Waarom een aanvaller juist een postvakregel aanmaakt
Wie een mailbox overneemt via phishing, wil meestal niet alleen even rondkijken. Het doel is vaak geld: een lopend gesprek over een factuur overnemen, een rekeningnummer laten wijzigen of wachtwoorden van andere diensten resetten. Daarvoor moet de aanvaller meelezen zonder dat de echte gebruiker iets merkt. Een postvakregel is daarvoor het eenvoudigste middel. Het is een gewone functie van Outlook, er is geen speciale software voor nodig en de regel blijft werken nadat het wachtwoord is gewijzigd.
Typische regels doen een van deze dingen:
- Mail met bepaalde woorden, zoals factuur, betaling, IBAN, bank of wachtwoord, doorsturen naar een extern adres.
- Antwoorden van één bepaalde klant of leverancier direct verplaatsen naar een map waar de gebruiker nooit kijkt, zoals RSS-feeds, Archief of Gespreksgeschiedenis.
- Meldingen van bijvoorbeeld Microsoft, de bank of een wachtwoordreset meteen verwijderen.
- Alle mail doorsturen en daarna verwijderen, zodat de gebruiker alleen nog ziet wat de aanvaller laat staan.
Verschil met automatisch doorsturen blokkeren
In een eerder artikel lieten we zien hoe u automatisch doorsturen naar externe adressen op organisatieniveau blokkeert. Dat is een belangrijke maatregel en hij stopt veel doorstuurregels. Maar een regel die mail verplaatst of verwijdert, valt daar niet onder. Daarmee kan een aanvaller nog steeds zijn sporen wissen en antwoorden van uw klant wegvangen terwijl hij vanuit uw eigen mailbox de fraude doet. Ook regels die naar een intern adres doorsturen, bijvoorbeeld een ander overgenomen account, worden niet tegengehouden. Het blokkeren van doorsturen en het controleren van postvakregels vullen elkaar dus aan.
Zo bekijkt u de regels van één mailbox
- Outlook voor Windows. Ga naar Bestand, Regels en waarschuwingen beheren. U ziet hier de regels van uw eigen mailbox. Klik een regel aan om onderaan te lezen wat hij precies doet.
- Nieuwe Outlook en Outlook op het web. Ga naar Instellingen, E-mail, Regels. Dit is vaak de duidelijkste weergave, ook als u op een Mac of telefoon werkt.
- Doorsturen op mailboxniveau. Kijk in Outlook op het web ook bij Instellingen, E-mail, Doorsturen. Als beheerder ziet u in het Exchange-beheercentrum per mailbox of er een doorstuuradres is ingesteld. Dat is een andere instelling dan een postvakregel, maar aanvallers gebruiken hem ook.
Houd er rekening mee dat sommige regels technisch zo aangemaakt kunnen worden dat ze in Outlook niet zichtbaar zijn. Een controle in Outlook is dus een goed begin, maar geen garantie.
Alle mailboxen tegelijk controleren met PowerShell
Als beheerder kunt u met Exchange Online PowerShell alle regels van alle mailboxen in één keer ophalen. Met Get-InboxRule -Mailbox [email protected] ziet u de regels van één gebruiker; met een kleine lus over alle mailboxen maakt u een overzicht van het hele bedrijf. Let vooral op de velden ForwardTo, ForwardAsAttachmentTo, RedirectTo, DeleteMessage en MoveToFolder. Met de optie -IncludeHidden komen ook regels mee die in Outlook verborgen blijven. Neem de gedeelde mailboxen mee, zoals info@ of facturen@: daar kijkt vaak niemand naar de regels, terwijl er wel gevoelige mail binnenkomt.
Daarnaast legt het auditlogboek vast wanneer een regel is aangemaakt of gewijzigd en vanaf welk IP-adres. Dat helpt om vast te stellen sinds wanneer er mail is weggelekt.
Rode vlaggen
- Doorsturen naar een extern adres, zeker een gratis mailadres of een adres dat lijkt op dat van een klant of collega.
- Een regel die doorstuurt en daarna het bericht verwijdert of als gelezen markeert.
- Vreemde of lege namen: een punt, twee punten, één letter of een reeks tekens.
- Regels die mail naar weinig gebruikte mappen verplaatsen, zoals RSS-feeds of Gespreksgeschiedenis.
- Voorwaarden met woorden als factuur, betaling, rekeningnummer, wachtwoord of de naam van één bepaalde klant.
- Een regel die de gebruiker zelf niet herkent, of die is aangemaakt op een moment dat hij niet werkte.
- Regels op gedeelde mailboxen of op mailboxen van oud-medewerkers die nog actief zijn.
Wat u doet als u een verdachte regel vindt
Verwijder de regel niet meteen. Maak eerst een schermafbeelding of exporteer de details: wat doet de regel, naar welk adres, sinds wanneer. Die informatie heeft u nodig om te bepalen welke mail is weggelekt. Zet de regel daarna uit en behandel het account als overgenomen: wijzig het wachtwoord, meld de gebruiker overal af, controleer of de aanvaller een eigen MFA-methode heeft toegevoegd en kijk of er apps toegang hebben gekregen. Bekijk de verzonden items en het auditlogboek om te zien met wie de aanvaller heeft gemaild. Waarschuw klanten of leveranciers die mogelijk een vervalst betaalverzoek hebben gekregen, en beoordeel of er persoonsgegevens zijn gelekt die u moet melden bij de Autoriteit Persoonsgegevens. Als dat zo is, geldt in de regel een termijn van 72 uur. Een IT-noodplan maakt deze stappen een stuk rustiger.
Controleer daarna ook de andere mailboxen. Een aanvaller die één account heeft overgenomen, stuurt vanuit dat account vaak phishing naar collega's. Een waarschuwingsbanner voor externe mail helpt medewerkers om valse berichten van buiten sneller te herkennen.
Wat Floor ICT doet
Floor ICT richt bij klanten Microsoft 365 zo in dat er een melding komt als iemand een postvakregel aanmaakt die naar buiten doorstuurt of berichten verwijdert, en blokkeert automatisch doorsturen naar externe adressen op organisatieniveau. Periodiek controleren we de regels van alle mailboxen, inclusief gedeelde mailboxen en accounts van oud-medewerkers, en bespreken we afwijkingen met u. Vinden we een verdachte regel, dan leggen we de details vast, sluiten we het account af en zoeken we uit wat er is weggelekt en sinds wanneer. Als uw MSP doen we het technische werk; wie u informeert en of u een datalek meldt, beslist u, op basis van de feiten die wij aanleveren.