Pracownik kliknął w podejrzany link – co zrobić?

Jedno niewłaściwe kliknięcie nie oznacza od razu włamania do firmowych systemów. Takiej sytuacji nie można jednak ignorować. Jeśli pracownik otworzył podejrzany link, wpisał hasło, zatwierdził logowanie albo pobrał plik, liczy się szybka i uporządkowana reakcja. Im wcześniej ustalisz, co dokładnie się wydarzyło, tym większa szansa, że ograniczysz ryzyko przejęcia konta, wycieku danych albo dalszego rozprzestrzeniania się ataku.

Spis treści:

1. Najpierw ustal, co zrobił pracownik
2. Czy samo kliknięcie w link oznacza włamanie?
3. Co zrobić, jeśli pracownik podał login i hasło?
4. Co zrobić po zatwierdzeniu MFA?
5. Co zrobić, jeśli pobrano lub uruchomiono plik?
6. Sprawdź, czy phishing trafił do innych osób
7. Oceń, czy doszło do wycieku danych
8. Podsumowanie

Najpierw ustal, co zrobił pracownik

Najważniejsze pytanie brzmi: na czym dokładnie skończył się kontakt z podejrzaną wiadomością? Inna będzie reakcja, jeśli pracownik tylko otworzył stronę, a inna, jeśli:

• podał login lub hasło,
• wpisał kod SMS,
• zatwierdził logowanie w aplikacji MFA,
• pobrał plik,
• uruchomił załącznik,
• podał dane firmowe albo płatnicze.

Nie zaczynaj od szukania winnego. Pracownik powinien jak najszybciej zgłosić sytuację do osoby odpowiedzialnej za IT. Ukrywanie incydentu ze strachu przed konsekwencjami jest dla firmy znacznie groźniejsze niż samo kliknięcie w link.

Czy samo kliknięcie w link oznacza włamanie?

Nie zawsze. Jeśli pracownik tylko otworzył stronę, niczego nie wpisał, nie pobrał pliku i nie zatwierdził logowania, ryzyko jest zwykle niższe. Nadal jednak warto sprawdzić wiadomość, adres strony i ewentualne alerty systemów bezpieczeństwa.

Inaczej wygląda sytuacja, jeśli pracownik podał dane logowania albo wykonał inną czynność na stronie. Wtedy trzeba założyć, że zabezpieczenia konta mogły zostać naruszone.

Co zrobić, jeśli pracownik podał login i hasło?

W tej sytuacji nie warto czekać. Hasło należy natychmiast zmienić. To jednak dopiero początek - jeśli firma korzysta np. z Microsoft 365, administrator powinien także wymusić wylogowanie użytkownika ze wszystkich aktywnych sesji oraz sprawdzić, czy nie pojawiły się nieznane metody logowania, nietypowe urządzenia albo podejrzane aktywności.

Sama zmiana hasła może być niewystarczająca, jeśli atakujący zdążył uzyskać aktywną sesję. Microsoft w procedurach dla przejętych kont zaleca m.in. odwołanie aktywnych sesji i tokenów oraz sprawdzenie konta pod kątem dalszych zmian.

Co zrobić po zatwierdzeniu MFA?

MFA, czyli uwierzytelnianie wieloskładnikowe, znacząco zwiększa bezpieczeństwo konta, ale nie daje stuprocentowej ochrony.

Jeżeli pracownik zatwierdził logowanie, którego sam nie rozpoczął, trzeba potraktować konto jako potencjalnie przejęte.

Należy sprawdzić:

• historię logowań,
• używane urządzenia,
• lokalizacje,
• przypisane metody MFA,
• aktywne sesje,
• zmiany w ustawieniach konta.

Jeśli pojawił się nieznany telefon, inne urządzenie albo aplikacja uwierzytelniająca, trzeba je usunąć.

Co zrobić, jeśli pobrano lub uruchomiono plik?

To bardziej niebezpieczny scenariusz niż samo kliknięcie linku.

Jeśli pobrany plik został uruchomiony albo komputer zaczyna zachowywać się nietypowo, należy założyć, że mogło dojść do zainstalowania złośliwego oprogramowania.

W takiej sytuacji najlepiej:

• odłączyć komputer od sieci firmowej i internetu,
• nie logować się na nim do kolejnych systemów,
• nie podłączać dodatkowych nośników,
• zgłosić urządzenie do analizy IT,
• uruchomić kontrolę antywirusową lub EDR.

Sprawdź, czy phishing trafił do innych osób

Phishing rzadko kończy się na jednym adresacie. Jeśli podejrzaną wiadomość dostał jeden pracownik, warto sprawdzić, czy podobna wiadomość nie trafiła również do innych osób w firmie.

Zespół powinien dostać prosty komunikat: nie klikać w link, nie otwierać załącznika i natychmiast zgłosić, jeśli ktoś już to zrobił.

Wiadomości nie należy przesyłać dalej jako zwykłego forwarda. Lepiej skorzystać z funkcji zgłaszania phishingu albo przekazać informację osobie odpowiedzialnej za bezpieczeństwo.

Oceń, czy doszło do wycieku danych

Po zabezpieczeniu konta trzeba sprawdzić, co mogło się wydarzyć po kliknięciu. Warto przejrzeć logowania, wiadomości wysłane, reguły poczty i przekierowania. Jeśli konto miało dostęp do OneDrive, SharePoint, CRM, systemów księgowych lub dokumentów klientów, również te obszary powinny zostać sprawdzone.

Szczególną uwagę trzeba zwrócić na wiadomości dotyczące płatności i numerów rachunków. Przejęta poczta może zostać wykorzystana do podszywania się pod pracownika i wysyłania fałszywych próśb o przelew.

Podsumowanie

W KNT pomagamy firmom budować bezpieczne środowisko IT i przygotowywać procedury, które pozwalają szybko reagować na incydenty. W przypadku phishingu najważniejsze są bowiem nie tylko zabezpieczenia, ale też właściwa reakcja w pierwszych minutach po wykryciu błędu.