Jelszavak és a visszaélésre használt e-mail cím: feltörték, vagy meghamisították?

Modul 3: A postafiókja kezelése · Olvasási idő: 10 perc

Tanulási cél: E lecke után képes lesz megfelelően biztonságossá tenni postafiókját, felismerni a különbséget a meghamisított feladó és az átvett postafiók között, és mindkét esetben megtenni a megfelelő lépéseket.

Kulcsfogalmak: erős jelszó, jelmondat, jelszókezelő, újrafelhasználás, adatszivárgás, brute force, IP-blokkolás, kétlépcsős azonosítás, alkalmazásjelszó, phishing, spoofing (meghamisított feladó), backscatter, átvett postafiók, gyanús szabályok és átirányítások, küldési limit

Kétféle "a címemről spamet küldenek"

Szinte minden adminisztrátor találkozik vele egyszer: "az én címemről spam megy ki". Két teljesen eltérő ok állhat emögött, és a teendő is más.

1. Hamisítás (spoofing): senki nem volt bent a postafiókjában

A feladó címe egyszerűen csak szöveg. Bárki küldhet levelet Van: info@example.com feladóval, a saját szerverén keresztül, anélkül, hogy valaha is bejutna az Ön postafiókjába. Ezt nevezik spoofingnak.

Így ismerheti fel:

• Hirtelen tucatnyi vagy akár több száz bounce (kézbesítetlenségi értesítés) érkezik olyan levelekről, amelyeket soha nem küldött, gyakran ismeretlen címekre. Ez a backscatter: a címzettek elutasították a hamisított levelet, és a hibaüzenetet a levélben szereplő feladó címére, vagyis Önnek küldték vissza.
• A saját Küldés mappájában nincs semmi.
• A levelezőszerver naplójában (sok vezérlőpultnál ilyen funkció: "E-mail követés") ezek a levelek nem jelennek meg kimenő levélként.
• A visszaküldött levél fejléceiben (1.5. lecke) egy olyan szervertől származó Received sor szerepel, amely nem az Öné.

A jelszó megváltoztatása itt nem segít: senki nem ismerte azt. Amiben segít, az a DMARC (4.4. lecke). A p=quarantine vagy p=reject beállítással tudatja a címzettekkel, hogy azokat a leveleket, amelyek nem mennek át az Ön SPF vagy DKIM ellenőrzésén, helyezzék karanténba vagy utasítsák el. Ezáltal a hamisított levél ritkábban jut célba, és kevesebb embert tudnak becsapni az Ön nevében. A bounce-ok általában néhány nap után maguktól megszűnnek, ezeket nyugodtan törölheti.

2. Átvett postafiók: valaki ismeri a jelszavát

Ha valaki ismeri a jelszavát, akkor bejelentkezik az Ön szerverére, és valóban az Ön postafiókján keresztül küld spamet. Ez sokkal súlyosabb: a spam egy megbízható szerverről érkezik, az Ön érvényes SPF és DKIM beállításával, ezért gyakran célba is ér. A szerver pedig elveszíti a jó hírnevét (5.2. lecke).

Így ismerheti fel:

• A szerver naplójában olyan kimenő leveleket lát, amelyeket nem Ön küldött, gyakran nagy mennyiségben.
• A postafiókból küldött üzenetek száma sokkal magasabb a megszokottnál, vagy hirtelen eléri a küldési limitet.
• A szolgáltató jelzi ezt, vagy letiltja a küldést.
• A postafiókjában olyan dolgokat talál, amelyeket nem ismer fel: egy átirányítási szabály egy ismeretlen címre, egy szűrő, amely bizonyos leveleket (például a bankjától vagy a szolgáltatójától) azonnal a lomtárba helyez, egy másik válaszcím (Reply-To) a beállításokban, vagy egy távolléti üzenet.

