Як захистити пошту компанії від фішингу: технічні налаштування і люди

Пошту компанії від фішингу захищають двома шарами: технічні налаштування не дають підробити ваш домен і відсіюють небезпечні листи, а прості правила для людей зупиняють те, що пройшло крізь фільтри. Жоден шар не працює сам: фільтри пропускають частину листів, а людина не може уважно вивчати кожен лист і при цьому встигати працювати. ^[11]

Нижче що налаштувати, як перевірити кожен пункт безкоштовними інструментами, яке правило дати бухгалтерії і як навчати людей так, щоб вони повідомляли про підозрілі листи, а не ховали помилки.

Коротко

• SPF, DKIM і DMARC це три записи в DNS (адресній книзі інтернету для вашого домену). Вони не дають чужим серверам писати від імені вашого домену. Їх видно ззовні, перевірка займає хвилину.
• DMARC з p=none лише спостерігає. Захист починається з p=quarantine або p=reject.
• Позначка зовнішніх листів і захист посилань та вкладень ловлять частину того, що пройшло.
• Найдорожчі атаки часто без посилань і вірусів: це лист «у нас змінились реквізити». Проти нього працює правило: нові реквізити підтверджуємо дзвінком на відомий номер. ^[9]
• Кнопка «Повідомити» і спокійна реакція на помилки важливіші за відсоток тих, хто клікнув.

Налаштування, що дає і як перевірити

SPF, DKIM і DMARC простими словами

Уявіть, що ваш домен це бланк компанії з печаткою. SPF це список кур'єрів, яким дозволено носити ваші листи: якщо лист приніс хтось не зі списку, одержувач це бачить. ^[1] DKIM це пломба на конверті: вона доводить, що лист підписав ваш сервер і по дорозі його не відкривали. ^[2] DMARC це інструкція для поштових відділень одержувачів: що робити з листом, у якого немає ні правильного кур'єра, ні пломби, і куди надсилати звіти про такі листи. ^[3]

Без DMARC будь-хто може надіслати лист від імені вашого бухгалтера вашим клієнтам, і частина поштових сервісів його доставить. NCSC радить рухатися поетапно: почати з p=none, читати звіти, налаштувати SPF і DKIM для всіх сервісів, що надсилають від вашого імені, і потім перейти до quarantine і reject. ^[4] Microsoft описує той самий шлях для доменів у Microsoft 365. ^[5]

Як перевірити самому. Введіть домен у безкоштовний публічний тест, наприклад internet.nl або MXToolbox. Інший спосіб: відкрийте будь-який лист, надісланий з вашої пошти на Gmail, виберіть «Показати оригінал» і знайдіть рядок із результатами spf, dkim і dmarc. Усі три мають бути pass.

Тривожні знаки:

• DMARC немає взагалі;
• DMARC роками стоїть на p=none, а звіти ніхто не читає: це спостереження без захисту;
• два окремі записи SPF на одному домені: за стандартом це помилка, і перевірка не працює; ^[1]
• DKIM не ввімкнений для власного домену. У Microsoft 365 це робиться в порталі Microsoft Defender: Email & collaboration > Policies & rules > Threat policies > Email authentication settings, вкладка DKIM. ^[6]

Не забудьте домени, з яких пошту не надсилають: старі назви, регіональні домени. Для них ставлять SPF без жодного дозволеного сервера і DMARC з p=reject, щоб ними не скористались зловмисники. ^[5]

Позначка зовнішніх листів

Типовий сценарій: «директор» пише з особистої скриньки і просить терміново оплатити рахунок. Ім'я правильне, підпис правильний, адресу на телефоні не видно. Позначка External біля листа ззовні одразу показує, що щось не так.

У Microsoft 365 її вмикає адміністратор командою Set-ExternalInOutlook -Enabled $true в Exchange Online PowerShell, після чого Outlook показує позначку External. ^[7] В інших поштових сервісах шукайте налаштування для зовнішніх відправників або додайте позначку правилом обробки пошти.

Захист посилань і вкладень

Посилання в листі може вести на нормальну сторінку в момент доставки і на фішингову через годину. Тому корисна перевірка в момент кліку, а не лише під час доставки. У Microsoft 365 це робить Safe Links з Microsoft Defender for Office 365. ^[8] Вкладення там перевіряє Safe Attachments: він відкриває файл в ізольованому середовищі (пісочниці) ще до доставки.

Що перевірити: політики діють для всіх скриньок, а не для тестової групи; небезпечні типи вкладень (виконувані файли, скрипти, образи дисків) блокуються; користувачі не можуть самі випускати листи з карантину без перевірки IT.

Правило для бухгалтерії: реквізити підтверджуємо голосом

Найдорожчий фішинг часто не містить ні посилань, ні вкладень. Приходить лист від постачальника, іноді зі справжньої, але зламаної скриньки: «у нас новий рахунок, оплатіть, будь ласка, на нього». Фільтри тут безсилі, бо лист нічим не відрізняється від звичайного. FBI окремо радить перевіряти зміни платіжних реквізитів через інший канал зв'язку. ^[9]

Дайте бухгалтерії просте письмове правило:

1. Будь-яка зміна реквізитів або «термінова» оплата новому одержувачу підтверджується дзвінком.
2. Номер беремо з договору чи картки контрагента, а не з листа і не з підпису в ньому.
3. Платіж понад погоджену суму погоджує друга людина.
4. Бухгалтер має право затримати платіж для перевірки, навіть якщо «директор дуже просить», і за це не карають.

