Безопасность корпоративной почты: как защититься от таргетированного фишинга
По данным Crypto Briefing, фишинговая атака на клиентов Revolut обошла стандартные проверки почтовой безопасности и привела к утечке чувствительных данных пользователей.
Инцидент подтверждает устойчивый тренд: фильтры на уровне SMTP-шлюза и штатные средства облачных платформ не удерживают таргетированный фишинг, направленный на доверенного получателя.
Обход периметровых контролей
Сообщается, что вредоносное письмо прошло проверки почтовой безопасности и попало в ящик получателя. Подобные срабатывания происходят по трём типовым причинам: ослабленная DMARC-политика в режиме p=none вместо p=reject, отсутствие жёсткой проверки выравнивания DKIM и SPF, неполные правила антифишинга на стороне провайдера. Проверьте записи DNS-зоны: DKIM должен проходить верификацию, SPF включать все источники отправки, DMARC — отклонять непрошедшие сообщения. Любая политика в режиме мониторинга — это разрешение, а не контроль. Дополнительно убедитесь в наличии записей MTA-STS и TLSRPT: без них канал доставки подвержен downgrade-атакам на этапе TLS- handshake.
SaaS, бэкап и инструменты
Security Boulevard указывает на системную ошибку операторов Microsoft 365 и Google Workspace: средства защиты и резервного копирования почты разнесены по разным подсистемам, штатный tenant не заменяет выделенный бэкап. AIMultiple выделяет три ключевых класса решений: Acronis (backup с модулем безопасности), Sophos (сетевой периметр), Barracuda (защита входящего потока). Это не взаимозаменяемые позиции. Acronis полезен там, где критичен откат ящика, Sophos закрывает фильтрацию на L7, Barracuda специализируется на входящем канале. Включите аудит входов, выведите журналы в SIEM, настройте MFA с аппаратным токеном. Выбор определите по аудиту собственного потока, а не по маркетинговым материалам вендора.
Контрольный набор
CloudSEK в материале об угрозах и контролях формулирует базовую рамку: email security — связка превентивного, детективного и реактивного контроля. Минимальный набор проверок для консоли при первичном аудите зоны:
dig TXT +short _dmarc.example.com— текущая DMARC-политикаdig TXT +short selector._domainkey.example.com— публичный ключ DKIMdig TXT +short example.com— запись SPFnslookup -type=ptr mail.example.com— обратная зона PTRopenssl s_client -connect mail.example.com:587 -starttls smtp— проверка STARTTLS
Шаги: получите текущие записи, проверьте выравнивание DKIM и SPF, валидируйте обратную зону PTR, протестируйте STARTTLS на submission-порту, убедитесь в отсутствии открытого relay. Схожий вектор актуален и для операторов смежных критических секторов — практические материалы об энергетике и коммунальных сервисах описывают те же угрозы и контроли.