Ezek a szabályok egy ismert trükköt jelentenek. A postafiókot átvevő támadó gyakran hosszú ideig szeretne észrevétlenül beleolvasni a levelezésbe, például hogy a megfelelő pillanatban egy hamis számlát küldjön más bankszámlaszámmal. Egy saját címére mutató átirányítási szabály akkor is tovább működik, ha Ön már megváltoztatta a jelszavát.

Hogyan jut valaki a jelszavához?

• Phishing: egy hamis levél egy hamisított bejelentkezési oldalra mutató linkkel ("tele van a postafiókja, jelentkezzen be itt"). A leggyakoribb ok.
• Újrafelhasználás: ugyanazt a jelszót használja egy webáruháznál vagy fórumon is, amelyet feltörnek. Az ellopott e-mail cím és jelszó kombinációkat ezután automatikusan kipróbálják levelezőszervereken. Olyan szolgáltatásokkal, mint a Have I Been Pwned, megnézheti, hogy a címe szerepel-e egy ismert adatszivárgásban.
• Kitalálás: a rövid vagy kézenfekvő jelszavakat (Welkom2026!, a cég neve) brute force módszerrel próbálják kitalálni: egymás után ezrével próbálkoznak.
• Kártevő szoftver (malware) a számítógépén, amely jelszavakat fog el, vagy a böngészőjéből gyűjt ki.

Postafiókja megfelelő védelme

1. Hosszú, egyedi jelszó postafiókonként. A hossz többet számít, mint a furcsa karakterek. Egy négy vagy öt szóból álló jelmondat erős, és könnyen megjegyezhető. Sehol máshol ne használja.
2. Jelszókezelő. Így nem kell az összes jelszót fejben tartania, és az újrafelhasználás sem lesz szükséges.
3. Kétlépcsős azonosítás, ahol csak lehetséges. Üzleti célú felhőalapú levelezésnél (Microsoft 365, Google Workspace) és a szolgáltató ügyfélpaneljén ez általában elérhető. Egy hagyományos IMAP postafióknál ez gyakran nem lehetséges magára az IMAP és SMTP protokollra, mivel a levelezőprogramok csak egy jelszót küldenek. Egyes szolgáltatások ilyenkor alkalmazásjelszavakkal dolgoznak: egy külön, hosszú jelszó programonként, amely visszavonható anélkül, hogy a főjelszót meg kellene változtatni.
4. Legyen körültekintő azzal, hogy hol jelentkezik be. A jelszavát csak a saját levelezőprogramjában vagy a webmail valódi címén adja meg. Egy szolgáltató soha nem kér jelszót e-mailben.
5. Ismerje meg a szervere védelmét. Sok szerver egy bizonyos számú sikertelen bejelentkezési kísérlet után blokkolja az IP-címet. Ez védelmet nyújt a brute force ellen, de azt is jelenti, hogy egy régi eszköz rossz jelszóval (egy régi táblagép, egy e-mailt beszkennelő nyomtató) az egész irodai hálózatot letilthatja.

Mi a teendő átvett postafiók esetén?

Ezt azonnal tegye meg, ebben a sorrendben:

1. Változtassa meg a jelszót a szolgáltatója vezérlőpultján (ne egy levélben kapott linken keresztül). Válasszon új, egyedi jelszót.
2. Ellenőrizze az átirányítási szabályokat, szűrőket, aliasokat és a távolléti üzenetet, mind a webmailben, mind a vezérlőpulton. Törölje mindazt, amit nem Ön hozott létre.
3. Nézze meg, mely eszközök és programok kapcsolódnak, és mindenhol adja meg az új jelszót. Egy elfelejtett eszköz a régi jelszóval letilthatja az IP-címét.
4. Ellenőrizze számítógépét kártevő szoftverek után, különösen akkor, ha nem kattintott phishing linkre.
5. Változtassa meg a jelszót máshol is, ha azt újrahasználta, valamint az ügyfélpanel jelszavát is, ha az ugyanaz volt.
6. Jelezze szolgáltatójának. Ő láthatja, mi lett elküldve, kitakaríthatja a várólistát, és feloldhatja a blokkolást.
7. Figyelmeztesse ismerőseit, ha hozzájuk is érkezett levél, különösen hamis számlák esetén. Egy személyes adatokat érintő adatszivárgás a GDPR alapján bejelentési kötelezettséget is jelenthet az illetékes adatvédelmi hatóság felé; kétség esetén érdemes ezt utánanézni.

