Gesla in zlorabljen e-poštni naslov: vdor ali ponarejanje?

Modul 3: Upravljanje Vašega poštnega predala · Čas branja: 10 minut

Cilj lekcije: Po tej lekciji boste znali dobro zaščititi svoj poštni predal, prepoznati razliko med ponarejenim pošiljateljem in prevzetim poštnim predalom ter v obeh primerih ukrepati pravilno.

Ključni pojmi: močno geslo, geselna fraza, upravitelj gesel, ponovna uporaba, uhajanje podatkov, brute force, blokada IP-naslova, dvostopenjsko preverjanje pristnosti, geslo za aplikacijo, phishing, spoofing (ponarejen pošiljatelj), backscatter, prevzet poštni predal, sumljiva pravila in preusmeritve, omejitev pošiljanja

Dve vrsti "moj naslov pošilja neželeno pošto"

Skoraj vsak skrbnik to nekoč sliši: "z mojega naslova se pošilja neželena pošta". Za to obstajata dva zelo različna vzroka, in pristop je drugačen.

1. Ponarejanje (spoofing): nihče ni bil v Vašem poštnem predalu

Naslov pošiljatelja je zgolj besedilo. Vsakdo lahko pošlje e-pošto z Od: info@example.com, prek svojega lastnega strežnika, ne da bi kadar koli vstopil v Vaš poštni predal. Temu pravimo spoofing.

Tako to prepoznate:

• Nenadoma prejmete na desetine ali na stotine povratnih sporočil (bounce) o sporočilih, ki jih nikoli niste poslali, pogosto na neznane naslove. To je backscatter: prejemniki so zavrnili ponarejeno pošto in poslali sporočilo o napaki na naslov, ki je bil naveden v njem, torej Vam.
• V Vaši lastni mapi Poslano ni ničesar.
• V dnevnikih Vašega poštnega strežnika (pri mnogih nadzornih ploščah gre za funkcijo, kot je "sledenje e-pošti") teh sporočil ne vidite kot odhodno pošto.
• V glavah takega vrnjenega sporočila (lekcija 1.5) je vrstica Received od strežnika, ki ni Vaš.

Sprememba gesla tu ne pomaga: nihče ga ni poznal. Kar pa res pomaga, je DMARC (lekcija 4.4). Z p=quarantine ali p=reject prejemnikom sporočite, naj pošto, ki ne gre skozi Vaš SPF ali DKIM, premaknejo v karanteno ali zavrnejo. Tako ponarejena pošta manjkrat prispe in manj ljudi je prevaranih z Vašim imenom. Povratna sporočila (bounce) se po navadi po nekaj dneh ustavijo sama; lahko jih preprosto izbrišete.

2. Prevzet poštni predal: nekdo ima Vaše geslo

Če ima nekdo Vaše geslo, se prijavi v Vaš strežnik in resnično pošilja neželeno pošto prek Vašega poštnega predala. To je veliko resneje: neželena pošta prihaja iz zaupanja vrednega strežnika z Vašim veljavnim SPF in DKIM, zato pogosto prispe. Strežnik pa pri tem izgubi svoj dober ugled (lekcija 5.2).

Tako to prepoznate:

• V dnevniku strežnika vidite odhodno pošto, ki je niste poslali, pogosto v velikih količinah.
• Število poslanih sporočil iz Vašega poštnega predala je veliko večje kot običajno, ali pa nenadoma dosežete omejitev pošiljanja.
• Vaš ponudnik to sporoči ali pa blokira pošiljanje.
• V Vašem poštnem predalu so stvari, ki jih ne poznate: pravilo za preusmeritev na neznan naslov, filter, ki določeno pošto (na primer od Vaše banke ali ponudnika) takoj premakne v koš, drugačen naslov za odgovor (Reply-To) v Vaših nastavitvah ali sporočilo o odsotnosti.

Ta pravila so znan trik. Napadalec, ki prevzame Vaš poštni predal, pogosto želi dolgo neopazno brati Vašo pošto, na primer da bi ob pravem trenutku poslal lažni račun z drugo številko računa. Pravilo za preusmeritev na njegov lastni naslov deluje naprej, tudi če ste spremenili geslo.

Kako nekdo pride do Vašega gesla?

• Phishing: lažno sporočilo s povezavo do ponarejene prijavne strani ("Vaš poštni predal je poln, prijavite se tukaj"). Najpogostejši vzrok.
• Ponovna uporaba: isto geslo uporabljate tudi pri spletni trgovini ali forumu, ki je nato vdrt. Ukradene kombinacije e-poštnega naslova in gesla potem samodejno preizkušajo na poštnih strežnikih. S storitvami, kot je Have I Been Pwned, lahko preverite, ali se Vaš naslov pojavlja v znanem uhajanju podatkov.
• Uganjevanje: kratka ali očitna gesla (Welkom2026!, ime podjetja) se ugibajo z metodo brute force: na tisoče poskusov zapored.
• Zlonamerna programska oprema na Vašem računalniku, ki prestreza gesla ali jih pridobiva iz Vašega brskalnika.

