Pracownik kliknął w podejrzany link. Co firma powinna zrobić od razu?

Kliknięcie linku to nie zawsze włamanie, ale nie wolno tego ignorować

Pracownik dostał wiadomość e-mail, SMS, komunikat w Teams albo link od „kontrahenta”. Kliknął. Strona wyglądała jak Microsoft 365, bank, kurier, podpis elektroniczny, faktura albo panel dostawcy. Dopiero po chwili pojawiła się wątpliwość: czy to było bezpieczne?

W takiej sytuacji najgorsze, co firma może zrobić, to zignorować temat.

Samo kliknięcie w link nie zawsze oznacza przejęcie konta. Czasem strona tylko się otworzyła, ale użytkownik niczego nie wpisał. Czasem link został zablokowany przez zabezpieczenia. Czasem użytkownik zamknął stronę od razu. Ale jeśli pracownik podał login i hasło, zatwierdził MFA, pobrał plik, uruchomił załącznik albo zalogował się na podejrzanej stronie, trzeba działać szybko.

Przy phishingu liczy się czas. Im szybciej firma zareaguje, tym większa szansa, że uda się zatrzymać atak, zanim ktoś przejmie pocztę, ustawi reguły przekierowania, wyśle fałszywe wiadomości do klientów albo pobierze pliki z OneDrive i SharePoint.

Pierwsze pytanie: co dokładnie zrobił pracownik?

Nie każda sytuacja wymaga takiej samej reakcji. Dlatego na początku trzeba ustalić, co się wydarzyło.

Warto zapytać pracownika:

1. Z jakiego kanału przyszedł link – e-mail, SMS, Teams, komunikator, reklama, strona internetowa?
2. Kto był nadawcą wiadomości?
3. Czy pracownik tylko kliknął link?
4. Czy wpisał login?
5. Czy wpisał hasło?
6. Czy zatwierdził MFA?
7. Czy podał kod SMS lub kod z aplikacji?
8. Czy pobrał plik?
9. Czy uruchomił pobrany plik?
10. Czy strona prosiła o dane karty, dane firmy, NIP, PESEL albo numer rachunku?
11. Czy po kliknięciu coś zaczęło się instalować?
12. Czy pojawiły się nietypowe komunikaty na komputerze?

To ważne, bo inaczej reagujemy na samo kliknięcie linku, inaczej na wpisanie hasła, a jeszcze inaczej na uruchomienie pliku.

Czego pracownik nie powinien robić po kliknięciu?

W pierwszych minutach łatwo pogorszyć sytuację. Pracownik może chcieć „naprawić” problem samodzielnie, usuwać wiadomości, zamykać okna, restartować komputer albo czyścić historię przeglądarki. Nie zawsze jest to dobre.

Po kliknięciu podejrzanego linku pracownik powinien:

1. nie wpisywać żadnych kolejnych danych,
2. nie zatwierdzać kolejnych próśb MFA,
3. nie klikać ponownie linku,
4. nie przekazywać wiadomości innym osobom jako zwykłego forwarda,
5. nie usuwać wiadomości,
6. nie uruchamiać pobranych plików,
7. nie próbować samodzielnie „testować”, czy link działa,
8. nie ignorować sprawy,
9. zgłosić incydent do osoby odpowiedzialnej za IT.

Jeżeli pracownik dostał nietypowe powiadomienie MFA, którego sam nie wywołał, powinien je odrzucić i zgłosić sprawę. Wielokrotne prośby o zatwierdzenie logowania mogą oznaczać próbę przejęcia konta.

Krok 1: zabezpieczyć konto użytkownika

Jeżeli pracownik wpisał hasło, zatwierdził MFA albo nie wiadomo, czy dane zostały podane, konto trzeba potraktować jako potencjalnie naruszone.

