В корпоративной инфраструктуре конечная цель таких атак - хищение данных и заражение программами-вымогателями. Основной способ доступа к чужим ящикам - повторное использование паролей (password reuse). Злоумышленники собирают словари паролей конкретного пользователя из пар "логин-пароль", которые ранее попадали в утечки. Если тот же пароль сотрудник использовал в другом сервисе, он попадает в словарь и становится ключом к почтовому ящику. Проверка таких паролей идёт через веб-интерфейсы почтовых систем и через доступ по POP3/IMAP. В ряде случаев этот канал защиты слабее. Сам протокол существует давно и не всегда настроен с дополнительными ограничениями. Такой подход позволяет использовать уже известные данные без подбора с нуля.
Атаки затрагивают не только организации. Личные почтовые аккаунты на бесплатных платформах тоже становятся точкой входа. После взлома ящик превращается в канал доставки вредоносных вложений и ссылок. Для получателя письмо выглядит как сообщение от известного отправителя, поэтому риск запуска вложения или перехода по ссылке возрастает. Получатель видит знакомый адрес и может не заподозрить атаку. В корпоративной среде это создаёт путь к дальнейшему закреплению в системе, краже данных и шифрованию файлов.
Основатель DLBI Ашот Оганесян связывает рост атак с изменением ситуации на рынке информационной безопасности. Число мошеннических звонков (скам-звонков) постепенно снижается благодаря блокировкам. Пользователи меньше реагируют на фишинг. Корпоративные VPN-сервисы, которые ранее были основной целью злоумышленников, массово переходят с доступа по паролю на сертификаты. Из-за этого старые сценарии атак становятся менее эффективными. На этом фоне почтовые ящики становятся для атакующих более доступной точкой входа.
По его словам, защита должна строиться на контроле паролей и блокировке вложений.
Повторное использование паролей и старые каналы доступа к почте остаются слабым местом корпоративной защиты. Автоматический сброс скомпрометированных паролей и блокировка исполняемых вложений снижают риск захвата ящика и дальнейшего распространения вредоносного ПО. Для организаций это означает, что защита почты зависит не только от антивируса, но и от работы с утечками.
