Gyanús e-mail ellenőrzése tíz perc alatt: a hét lépés egy valódi riasztásból
Egy raktáros kolléga kap egy levelet, amiben számla-értesítő van. A feladó egy cég, amiről még nem hallott, a levélben nincs csatolmány, csak egy hosszú link, és a tárgyban egy bizonylatszám. A kolléga azt csinálja, amit a legjobb: nem kattint, hanem szól. „Ez vírusos lehet.” Ezzel a mondattal indul minden ilyen ügy, és ezen a ponton két rossz válasz létezik. Az egyik: „töröld nyugodtan.” A másik: „nyisd meg, biztos jó.”
Ez a cikk a harmadik válaszról szól: arról a hét lépésből álló ellenőrzésről, ami tíz perc alatt eldönti a kérdést, és amit egy kkv-ban is meg lehet csinálni külső biztonsági szolgáltató nélkül. Leírjuk, mi lett a konkrét eset verdiktje, és a végén arra a másik kérdésre is válaszolunk, ami ezzel együtt szokott jelentkezni: mi a teendő, ha a levél helyett maga a levelezés áll meg — ha a cég hálózatából egyszer csak nem jön a posta.
Miért néz ki egy valódi számlaértesítő pont úgy, mint egy adathalász levél?
Mert a kettő ma technikailag majdnem ugyanaz. Egy mai, valódi elektronikus számla-értesítő jellemzően nem a szállítótól jön, hanem egy számlázó szolgáltatótól, akinek a nevét a címzett életében nem hallotta. HTML-levél, benne egy gomb vagy egy hosszú link, ami a szállító honlapja helyett egy portálra visz, gyakran egy átirányításon keresztül. Csatolmány sokszor nincs is — csak a link. A tárgyban bizonylatszám, a szövegben határidő és fizetési felszólítás.
Ez a leírás nagyjából egybeesik azzal, amit a biztonsági oktatások adathalászat-gyanús jelként tanítanak. Ezért a kolléga, aki megáll és szól, jól dönt — csak épp a „gyanús” nem verdikt. Ez olyan helyzet, amiben egy raktáros vagy egy adminisztrátor nem tud dönteni — és nem is az ő feladata: fejlécet kell hozzá olvasni, és tudni kell, van-e a cégnek ilyen megrendelése.
A kkv-k többségénél ilyenkor két dolog hiányzik. Az első az útvonal: nincs egy hely, ahova a gyanús levelet továbbítani lehet, ezért a kolléga vagy a szomszéd íróasztalt kérdezi meg, vagy kattint. A második a rutin: nincs rögzített menete annak, mit nézünk meg és milyen sorrendben, ezért az ellenőrzés minden alkalommal máshogy és máskor ér véget. A kettőt együtt egy délelőtt alatt pótolni lehet, és a rutin utána alkalmanként tíz perc.
A hét lépés, ami tíz perc alatt eldönti
A sorrend nem véletlen. Az első két lépés a kárt előzi meg, a 3–5. lépés technikai, a 6–7. üzleti. A leggyakoribb hiba, hogy az ellenőrzés a technikai résznél megáll — pedig egy tökéletesen hitelesített, valódi levélben is lehet olyan számla, aminek semmi köze a céghez.