Egy átvett postafiók ritkán jár egyedül. Nézze meg azt is, hogy weboldala nem küld-e spamet: egy nem megfelelően védett kapcsolatfelvételi űrlap vagy egy feltört bővítmény (plugin) szintén küldhet levelet az Ön nevében (7.3. lecke).

A gyakorlatban: így néz ki egy vezérlőpulton

A DirectAdminban a postafiók jelszavát az E-mail fiókok menüpontban változtathatja meg, a három pont és a Jelszó/Felhasználónév módosítása segítségével; a Küldés oszlopban láthatja, hogy egy postafiók aznap hány levelet küldött. Az E-mail követés funkcióval ellenőrizheti, hogy egy üzenet valóban a szerveren keresztül lett-e elküldve. Az átirányítások a E-mail átirányítások alatt, a távolléti üzenetek az Automatikus válaszolók alatt, a webmailben pedig a Beállítások menüpontban találhatók. Más vezérlőpultok is hasonló funkciókkal rendelkeznek, gyakran "üzenetnyomkövetés", "message trace" vagy "postafiók-szabályok" néven.

Összefoglalás

• Bounce-ok olyan levelekről, amelyeket nem Ön küldött, miközben a Küldés mappája üres: hamisítás. Ebben a DMARC segít, nem egy új jelszó.
• Valódi kimenő spam a szerver naplójában: átvett postafiók. Jelszóváltoztatás, szabályok és átirányítások ellenőrzése, eszközök frissítése, szolgáltató értesítése.
• A támadók gyakran állítanak be egy átirányítási szabályt vagy szűrőt, hogy továbbra is olvashassák a levelezést.
• Használjon hosszú, egyedi jelszót postafiókonként, egy jelszókezelőt, és ahol lehetséges, kétlépcsős azonosítást vagy alkalmazásjelszavakat.

Kvíz

Feladat

O3.4: A postafiókja biztonsági ellenőrzése. Tekintse át saját postafiókját. Egyedi és hosszú a jelszó, és egy jelszókezelőben van tárolva? Keresse meg a címét egy adatszivárgás-ellenőrző szolgáltatásnál (például a Have I Been Pwned oldalon), és jegyezze fel, hogy szerepel-e valamelyik szivárgásban. Ellenőrizze a webmailben vagy a vezérlőpulton az összes átirányítási szabályt, szűrőt, a válaszcímet és a távolléti üzenetet. Jegyezze fel, mely eszközök használják a postafiókot. Ezután válaszoljon a következőre: ha holnap bounce-okat kap olyan levelekről, amelyeket nem Ön küldött, hogyan deríti ki, hogy hamisításról vagy feltörésről van-e szó?

További olvasnivaló

Az ezekben a cikkekben leírt lépések a WebOké vezérlőpultjaira vonatkoznak; más szolgáltatóknál ez hasonlóan működik.

• DirectAdmin útmutató 9.6: Mi a teendő, ha visszaélnek az e-mail címével
• DirectAdmin útmutató 7.2: Az e-mail cím jelszavának megváltoztatása
• DirectAdmin útmutató 9.3: E-mail követés: hová lett az e-mailem?
• Hogyan módosíthatom az e-mail-címem jelszavát vagy korlátait?
• Feltört postafiók vagy az Ön címéről küldött spam: így oldhatja meg
• NCSC, tanács jelszavakról és kétlépcsős azonosításról (Hollandia): https://www.ncsc.nl