Останній пункт найважливіший. Зловмисники тиснуть терміновістю і авторитетом, і правило працює лише тоді, коли людина не боїться його застосувати.

Кнопка «Повідомити»

Людина, яка помітила дивний лист, має повідомити про нього в один клік. В Outlook для цього є вбудована кнопка Report, а в порталі Microsoft Defender на сторінці User reported settings вказують скриньку, куди падають такі повідомлення. ^[10] У Gmail є пункт «Повідомити про фішинг».

Важливо, що відбувається далі. На кожне повідомлення хтось відповідає: «дякую, лист безпечний» або «дякую, ми прибрали його у всіх». Якщо повідомлення зникають без відповіді, люди швидко перестають повідомляти.

Фішинг-симуляції: законно і без сорому

Фішинг-симуляція це навчальний фішинговий лист, який компанія надсилає своїм людям, щоб побачити, де ламається процес. NCSC прямо попереджає: жодне навчання не навчить помічати кожен фішинговий лист, покарання за клік не працює і створює юридичні ризики, тому симуляції варто погоджувати з HR. ^[11]

Як зробити це правильно:

• Письмовий дозвіл керівництва з переліком людей, сценаріїв і дат. HR знає про симуляцію заздалегідь.
• Без справжніх паролів. Добра симуляція фіксує лише факт введення, а сам пароль не зберігає.
• Звіт без імен для керівництва: по відділах і ролях, а не список «хто попався».
• Розбір як навчання: після симуляції люди бачать, на що саме варто було звернути увагу.
• Головна метрика це скільки людей повідомили про лист і як швидко, а не лише скільки клікнули.

Так ми проводимо фішинг-симуляції у Veiltrack: сценарії погоджуємо заздалегідь, результати агреговані, мета процеси й навчання, а не пошук винних.

Якщо пошта налаштована, а питання в тому, що ще видно і доступно з інтернету, це вже робота для пентесту або перевірки акаунтів і хмари.

Чекліст захисту пошти

• SPF один, без +all, містить усі сервіси, що надсилають пошту від вашого домену.
• DKIM увімкнений для власного домену в кожному сервісі, що надсилає від вашого імені.
• DMARC на p=quarantine або p=reject, звіти хтось читає.
• Домени, з яких пошту не надсилають, мають SPF без дозволених серверів і DMARC p=reject.
• Листи ззовні мають позначку External.
• Захист посилань і вкладень увімкнений для всіх скриньок.
• Бухгалтерія підтверджує нові реквізити дзвінком на номер із договору.
• У пошті є кнопка «Повідомити», і кожне повідомлення отримує відповідь.
• Фішинг-симуляції погоджені письмово, звіт без імен.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Що таке SPF, DKIM і DMARC одним реченням?

SPF каже, які сервери можуть надсилати пошту від вашого домену, DKIM підписує кожен лист, а DMARC каже одержувачам, що робити з листами, які не пройшли ці перевірки.

Чи можна одразу поставити DMARC p=reject?

Можна, але ризиковано: листи з CRM, сервісу розсилок чи бухгалтерської програми, які ви забули додати в SPF і DKIM, почнуть відхилятися. Почніть з p=none на кілька тижнів, прочитайте звіти, виправте джерела і лише потім посилюйте.

Чи законно перевіряти працівників фішинговими листами?

Симуляцію проводять від імені компанії за письмовим рішенням керівництва, з погодженими межами і відомом HR. Вона не збирає паролі й особисті дані понад потрібне для звіту, а результати не використовують для покарань. Якщо є сумніви щодо трудових питань, погодьте формат із юристом.

Чи карати тих, хто клікнув?

Ні. Покарання вчить ховати помилки, і тоді про справжню атаку ви дізнаєтесь пізно. Людина, яка клікнула і одразу повідомила, зробила все правильно.

Чи потрібен пентест, якщо пошта налаштована?

Налаштування пошти закривають підробку домену і частину шкідливих листів. Чи можна зламати ваш сайт, кабінет клієнта чи API, показує пентест. Це різні перевірки для різних ризиків.

Посилання

1. RFC 7208: Sender Policy Framework (SPF) for Authorizing Use of Domains in Email, Version 1 rfc-editor.org
2. RFC 6376: DomainKeys Identified Mail (DKIM) Signatures rfc-editor.org
3. RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC) rfc-editor.org
4. NCSC: Email security and anti-spoofing ncsc.gov.uk
5. Microsoft Learn: Set up DMARC to validate email in Microsoft 365 learn.microsoft.com
6. Microsoft Learn: How to use DKIM for email in your custom domain learn.microsoft.com
7. Microsoft Learn: Set-ExternalInOutlook learn.microsoft.com
8. Microsoft Learn: Safe Links in Microsoft Defender for Office 365 learn.microsoft.com
9. FBI IC3: Business Email Compromise: The $55 Billion Scam (PSA, 2024) ic3.gov
10. Microsoft Learn: Configure user reported message settings learn.microsoft.com
11. NCSC: Phishing attacks: defending your organisation ncsc.gov.uk