| # | Lépés | Mit nézünk | Rossz jel |
|---|---|---|---|
| 1 | Ne kattintson, ne nyissa meg a csatolmányt | Semmit — ez a lépés a kár megelőzése | Ha valaki már kattintott: onnantól nem ellenőrzés, hanem incidens-kezelés |
| 2 | Továbbítás mellékletként az ellenőrző címre | Az eredeti levél a saját fejléceivel | Egyszerű továbbításnál elvesznek a fejlécek, és a 3–4. lépés elvégezhetetlen |
| 3 | Feladó-lánc | A látható név és a mögötte lévő valódi cím; a visszaküldési cím; a levél útja a fejlécben | Ismerős cégnév egy vadidegen domainnel; harmadik, semmihez nem köthető visszaküldési cím |
| 4 | Hitelesítés | A fogadó szerver által a fejlécbe írt SPF-, DKIM- és DMARC-eredmény | Bukott hitelesítés egy olyan feladónál, aki naponta küld ezreket |
| 5 | A HTML valódi link-céljai | A levél forrásából kiolvasott linkcélok — nem a látható szöveg. Kattintás nélkül | A látható szöveg és a cél eltér; a cél IP-cím vagy véletlenszerű aldomain; belépést kér |
| 6 | Bizonylat-verifikáció | Létezik-e a hivatkozott számla a saját nyilvántartásban és a hivatalos számla-adatbázisban; van-e mögötte megrendelés | Nincs megrendelés; vagy a hivatalos nyilvántartás nem ismeri a bizonylatot (a beadás késhet, ezért ez önmagában nem bizonyíték — csak a visszahívást indokolja) |
| 7 | Visszahívás ismert számon | A partner korábbról ismert elérhetősége — soha a levélben megadott | A levélben más szám vagy más bankszámlaszám szerepel, mint a nyilvántartásban |
A 2. lépésről érdemes külön szólni, mert ezen szokott elcsúszni az egész. A sima továbbításnál a levelezőprogram új levelet készít, és az eredeti fejlécek — a feladó valódi útja, a hitelesítés eredménye — eltűnnek. Mellékletként továbbítva az eredeti levél egyben marad. Ez egy menüpont, és az egyetlen dolog, amit a kollégáknak meg kell tanulniuk.
Az 5. lépéshez nem kell biztonsági szakértő. A levél forrása megjeleníthető a legtöbb levelezőprogramban, és ott a linkek célja szövegként olvasható. Ettől lesz szükségtelen a kattintás: nem kell kipróbálni, hova visz, mert olvasható.
A 6. lépés a legfontosabb és a legkevésbé technikai. A magyar cégeknek van egy előnyük, amivel ritkán élnek: a rájuk kiállított számlák visszakereshetők a hivatalos számla-adatszolgáltatási rendszerben, vagyis látszik, hogy a szállító a hivatkozott bizonylatot valóban beadta-e. A saját oldalról pedig egyszerű a kérdés: rendeltünk-e ilyet. Erről és a bejövő számlák gépi feldolgozásáról a számlafeldolgozás-cikkünkben, a hivatalos adatszolgáltatás gyakorlati buktatóiról pedig a NAV-adatszolgáltatás hibáiról szóló cikkben írtunk részletesen.
Az eset: „vírusgyanús” levél a raktárból
A konkrét ügy így nézett ki. A raktárból érkezett egy levél azzal a kísérőszöveggel, hogy vírusgyanús. Nem volt megnyitva, nem volt kattintva — ez már önmagában siker, mert a következő lépéseknek van értelme.
Végigment a technikai és az üzleti ellenőrzés is. A feladó-lánc egy számlázó szolgáltatóhoz vezetett, nem közvetlenül a szállítóhoz — ez volt az, ami elsőre gyanúsnak tűnt, és ami a valóságban teljesen szokásos. A hitelesítés rendben volt. A HTML-ben található linkek valódi célja megegyezett azzal, amit a látható szöveg ígért: a szolgáltató bizonylat-letöltő felülete, átirányítás-lánc és idegen domain nélkül. A hivatkozott bizonylat a hivatalos nyilvántartásban is visszakereshető volt.
A verdikt: nem vírus és nem adathalászat, hanem valódi elektronikus számla-értesítő. A válasz még aznap visszament a raktáros kollégának — és nem ennyiből állt. A levélhez tartozott egy kérdés is: van-e egyáltalán megrendelés a számla mögött? Ez a különbségtétel az egész módszertan lényege. A hetedik lépés arra való, hogy kiderüljön: a levél lehet tökéletesen valódi úgy is, hogy a mögötte lévő kötelezettségnek semmi köze a céghez.
Érdemes kimondani, mert sokan tévedésnek élik meg: a téves riasztás jó kimenetel. Tíz perc ellenőrzés árán a kolléga megtanulta, hogy jól döntött, amikor nem kattintott, és a cég megtudta, hogy egy visszatérő szállító levelei ilyenek lesznek. A rossz kimenetel az, amikor senki nem szól, mert egyszer megmosolyogták.
