Как защитить рабочую почту от взлома

Взломанный рабочий ящик опасен не только утечкой переписки. С него рассылают спам и мошеннические письма клиентам от вашего имени, а репутация домена портится, и письма коллег начинают попадать в спам. Ниже то, что защищает на деле, и порядок действий, если взлом всё же случился.

Как обычно взламывают почту

• Повторный пароль. Сотрудник использует тот же пароль на сайте магазина или форума. Сайт взломали, базу выложили, и пароль от почты пробуют все, кто её скачал.
• Подбор. Программы перебирают популярные пароли для тысяч адресов подряд. Короткий или словарный пароль находится быстро.
• Фишинг. Письмо «ваш ящик переполнен, войдите для подтверждения» ведёт на поддельную страницу входа.
• Вредоносная программа на компьютере крадёт сохранённые пароли из браузера и почтовой программы.

Почти во всех случаях всё упирается в пароль, поэтому с него и начнём.

Пароль: длина и уникальность

Хороший пароль для рабочей почты длинный и больше нигде не используется. В x-mail.ru пароль ящика не может быть короче 10 символов, а кабинет проверяет его по базам утёкших паролей и не даст поставить пароль, который уже встречался в утечках. Сам пароль при этом никуда не отправляется: для проверки используются только первые символы его хэша.

Проще всего не придумывать пароль, а отметить «Сгенерировать» при создании ящика или смене пароля: кабинет создаст случайный пароль из 16 символов. Сотруднику удобно хранить его в менеджере паролей, а не на стикере у монитора.

Кто знает пароль

Пароль от ящика должен знать один человек. Если пароль от общего ящика знает весь отдел, его невозможно отозвать у одного уволившегося сотрудника, не нарушив работу остальных.

• Общие адреса вроде sales@ делайте группами: письма приходят в личные ящики, общий пароль не нужен. Подробнее: личные ящики, общие адреса и группы.
• Не отправляйте пароль письмом на тот же ящик и не пересылайте его в общих чатах. Передайте лично или через менеджер паролей.
• Сотрудник может сменить свой пароль сам в настройках веб-почты после первого входа.

Только шифрованные подключения

Почтовые программы подключаются к серверу только по шифрованным протоколам: IMAP на порту 993, POP3 на 995, отправка на 465 и 587 с TLS. Порты без шифрования для входа в ящик закрыты, а сайт, кабинет и веб-почта работают только по HTTPS. Пароль не передаётся открытым текстом даже в кафе с общим Wi-Fi. Настройки программ: «Серверы и порты».

Журнал входов

Каждый вход в ящик записывается с временем, IP-адресом, страной и протоколом. Журнал всех ящиков домена есть во вкладке Статистика, а последние входы конкретного ящика видны в его карточке. Записи хранятся 180 дней.

Как читать журнал: у обычного сотрудника входы идут из одного-двух мест (офис, дом, телефон через мобильную сеть) по IMAP или из веб-почты. Подозрительно, если появились входы из страны, где никто из сотрудников не бывает, или из нескольких разных сетей за короткое время.

Что сервер делает сам

• Блокирует подбор. Адреса, с которых массово подбирают пароли к почте и веб-почте или коды входа в кабинет, блокируются автоматически.
• Проверяет исходящие письма на спам. Явный спам не уходит получателям.
• Замораживает отправку при признаках взлома: если исходящее письмо отклонено как спам, если входы идут из 3 и более стран или 4 и более сетей за час, если после серии неверных паролей с того же адреса следует успешный вход, а также при большом числе возвратов или частых упорах в лимит отправки.

При заморозке входящие письма продолжают приходить, а владелец аккаунта, менеджеры домена и сам ящик получают письмо с причиной. Одни лишь неверные пароли ящик не замораживают, иначе любой мог бы заморозить чужой ящик. Подробности: «Безопасность».

Доступ к кабинету

В кабинет входят по одноразовому коду, который приходит на почту владельца или менеджера. Значит, кабинет защищён ровно так же, как эта почта: используйте для входа ящик с надёжным паролем, к которому нет доступа у посторонних.

• Менеджерам открывайте только те домены, которыми они управляют, а право оплаты выдавайте отдельно, если оно нужно.
• Если вы входили в кабинет с чужого компьютера, нажмите Выйти на всех устройствах в разделе Настройки.
• Когда менеджер уходит из компании, уберите его из раздела Команда.

Как не попасться на фишинг

Веб-почта x-mail.ru находится по адресу mail.x-mail.ru, кабинет на x-mail.ru. Прежде чем вводить пароль, посмотрите на адресную строку браузера. Насторожиться стоит, если письмо:

• торопит: «ящик будет удалён через 24 часа», «срочно подтвердите»;
• ведёт на страницу входа с адресом, похожим на настоящий, но не совпадающим с ним;
• просит прислать пароль или код ответным письмом. Настоящий сервис никогда этого не просит.

Компьютеры и телефоны сотрудников

Самый надёжный пароль не поможет, если его можно прочитать с незаблокированного телефона. Несколько простых правил для сотрудников:

• на телефоне, где настроена рабочая почта, должна быть блокировка экрана;
• на чужих и общих компьютерах не сохраняйте пароль в браузере и выходите из веб-почты после работы;
• обновляйте операционную систему и браузер, не ставьте программы из случайных источников;
• если телефон или ноутбук с рабочей почтой потерян, сразу сообщите администратору: смена пароля ящика отключит почту на потерянном устройстве.

Публичный Wi-Fi сам по себе не опасен для почты: подключения к серверу шифруются. Опаснее поддельные страницы входа, о них выше.

Если ящик взломали

1. Смените пароль ящика в кабинете, в карточке ящика. Все программы и телефоны, подключённые со старым паролем, отключатся.
2. Проверьте компьютер и телефон сотрудника. Если пароль украла вредоносная программа, новый пароль утечёт так же.
3. Проверьте карточку ящика: не появилась ли пересылка на чужой адрес и не включён ли автоответ, о котором сотрудник не знает.
4. Посмотрите журнал входов, чтобы понять, когда начался взлом и что злоумышленник мог прочитать.
5. Разморозьте отправку, если сервер её заморозил: кнопка Разморозить отправку в карточке ящика. Самостоятельно это можно сделать раз в сутки, повторно поможет поддержка.
6. Предупредите клиентов, если с ящика успели уйти письма с просьбами об оплате или чужими реквизитами.

Подробно о заморозке и разморозке: «Лимиты отправки».

Короткий чек-лист

1. У каждого сотрудника свой ящик и свой сгенерированный пароль.
2. Общие адреса сделаны группами, общих паролей нет.
3. Почта для входа в кабинет защищена надёжным паролем.
4. Раз в месяц просматриваете журнал входов.
5. При уходе сотрудника пароль меняется в тот же день.