Administrator powinien w pierwszej kolejności:

1. zmienić hasło użytkownika,
2. wymusić wylogowanie ze wszystkich sesji,
3. cofnąć aktywne tokeny dostępu,
4. sprawdzić metody MFA,
5. usunąć nieznane metody uwierzytelniania,
6. sprawdzić, czy nie dodano nowego telefonu lub aplikacji MFA,
7. tymczasowo zablokować logowanie, jeśli ryzyko jest wysokie,
8. sprawdzić, czy konto nie ma podwyższonych uprawnień.

Sama zmiana hasła może nie wystarczyć, jeśli atakujący ma aktywną sesję albo token dostępu. Dlatego ważne jest także wylogowanie aktywnych sesji i sprawdzenie metod MFA.

Jeżeli problem dotyczy konta administratora, reakcja powinna być jeszcze szybsza. Trzeba sprawdzić role administracyjne, zmiany w użytkownikach, MFA, regułach, aplikacjach i zasadach bezpieczeństwa.

Krok 2: sprawdzić logowania w Microsoft 365

Po zabezpieczeniu konta trzeba sprawdzić, czy doszło do udanego logowania z nietypowego miejsca, urządzenia albo aplikacji.

W Microsoft 365 i Microsoft Entra warto sprawdzić:

1. ostatnie logowania użytkownika,
2. kraje i adresy IP,
3. logowania zakończone sukcesem,
4. logowania zakończone błędem,
5. nietypowe lokalizacje,
6. logowania z anonimowych adresów IP,
7. użyte aplikacje,
8. urządzenia,
9. przeglądarki,
10. status MFA,
11. godziny logowań,
12. aktywność po zalogowaniu.

Szczególnie podejrzane jest udane logowanie po serii błędnych prób, logowanie z lokalizacji, w której pracownik nie przebywał, albo logowanie z urządzenia, którego firma nie zna.

Więcej o tym obszarze opisaliśmy w artykule Podejrzane logowania w Microsoft 365. Co powinno zaniepokoić firmę?.

Krok 3: sprawdzić reguły poczty i przekierowania

Po przejęciu konta atakujący często nie zaczyna od razu od wysyłki spamu. Czasem najpierw ustawia reguły pocztowe, żeby ukrywać odpowiedzi, kasować alerty albo przekazywać wiadomości na zewnętrzny adres.

Dlatego po kliknięciu podejrzanego linku i możliwym podaniu danych trzeba sprawdzić:

1. nowe reguły w Outlooku,
2. ukryte reguły skrzynki,
3. przekierowania poczty,
4. forwarding zewnętrzny,
5. reguły usuwające wiadomości,
6. reguły oznaczające wiadomości jako przeczytane,
7. reguły przenoszące odpowiedzi do nietypowych folderów,
8. automatyczne odpowiedzi,
9. nowe foldery,
10. delegacje i uprawnienia do skrzynki.

Szczególnie groźne są reguły dotyczące słów takich jak: faktura, płatność, przelew, bank, hasło, kod, invoice, payment, wire transfer.

Więcej o tym opisaliśmy w artykule Podejrzane reguły w poczcie. Jak wykryć, że ktoś przejął skrzynkę firmową?.

Krok 4: sprawdzić wiadomości wysłane i odbiorców

Jeżeli konto zostało przejęte, atakujący mógł wysłać wiadomości do klientów, dostawców, pracowników lub innych kontaktów z książki adresowej.

Trzeba sprawdzić:

1. folder „Elementy wysłane”,
2. wiadomości usunięte,
3. wiadomości w archiwum,
4. ślady wysyłki w message trace,
5. wiadomości do kontrahentów,
6. wiadomości z załącznikami,
7. wiadomości z linkami,
8. wiadomości z prośbą o płatność,
9. wiadomości o zmianie numeru rachunku,
10. wiadomości do innych pracowników,
11. wiadomości masowe,
12. niedostarczone wiadomości i zwrotki.

Jeżeli z konta wyszły fałszywe wiadomości, firma powinna szybko ostrzec odbiorców. Szczególnie ważne są sytuacje związane z fakturami, płatnościami, numerami kont bankowych i załącznikami.

