Paroles un ļaunprātīgi izmantota e-pasta adrese: uzlauzts vai viltots?

3. modulis: Pastkastes pārvaldība · Lasīšanas laiks: 10 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet labi nodrošināt savas pastkastes drošību, atpazīt atšķirību starp viltotu sūtītāju un pārņemtu pastkasti, un abos gadījumos veikt pareizos soļus.

Pamatjēdzieni: stipra parole, paroles frāze, paroļu pārvaldnieks, atkārtota izmantošana, datu noplūde, brute force, IP bloķēšana, divpakāpju verifikācija, lietotnes parole, phishing, spoofing (viltots sūtītājs), backscatter, pārņemta pastkaste, aizdomīgi noteikumi un pāradresācijas, nosūtīšanas limits

Divi veidi, kā rodas "no manas adreses tiek sūtīts mēstules"

Gandrīz katrs administrators to kādreiz dzird: "no manas adreses tiek sūtītas mēstules". Tam ir divi pavisam atšķirīgi iemesli, un rīcība abos gadījumos ir cita.

1. Viltošana (spoofing): neviens Jūsu pastkastē nav iekļuvis

Sūtītāja adrese ir vienkārši teksts. Ikviens var nosūtīt e-pastu ar Van: info@example.com (no: info@example.com), izmantojot savu pašu serveri, un nekad neiekļūt Jūsu pastkastē. To sauc par spoofing.

Tā to atpazīstat:

• Jūs pēkšņi saņemat desmitiem vai simtiem atlēciena paziņojumu (bounce) par e-pastiem, kurus nekad neesat sūtījis, bieži vien uz nezināmām adresēm. Tas ir backscatter: saņēmēji noraidīja viltoto e-pastu un nosūtīja kļūdas paziņojumu uz adresi, kas tajā bija norādīta, tātad Jums.
• Jūsu pašu mapē Sent (Nosūtītie) nekas neparādās.
• Jūsu pasta servera žurnālos (daudzos paneļos tam ir funkcija, piemēram, "E-mail Tracking") Jūs šos ziņojumus neredzat kā izejošo pastu.
• Šāda atpakaļ nosūtīta ziņojuma galvenēs (nodarbība 1.5) ir Received rinda no servera, kas nav Jūsu.

Paroles maiņa šeit nepalīdzēs: nevienam tās nebija. Kas gan palīdz, ir DMARC (nodarbība 4.4). Ar p=quarantine vai p=reject Jūs paziņojat saņēmējiem, ka e-pastu, kas neiziet cauri Jūsu SPF vai DKIM, viņiem jānoliek karantīnā vai jānoraida. Tad viltotais e-pasts nonāk galā retāk, un arī mazāk cilvēku tiek apkrāpti, izmantojot Jūsu vārdu. Atlēciena paziņojumi parasti pāris dienu laikā pārstāj paši no sevis; Jūs tos varat vienkārši dzēst.

2. Pārņemta pastkaste: kādam ir Jūsu parole

Ja kādam ir Jūsu parole, viņš piesakās Jūsu serverī un patiešām sūta mēstules, izmantojot Jūsu pastkasti. Tas ir daudz nopietnāk: mēstules nāk no uzticama servera ar Jūsu derīgo SPF un DKIM, tāpēc tās bieži vien nonāk galā. Un serveris zaudē savu labo reputāciju (nodarbība 5.2).

Tā to atpazīstat:

• Servera žurnālā ir redzams izejošais pasts, ko Jūs neesat sūtījis, bieži vien lielā apjomā.
• Jūsu pastkastes nosūtīto ziņojumu skaits ir daudz lielāks nekā parasti, vai arī Jūs pēkšņi sasniedzat nosūtīšanas limitu.
• Jūsu pakalpojumu sniedzējs par to paziņo vai bloķē nosūtīšanu.
• Jūsu pastkastē ir lietas, kuras Jūs neatpazīstat: pāradresācijas noteikums uz nezināmu adresi, filtrs, kas konkrētu pastu (piemēram, no Jūsu bankas vai pakalpojumu sniedzēja) nekavējoties pārvieto uz miskasti, cita atbildes adrese (Reply-To) Jūsu iestatījumos vai prombūtnes paziņojums.

