Rules Manipulation). Złośliwe oprogramowanie po uzyskaniu dostępu do panelu pocztowego tworzy ukryte reguły przekierowujące lub usuwające. Każda odpowiedź od zdezorientowanego kontrahenta jest automatycznie przenoszona do folderu elementów usuniętych lub oznaczana jako przeczytana, przez co pracownik nie zdaje sobie sprawy z trwającej wysyłki, dopóki sprawa nie zostanie zgłoszona telefonicznie.

Warianty problemu i scenariusze incydentu

Rozpoznanie właściwego wariantu incydentu jest kluczowe dla dobrania odpowiednich kroków naprawczych. W praktyce serwisowej wyróżnia się kilka głównych scenariuszy:

Bezpośrednia wysyłka z lokalnego klienta pocztowego: Złośliwy skrypt uruchomiony w tle korzysta z interfejsu MAPI (Messaging Application Programming Interface – interfejsu programistycznego aplikacji pocztowych) lub bibliotek systemowych, aby tworzyć i wysyłać wiadomości przez otwarty program pocztowy. Wiadomości te często pozostają w folderze elementów wysłanych na komputerze.
Zewnętrzna wysyłka przez przejęte poświadczenia serwerowe: Dane logowania (hasło lub token sesji) zostały wykradzione z komputera i przesłane na serwer kontrolny przestępców. Wysyłka spamu odbywa się bezpośrednio z zagranicznych adresów IP logujących się na serwer pocztowy firmy przez interfejs Webmail (pocztę przez przeglądarkę) lub protokół SMTP.
Przejęcie wątków korespondencji (Thread Hijacking): Zaawansowany wariant, w którym złośliwe oprogramowanie pobiera historię korespondencji ze skrzynki, a następnie generuje odpowiedzi w istniejących, autentycznych wątkach biznesowych. Do odpowiedzi dołączany jest złośliwy załącznik (np. fałszywa faktura w formacie PDF lub archiwum ZIP) bądź link do zainfekowanej strony. Ponieważ kontrahent widzi znany temat i wcześniejszą treść rozmowy, ryzyko otwarcia załącznika jest bardzo wysokie.
Autoryzacja złośliwej aplikacji w środowisku chmurowym: Użytkownik został nakłoniony do kliknięcia zgody na przyznanie uprawnień zewnętrznej aplikacji w usłudze Microsoft 365 lub Google Workspace. Aplikacja uzyskuje stały dostęp do wysyłania poczty (uprawnienia Mail.Send) i działa niezależnie od zmiany hasła użytkownika.

Kiedy rozsyłanie wiadomości to nie jest infekcja lokalnego komputera

Nie każda sytuacja, w której klienci otrzymują fałszywe wiadomości z adresem domeny firmy, oznacza obecność wirusa na komputerze stacjonarnym lub laptopie w biurze. Prawidłowa diagnoza pozwala uniknąć niepotrzebnych działań na sprzęcie, gdy problem leży w konfiguracji domeny lub poza siecią przedsiębiorstwa.

Najczęstszym przypadkiem niewymagającym interwencji w oprogramowanie stacji roboczej jest fałszowanie nagłówków wiadomości (Email Spoofing). Protokół SMTP w swojej pierwotnej strukturze nie weryfikował tożsamości nadawcy. Zewnętrzny serwer spamerski może wygenerować wiadomość, wpisując w polu adresu nadawcy dowolny adres e-mail firmowy, nie posiadając dostępu do skrzynki ani hasła. Odbiorcy widzą adres firmy, jednak wiadomość nigdy nie przeszła przez serwery pocztowe przedsiębiorstwa. Ochronę przed tym zjawiskiem stanowi prawidłowa konfiguracja rekordów SPF (Sender Policy Framework – lista serwerów uprawnionych do wysyłki poczty w imieniu domeny), DKIM (DomainKeys Identified Mail – podpis kryptograficzny potwierdzający autentyczność wiadomości) oraz DMARC (Domain-based Message Authentication, Reporting and Conformance – polityka określająca reakcję serwera odbiorcy na sfałszowane wiadomości).

Innym zjawiskiem jest tak zwany Backscatter (zwrotne wiadomości o niedoręczeniu). Gdy zewnętrzny spamer podszywa się pod domenę firmy i rozsyła miliony wiadomości na nieistniejące adresy e-mail, serwery pocztowe na całym świecie odsyłają automatyczne komunikaty o błędzie (Non-Delivery Report) na prawdziwy adres firmowy, zalewając skrzynkę tysiącami powiadomień. W takiej sytuacji skrzynka jest ofiarą powiadomień zwrotnych, a nie źródłem infekcji.

