Parole și o adresă de e-mail folosită abuziv: piratată sau falsificată?

Modulul 3: Gestionarea căsuței dvs. de e-mail · Timp de citire: 10 minute

Obiectivul lecției: După această lecție veți putea să vă securizați corect căsuța poștală, să recunoașteți diferența dintre un expeditor falsificat și o căsuță poștală preluată de altcineva, și să luați măsurile potrivite în fiecare dintre aceste cazuri.

Concepte-cheie: parolă puternică, frază de acces, administrator de parole, reutilizare, scurgere de date, brute force, blocare IP, verificare în doi pași, parolă de aplicație, phishing, spoofing (expeditor falsificat), backscatter, căsuță poștală preluată, reguli și redirecționări suspecte, limită de trimitere

Două tipuri de "adresa mea trimite spam"

Aproape fiecare administrator aude asta la un moment dat: "se trimite spam de pe adresa mea". Există două cauze foarte diferite, iar abordarea diferă.

1. Falsificare (spoofing): nimeni nu a intrat în căsuța dumneavoastră

O adresă de expeditor este pur și simplu text. Oricine poate trimite un e-mail cu From: info@example.com, prin propriul server, fără să ajungă vreodată în căsuța dumneavoastră poștală. Acest lucru se numește spoofing.

Așa îl recunoașteți:

• Primiți brusc zeci sau sute de bounces despre mesaje pe care nu le-ați trimis niciodată, adesea către adrese necunoscute. Acesta este backscatter: destinatarii au respins mesajul falsificat și au trimis mesajul de eroare către adresa menționată în el, deci către dumneavoastră.
• În propriul folder Sent nu se află nimic.
• În jurnalele serverului dumneavoastră de e-mail (la multe panouri: o funcție precum "E-mail Tracking") nu vedeți aceste mesaje ca e-mail trimis.
• În antetele unui astfel de mesaj returnat (lecția 1.5) apare o linie Received de la un server care nu vă aparține.

Schimbarea parolei nu ajută în acest caz: nimeni nu o avea. Ce ajută este DMARC (lecția 4.4). Cu p=quarantine sau p=reject le spuneți destinatarilor să pună în carantină sau să respingă mesajele care nu trec prin SPF sau DKIM-ul dumneavoastră. Astfel, mesajul falsificat ajunge mai rar la destinație, iar mai puține persoane sunt înșelate folosind numele dumneavoastră. Bounce-urile se opresc de obicei de la sine după câteva zile; le puteți șterge.

2. O căsuță poștală preluată: cineva are parola dumneavoastră

Dacă cineva are parola dumneavoastră, se autentifică pe serverul dumneavoastră și trimite spam cu adevărat prin căsuța dumneavoastră poștală. Acest lucru este mult mai grav: spamul provine de pe un server de încredere, cu SPF și DKIM valide ale dumneavoastră, deci ajunge adesea la destinație. Iar serverul își pierde reputația bună (lecția 5.2).

Așa îl recunoașteți:

• În jurnalul serverului vedeți e-mailuri trimise pe care nu le-ați expediat dumneavoastră, adesea în număr mare.
• Numărul de mesaje trimise din căsuța dumneavoastră poștală este mult mai mare decât de obicei sau atingeți brusc limita de trimitere.
• Furnizorul dumneavoastră vă anunță sau blochează trimiterea.
• În căsuța dumneavoastră poștală apar lucruri pe care nu le recunoașteți: o regulă de redirecționare către o adresă necunoscută, un filtru care mută imediat anumite mesaje (de exemplu de la banca dumneavoastră sau de la furnizorul dumneavoastră) direct la coșul de gunoi, o altă adresă de răspuns (Reply-To) în setările dumneavoastră, sau un mesaj de absență.

Aceste reguli sunt o tactică bine cunoscută. Un atacator care preia căsuța dumneavoastră poștală dorește adesea să citească corespondența pe termen lung, fără a fi observat, de exemplu pentru a trimite la momentul potrivit o factură falsă cu un alt număr de cont. O regulă de redirecționare către propria sa adresă rămâne activă, chiar dacă dumneavoastră v-ați schimbat parola.

Cum ajunge cineva la parola dumneavoastră?

• Phishing: un e-mail fals cu un link către o pagină de autentificare falsificată ("căsuța dumneavoastră poștală este plină, autentificați-vă aici"). Cea mai frecventă cauză.
• Reutilizare: folosiți aceeași parolă și la un magazin online sau pe un forum, iar acesta este piratat. Combinațiile furate de adresă de e-mail și parolă sunt apoi testate automat pe servere de e-mail. Cu servicii precum Have I Been Pwned puteți verifica dacă adresa dumneavoastră apare într-o scurgere de date cunoscută.
• Ghicire: parolele scurte sau evidente (Welkom2026!, numele companiei) sunt ghicite prin brute force: mii de încercări una după alta.
• Malware pe calculatorul dumneavoastră care interceptează parolele sau le preia din browser.

