Письмо, после которого почтовый шлюз перестал быть вашим
Cisco признала: через один специально собранный email злоумышленник получал полный контроль над почтовым шлюзом. Защита от вирусов сама стала дверью в систему.
Недавно ко мне пришёл владелец небольшой оптовой фирмы. Жаловался на странности: клиенты получают от его менеджеров письма, которых те не писали. Первым делом я посмотрел не на ноутбуки сотрудников, а на почтовый шлюз. Он стоял в углу серверной три года без единого обновления.
Совпало с новостью: Cisco признала, что в её почтовых шлюзах антивирусный модуль можно использовать для выполнения команд с правами root. Хватает одного письма. Это вложение, которое шлюз сам же открывает, чтобы проверить на вирусы.
Чем это грозит бизнесу
Шлюз видит всю входящую и исходящую почту: переписку с клиентами, счета, договоры, пароли в письмах. Захватив его, посторонний читает всё это и рассылает письма от вашего имени. В моём кейсе фирма уже получила жалобы от двух постоянных клиентов, а один из них перестал платить по старым реквизитам: ему подсунули чужие.
Самое неприятное: такой взлом тихий. Ничего не шифруется, ничего не ломается. Утечка может идти месяцами, пока кто-то не заметит странности.
Что делать
1. Узнайте, есть ли у вас почтовый шлюз или аппаратный антиспам и какой версии. Часто о нём помнит только тот, кто его ставил.
2. Установите свежее обновление прошивки от производителя и включите автоматические уведомления о новых.
3. Закройте доступ к панели управления шлюзом из интернета: он должен открываться только из внутренней сети.
4. Попросите ИТ-специалиста пролистать журнал за последние месяцы: нет ли странных исходящих писем и нерабочих входов в панель.
5. Настройте оповещение руководителю в мессенджер (VK Teams или «Пачка») о входах в панель и об обновлениях.
Что изменится после этих шагов