Verdikt után: mi a teendő mind a négy kimenetelnél
Az ellenőrzés akkor ér valamit, ha minden lehetséges verdikthez tartozik egy előre eldöntött teendő. Így a döntést nem az hozza meg, aki éppen ott ül.
| Verdikt | Mit jelent | Teendő |
|---|---|---|
| Valódi levél, van mögötte megrendelés | Rendes üzleti bizonylat, csak szokatlan formában érkezett | Menjen a normál számlaútra. Ha rendszeresen gyanút kelt, kérjenek a partnertől kiszámítható, egységes küldési módot |
| Valódi levél, nincs mögötte megrendelés | Lehet tévedés, de lehet célzott, valósághű álszámla is | Ne fizessenek. A partnert ismert számon visszahívni; a pénzügyi jóváhagyást addig megállítani |
| Adathalászat vagy kártevő | A levél célja belépési adat vagy kártevő-telepítés | Ne kattintsanak, jelentsék a belső úton, tegyék karanténba. Ha valaki már kattintott vagy adatot adott meg: azonnali jelszócsere és bejelentkezés-ellenőrzés |
| Bizonytalan | A hét lépés nem zárta ki egyik irányt sem | Visszahívás ismert számon. Addig nincs kattintás, nincs csatolmány-nyitás és nincs utalás |
A harmadik sorhoz tartozik egy figyelmeztetés. Ha személyes adat került illetéktelen kézbe, az adatvédelmi incidens, és ennek külön bejelentési szabályai vannak. Ez nem jogi tanácsadás: konkrét esetben adatvédelmi szakemberrel vagy jogásszal érdemes egyeztetni, és jobb, ha ez már előre le van írva, nem az incidens napján derül ki. Ha a cégnél még nincs ilyen dokumentum, a házirend-mintánk tartalmaz egy bekezdést arról, ki mit jelent és kinek.
A második sor a legdrágább, és a legkevésbé ismert. A technika ezt nem fogja meg. Az fogja meg, ha valaki összeveti a számlát a megrendeléssel. Ugyanez véd a bankszámlaszám-csere ellen is: ha egy ismert szállító „új számlaszámot” küld, azt kizárólag ismert telefonszámon, visszahívással erősítjük meg — soha a levélben megadott elérhetőségen.
Amikor a levél rendben van, de a hálózat hallgat
A gyanús levél mellett van egy másik, hasonló bizonytalanság, és ugyanilyen gyakran szül rossz döntést: egyszer csak nem jön a levél. Hibaüzenet sincs, csak csend — a levelezőprogram időtúllépéssel áll meg, és a levelezéshez használt portok egyike sem válaszol a cég hálózatából. Ez a helyzet klasszikusan pánikot szül, mert két, egymástól nagyon távoli magyarázata van: vagy a szolgáltató áll, vagy a cég hálózati címét tiltották ki.
A kettő között tíz másodperc alatt lehet dönteni, ha van hozzá második nézőpont. Próbálja meg ugyanazt egy másik hálózatról: egy mobilnetről, egy másik telephelyről, egy otthoni kapcsolatról. Ha onnan ugyanazok a portok normálisan válaszolnak, a szolgáltatás él, és a saját kimenő címmel van baj. Ha onnan sem megy, a hiba a szolgáltató oldalán van, és a szolgáltató állapotoldala a következő lépés. Második nézőpont nélkül a hibakeresés rossz irányba indul, és órákat visz el.
Ha a diagnózis kitiltás, három dolog számít — és mind a három előre eldönthető, nem az első órában:
- Legyen tartalék útvonal a postafiókhoz. Egy tanúsítvány-ellenőrzött, csak olvasható elérés (a telefon mobilneten, egy webes felület) legalább azt biztosítja, hogy a leveleket látni lehessen, amíg a tiltás tart. Küldeni ilyenkor jellemzően nem lehet — ezt jobb előre tudni.