Dobra zaščita Vašega poštnega predala

1. Dolgo, edinstveno geslo za vsak poštni predal. Dolžina šteje bolj kot nenavadni znaki. Geselna fraza s štirimi ali petimi ločenimi besedami je močna in si jo je lahko zapomniti. Ne uporabljajte je nikjer drugje.
2. Upravitelj gesel. Tako Vam ni treba pomniti vseh teh gesel, ponovna uporaba pa ni več potrebna.
3. Dvostopenjsko preverjanje pristnosti, kjer je to mogoče. Pri poslovni oblačni pošti (Microsoft 365, Google Workspace) in pri strankinem upravljalnem okolju Vašega ponudnika je to po navadi mogoče. Pri navadnem poštnem predalu IMAP to pogosto ni mogoče za sam IMAP in SMTP, ker poštni programi pošiljajo le geslo. Nekatere storitve zato uporabljajo gesla za aplikacije: ločeno, dolgo geslo za vsak program, ki ga lahko prekličete, ne da bi spremenili glavno geslo.
4. Bodite previdni, kje se prijavljate. Geslo vnesite samo v svoj lasten poštni program ali na pravi naslov svoje spletne pošte. Ponudnik nikoli po e-pošti ne vpraša za Vaše geslo.
5. Spoznajte varnostne ukrepe Vašega strežnika. Mnogi strežniki po določenem številu neuspelih prijav blokirajo IP-naslov. To ščiti pred brute force, hkrati pa pomeni, da lahko staro napravo z napačnim geslom (stara tablica, tiskalnik, ki skenira pošto) povzroči blokado celotnega omrežja Vaše pisarne.

Kaj storite ob prevzetem poštnem predalu?

To storite takoj, po naslednjem vrstnem redu:

1. Spremenite geslo v nadzorni plošči Vašega ponudnika (ne prek povezave iz e-pošte). Izberite novo, edinstveno geslo.
2. Preverite pravila za preusmeritev, filtre, aliase in sporočilo o odsotnosti, tako v spletni pošti kot v nadzorni plošči. Odstranite vse, česar niste sami ustvarili.
3. Preverite, katere naprave in programi se povezujejo, ter povsod vnesite novo geslo. Pozabljena naprava s starim geslom lahko povzroči blokado Vašega IP-naslova.
4. Preverite računalnik glede zlonamerne programske opreme, še posebej, če niste kliknili na phishing povezavo.
5. Spremenite geslo tudi drugje, če ste ga ponovno uporabljali, in tudi geslo svoje nadzorne plošče, če je bilo enako.
6. O tem obvestite svojega ponudnika. Ta lahko vidi, kaj je bilo poslano, počisti čakalno vrsto in odpravi blokado.
7. Opozorite svoje stike, če jim je bila poslana pošta, še posebej pri lažnih računih. Uhajanje osebnih podatkov lahko po GDPR zahteva tudi prijavo pristojnemu nadzornemu organu za varstvo podatkov; v primeru dvoma to preverite.

Prevzet poštni predal redko nastopa sam. Preverite tudi, ali Vaše spletno mesto ne pošilja neželene pošte: nezaščičen kontaktni obrazec ali vdrti vtičnik lahko prav tako pošilja pošto v Vašem imenu (lekcija 7.3).

V praksi: tako je videti v nadzorni plošči

V DirectAdmin spremenite geslo poštnega predala pri E-poštni računi, prek treh pik in Sprememba gesla/uporabniškega imena; v stolpcu Poslano vidite, koliko pošte je posamezen predal danes poslal. S funkcijo Sledenje e-pošti vidite, ali je bilo sporočilo dejansko poslano prek strežnika. Preusmeritve najdete pri Preusmeritve sporočil, sporočila o odsotnosti pri Samodejni odgovori, v spletni pošti pa pri Nastavitvah. Druge nadzorne plošče imajo podobne funkcije, pogosto pod imeni, kot so "sled sporočil", "message trace" ali "pravila poštnega predala".

Povzetek

• Povratna sporočila (bounce) o pošti, ki je niste poslali, brez česar koli v Vaši mapi Poslano: ponarejanje. Tu pomaga DMARC, ne novo geslo.
• Prava odhodna neželena pošta v dnevniku strežnika: prevzet poštni predal. Spremenite geslo, preverite pravila in preusmeritve, posodobite naprave, obvestite ponudnika.
• Napadalci pogosto nastavijo pravilo za preusmeritev ali filter, da lahko naprej neopazno berejo Vašo pošto.
• Uporabljajte dolgo, edinstveno geslo za vsak poštni predal, upravitelja gesel in, kjer je mogoče, dvostopenjsko preverjanje pristnosti ali gesla za aplikacije.

Kviz

Naloga

Naloga O3.4: Varnostni pregled Vašega poštnega predala. Preglejte svoj poštni predal. Ali je geslo edinstveno in dovolj dolgo ter shranjeno v upravitelju gesel? Preverite svoj naslov pri storitvi za uhajanje podatkov (na primer Have I Been Pwned) in zabeležite, ali se pojavlja v kakšnem uhajanju. V spletni pošti ali nadzorni plošči preverite vsa pravila za preusmeritev, filtre, naslov za odgovor in sporočilo o odsotnosti. Zabeležite, katere naprave uporabljajo poštni predal. Nato odgovorite: če jutri prejmete povratna sporočila (bounce) o pošti, ki je niste poslali, kako ugotovite, ali gre za ponarejanje ali za vdor?

Za nadaljnje branje

Koraki v teh člankih veljajo za nadzorne plošče WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik DirectAdmin 9.6: Kaj storiti, če je Vaš e-poštni naslov zlorabljen
• Priročnik DirectAdmin 7.2: Spreminjanje gesla e-poštnega naslova
• Priročnik DirectAdmin 9.3: Sledenje e-pošti: kam je izginilo moje sporočilo?
• Kako spremenim geslo ali omejitve svojega e-poštnega naslova?
• Prevzet poštni predal ali neželena pošta z Vašega naslova: tako to uredite
• NCSC, nasveti o geslih in dvostopenjskem preverjanju pristnosti (Nizozemska): https://www.ncsc.nl