Почтовый ящик без второго фактора — это дверь без замка

Двухфакторная аутентификация корпоративной почты — та самая настройка, которую откладывают «на после квартального отчёта». А потом бухгалтер переводит деньги по письму «от директора». Пароль от ящика руководителя при этом никто героически не взламывал. Он утёк из базы какого-нибудь интернет-магазина три года назад и спокойно лежал в чужом списке. Ждал.

Пятница, 18:40, письмо от «директора»

Представьте обычную картину. Директор в отъезде. Главный бухгалтер одна в офисе, до выходных двадцать минут. Приходит письмо с адреса руководителя: «Срочно оплатите счёт новому поставщику, иначе сорвём поставку. Я на переговорах, не звони».

Стиль директорский. Подпись директорская. Адрес — настоящий, потому что ящик уже чужой.

Это называется Business Email Compromise, или BEC: целевой фишинг, при котором злоумышленник выдаёт себя за руководителя и просит перевести деньги или отдать данные. Никакой магии. Расчёт на то, что человек не станет перепроверять начальника в пятницу вечером. И расчёт, как правило, верный.

Откуда у чужих людей ваш пароль

Кто-то до сих пор представляет взлом как хакера, перебирающего буквы. Это кино. В жизни всё скучнее и обиднее:

• Фишинговая страница. Сотруднику приходит «уведомление почтового сервиса» с просьбой подтвердить вход. Форма — точная копия настоящей. Ввёл — отдал.
• Утечки чужих баз. Один пароль на рабочую почту, форум рыболовов и доставку пиццы. Утекла пиццерия — утекла и бухгалтерия.
• Инфостилеры. Вредонос на рабочем компьютере тихо вытаскивает сохранённые пароли из браузера и почтового клиента. Без окон, без шума.
• Подбор. Для слабых и повторяющихся паролей автоматический перебор — история про часы, а не про годы.

Итог во всех четырёх случаях одинаковый. У атакующего логин и пароль. Если ящик защищён только ими — считайте, что ключ уже висит снаружи на гвоздике.

Что на самом деле делает второй фактор

Логика простая. Чтобы войти, мало того, что вы знаете (пароль). Нужно ещё то, что у вас есть: одноразовый код из приложения на телефоне, код из SMS, звонок или аппаратный ключ.

Пароль утёк? Неприятно. Но без телефона владельца он бесполезен. Злоумышленник упирается в окно «введите код» и уходит искать ящик попроще. А их, поверьте, полно.

Профильные разборы атак подбором паролей прямо называют двухфакторную аутентификацию обязательной мерой. В чек-листах соответствия для корпоративной почты второй фактор тоже стоит отдельным пунктом, а не сноской мелким шрифтом.

Какой второй фактор выбрать

Для большинства компаний я ставлю базой приложение-аутентификатор. TOTP, то есть одноразовый пароль, привязанный ко времени, — стандарт, с которым работают привычные приложения для кодов. SMS оставляю резервом. Аппаратные ключи — точечно, для тех, у кого право подписи.

Подводный камень, о который спотыкаются все

Тут начинается самое интересное.

Включили 2FA. В веб-почте теперь просят код. Директор доволен, админ доволен, все пошли пить чай. А старый Outlook на компьютере бухгалтера как ходил за почтой по обычному паролю через IMAP и SMTP, так и ходит. Второй фактор туда не долетает. Совсем.

Почтовые клиенты, которые не умеют спрашивать одноразовый код, подключают через отдельный «пароль приложения». Это нормальный механизм. Ненормально, когда такой пароль один на всю бухгалтерию, выдан три года назад и записан на стикере под монитором.

Половина «внедрённых» 2FA, которые я видел, защищали только веб-интерфейс, куда никто не заходит.

Три способа сделать 2FA бесполезной

1. Включить её только в браузере. Протоколы IMAP и SMTP для старых клиентов остались открыты по обычному паролю. Атакующему браузер и не нужен.
2. Раздать пароли приложений «навсегда». Никто их не меняет, никто не отзывает при увольнении. Уволенный менеджер унёс с собой рабочий доступ — и, возможно, сам об этом не знает.
3. Оставить 2FA на совесть сотрудников. Директор включил себе, потому что прочитал статью. Бухгалтерия не включила, потому что «неудобно». Деньги, напоминаю, уходят через бухгалтерию.

Правило одно: второй фактор настраивается централизованно, политикой на всю организацию. Добровольная галочка в личном кабинете — это не политика безопасности, это лотерея.

Умеет ли ваша почтовая система 2FA

Почти наверняка умеет. Технических оправданий почти не осталось.

В Zimbra двухфакторная аутентификация появилась в версии 8.7, и в бесплатной редакции её можно подключить решениями сообщества с поддержкой TOTP. Carbonio, которую часто ставят на замену Exchange, поддерживает вход с одноразовыми кодами. Mailcow умеет второй фактор из коробки. Облачные сервисы тоже давно предлагают SMS, звонки и приложения.

Так что вопрос не «можно ли». Вопрос «почему до сих пор не включено». И ответ на него обычно звучит как «руки не дошли».

Руки не дошли — самая дорогая фраза в ИТ. Её потом произносят в кабинете у следователя.

Сценарий: два года без смены пароля

Возьмём условное ООО с оборотом 50 млн рублей в год. Бухгалтерия — два человека. Пароль главного бухгалтера никто не менял два года: «работает же».