Securizarea corectă a căsuței dumneavoastră poștale

1. O parolă lungă și unică pentru fiecare căsuță poștală. Lungimea contează mai mult decât caracterele ciudate. O frază de acces formată din patru sau cinci cuvinte separate este puternică și ușor de reținut. Nu o folosiți nicăieri altundeva.
2. Un administrator de parole. Astfel nu mai trebuie să rețineți toate aceste parole, iar reutilizarea nu mai este necesară.
3. Verificarea în doi pași acolo unde este posibil. Pentru e-mailul business în cloud (Microsoft 365, Google Workspace) și pentru panoul de client al furnizorului dumneavoastră, acest lucru este de obicei posibil. Pentru o căsuță poștală IMAP obișnuită, adesea nu este posibil pentru IMAP și SMTP în sine, deoarece programele de e-mail trimit doar o parolă. Unele servicii folosesc atunci parole de aplicație: o parolă separată, lungă, pentru fiecare program, pe care o puteți revoca fără a schimba parola principală.
4. Fiți atenți la locul unde vă autentificați. Introduceți parola doar în propriul program de e-mail sau la adresa reală a webmailului dumneavoastră. Un furnizor nu vă cere niciodată parola prin e-mail.
5. Cunoașteți securitatea serverului dumneavoastră. Multe servere blochează o adresă IP după un anumit număr de încercări de autentificare eșuate. Acest lucru protejează împotriva atacurilor de tip brute force, dar înseamnă și că un dispozitiv vechi cu o parolă greșită (o tabletă veche, o imprimantă care scanează către e-mail) poate bloca întreaga rețea de birou.

Ce faceți în cazul unei căsuțe poștale preluate?

Faceți imediat următoarele, în această ordine:

1. Schimbați parola în panoul furnizorului dumneavoastră (nu printr-un link dintr-un e-mail). Alegeți o parolă nouă și unică.
2. Verificați regulile de redirecționare, filtrele, aliasurile și mesajul de absență, atât în webmail, cât și în panou. Ștergeți tot ce nu ați creat dumneavoastră înșivă.
3. Verificați ce dispozitive și programe se conectează și introduceți peste tot noua parolă. Un dispozitiv uitat cu parola veche vă poate bloca adresa IP.
4. Scanați-vă calculatorul după malware, mai ales dacă nu ați dat clic pe un link de phishing.
5. Schimbați parola și în alte locuri dacă ați reutilizat-o, inclusiv parola panoului dumneavoastră de client, dacă era aceeași.
6. Anunțați furnizorul dumneavoastră. Acesta poate vedea ce s-a trimis, poate curăța coada de așteptare și poate ridica o blocare.
7. Avertizați-vă contactele dacă li s-au trimis mesaje, mai ales în cazul facturilor false. O scurgere de date cu caracter personal poate necesita, conform GDPR, și o notificare către autoritatea pentru protecția datelor din țara dumneavoastră; verificați acest aspect în caz de îndoială.

O căsuță poștală preluată rareori apare izolat. Verificați și dacă site-ul dumneavoastră web nu trimite spam: un formular de contact nesecurizat sau un plugin piratat poate trimite și el mesaje în numele dumneavoastră (lecția 7.3).

În practică: așa arată într-un panou

În DirectAdmin schimbați parola unei căsuțe poștale la E-mail Accounts, prin cele trei puncte și Change Password/Username; în coloana Sent vedeți câte mesaje a trimis o căsuță poștală astăzi. Cu E-mail Tracking vedeți dacă un mesaj a fost cu adevărat trimis prin server. Redirecționările se găsesc la Forwarders, mesajele de absență la Autoresponders, iar în webmail la Setări. Alte panouri au funcții similare, adesea cu denumiri precum "urmărire mesaje", "message trace" sau "reguli ale căsuței poștale".

Rezumat

• Bounce-uri despre mesaje pe care nu le-ați trimis, fără nimic în folderul Sent: falsificare. Acolo ajută DMARC, nu o parolă nouă.
• Spam real trimis, vizibil în jurnalul serverului: căsuță poștală preluată. Schimbați parola, verificați regulile și redirecționările, actualizați dispozitivele, anunțați furnizorul.
• Atacatorii stabilesc adesea o regulă de redirecționare sau un filtru, pentru a continua să citească corespondența.
• Folosiți o parolă lungă și unică pentru fiecare căsuță poștală, un administrator de parole și, acolo unde este posibil, verificarea în doi pași sau parole de aplicație.

Quiz

Exercițiu

Exercițiul O3.4: Verificare de securitate a căsuței dumneavoastră poștale. Verificați-vă propria căsuță poștală. Parola este unică și lungă și se află într-un administrator de parole? Căutați-vă adresa la un serviciu de scurgeri de date (precum Have I Been Pwned) și notați dacă apare într-o scurgere. Verificați în webmail sau în panou toate regulile de redirecționare, filtrele, adresa de răspuns și mesajul de absență. Notați ce dispozitive folosesc căsuța poștală. Răspundeți apoi: dacă mâine primiți bounce-uri despre mesaje pe care nu le-ați trimis, cum aflați dacă este vorba despre spoofing sau despre un atac informatic?

Lecturi suplimentare

Pașii din aceste articole sunt valabili pentru panourile WebOké; la alți furnizori funcționează similar.

• Manual DirectAdmin 9.6: Ce trebuie să faceți dacă adresa dumneavoastră de e-mail este folosită abuziv
• Manual DirectAdmin 7.2: Cum se modifică parola unei adrese de e-mail
• Manual DirectAdmin 9.3: E-mail Tracking: unde a dispărut mesajul meu?
• Cum schimb parola sau limitele adresei mele de e-mail?
• Cutia poștală a fost compromisă sau se trimite spam de la adresa dumneavoastră: iată cum faceți curățenie
• NCSC, recomandări privind parolele și verificarea în doi pași (Țările de Jos): https://www.ncsc.nl