Zdarzają się także sytuacje, w których zainfekowany został komputer kontrahenta. Jeżeli przestępcy wykradli bazę kontaktów lub korespondencję z komputera partnera biznesowego, mogą rozsyłać wiadomości podszywające się pod relacje handlowe, mimo że wszystkie systemy wewnątrz własnej firmy pozostają czyste.

Błędy popełniane podczas próby samodzielnego opanowania sytuacji

Niewłaściwe działania podejmowane w pośpiechu po wykryciu incydentu mogą utrudnić usunięcie zagrożenia, zniszczyć dowody niezbędne do ustalenia skali wycieku lub doprowadzić do ponownego zablokowania skrzynki:

Tylko zmiana hasła bez wylogowania aktywnych sesji: Zmiana hasła do konta pocztowego jest krokiem niezbędnym, ale niewystarczającym. Jeśli atakujący posługuje się wykradzionym tokenem sesyjnym OAuth lub połączoną aplikacją w chmurze, zmiana hasła nie przerywa nawiązanego połączenia. Konieczne jest wymuszenie unieważnienia wszystkich aktywnych sesji logowania (Revoke All Sessions) w panelu administracyjnym.
Brak usunięcia złośliwego oprogramowania przed zmianą hasła: Jeżeli pracownik zmienia hasło bezpośrednio na zainfekowanym komputerze, na którym wciąż aktywny jest program szpiegujący (keylogger lub infostealer), nowe hasło zostaje natychmiast przechwycone i przesłane do atakujących.
Skanowanie wyłącznie podstawowym programem antywirusowym: Złośliwe skrypty i pliki binarne infostealerów są regularnie modyfikowane pod kątem omijania sygnatur popularnych programów ochronnych. Uznanie komputera za czysty na podstawie braku wykryć przez podstawowy skaner często pozostawia zagrożenie w systemie.
Ignorowanie reguł skrzynki pocztowej: Pominięcie weryfikacji ukrytych reguł przekazywania poczty (Forwarding Rules) sprawia, że nawet po usunięciu wirusa cała przychodząca korespondencja poufna może być nadal w sposób ciągły przesyłana na zewnętrzne adresy e-mail.
Pochopne formatowanie dysku: Instalacja systemu operacyjnego na nowo bez uprzedniej analizy uniemożliwia ustalenie, jakie dane zostały wykradzione, które konta zostały skompromitowane oraz czy złośliwe oprogramowanie nie rozprzestrzeniło się na inne zasoby sieci lokalnej (np. dyski sieciowe NAS lub serwery plików).

Szczegółowa procedura techniczna usuwania zagrożenia

Usunięcie skutków infekcji i przywrócenie bezpiecznego funkcjonowania poczty firmowej wymaga wykonania uporządkowanego ciągu czynności technicznych:

Pierwszym krokiem jest natychmiastowa izolacja sieciowa podejrzanego urządzenia. Komputer zostaje odłączony od sieci przewodowej Ethernet oraz bezprzewodowej Wi-Fi. Uniemożliwia to dalsze rozsyłanie wiadomości, pobieranie dodatkowych modułów złośliwego oprogramowania oraz rozprzestrzenianie się infekcji na inne stanowiska w sieci lokalnej.

Następnie przeprowadzana jest analiza procesów systemowych, rejestru Windows, harmonogramu zadań (Task Scheduler) oraz usług działających w tle. Sprawdzane są mechanizmy zapewniające złośliwemu oprogramowaniu trwałość w systemie (Persistence Mechanisms), takie jak modyfikacje kluczy Run w rejestrze czy ukryte pliki wykonywalne w katalogach tymczasowych użytkownika (AppData/Local/Temp). Wszelkie zidentyfikowane komponenty złośliwego oprogramowania są trwale usuwane.

Kolejny etap obejmuje działania na poziomie serwera pocztowego. Z poziomu bezpiecznego urządzenia administrator unieważnia wszystkie aktywne sesje użytkownika, resetuje poświadczenia dostępu, weryfikuje listę zaufanych urządzeń oraz sprawdza uprawnienia aplikacji zewnętrznych w usłudze katalogowej. Wdrażane jest uwierzytelnianie wieloskładnikowe MFA (Multi-Factor Authentication – wymóg potwierdzenia logowania kodem jednorazowym lub aplikacją uwierzytelniającą w telefonie).

Następuje dokładny audyt ustawień konta pocztowego. Weryfikowane są reguły skrzynki odbiorczej, lista dozwolonych i zablokowanych nadawców, automatyczne odpowiedzi oraz ustawienia automatycznego przekazywania dalej (Forwarding). Usuwane są wszelkie wpisy dodane przez złośliwy kod.