Krok 5: sprawdzić komputer pracownika

Jeżeli użytkownik tylko wpisał dane na fałszywej stronie, główny problem dotyczy konta. Jeżeli jednak pobrał i uruchomił plik, trzeba sprawdzić także komputer.

Warto wykonać:

1. skan antywirusowy,
2. sprawdzenie pobranych plików,
3. sprawdzenie autostartu,
4. sprawdzenie nowych aplikacji,
5. sprawdzenie rozszerzeń przeglądarki,
6. sprawdzenie procesów i usług,
7. analizę alertów EDR lub antywirusa,
8. kontrolę połączeń sieciowych,
9. izolację komputera od sieci, jeśli ryzyko jest wysokie,
10. zabezpieczenie danych potrzebnych do analizy.

Jeżeli na komputerze mogło uruchomić się złośliwe oprogramowanie, nie należy ograniczać reakcji tylko do zmiany hasła. Infekcja może próbować wykraść zapisane hasła, ciasteczka sesyjne, dane z przeglądarki albo dostęp do plików.

Krok 6: sprawdzić OneDrive, SharePoint i Teams

Microsoft 365 to nie tylko poczta. Jeżeli atakujący przejął konto, mógł uzyskać dostęp również do plików użytkownika i zasobów zespołowych.

Trzeba sprawdzić:

1. czy pobierano pliki z OneDrive,
2. czy usuwano pliki,
3. czy zmieniano uprawnienia,
4. czy tworzono linki udostępniania,
5. czy otwierano dokumenty z SharePoint,
6. czy konto miało dostęp do wrażliwych folderów,
7. czy wysyłano wiadomości w Teams,
8. czy udostępniano pliki osobom spoza firmy,
9. czy pojawiły się nietypowe działania na dokumentach.

Jeżeli użytkownik miał dostęp do dokumentów księgowych, umów, ofert, danych klientów lub folderów projektowych, trzeba sprawdzić zakres możliwego dostępu.

Więcej o porządkowaniu dokumentów opisaliśmy w artykule OneDrive czy SharePoint. Gdzie firma powinna trzymać dokumenty?.

Krok 7: znaleźć inne osoby, które dostały tę samą wiadomość

Phishing rzadko trafia tylko do jednej osoby. Bardzo często podobną wiadomość dostaje kilka lub kilkanaście osób w firmie.

Administrator powinien sprawdzić:

1. kto jeszcze otrzymał tę samą wiadomość,
2. kto ją otworzył,
3. kto kliknął link,
4. kto odpowiedział,
5. kto pobrał załącznik,
6. czy wiadomość nadal jest w skrzynkach,
7. czy można ją usunąć lub poddać kwarantannie,
8. czy podobna wiadomość przyszła z innych adresów.

Jeżeli organizacja korzysta z Microsoft Defender for Office 365, część działań można wykonać z poziomu portalu bezpieczeństwa. Microsoft opisuje też alert typu „potentially malicious URL click”, który może być generowany, gdy użytkownik chroniony przez Safe Links kliknie link uznany za złośliwy.

Krok 8: zgłosić wiadomość jako phishing

Podejrzaną wiadomość warto zgłosić do analizy. W Outlooku i Microsoft 365 można korzystać z mechanizmów raportowania phishingu. Administratorzy mogą również przekazywać wiadomości, adresy URL i załączniki do analizy w portalu Microsoft Defender.

Ważne jest, aby nie przesyłać podejrzanej wiadomości dalej jako zwykłego forwarda do wielu osób. Lepiej użyć funkcji raportowania albo przekazać wiadomość jako załącznik do osoby odpowiedzialnej za IT.

Zgłoszenie pomaga:

1. potwierdzić, czy wiadomość była phishingiem,
2. poprawić wykrywanie podobnych wiadomości,
3. zidentyfikować innych odbiorców,
4. szybciej usunąć zagrożenie z organizacji,
5. udokumentować incydent.

Krok 9: poinformować zespół, ale bez paniki

Jeżeli phishing mógł trafić do większej liczby osób, warto szybko poinformować pracowników.

