Ochrona poczty i filtrowanie treści

Co dzieje się z wiadomością, zanim zobaczy ją pracownik

Wiadomość przechodzi kilka sit, zanim trafi na listę w programie pocztowym. Każde odcina inną klasę problemów i żadne nie działa samo.

Sito	Co sprawdza	Co zatrzymuje
Reputacja nadawcy	skąd wyszła, czy serwer wysyła spam	masową wysyłkę z przejętych serwerów
Zgodność z domeną	rekordy SPF, DKIM, polityka DMARC	podszywanie się pod znaną domenę
Analiza treści	język, wzorce wymuszenia, nietypowy nadawca	prośby o pilny przelew i zmianę konta
Załącznik	uruchomienie pliku w izolowanym środowisku	dokumenty pobierające dalszą część
Odnośnik	sprawdzenie strony w chwili kliknięcia	podmienioną stronę logowania
Podobieństwo domeny	znaki zamienione miejscami, inny alfabet	adresy różniące się jedną literą

Ostatni wiersz jest tym, o którym firmy zapominają najczęściej. Domena z zamienionymi literami wygląda na ekranie telefonu identycznie jak prawdziwa, a wiadomość z niej przechodzi każdą kontrolę techniczną, bo formalnie wszystko się zgadza. Zatrzymuje ją dopiero reguła porównująca nazwę z listą Waszych stałych kontrahentów.

Kto może wysyłać wiadomości w imieniu Waszej domeny

Trzy wpisy w domenie decydują o tym, czy ktoś obcy może napisać do Waszych klientów Waszym adresem.

Wpis	Co robi	Typowy stan zastany
SPF	wymienia serwery, które mogą wysyłać z domeny	jest, ale bez systemu do faktur i newslettera
DKIM	podpisuje wiadomości kluczem domeny	wyłączony albo z kluczem sprzed migracji
DMARC	mówi, co zrobić z wiadomością bez zgodności	brak wpisu albo polityka bez działania

Sam SPF nie wystarcza, bo sprawdza kopertę, a nie adres widoczny dla odbiorcy. Dopiero DMARC wiąże jedno z drugim i pozwala powiedzieć: jeśli nie zgadza się ani podpis, ani serwer, odrzuć wiadomość.

Dlaczego DMARC wdraża się etapami

Zaczynamy od polityki bez działania, która niczego nie blokuje, za to zbiera raporty. Po dwóch tygodniach wiemy, co realnie wysyła w Waszym imieniu: system do faktur, program do newslettera, kadry wysyłające paski płacowe, formularz na stronie i zwykle jeszcze dwie rzeczy, o których nikt nie pamiętał. Każde z tych źródeł dopisujemy albo podpisujemy kluczem.

Dopiero gdy raporty są czyste, przechodzimy na kwarantannę, a po kolejnym okresie obserwacji na odrzucanie. Włączenie odrzucania od razu, bez tego etapu, kończy się tym, że firma przestaje wysyłać faktury i nikt nie wie dlaczego, bo wiadomości znikają po cichu u odbiorcy.

Co robimy z wiadomością, która jednak przeszła

Żaden filtr nie łapie wszystkiego, więc pracownik musi mieć prostą drogę zgłoszenia. Instalujemy przycisk w programie pocztowym: jedno kliknięcie przenosi wiadomość do nas razem z nagłówkami, których użytkownik i tak nie umiałby skopiować. Zgłoszenie oceniamy, a jeśli okaże się realnym atakiem, usuwamy tę samą wiadomość ze wszystkich skrzynek w firmie i dokładamy regułę.

Ten obieg działa też w drugą stronę. Osoba, która zgłosiła fałszywy alarm, dostaje krótką odpowiedź, dlaczego wiadomość była prawdziwa. Po kilku takich odpowiedziach zgłoszeń jest mniej, za to trafniejszych.

Ile z tego widzi użytkownik

W dobrze ustawionym środowisku prawie nic. Wiadomości zatrzymane nie przychodzą, kwarantannę przeglądamy my, a użytkownik dostaje najwyżej powiadomienie, że coś czeka na zwolnienie. Ostrzeżenie w treści wiadomości zostawiamy tylko tam, gdzie faktycznie coś znaczy: pierwszy kontakt z nowym nadawcą spoza firmy albo adres podobny do wewnętrznego. Ostrzeżenie doklejane do każdej wiadomości z zewnątrz przestaje być czytane po tygodniu.

Co zrobić z pocztą po latach bałaganu

Środowisko, do którego wchodzimy, ma zwykle za sobą kilka migracji, dwóch poprzednich dostawców i jedną domenę, z której wysyła pięć różnych systemów. Porządkowanie zaczynamy od spisu: kto wysyła, skąd, w czyim imieniu i czy w ogóle powinien. Z tego spisu wypada zwykle stara aplikacja, która wysyła powiadomienia z adresu nieistniejącej już osoby, oraz formularz na stronie podszywający się pod domenę zamiast używać własnej.

Druga rzecz to skrzynki wspólne i konta ogólne. Adres biura, na który loguje się sześć osób jednym hasłem, jest w każdym audycie znaleziskiem o najwyższym priorytecie, bo nie da się przy nim ani włączyć drugiego składnika, ani ustalić, kto wysłał daną wiadomość. Zamieniamy je na skrzynki współdzielone z uprawnieniami przypisanymi do kont imiennych, co zwykle da się zrobić bez zmiany adresu widocznego dla klientów.

Czego filtr nie zatrzyma

Nie zatrzyma wiadomości wysłanej z prawdziwej, przejętej skrzynki Waszego kontrahenta, bo wszystkie kontrole techniczne wypadają wtedy poprawnie. Nie zatrzyma też telefonu z prośbą o pilne przelanie pieniędzy. Na to działa wyłącznie procedura po Waszej stronie i odruch weryfikacji, który buduje się przez szkolenia i testy phishingowe.

Przejęcie samej skrzynki utrudnia logowanie wieloskładnikowe, a konfigurację poczty firmowej od strony wdrożenia opisuje Exchange Online.

Treść sprawdzona i zaktualizowana: 30 lipca 2026