Ostatnim elementem jest weryfikacja reputacji domeny firmowej oraz adresu IP serwera pocztowego. Sprawdzana jest obecność domeny na międzynarodowych listach blokujących RBL (Real-time Blackhole List, takich jak Spamhaus, Barracuda, SORBS). W przypadku znalezienia wpisów generowane są wnioski o wykreślenie (Delisting) wraz z przedstawieniem dowodów usunięcia źródła spamu. Weryfikowana jest także poprawność rekordów DNS domeny (SPF, DKIM, DMARC), aby wykluczyć możliwość podszywania się pod firmę w przyszłości.

Najczęstsze pytania dotyczące incydentów ze spamem ze skrzynki firmowej

Czy po usunięciu wirusa wiadomości z domeny od razu będą docierać do odbiorców bez przeszkód?

Usunięcie złośliwego oprogramowania i zmiana haseł zatrzymuje wysyłkę niechcianych wiadomości, jednak pełne przywrócenie dostarczalności może wymagać dodatkowego czasu. Jeżeli w trakcie incydentu domena lub adres IP serwera trafiły na listy antyspamowe (RBL), część serwerów odbiorców może tymczasowo odrzucać maile lub umieszczać je w folderze ze spamem. W takich sytuacjach konieczne jest przeprowadzenie procedury wykreślenia z baz blokujących i odczekanie na zaktualizowanie filtrów u zewnętrznych operatorów pocztowych.

W jaki sposób złośliwe oprogramowanie trafia na komputer stacjonarny w biurze?

Najczęściej źródłem infekcji jest wiadomość phishingowa (atak socjotechniczny podszywający się pod znaną instytucję, kuriera lub kontrahenta) zawierająca zainfekowany załącznik lub odnośnik do spreparowanej strony internetowej. Innymi drogami są pobieranie niezweryfikowanego oprogramowania z sieci, instalacja fałszywych aktualizacji przeglądarek bądź kodeków, a także używanie nośników pamięci USB pochodzących z niezaufanych źródeł.

Czy w trakcie zabezpieczania stacji roboczej firma traci dostęp do całej poczty?

Nie ma konieczności blokowania całej komunikacji w przedsiębiorstwie. Działania izolacyjne i naprawcze koncentrują się na konkretnym stanowisku roboczym oraz skompromitowanym koncie użytkownika. Pozostałe skrzynki w firmie mogą funkcjonować normalnie, o ile analiza logów serwerowych nie wykaże nieautoryzowanej aktywności na innych kontach w domenie.

Czy kontrahenci, którzy otrzymali złośliwe wiadomości, powinni zostać powiadomieni?

Poinformowanie kluczowych partnerów biznesowych o incydencie jest zalecaną praktyką bezpieczeństwa, zwłaszcza gdy doszło do wysyłki w wariancie przejęcia wątków (Thread Hijacking). Krótki, rzeczowy komunikat telefoniczny lub przesłany alternatywnym kanałem pozwala kontrahentom zignorować fałszywe maile, nie otwierać podejrzanych załączników i zapobiega dalszemu rozprzestrzenianiu się zagrożenia w ich własnych sieciach.

Dlaczego logowanie dwuskładnikowe (MFA) nie zawsze blokuje rozsyłanie spamu?

Uwierzytelnianie dwuskładnikowe skutecznie chroni przed próbami logowania z użyciem samego wykradzionego hasła. Jednak zaawansowane programy szpiegujące typu infostealer nie próbują logować się od zera, lecz kopiują z komputera gotowe tokeny sesyjne przeglądarki lub klienta poczty. Serwer traktuje taki token jako sesję już poprawnie zweryfikowaną przez użytkownika, co pozwala na wysyłkę wiadomości z pominięciem ponownego żądania kodu SMS lub aplikacji.

Odzyskanie reputacji domeny i zabezpieczenie stacji roboczych

Incydent związany z rozsyłaniem spamu ze skrzynki firmowej wymaga natychmiastowego połączenia działań na poziomie zainfekowanego systemu Windows z konfiguracją zabezpieczeń serwera pocztowego i rekordów domeny. Skuteczne odcięcie źródła problemu, usunięcie ukrytych mechanizmów złośliwego oprogramowania oraz przywrócenie czystej reputacji nadawcy pozwala na bezpieczny powrót do codziennej korespondencji biznesowej i chroni firmę przed trwałym odrzucaniem wiadomości przez serwery kontrahentów.

22 378 48 09

Zawirusowany komputer rozsyła spam z firmowej skrzynki