פריצה לחשבון Microsoft 365: מה עושים בשעות הראשונות

המדריך מבוסס על ה-playbooks של Microsoft ועל הניסיון שלנו בפרויקטים של אבטחת מידע ב-Microsoft 365.

הסימנים שמשהו קרה

• משתמשים מקבלים מיילים מוזרים מעמית, או שמאות מיילים יצאו מחשבון אחד.
• כלל דואר חדש שמעביר מיילים החוצה, או מעביר אותם לתיקייה שאף אחד לא פותח.
• התראה על משתמש בסיכון או על התחברות חשודה ב-Microsoft Entra ID Protection או ב-Microsoft Defender.
• אמצעי אימות חדש (MFA) או מכשיר חדש שהמשתמש לא רשם.
• אפליקציה שקיבלה הרשאה לקרוא דואר או קבצים, בלי שמישהו בארגון מכיר אותה.

שלב 1: בולמים את החשבון, לפי הסדר

1. משביתים את החשבון. זו ההמלצה הראשונה של Microsoft: כל עוד החשבון מושבת, אי אפשר להתחבר אליו מחדש.
2. מאפסים סיסמה. בחשבון שמסונכרן מ-Active Directory מקומי, Microsoft ממליצה לאפס פעמיים. שימו לב: איפוס סיסמה לא מבטל App passwords, ואותם צריך למחוק בנפרד.
3. מבטלים את כל הסשנים (Revoke sessions). איפוס סיסמה לבד לא מוציא את התוקף: טוקן שכבר הונפק יכול לעבוד עד כשעה. באפליקציות שתומכות ב-Continuous Access Evaluation, כמו Exchange, SharePoint ו-Teams, הביטול נאכף בדרך כלל תוך דקות.
4. מסירים מה שהתוקף הוסיף. אמצעי אימות ומכשירים שהמשתמש לא מכיר, ותפקידי ניהול שלא אמורים להיות לחשבון.
5. מעבירים את הסיסמה החדשה בערוץ אחר. לא במייל: ייתכן שהתוקף עדיין קורא את תיבת הדואר.

שלב 2: מחפשים מה התוקף השאיר מאחור

תוקפים לא מסתפקים בגישה אחת. הם משאירים דרכים לחזור, או לקבל את הדואר גם אחרי שהחשבון נסגר:

• כללי דואר (Inbox rules): כולל כללים מוסתרים. סימן מוכר הוא כלל שמעביר מיילים לתיקיות Notes, Junk Email או RSS Subscriptions, כדי שהמשתמש לא יראה תשובות.
• העברת מיילים (Forwarding): גם ברמת תיבת הדואר וגם בכללים. ב-Outbound spam policy אפשר לחסום העברה אוטומטית החוצה לכל הארגון.
• הרשאות לאפליקציות (OAuth): ביומן ה-Audit של Entra ID חפשו את הפעולה Consent to application. הרשאה שניתנה לכל הארגון מסוכנת יותר מהרשאה של משתמש אחד.
• תפקידי ניהול ומכשירים רשומים: האם החשבון קיבל תפקיד חדש, ואם נרשם ב-Entra ID מכשיר שלא שייך למשתמש.

שלוש בדיקות מהירות ב-PowerShell:

# Inbox rules, including hidden ones
Get-InboxRule -Mailbox user@contoso.com -IncludeHidden

# Forwarding set on the mailbox
Get-Mailbox user@contoso.com | Format-List Forwarding*Address,DeliverTo*

# Revoke all sign-in sessions (Microsoft Graph PowerShell)
Revoke-MgUserSignInSession -UserId user@contoso.com

שלב 3: מבינים מה נחשף

שלב 4: מנקים ומדווחים

• מיילים זדוניים שכבר הגיעו: עם Defender for Office 365 Plan 2 אפשר למחוק אותם מכל תיבות הדואר דרך Threat Explorer. עם Plan 1 נשענים על ZAP, שמסיר אוטומטית הודעות שזוהו כזדוניות אחרי המסירה, ועל דיווח ל-Microsoft.
• נמענים: עדכנו את מי שקיבל מיילים מהחשבון הנפרץ, בתוך הארגון ומחוצה לו.
• דיווח: ארגונים שחלות עליהם תקנות הגנת הפרטיות (אבטחת מידע) עשויים להיות חייבים לדווח לרשות להגנת הפרטיות על אירוע אבטחה חמור. בדקו עם הממונה על הגנת הפרטיות או עם יועץ משפטי. מערך הסייבר הלאומי מקבל דיווחים על אירועי סייבר במוקד 119.

אחרי האירוע: לסגור את הדלת

• Conditional Access ו-MFA עמיד לפישינג לחשבונות ניהול, ובהמשך לכל המשתמשים.
• חסימת העברת מיילים אוטומטית החוצה כברירת מחדל.
• Admin consent workflow: משתמשים מבקשים הרשאה לאפליקציה, ומנהל מאשר.
• תוכנית תגובה כתובה: מי מחליט, מי מבצע, ומי מדבר עם הלקוחות. Microsoft מפרסמת playbooks מוכנים לפישינג, password spray, הרשאות לאפליקציות ואפליקציה פרוצה, ואפשר להתחיל מהם.

המדריך הזה מסכם את ההמלצות של Microsoft. הוא לא מחליף ייעוץ משפטי לגבי חובות הדיווח של הארגון שלכם.

מקורות

• Microsoft: Respond to a compromised email account
• Microsoft: Revoke user access in Microsoft Entra ID
• Microsoft: Continuous access evaluation
• Microsoft: Incident response playbooks (phishing, password spray, app consent, compromised app)
• Microsoft: App consent grant investigation
• Microsoft: Auditing solutions in Microsoft Purview (retention)
• Microsoft: Search the audit log
• Microsoft: Remediate malicious email delivered in Office 365
• Microsoft: Remediate risks and unblock users (Entra ID Protection)
• Microsoft: Automatic attack disruption in Microsoft Defender
• הרשות להגנת הפרטיות: מדריך מקצועי לתיקון 13 (כולל תקנות אבטחת המידע)