Šie noteikumi ir zināms triks. Uzbrucējs, kas pārņem Jūsu pastkasti, bieži vien vēlas ilgi nepamanīti sekot līdzi sarakstei, piemēram, lai piemērotā brīdī nosūtītu viltotu rēķinu ar citu bankas kontu. Pāradresācijas noteikums uz viņa paša adresi turpina darboties pat tad, ja Jūs esat nomainījis savu paroli.

Kā kāds iegūst Jūsu paroli?

• Phishing: viltots e-pasts ar saiti uz viltotu pieteikšanās lapu ("Jūsu pastkaste ir pilna, piesakieties šeit"). Visbiežākais iemesls.
• Atkārtota izmantošana: Jūs izmantojat to pašu paroli arī interneta veikalā vai forumā, un tas tiek uzlauzts. Nozagtās e-pasta adreses un paroles kombinācijas pēc tam automātiski tiek izmēģinātas pasta serveros. Ar tādiem pakalpojumiem kā Have I Been Pwned Jūs varat pārbaudīt, vai Jūsu adrese ir kādā zināmā datu noplūdē.
• Minēšana: īsas vai acīmredzamas paroles (Welkom2026!, uzņēmuma nosaukums) tiek uzminētas ar brute force metodi: tūkstošiem mēģinājumu pēc kārtas.
• Ļaunatūra Jūsu datorā, kas pārtver paroles vai iegūst tās no Jūsu pārlūkprogrammas.

Jūsu pastkastes drošības nodrošināšana

1. Gara, unikāla parole katrai pastkastei. Garums ir svarīgāks par dīvainām rakstzīmēm. Paroles frāze no četriem vai pieciem atsevišķiem vārdiem ir stipra un viegli iegaumējama. Neizmantojiet to nekur citur.
2. Paroļu pārvaldnieks. Tad Jums nav jāatceras visas šīs paroles, un atkārtota izmantošana vairs nav nepieciešama.
3. Divpakāpju verifikācija, kur vien iespējams. Komerciālā mākoņa pastā (Microsoft 365, Google Workspace) un Jūsu pakalpojumu sniedzēja klientu panelī tas parasti ir iespējams. Parastai IMAP pastkastei tas bieži vien pašam IMAP un SMTP protokolam nav iespējams, jo pasta programmas nosūta tikai paroli. Dažkārt pakalpojumi šim nolūkam izmanto lietotnes paroles: atsevišķu, garu paroli katrai programmai, ko var atsaukt, nemainot galveno paroli.
4. Esiet piesardzīgi par to, kur Jūs piesakāties. Ievadiet savu paroli tikai savā pašu pasta programmā vai īstajā tīmekļa pasta adresē. Pakalpojumu sniedzējs nekad nelūdz paroli pa e-pastu.
5. Pārziniet sava servera drošību. Daudzi serveri bloķē IP adresi pēc vairākiem neveiksmīgiem pieteikšanās mēģinājumiem. Tas aizsargā pret brute force uzbrukumiem, taču tas arī nozīmē, ka vecs iekārta ar nepareizu paroli (vecs planšetdators, printeris, kas skenē un sūta e-pastus) var izraisīt visa Jūsu biroja tīkla bloķēšanu.

Ko darīt, ja pastkaste ir pārņemta?

Rīkojieties nekavējoties, šādā secībā:

1. Nomainiet paroli pakalpojumu sniedzēja panelī (nevis izmantojot saiti no e-pasta). Izvēlieties jaunu, unikālu paroli.
2. Pārbaudiet pāradresācijas noteikumus, filtrus, pseidonīmus un prombūtnes paziņojumu gan tīmekļa pastā, gan panelī. Dzēsiet visu, ko neesat izveidojis pats.
3. Pārbaudiet, kuras iekārtas un programmas izveido savienojumu, un visur ievadiet jauno paroli. Aizmirsta iekārta ar veco paroli var izraisīt Jūsu IP bloķēšanu.
4. Skenējiet savu datoru uz ļaunatūru, īpaši, ja neesat noklikšķinājis uz phishing saites.
5. Nomainiet paroli arī citur, ja esat to atkārtoti izmantojis, un arī klientu paneļa paroli, ja tā bija tāda pati.
6. Ziņojiet par to pakalpojumu sniedzējam. Tas var redzēt, kas ir nosūtīts, iztīrīt rindu un atcelt bloķējumu.
7. Brīdiniet savus kontaktus, ja viņiem ir sūtīts e-pasts, īpaši, ja tie ir viltoti rēķini. Datu noplūde ar personas datiem saskaņā ar VDAR var arī prasīt paziņošanu Jūsu valsts privātuma uzraudzības iestādei; neskaidrību gadījumā to noskaidrojiet.