Komunikat powinien być krótki i konkretny:

1. nie klikajcie linku z tej wiadomości,
2. nie wpisujcie danych logowania,
3. nie otwierajcie załącznika,
4. zgłoście, jeśli ktoś kliknął,
5. odrzućcie nietypowe MFA,
6. nie usuwajcie wiadomości samodzielnie, jeśli IT prosi o jej zachowanie.

Nie chodzi o straszenie pracowników. Chodzi o to, żeby zatrzymać rozprzestrzenianie się incydentu i zebrać informacje.

Dobra kultura bezpieczeństwa oznacza, że pracownik nie boi się zgłosić kliknięcia. Ukrywanie błędu jest znacznie groźniejsze niż samo kliknięcie.

Krok 10: udokumentować incydent

Po opanowaniu sytuacji warto zapisać, co się wydarzyło. Nawet prosty opis może pomóc przy kolejnych incydentach.

W dokumentacji warto uwzględnić:

1. datę i godzinę zgłoszenia,
2. kto zgłosił incydent,
3. jaki był nadawca wiadomości,
4. jaki był temat wiadomości,
5. jaki link lub załącznik występował,
6. kto kliknął,
7. czy podano login i hasło,
8. czy zatwierdzono MFA,
9. jakie działania wykonał administrator,
10. czy doszło do wysyłki wiadomości z konta,
11. czy ucierpiały pliki lub dane,
12. jakie działania zapobiegawcze wdrożono.

Bez dokumentacji firma powtarza te same błędy. Z dokumentacją można poprawić procedury, szkolenia i zabezpieczenia.

Co zrobić, jeśli podano hasło do Microsoft 365?

Jeżeli użytkownik wpisał hasło na podejrzanej stronie, trzeba założyć, że hasło jest znane atakującemu.

Minimalna reakcja:

1. zmienić hasło,
2. wylogować aktywne sesje,
3. cofnąć tokeny,
4. sprawdzić MFA,
5. sprawdzić logowania,
6. sprawdzić reguły poczty,
7. sprawdzić przekierowania,
8. sprawdzić wiadomości wysłane,
9. sprawdzić OneDrive i SharePoint,
10. upewnić się, że to samo hasło nie było używane w innych miejscach.

Jeżeli użytkownik używał tego samego hasła w innych systemach, trzeba zmienić je również tam. Dotyczy to szczególnie systemów księgowych, CRM, sklepów internetowych, portali dostawców i bankowości.

Co zrobić, jeśli zatwierdzono MFA?

Zatwierdzenie MFA może oznaczać, że atakujący uzyskał dostęp mimo włączonego uwierzytelniania wieloskładnikowego. W takiej sytuacji nie wolno zakładać, że MFA „załatwiło sprawę”.

Trzeba:

1. natychmiast zabezpieczyć konto,
2. zmienić hasło,
3. wylogować sesje,
4. sprawdzić metody MFA,
5. usunąć nieznane urządzenia lub metody,
6. sprawdzić logowania,
7. sprawdzić działania po logowaniu,
8. zweryfikować, czy użytkownik nie zatwierdzał kolejnych prób.

Warto też wyjaśnić pracownikowi, że MFA należy zatwierdzać tylko wtedy, gdy sam rozpoczął logowanie. Jeśli telefon pyta o zatwierdzenie bez powodu, to jest sygnał alarmowy.

Co zrobić, jeśli uruchomiono załącznik lub pobrany plik?

Uruchomienie pliku to inny poziom ryzyka niż samo kliknięcie. Może oznaczać próbę instalacji złośliwego oprogramowania.

W takiej sytuacji warto:

1. odłączyć komputer od sieci, jeśli są objawy infekcji,
2. nie wyłączać komputera bez decyzji IT, jeśli potrzebna jest analiza,
3. uruchomić skan ochrony endpoint,
4. sprawdzić alerty antywirusa,
5. sprawdzić procesy, autostart i nowe pliki,
6. zmienić hasła wpisywane na tym komputerze,
7. sprawdzić zapisane hasła w przeglądarce,
8. zweryfikować dostęp do plików sieciowych,
9. sprawdzić, czy nie doszło do szyfrowania danych,
10. rozważyć przywrócenie komputera lub reinstalację, jeśli ryzyko jest wysokie.