- A saját szolgáltatója felé ne „kopogtasson”. Egy megosztott tárhely tűzfala a szokatlan kapcsolat-mintát támadásnak látja, és egész hálózati címeket tilt ki. Az ellenőrzést ezért a szolgáltató által dokumentált módon, a saját fiókkal kell végezni; a feloldást pedig kérni kell a szolgáltatónál, mert az ismételt próbálkozás jellemzően hosszabbítja a tiltást, nem rövidíti.
- A riasztás ne azon az úton menjen, amit figyel. Ha a levelezés a baj, a levélben küldött riasztás pont akkor néma, amikor a legnagyobb szükség lenne rá; a figyelő rendszernek ezért másik csatornán is tudnia kell szólni. Erről szól a healthcheck-cikkünk.
Amíg a tiltás tart, az újraellenőrzést nem kell kézzel figyelni: egy tíz perc, egy háromnegyed óra és egy három óra múlva futó automatikus próba elég ahhoz, hogy a helyreállás perce dokumentálva legyen, és közben a munka menjen tovább.
Hogy ez miért tartozik a gyanús levelekhez: mert ugyanaz a hibamintázat. Egy tünetből — „nem jön a levél”, „gyanús a levél” — nem lehet verdiktet olvasni; kell mellé egy második, független forrás, ami megmondja, mit jelent a tünet. A levélnél ez a fejléc és a megrendelés, a hálózatnál egy másik hálózat.
Amit érdemes szabállyá tenni — öt pont, egy délelőtt
Az eddigiekből egy kkv-nak öt gyakorlati dolga van. Egyik sem igényel biztonsági terméket, és mindegyik leírható egy oldalban.
1. Egy útvonal. Legyen egy cím vagy csoport, ahova a gyanús levelet mellékletként továbbítani lehet, és legyen vállalt válaszidő. Nálunk ez „még aznap”. Ha nincs útvonal, a kolléga nem szól, hanem dönt — és nem neki kellene.
2. „Ne kattints, továbbítsd” — és a téves riasztás soha nem szégyen. Ez egy mondat a beléptető anyagban és egy mondat minden félévben. Az a cég van bajban, ahol egyszer megmosolyogták azt, aki szólt.
3. Pénzügyi kapu a technika mögé. Számla csak megrendelés-egyeztetés után megy fizetésre, és bankszámlaszám-változást kizárólag ismert számon, visszahívással fogadunk el. Ez a szabály fogja meg azt a támadást, amit semmilyen szűrő nem lát, mert a levélben nincs semmi rossz.
4. Csatorna-fegyelem a beszállítókkal. Ha a partnerek kiszámítható, egyeztetett módon küldik a számlát, a kiszámíthatatlan levél magától gyanússá válik. Ez a legolcsóbb szűrő, amit ismerünk, és nem kerül semmibe — csak meg kell beszélni.
5. Írja le. Öt pont, egy oldal, dátummal. Ha a cégnél van informatikai vagy MI-házirend, ez oda tartozik; ha nincs, ez lehet az első oldala.
Van egy hatodik, ami már automatizálás: ha a bejövő számlák gépi úton érkeznek és gépi úton kerülnek be a nyilvántartásba, akkor a „van-e mögötte megrendelés” kérdésre a rendszer válaszol, nem valakinek az emlékezete. A mi bejövő számla-feldolgozásunkban a kinyerés gépi, a matematikai ellenőrzés kötelező, a jóváhagyás viszont emberi — a részletek a számlafeldolgozás-cikkben vannak. Ennek a mellékhaszna pont a biztonság: a rendszer látja, mi érkezett, és a kollégának nem kell mérlegelnie.
Gyakori kérdések
Honnan tudom, hogy egy e-mail adathalász?
Egyetlen jelből nem lehet eldönteni. A gyakorlatban négy technikai jelet nézünk: a valódi feladó címét a látható név mögött, a feladó-hitelesítés eredményét a fejlécben, a HTML-ben lévő linkek tényleges célját és a csatolmány valódi típusát. Ezután jön két üzleti kérdés: létezik-e a hivatkozott bizonylat, és van-e mögötte megrendelés. A technikai jelek önmagukban félrevezetnek, mert egy valódi számlaértesítő is ugyanúgy néz ki.