Этот же пароль она когда-то использовала на стороннем сервисе с рабочего адреса. Сервис утёк. Через пару недель в её ящике появляется маленькое правило: копировать письма от директора на внешний адрес. В настройки никто не заглядывает. Неделями атакующий читает переписку. Учит обороты директора, запоминает имена поставщиков, ждёт закрытия крупной сделки.

Потом — одно письмо с «новыми реквизитами». Подтверждённый платёж. Банк исполнил распоряжение клиента, претензий к банку формально нет.

Со вторым фактором эта история закончилась бы на первой строчке. Пароль утёк — и что? Без телефона бухгалтера войти нельзя. Никаких недель тихого чтения чужих писем.

Сколько это стоит на самом деле

Сумма платежа — только первая строка счёта. Дальше набегает остальное.

Директор и бухгалтер неделями пишут заявления, сидят на звонках с банком, объясняются с контрагентом. Контрагентам, кстати, тоже могли разослать письма «от вашего имени» с настоящего адреса. После такого партнёры месяцами перепроверяют каждое ваше письмо звонком. Самые осторожные молча уходят к поставщику, у которого почту не угоняли.

И вот что злит меня по-настоящему. Всё это происходит из-за настройки, которая делается за день. Не за месяц, не за бюджет на внедрение. За день. Подрядчик, который годами обслуживает вашу почту и ни разу не поднял вопрос второго фактора, — не экономный. Он просто перекладывает свой риск на вашу кассу. Вы платите ему за то, чтобы почта работала, а он молча оставил ящик директора с одним паролем, который может знать кто угодно. Это не мелкая недоработка. Это бомба под бухгалтерией с неизвестным таймером.

Почему штатный админ откладывает 2FA

Не из злого умысла. Из-за очереди задач.

У штатного ИТ-специалиста в компании на двадцать человек одновременно горит принтер, 1С, обновления и «у меня не открывается». «Включить всем 2FA» не горит ровно до первого инцидента. Фрилансер-админ сделает, если попросите и заплатите отдельно. Типичный ИТ-подрядчик включит, если это прописано в договоре. Не прописано — не включит. А бесплатный почтовый сервис предложит второй фактор опцией в личном кабинете и никак не проверит, включил ли её хоть кто-то из ваших сотрудников.

Получается, что за безопасность почты не отвечает никто. Удобно. Для атакующего.

Что делаем мы и чем это отличается

У нас второй фактор — не допродажа и не «по запросу». Это пункт сдачи проекта. Без него почту не сдаём.

• Включаем централизованно, политикой на почтовый домен, а не уговорами каждого сотрудника.
• Закрываем старые клиенты. Каждому устройству — свой пароль приложения, персональный и отзываемый поштучно.
• Показываем администратору, как за минуту отключить доступ уволенному сотруднику или потерянному телефону.
• Проверяем правила переадресации в ящиках руководства и бухгалтерии — там иногда находятся очень интересные внешние адреса.
• Оставляем регламент: что делать при увольнении, замене телефона, подозрении на взлом.

Ориентиры по деньгам с нашего сайта: почта под ключ для компании до 15 ящиков — от 25 000 ₽, перенос почты до 50 ящиков — от 12 000 ₽, ящики на нашей инфраструктуре — от 150 ₽ в месяц. Второй фактор входит в работу, отдельной строкой за безопасность мы не берём.

Облако — это чужой компьютер, на котором лежит ваш бизнес. Если уж класть, то хотя бы под два замка.

Если ящик, похоже, уже угнали

Без паники, но быстро. Признаки: пароль вдруг перестал подходить, в настройках незнакомые правила пересылки, коллеги получают от вас письма, которых вы не писали.

Порядок действий:

1. Сменить пароль немедленно, с чистого устройства.
2. Завершить все активные сессии и отозвать пароли приложений.
3. Удалить чужие правила переадресации и проверить, куда уже ушли копии писем.
4. Предупредить бухгалтерию и ключевых контрагентов: платежи по «новым реквизитам» — только после звонка.
5. Проверить рабочий компьютер на вредонос. Если пароль утащил инфостилер, новый пароль утечёт тем же путём, просто чуть позже.
6. И только потом включить второй фактор. Да, именно этот пункт и стоило сделать первым — полгода назад.

Чек-лист: проверьте почту сегодня

• ☐ У директора, бухгалтерии и всех, кто подписывает платежи, включена 2FA.
• ☐ Второй фактор включён политикой администратора, а не по желанию сотрудника.
• ☐ Старые почтовые клиенты подключены через персональные пароли приложений.
• ☐ Любой пароль приложения можно отозвать поштучно, не сбрасывая основной.
• ☐ В ящиках руководства нет правил пересылки на незнакомые адреса.
• ☐ При увольнении доступ и пароли приложений отзываются в тот же день.
• ☐ Платёж по новым реквизитам проходит только после звонка, а не только по письму.

Если хоть один пункт вызвал паузу и «надо уточнить у админа» — уточните. Сегодня.

Что дальше

На почте директора и бухгалтерии до сих пор стоит только пароль? Напишите нам в АйТи Фреш. Включим второй фактор политикой на весь домен, закроем лазейки со старыми клиентами и покажем, как отрезать доступ за минуту. Лучше потратить один рабочий день сейчас, чем потом месяц объяснять банку, почему вы сами подтвердили этот платёж.

Частые вопросы