Când un client primește apelul, situația este deja delicată. Furnizorii sau clienții companiei primesc facturi și solicitări de modificare a detaliilor de plată dintr-o adresă de e-mail internă, iar nimeni din companie nu le-a trimis. Mesajele par legitime, fac referire la proiecte și solduri reale, deoarece atacatorul a avut acces la conținutul căsuței de e-mail.
**Procesarea datelor - dincolo de resetarea parolei**
Primul impuls este să resetezi parola și să activezi autentificarea multifactor. Ambele acțiuni sunt corecte, dar nu completează misiunea. Schimbarea parolei închide o singură ușă de acces. Compromiterea contului de e-mail, în special în platforme precum Microsoft 365, lasă în urmă și setări configurate de intruși în timpul accesului, care continuă să funcționeze și după eliminarea acreditărilor. Astfel, un client poate fi considerat securizat într-o zi și poate continua să divulge informații confidențiale a doua zi.
**Verificarea sesiunilor active**
Schimbarea parolei nu încheie neapărat sesiunile deja stabilite, deoarece token-urile emise anterior pot rămâne valide până la expirare sau până la revocarea explicită. Microsoft 365 tratează acest lucru ca o acțiune administrativă separată, de obicei vizibilă ca o deconectare generală sau revocare a sesiunilor, iar comportamentul exact depinde de configurația și licența tenantului. Prin urmare, administratorul trebuie să confirme această acțiune, nu să o presupună.
**Analiza regulilor de e-mail**
Un intrus care dorește ca un fir de discuție fraudulos să continue are nevoie ca angajatul real să nu vadă răspunsurile. O regulă de e-mail poate realiza acest lucru: orice mesaj care conține termeni precum „factură”, „transfer bancar” sau domeniul unui furnizor este arhivat într-un folder nefolosit sau este șters. Unele reguli sunt stocate pe server, unde administratorul le poate vizualiza; altele sunt create în profilul Outlook de pe desktop și nu sunt vizibile, acesta fiind un motiv pentru care o revizuire ar trebui să includă stația de lucru, nu doar consola cloud.
**Redirecționarea și delegarea - capcane ascunse**
Redirecționarea și delegarea pot ascunde, de asemenea, multiple puncte vulnerabile. O căsuță poștală poate avea o adresă de redirecționare setată de administrator, utilizatorul își poate configura personal redirecționarea, iar o regulă de flux de e-mail la nivel de organizație poate copia mesajele către exterior. Permisiunile pentru căsuța poștală, precum acces complet, trimitere ca și trimitere în numele altuia, permit unui cont să acționeze în numele altuia. Astfel, curățarea căsuței de e-mail vizibile, dar lăsarea unei permisiuni active, poate permite reluarea fraudei dintr-o sursă neobservată.
**Consimțământul aplicațiilor terțe**
Un alt aspect ușor de omis este consimțământul aplicațiilor. Atunci când un utilizator, sau un atacator acționând în numele acestuia, acordă unei aplicații terțe permisiunea de a citi și trimite e-mailuri, acea aplicație deține propriul său acces. Nu este afectată de parola nouă și, în funcție de modul în care a fost acordat consimțământul, poate fi neafectată de autentificarea multifactor activată recent. Revizuirea aplicațiilor care au permisiuni de e-mail și eliminarea celor nejustificate este la fel de importantă ca resetarea parolei.
**Identificarea destinatarilor și acțiuni corective**
Cineva trebuie, de asemenea, să răspundă la o întrebare separată: cine a primit deja mesajele frauduloase? În Microsoft 365, „message trace” poate arăta ce a ieșit din căsuța poștală și unde a ajuns, în limita ferestrei de retenție disponibile pentru tenant. Acest rezultat este lista de contacte. Oricine a fost rugat să modifice detaliile bancare ar trebui contactat telefonic, la un număr obținut independent de firul de discuție suspect. Dacă a fost inițiată o plată, băncile implicate sunt cele în măsură să încerce o reținere sau o anulare, având, în general, mai multe opțiuni cu cât sunt anunțate mai devreme. Raportarea către autorități este decizia clientului.
**Cronologia primelor acțiuni**
În prima oră, în ordine aproximativă: revocați sesiunile și token-urile, nu doar parola; activați sau re-activați autentificarea multifactor. Eliminați regulile de e-mail neexplicate, pe server și în profilurile desktop. Verificați fiecare cale de redirecționare: căsuța poștală, configurarea utilizatorului și regulile de flux de e-mail. Revizuiți delegările, permisiunile „Send As” și „Send on Behalf Of”, precum și conturile create recent. Revocați consimțământul aplicațiilor terțe care au permisiuni de e-mail. Rulați „message trace” pentru a lista mesajele și destinatarii. Apelați destinatarii la numere de telefon cunoscute; apelați banca mai întâi dacă s-a transferat bani. Notați ce s-a schimbat, de către cine și când.
**Rolul contabilului - dincolo de recuperarea tehnică**
Nimic din toate acestea nu transformă contabilul în investigator incident, iar declararea clară a acestui fapt face parte din serviciu. Ceea ce contabilul deține este fluxul de plată: ce aprobări au fost ocolite, ce înregistrări ale furnizorilor ar fi putut fi modificate, dacă au fost acceptate și acționate detalii noi de remitere și cum arată calendarul de decontare al săptămânii. Această cunoaștere transformă o curățare tehnică într-o recuperare a afacerii și este adesea motivul pentru care contabilul ajunge să convoace administratorul clientului, banca și pe oricine altcineva este necesar.
**Prudența și buna practică**
Fiți, totuși, precauți cu certitudinea. „I-am prins” nu este o frază pe care cineva ar trebui să o rostească în prima zi, deoarece persistența poate exista acolo unde o triere rapidă nu ajunge. Poziția defensibilă este că acești pași închid ușile pe care le vedeți, că un profesionist calificat în securitate ar trebui să caute pe cele pe care nu le vedeți, iar consilierul și asigurătorul clientului, mai degrabă decât contabilul, ar trebui să consilieze cu privire la obligațiile de notificare și raportare.
Ceea ce rămâne este disciplina controalelor obișnuite. Modificările detaliilor bancare sunt verificate „out-of-band” (printr-un canal separat) cu un contact pe care clientul îl avea deja. Aprobările de plată necesită o a doua persoană. Destinatarii care au fost induși în eroare o dată primesc un avertisment înainte de următorul ciclu de facturare, deoarece încrederea deteriorată a fost a clientului, iar reconstruirea ei este o sarcină de afaceri, nu una tehnică. Gestionată în acest fel, o săptămână neplăcută se încheie cu un client ale cărui controale sunt mai bune decât înainte, iar un contabil care a fost util în partea de urgență care i-a aparținut cu adevărat.