Mit tegyek, ha már rákattintottam egy gyanús linkre?
Onnantól nem ellenőrzés, hanem incidens-kezelés a feladat. Ha belépési adatot is megadott, azonnal cserélje a jelszót minden helyen, ahol ugyanazt használta, és nézze át az utolsó bejelentkezéseket. Szóljon a belső úton, és ha személyes adat is érintett lehet, tájékozódjon az adatvédelmi incidens bejelentési szabályairól — ez nem jogi tanácsadás, konkrét esetben szakemberrel egyeztessen.
Biztonságos megnyitni egy számlás e-mail csatolmányát?
Nem automatikusan. Az ellenőrzés sorrendje fordított: először a feladót, a hitelesítést és a linkeket nézzük meg a levél forrásában, csatolmányt csak azután nyitunk, ha a levél rendben van. Külön óvatosság jár a kettős kiterjesztésű fájloknak, a makrót tartalmazó dokumentumoknak, a jelszóval védett tömörített fájloknak és a HTML-mellékleteknek.
Kinek szóljak a cégben, ha gyanús levelet kapok?
Annak a címnek vagy csoportnak, amit a cég erre kijelölt — és a levelet mellékletként kell továbbítani, mert az egyszerű továbbítás elveszti a fejléceket, amelyekből az ellenőrzés dolgozik. Ha nincs ilyen kijelölt cím, az az első teendő: egy cím, egy felelős és egy vállalt válaszidő.
Hogyan ellenőrizhető, hogy valódi-e egy bejövő számla?
Két oldalról. Hivatalos oldalról a cégre kiállított bizonylat visszakereshető a hivatalos számla-adatszolgáltatási rendszerben. Saját oldalról az a kérdés, hogy van-e mögötte megrendelés, és egyezik-e a partner nyilvántartott bankszámlaszámával. A valódiság és a jogosság két külön kérdés: egy hiteles levélben is érkezhet olyan számla, amihez a cégnek semmi köze.
Nem jön a levél az irodában — a szolgáltató áll, vagy minket tiltottak ki?
Ezt egy független második nézőponttal lehet eldönteni: próbálja meg ugyanazt egy másik hálózatról, például mobilnetről vagy egy másik telephelyről. Ha onnan működik, akkor a szolgáltatás él, és a saját hálózat elérésével van baj. Ilyenkor a feloldást a szolgáltatónál kell kérni; az ismételt próbálkozás jellemzően hosszabbítja a tiltást.
A következő lépés: a tíz perces ellenőrzés bevezetése
Ha ebből a cikkből egy dolgot visz el, ez legyen: a gyanús levél nem törlendő és nem megnyitandó, hanem mellékletként továbbítandó egy előre kijelölt helyre, ahol valaki tíz percben végigmegy a hét lépésen. A többi ehhez képest részletkérdés.
A bevezetés menete egy délelőtt. Először jelöljék ki a címet és azt, ki nézi. Másodszor küldjenek szét egy három mondatos tájékoztatót: ne kattints, továbbítsd mellékletként, a válasz még aznap jön. Harmadszor próbálják ki egyszer egy valódi, ártalmatlan levéllel, hogy a mellékletként továbbítás tényleg működik a cég levelezőprogramjában. Negyedszer írják le az öt pontot, és tegyék be a beléptető anyagba.
Ha ennél többet szeretne (hogy a bejövő számlák kézi rögzítés helyett a rendszerből kerüljenek a nyilvántartásba, és a „rendeltünk-e ilyet” kérdés géppel válaszolható legyen), az már automatizálási feladat, és egy folyamat-audittal kezdődik. Egy 30 perces beszélgetésen kiderül, hogy a mostani számla-útjuk mellett ez mennyi munka, és hogy megéri-e egyáltalán. Ha a válasz az, hogy az öt pont és a tíz perces rutin elég, azt fogjuk mondani.