Jeżeli komputer miał dostęp do udziałów sieciowych, dysków firmowych, SharePoint lub systemów ERP, trzeba sprawdzić również te obszary.

Czego nie robić po incydencie?

W firmach często pojawiają się złe reakcje, które utrudniają analizę albo zwiększają ryzyko.

Nie warto:

1. udawać, że nic się nie stało,
2. karać pracownika za samo zgłoszenie,
3. ograniczać się tylko do zmiany hasła,
4. usuwać wiadomości bez sprawdzenia, kto jeszcze ją dostał,
5. klikać linku „dla testu”,
6. wysyłać podejrzanej wiadomości dalej do całej firmy,
7. ignorować MFA, które pojawiło się bez logowania,
8. zostawiać aktywnych sesji,
9. pomijać sprawdzenia reguł poczty,
10. zapominać o OneDrive, SharePoint i Teams,
11. zakładać, że antywirus zawsze wszystko zatrzymał,
12. nie dokumentować incydentu.

Najbardziej ryzykowny jest spokój oparty na założeniu: „skoro nic od razu nie widać, to pewnie nic się nie stało”.

Jak przygotować firmę na kolejne próby phishingu?

Phishing nie zniknie. Można jednak ograniczyć skutki takich sytuacji.

Warto wdrożyć:

1. MFA dla użytkowników,
2. mocniejsze zabezpieczenia dla administratorów,
3. filtrowanie poczty,
4. ochronę linków i załączników,
5. raportowanie phishingu w Outlooku,
6. szkolenie pracowników,
7. procedurę „co zrobić po kliknięciu”,
8. backup Microsoft 365,
9. kontrolę reguł poczty,
10. alerty podejrzanych logowań,
11. dostęp warunkowy,
12. regularny audyt Microsoft 365.

Najważniejsze jest to, żeby pracownik wiedział, że ma zgłosić kliknięcie od razu. Szybkie zgłoszenie jest dużo lepsze niż milczenie z obawy przed konsekwencjami.

Jak IT-LOGIC może pomóc?

IT-LOGIC pomaga firmom reagować na podejrzane linki, phishing i możliwe przejęcia kont Microsoft 365. Możemy sprawdzić konto użytkownika, logowania, MFA, reguły poczty, przekierowania, wiadomości wysłane i bezpieczeństwo komputera.

Pomagamy między innymi w takich obszarach jak:

1. szybka analiza po kliknięciu podejrzanego linku,
2. zabezpieczenie konta Microsoft 365,
3. sprawdzenie logowań i aktywnych sesji,
4. sprawdzenie MFA,
5. analiza reguł poczty i przekierowań,
6. sprawdzenie wiadomości wysłanych,
7. kontrola OneDrive, SharePoint i Teams,
8. analiza komputera po uruchomieniu pliku,
9. konfiguracja zabezpieczeń poczty,
10. wdrożenie MFA i dostępu warunkowego,
11. backup Microsoft 365,
12. przygotowanie procedury reakcji na phishing.

Więcej informacji znajdziesz na stronie outsourcing IT oraz Microsoft 365 dla firm.

FAQ: pracownik kliknął w podejrzany link

Czy samo kliknięcie linku oznacza włamanie?

Nie zawsze. Jeśli użytkownik tylko otworzył stronę i niczego nie wpisał ani nie pobrał, ryzyko może być niższe. Mimo to warto sprawdzić, jaka to była strona i czy zabezpieczenia nie zgłosiły alertu.

Co zrobić, jeśli pracownik wpisał hasło?

Trzeba natychmiast zmienić hasło, wylogować aktywne sesje, cofnąć tokeny, sprawdzić MFA, logowania, reguły poczty, przekierowania i wiadomości wysłane.

Co zrobić, jeśli pracownik zatwierdził MFA?

