Şirket e-postası ele geçirildi: ne yapmalı

Şirket e-postası ele geçirildiyse ilk iş parolayı sıfırlamaktır. Hemen ardından o kutunun açık IMAP, POP ve SMTP bağlantılarını düşürün: parola değişse bile kurulmuş bir bağlantı postayı çekmeye devam edebilir. Üçüncü adımı çoğu kişi atlar ve saldırgan tam oradan geri döner: yönlendirme ve filtre kuralları. Ele geçirilen kutulara bırakılan en yaygın iz, gelen postanın bir kopyasını dışarıya gönderen sessiz bir kuraldır.

İlk saatte, bu sırayla

1. Parolayı sıfırlayın. Panelde uyarı detayındaki şifre sıfırlama yeni bir parola üretir ve yalnızca bir kez gösterir; saldırganın bildiği eski parola o anda geçersiz olur. Yeni parolayı kullanıcıya güvenli bir kanaldan iletin.
2. Açık bağlantıları kesin. Bu işlem IMAP, POP ve SMTP oturumlarını düşürür; şifre sıfırlama bunu zaten kendisi de yapar. Tarayıcıda açık kalmış bir web posta oturumu ise kendi süresi dolana kadar sürebilir.
3. Yönlendirme, filtre ve otomatik yanıt kurallarını tek tek okuyun. Tanımadığınız her kuralı silin.
4. Gönderilenler, Çöp ve Spam klasörlerini inceleyin: kutudan kimlere ne gitmiş?
5. Alias adreslerini ve kutuya verilmiş yetkileri kontrol edin.
6. O hesap için üretilmiş uygulama parolalarını iptal edin; parola değişikliği onları tek başına geçersiz kılmayabilir.
7. Muhasebeyi ve yazışmadaki tarafları uyarın: bu kutudan gelen hesap numarası değişikliği taleplerini telefonla teyit etmeden işlemeyin.
8. Gerekirse hesabı geçici olarak askıya alın ve kullanıcının cihazını kontrol ettirin.

Bir hesabın ele geçirildiği nasıl anlaşılır?

AkıllıPosta’da uyarı şu işaretten doğar:

• Yeni yönlendirme kuralı: postayı dışarıya kopyalayan bir kuralın aniden ortaya çıkması.
• Parola değişikliği: kutunun parolası değiştiğinde bu uyarıya bağlam olarak eklenir; tek başına uyarı üretmez.

Her uyarı bir risk puanı ve dört seviyeden biriyle (düşük, orta, yüksek, kritik) panele düşer. Kural şu: tek bir sinyal kendi başına kritik seviyeye çıkamaz.

Neden hesabı biz otomatik kapatmıyoruz?

Çünkü yanlış alarmın bedelini müşteri öder. Bir çalışan kendi isteğiyle parolasını değiştirdiğinde ya da BT ekibi meşru bir yönlendirme kuralı kurduğunda da sinyal tetiklenebilir. Otomatik askıya alma, o anda çalışan bir kutuyu durdurur. Bu yüzden uyarı panele düşer, müdahaleyi yönetici onaylar ve her müdahale kim tarafından, ne zaman yapıldığıyla kayda geçer. Sessiz engelleme yapmıyoruz.

Olay bittikten sonra: kayıtları toplayın

Müdahale bitince asıl soru başlar: ne oldu, ne dışarı çıktı, kime ne anlatacağız? Panelde işlem ve erişim geçmişi her planda görüntülenebilir; hesapta yapılan değişiklikler ve destek ekibimizin girişleri gerekçesiyle burada durur. Dışa aktarma Profesyonel planından itibaren açıktır. Gizlilik nedeniyle bu listede IP ve cihaz bilgisi gösterilmez. İleti düzeyinde kanıt gerekiyorsa arşiv devreye girer: arşivdeki her kaydın özeti ve imzası, o iletinin olaydan sonra değiştirilmediğini üçüncü bir tarafa gösterebilmenizi sağlar.

Tekrarını önlemek

• İki adımlı doğrulama: panelden hangi yöntemin kullanılacağını belirleyip kilitleyebilirsiniz. Sistem kimseyi iki adımlı doğrulama kurmaya zorlamaz; bunu kurum içi bir kural hâline getirin.
• Uygulama parolası hijyeni: artık kullanılmayan istemciler için üretilmiş parolaları silin. Her biri ayrı bir anahtardır.
• Yönlendirme denetimi: kutulardaki yönlendirme kurallarını dönemsel olarak gözden geçirin.
• Alan adı kayıtları: DMARC, adınızın taklit edilmesini zorlaştırır ve size rapor akıtır.

Hesap ele geçirme uyarıları İş planından itibaren açıktır; müdahale düğmeleri panelin Tehdit bölümünde durur. Ele geçirmenin çıkış noktası çoğu zaman kutuya düşmüş bir oltalama postasıdır: posta sunucunuz başka bir sağlayıcıdaysa MX kaydınızı sunucunuzun önündeki antispam gateway’e çevirerek o postayı kutuya ulaşmadan eleyebilirsiniz. Güvenlik katmanlarının tamamını Güvenlik ve KVKK sayfamızda bulabilir, olaydan sonra hangi kaydı nereden çıkaracağınızı e-posta arşivleme yazımızda okuyabilirsiniz. Bir olayın ortasındaysanız ve destek gerekiyorsa bize yazın.