Audyt bezpieczeństwa IT Opole

Dlaczego pierwszym miejscem jest skrzynka, a nie serwer?

Bo tam prowadzi większość spraw kończących się przelewem na obcy rachunek. Schemat powtarza się w opolskich firmach handlujących z zagranicą niemal identycznie: ktoś zdobywa dostęp do jednej skrzynki, przez kilka tygodni tylko czyta korespondencję, uczy się, jak wygląda rozliczenie z konkretnym kontrahentem, i dopiero potem wysyła jedną wiadomość z nową numeracją konta. Nic nie zostaje zaszyfrowane, nic nie przestaje działać, więc nikt niczego nie zgłasza.

Ślad po takiej obecności jest jednak konkretny i daje się znaleźć. To reguła przekierowująca kopie wiadomości, reguła przenosząca odpowiedzi do rzadko otwieranego folderu, logowanie z miejsca, w którym nikt z firmy nie był, oraz zgoda wydana kiedyś aplikacji, o której nikt nie pamięta. Przegląd zaczyna się od tych czterech rzeczy, ponieważ znajdują się szybko i mówią najwięcej.

Co dokładnie sprawdzamy i po co?

Obszar	Czego szukamy	Co to rozstrzyga
Dziennik logowań do poczty	wejścia niepasujące do rytmu pracy	czy ktoś obcy był w skrzynce
Reguły w skrzynkach	przekierowania i ukrywanie wiadomości	czy obecność była przygotowana, czy przypadkowa
Uwierzytelnianie domeny	stan SPF, DKIM i DMARC	czy da się pisać w Waszym imieniu z zewnątrz
Zgody dla aplikacji	dostęp wydany kiedyś i nigdy nieodebrany	czy istnieje wejście omijające hasło
Ochrona stacji	czy działa, czy tylko jest opłacona	czy komputer użytkownika był drogą wejścia
Uprawnienia w katalogach	dostęp osób, które odeszły	jak duży był zasięg po wejściu
Usługi widoczne z internetu	pulpity zdalne, panele, stare portale	czy istniało wejście z pominięciem poczty

Wiersz o zgodach dla aplikacji bywa zaskoczeniem, bo nie wygląda na atak. Użytkownik zatwierdził kiedyś dostęp narzędziu, które miało coś ułatwić, i ta zgoda pracuje dalej niezależnie od zmiany hasła. Odebranie takich zgód jest jedną z najszybszych rzeczy w całym raporcie i często jedyną, która naprawdę zamyka drogę wejścia.

Co zrobić w pierwszej dobie, zanim zaczniemy?

Trzy rzeczy i warto zrobić je od razu, bez czekania na nas. Zmienić hasła do poczty i wymusić wylogowanie wszystkich sesji, bo samo hasło bez zerwania sesji niczego nie zmienia. Skontaktować się z bankiem, ponieważ przy szybkiej reakcji część przelewów daje się jeszcze zatrzymać. Powiadomić kontrahenta innym kanałem niż mail, bo jeżeli korespondencja jest czytana, wiadomość z ostrzeżeniem trafi w niepowołane ręce.

Czego nie robić: kasować podejrzanych wiadomości i reguł. To jest materiał, z którego odtwarzamy przebieg zdarzeń, a usunięty przestaje istnieć. Firma sprzątająca skrzynkę w dobrej wierze zwykle likwiduje jedyny dowód na to, co się stało, i przegląd kończy się wtedy zdaniem, że nie da się ustalić drogi wejścia.

Jak wygląda raport i co się z nim robi dalej?

Ma dwie części. Pierwsza opisuje, co się wydarzyło, na podstawie zapisów, z podaniem dat i godzin, i to jest dokument, który pokazuje się zarządowi, ubezpieczycielowi albo kontrahentowi pytającemu, co u Was zaszło. Druga to lista napraw ułożona według ryzyka, z podziałem na te do wykonania w tym tygodniu, te na miesiąc i te na kwartał.

Kolejność w tej liście jest ważniejsza niż jej długość. Firma po incydencie ma zwykle tydzień gotowości do zmian i trzeba go zużyć na rzeczy realnie zamykające drogę wejścia, a nie na najłatwiejsze pozycje. Dlatego na górze stoi zwykle drugi składnik logowania i uwierzytelnianie domeny, a nie wymiana sprzętu.

Czego ten przegląd nie robi?

Nie jest testem penetracyjnym i nie próbuje włamać się do Waszych systemów. Nie zastępuje zgłoszenia do organu ani opinii prawnej, choć wskazuje przesłanki, które trzeba rozważyć. Nie odzyskuje też pieniędzy, bo to sprawa banku i organów ścigania, i mówimy o tym wprost na pierwszej rozmowie.

Stałą opiekę po naprawach opisuje bezpieczeństwo IT dla firm, samą pocztę ochrona poczty, a logowanie logowanie wieloskładnikowe. Sprawę przyjmiemy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026