Sytuacja
Firma e-commerce z Kowna na Litwie sprzedaje artykuły do domu i ogrodu na Litwie i w krajach bałtyckich. Zatrudnia 40 osób: obsługa klienta, marketing, zakupy i magazyn. Poczta i kalendarze działały u lokalnego dostawcy hostingu, tego samego, który wiele lat wcześniej zbudował pierwszy sklep internetowy. Skrzynki miały ograniczoną pojemność, nie było gdzie przechowywać wspólnych dokumentów, a pracownicy wymieniali pliki przez prywatne konta w chmurze.
Były też konta współdzielone: „info”, „zamowienia” i „zakupy”. Do każdego z nich kilka osób logowało się tym samym hasłem, często z prywatnych telefonów. Nikt nie miał weryfikacji dwuetapowej.
Incydent wydarzył się jesienią, na początku szczytu sezonu. Kierowniczka zakupów dostała wiadomość, rzekomo od dostawcy, z linkiem do „zaktualizowanej faktury”. Na podrobionej stronie wpisała hasło do swojej poczty. W ciągu kilku godzin z jej konta wysłano wiadomości do wszystkich jej kontaktów, a jeden z dostawców dostał prośbę o zmianę rachunku bankowego do płatności. Dostawca zadzwonił, żeby to sprawdzić, więc żadne pieniądze nie przepadły, ale kierownik firmy zrozumiał, że to było szczęście, a nie ochrona.
Czego potrzebowano
Razem z kierownikiem firmy i szefową obsługi klienta uzgodniliśmy cele:
- Przeniesienie poczty, kalendarzy i kontaktów do Microsoft 365 tak, aby obsługa klienta nie odczuła żadnej przerwy. W sezonie każda godzina bez odpowiedzi na wiadomości to utracone zamówienia.
- Jedna tożsamość dla każdego pracownika, bez wspólnych haseł, a skrzynki współdzielone skonfigurowane jako wspólne zasoby pocztowe, a nie osobne konta.
- Weryfikacja dwuetapowa dla wszystkich bez wyjątku, łącznie z kierownictwem.
- Ochrona przed wiadomościami phishingowymi, zanim dotrą do pracowników.
- Kopie zapasowe poczty i dokumentów niezależne od Microsoft.
- Termin: przed największą wyprzedażą roku, czyli cztery tygodnie.
Co zrobiliśmy
Tydzień 1: przygotowanie i tożsamości
Utworzyliśmy tenant Microsoft 365, zweryfikowaliśmy domenę i zaczęliśmy od tożsamości: osobne konto Microsoft Entra ID dla każdego pracownika, a skrzynki współdzielone „info”, „zamowienia” i „zakupy” stały się wspólnymi zasobami pocztowymi, do których konkretne osoby uzyskują dostęp na własnych kontach. Teraz widać, kto odpowiedział na którą wiadomość.
Równolegle przygotowaliśmy plan migracji: historia poczty jest kopiowana do Microsoft 365 z wyprzedzeniem, kilka razy, gdy oba systemy działają, a przełączenie następuje dopiero przez zmianę rekordów pocztowych domeny.
Tydzień 2: migracja bez przestoju
Zmigrowaliśmy historię poczty, a niektóre skrzynki zawierały dziesięć lat wiadomości. W środę wieczorem przełączyliśmy rekordy domeny i następnego ranka pracownicy już pracowali w Microsoft 365. Wiadomości, które dotarły w godzinach przełączenia, zostały zebrane ze starego systemu i przeniesione. Nie zginęła ani jedna wiadomość, a obsługa klienta pracowała jak zwykle.
Najtrudniejsze były systemy sklepu internetowego i magazynu, które wysyłały klientom automatyczne wiadomości przez stary serwer pocztowy. Przekonfigurowaliśmy je z wyprzedzeniem i przetestowaliśmy, aby potwierdzenia zamówień nie zostały przerwane.
Tydzień 3: bezpieczeństwo
Włączyliśmy weryfikację dwuetapową dla wszystkich przez aplikację w telefonie. Skonfigurowaliśmy dostęp warunkowy: logowania z nieznanych urządzeń lub nietypowych krajów są blokowane, a starsze protokoły, z których korzystają atakujący stosujący phishing, wyłączone. Telefony pracowników z pocztą służbową zostały objęte zarządzaniem urządzeniami, więc w razie zgubienia telefonu dane firmowe są usuwane zdalnie.
Filtry poczty skonfigurowaliśmy zgodnie z praktyką bezpieczeństwa Microsoft 365: linki w wiadomościach są sprawdzane w chwili kliknięcia, załączniki otwierane w chronionym środowisku, a wiadomości z zagranicy podszywające się pod nazwiska naszych kierowników są oznaczane jako podejrzane. Kierownictwo, którego nazwiska podrabia się najczęściej, otrzymało dodatkową ochronę przed podszywaniem się.
Tydzień 4: kopie zapasowe i szkolenie
Włączyliśmy backup Microsoft 365 w Veeam: poczta, OneDrive, SharePoint i Teams są codziennie kopiowane do naszego centrum danych na Litwie (UE), niezależnie od Microsoft. Usunięta wiadomość lub dokument są odtwarzane w kilka minut, a nie przez zgłoszenie do wsparcia Microsoft.
W ostatnim tygodniu przeprowadziliśmy godzinne szkolenie dla wszystkich pracowników: jak rozpoznać podrobioną wiadomość, co zrobić po kliknięciu i dlaczego zmianę danych bankowych zawsze trzeba potwierdzić telefonicznie. Po szkoleniu zaczęliśmy okresowe symulacje phishingu, czyli wiadomości testowe, które pokazują, kto jeszcze klika.
Wynik
W ciągu sześciu miesięcy po migracji nie było ani jednego skutecznego ataku phishingowego. Mierzymy to na dwa sposoby: panel bezpieczeństwa pokazuje każdą zablokowaną wiadomość i próbę logowania, a symulowane wiadomości phishingowe pokazują, jak reagują pracownicy. W pierwszym teście kilka osób kliknęło, w trzecim nikt.
Przestój poczty podczas migracji wyniósł 0 godzin: obsługa klienta pracowała cały czas, a przełączenie odbyło się wieczorem. Wszystkie 40 kont, 100%, ma weryfikację dwuetapową i dostęp warunkowy, a wspólne hasła już nie istnieją. Każda omyłkowo usunięta wiadomość lub plik jest odtwarzana z kopii zapasowej; w ciągu pół roku takich próśb było cztery, wszystkie zrealizowano tego samego dnia.
Po incydencie myślałem, że bezpieczeństwo oznacza niedogodności. Okazuje się, że niedogodności były wcześniej, tylko ich nie zauważaliśmy.
Co doradzilibyśmy w podobnej sytuacji
- Konta współdzielone ze wspólnym hasłem to największe ryzyko w małych firmach. Skrzynki współdzielone można mieć, ale ludzie powinni logować się do nich osobistą tożsamością.
- Weryfikacja dwuetapowa dla wszystkich, łącznie z kierownictwem. Konta kierowników to dokładnie te, na których atakującym zależy najbardziej.
- Przy migracji poczty kopiuj historię wiadomości z wyprzedzeniem i przełączaj tylko rekordy domeny. Wtedy przestój wynosi zero, a nie weekend.
- Microsoft chroni Twoją pocztę, ale nie odpowiada za to, co usuniesz sam lub co usunie atakujący. Kopia poza Microsoft to nie nadmiar, tylko standard.
