To przykład dydaktyczny, nie raport z prawdziwego zlecenia i nie gwarancja, że u Ciebie będzie tak samo. Imiona i firma są zmyślone. Kolejność działań jest celowo prosta — jak w karcie ratunkowej przejęcia konta, tylko tu widać decyzje i błędy, a nie same checkboxy.
Poniedziałek, 8:40 — objawy
Anna prowadzi sklep z dostawami B2B. Rano dzwoni hurtownik: „Dostałem od Was maila o zmianie numeru konta do przelewu. Potwierdzacie?”. Anna tego maila nie wysyłała.
W skrzynce biuro@ widać:
- wiadomość „wysłaną” o 7:12 z załącznikiem PDF „aktualizacja rachunku”,
- w folderze Wysłane — kilka maili, których nie pamięta,
- powiadomienie z Microsoft 365: logowanie z innego miasta o 6:58.
Telefon służbowy leży na biurku. Hasło do poczty „zmienialiśmy w maju”. MFA było „do włączenia kiedyś”.
Pierwsze 60 minut — co zrobili dobrze
- Nie pisali z podejrzanej skrzynki do klientów „to nie my”. Użyli telefonu i znanego numeru hurtownika.
- Nie restartowali „na czysto” jedynego laptopa z pocztą — najpierw drugi, zaufany telefon do logowania w panelu.
- Zapisali godzinę pierwszego dziwnego maila i powiadomienia o logowaniu (przyda się bankowi / ubezpieczycielowi / nam).
- Hurtownikowi powiedzieli wprost: wstrzymajcie przelew, weryfikacja drugim kanałem — jak w weryfikacji zmiany rachunku.
Błędy, których uniknęli (i jeden, którego prawie nie)
Prawie kliknęli link „odzyskaj konto” z SMS-a, który przyszedł minutę po telefonie od hurtownika. SMS wyglądał jak od Microsoftu. Zatrzymali się, bo link nie zaczynał się od oficjalnej domeny, którą znali z panelu. Zalogowali się wpisując adres panelu z zakładki, nie z SMS-a.
Czego nie zrobili: nie wysłali pełnego dumpa skrzynki do „znajomego IT na Messengerze”. Nie wkleili haseł do formularza „na wszelki wypadek”.
Odzyskanie — decyzje, nie magia
Na zaufanym telefonie:
- Zalogowanie do konta administratora Microsoft 365 (osobne konto, nie
biuro@). - Wylogowanie sesji / unieważnienie sesji dla
biuro@i wymuszenie zmiany hasła. - Włączenie MFA dla skrzynki biurowej i konta admina.
- Sprawdzenie reguł skrzynki (przekierowania, „forward” na zewnątrz) — była reguła kopiująca maile na obcy adres. Usunięta.
- Przegląd aplikacji OAuth / „połączonych aplikacji” — jedna nieznana; odebrane uprawnienia.
- Krótka notatka: co, kiedy, kto zatwierdził odcięcie.
Klientów z otwartymi fakturami powiadomili osobnym kanałem (telefon / znany mail z innej domeny), nie z przejętej skrzynki w trakcie chaosu.
Domknięcie — następny dzień
- Hasła zmienione, sesje ucięte, MFA włączone.
- Laptop „podejrzany” zostawiony do przeglądu; praca na innym urządzeniu.
- Lista: kto jeszcze ma dostęp do M365, czy był RDP do biura, czy backup poczty w ogóle istnieje.
- Hurtownik dostał potwierdzenie znanym kanałem, że numer konta się nie zmienia.
Gdyby w grę wchodziły pieniądze już wysłane — bank oficjalnym numerem, nie z SMS-a. Role: mapa kto co robi przy incydencie.
Czego ten case nie obiecuje
Nie obiecuje odzyskania pieniędzy. Nie obiecuje, że „w 15 minut wróci spokój”. Nie zastępuje karty ratunkowej w Twojej sprawie — u Ani akurat nie było ransomware ani kradzieży sesji przeglądarki; u Ciebie może być inaczej (wtedy patrz też złodziej sesji).
Jeśli jesteś w podobnym momencie: najpierw pierwszy dziwny login, potem karta przejęcia konta, potem — jeśli chcesz zewnętrzny triage — konsultacja albo formularz SOC / IR. Telefon jest chwilowo niedostępny; formularz zwykle wraca w 1 dzień roboczy.