Pārņemta pastkaste reti nāk viena. Pārbaudiet arī, vai Jūsu vietne nesūta mēstules: nedrošs kontaktformulārs vai uzlauzts spraudnis arī var sūtīt pastu Jūsu vārdā (nodarbība 7.3).

Praksē: tā tas izskatās panelī

DirectAdmin pastkastes paroli maināt sadaļā E-mail Accounts, izmantojot trīs punktiņus un Change Password/Username; slejā Sent redzams, cik daudz pasta pastkaste ir nosūtījusi šodien. Ar E-mail Tracking Jūs varat redzēt, vai ziņojums patiešām ir nosūtīts caur serveri. Pāradresācijas atrodamas sadaļā Forwarders, prombūtnes paziņojumi sadaļā Autoresponders, bet tīmekļa pastā, Iestatījumi (Settings) sadaļā. Citiem paneļiem ir līdzīgas funkcijas, bieži ar nosaukumiem, piemēram, "ziņojumu izsekošana", "message trace" vai "pastkastes noteikumi".

Kopsavilkums

• Atlēciena paziņojumi par pastu, ko neesat sūtījis, bez nekā mapē Sent (Nosūtītie): viltošana. Šeit palīdz DMARC, nevis jauna parole.
• Patiess izejošais mēstuļpasts servera žurnālā: pārņemta pastkaste. Mainiet paroli, pārbaudiet noteikumus un pāradresācijas, atjauniniet iekārtas, informējiet pakalpojumu sniedzēju.
• Uzbrucēji bieži iestata pāradresācijas noteikumu vai filtru, lai turpinātu nepamanīti sekot līdzi sarakstei.
• Izmantojiet garu, unikālu paroli katrai pastkastei, paroļu pārvaldnieku un, kur vien iespējams, divpakāpju verifikāciju vai lietotnes paroles.

Tests

Uzdevums

Uzdevums O3.4: Jūsu pastkastes drošības pārbaude. Pārbaudiet savu pastkasti. Vai parole ir unikāla un gara, un vai tā glabājas paroļu pārvaldniekā? Pārbaudiet savu adresi kādā datu noplūžu pārbaudes pakalpojumā (piemēram, Have I Been Pwned) un atzīmējiet, vai tā parādās kādā noplūdē. Pārbaudiet tīmekļa pastā vai panelī visus pāradresācijas noteikumus, filtrus, atbildes adresi un prombūtnes paziņojumu. Pierakstiet, kuras iekārtas izmanto pastkasti. Pēc tam atbildiet: ja rīt saņemat atlēciena paziņojumus par pastu, ko neesat sūtījis, kā Jūs noskaidrosiet, vai tā ir viltošana vai uzlaušana?

Papildu lasāmviela

Šajos rakstos aprakstītie soļi attiecas uz WebOké paneļiem; citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• DirectAdmin rokasgrāmata 9.6: Wat te doen als Jūsu e-pasta adrese ir ļaunprātīgi izmantota
• DirectAdmin rokasgrāmata 7.2: E-pasta adreses paroles maiņa
• DirectAdmin rokasgrāmata 9.3: E-mail Tracking: kur palikusi mana vēstule?
• E-pasta adreses paroles vai limitu maiņa
• E-pasta kastīte pārņemta vai surogātpasts tiek sūtīts no Jūsu adreses: šādi sakārtojiet situāciju
• NCSC, ieteikumi par parolēm un divpakāpju verifikāciju (Nīderlande): https://www.ncsc.nl
• Roundcube Webmail 10.5: Pastkastes paroles maiņa
• Roundcube Webmail 10.3: Divpakāpju verifikācijas ieslēgšana
• Thunderbird ar Jūsu WebOké pastu un Nextcloud 2.3: Paroles: maiņa, saglabātās paroles un galvenā parole