Trzeba traktować konto jako potencjalnie przejęte. Należy zabezpieczyć konto, wylogować sesje, sprawdzić logowania, metody MFA i aktywność po zalogowaniu.

Czy trzeba odłączać komputer od internetu?

Jeżeli użytkownik tylko wpisał dane na stronie, zwykle najważniejsze jest konto. Jeżeli pobrał i uruchomił plik albo komputer zachowuje się nietypowo, odłączenie od sieci może być uzasadnione do czasu analizy IT.

Czy wystarczy zmienić hasło?

Nie. Zmiana hasła to tylko jeden z kroków. Trzeba też wylogować sesje, sprawdzić MFA, reguły poczty, przekierowania, logowania i aktywność konta.

Czy trzeba ostrzec klientów?

Jeżeli z konta wyszły fałszywe wiadomości, szczególnie dotyczące faktur, płatności lub załączników, warto szybko poinformować odbiorców i ostrzec przed klikaniem linków oraz wykonywaniem przelewów.

Czy wiadomość trzeba zgłosić jako phishing?

Tak, jeśli wygląda podejrzanie. W Microsoft 365 można korzystać z funkcji raportowania phishingu, a administrator może przekazać wiadomość, link lub załącznik do analizy.

Jak ograniczyć ryzyko na przyszłość?

Warto wdrożyć MFA, filtrowanie poczty, ochronę linków, alerty logowań, backup Microsoft 365, kontrolę reguł poczty, szkolenia użytkowników i prostą procedurę reakcji po kliknięciu.

Krótki słownik pojęć

Phishing
Atak polegający na podszywaniu się pod znaną firmę, usługę lub osobę w celu wyłudzenia danych, hasła, pieniędzy albo dostępu.

MFA
Uwierzytelnianie wieloskładnikowe, czyli dodatkowe potwierdzenie logowania poza samym hasłem.

Token dostępu
Mechanizm pozwalający utrzymać aktywną sesję użytkownika bez ciągłego wpisywania hasła.

Reguła poczty
Automatyczna akcja w skrzynce, np. przeniesienie, usunięcie lub przekierowanie wiadomości.

Przekierowanie poczty
Automatyczne przesyłanie wiadomości na inny adres e-mail.

Microsoft Entra ID
Usługa tożsamości Microsoft używana między innymi do logowania użytkowników w Microsoft 365.

Microsoft Defender for Office 365
Rozwiązanie Microsoft wspierające ochronę poczty, linków, załączników i analizę zagrożeń w Microsoft 365.

OneDrive
Przestrzeń plików użytkownika w Microsoft 365.

SharePoint
Platforma Microsoft 365 do przechowywania i współdzielenia dokumentów firmowych oraz zespołowych.

Podsumowanie

Kliknięcie podejrzanego linku przez pracownika nie zawsze oznacza włamanie, ale zawsze wymaga sprawdzenia. Najważniejsze jest ustalenie, czy użytkownik tylko kliknął, czy podał dane, zatwierdził MFA, pobrał plik albo uruchomił załącznik.

Jeżeli mogło dojść do podania danych, trzeba szybko zabezpieczyć konto: zmienić hasło, wylogować sesje, cofnąć tokeny, sprawdzić MFA, logowania, reguły poczty, przekierowania i wiadomości wysłane. Jeżeli uruchomiono plik, trzeba sprawdzić także komputer.

Dobra reakcja na phishing to nie panika, ale procedura. Im szybciej pracownik zgłosi problem, tym większa szansa na ograniczenie skutków.

Chcesz sprawdzić, czy konto firmowe jest bezpieczne po kliknięciu podejrzanego linku?

IT-LOGIC pomoże przeanalizować konto Microsoft 365, logowania, MFA, reguły poczty, przekierowania, komputer użytkownika i możliwe skutki incydentu. Możemy też przygotować firmę na podobne sytuacje przez MFA, backup, alerty i procedurę reakcji na phishing.

Sprawdź ofertę outsourcing IT oraz Microsoft 365 dla firm albo skontaktuj się z IT-LOGIC: 22 786 75 15.