Odpověď hned: Napadený Microsoft 365 účet nejprve zablokujte, bezpečně změňte jeho heslo a samostatně odvolejte aktivní relace. Potom prověřte metody MFA, oprávnění aplikací, role, delegace, pravidla schránky a přeposílání; současně kontrolujte odeslané zprávy, soubory a platby. Samotná změna hesla nedokazuje, že útočník ztratil přístup.
Nejdřív zastavte přístup, potom vyšetřujte
Útočník nemusí být závislý jen na odcizeném hesle. Může mít otevřenou relaci, přidanou vlastní metodu vícefaktorového ověření, přístup přes aplikaci nebo pravidlo, které mu přeposílá novou poštu.
Proto musí současně začít tři větve:
- Správce omezí přístup k účtu.
- Finance prověří platby a změny bankovních údajů.
- Firma zjistí, komu účet psal a k jakým datům přistupoval.
Pracujte z jiného důvěryhodného zařízení a z odděleného účtu správce. Pokud takový účet nemáte, nezkoušejte incident řešit uvnitř napadené schránky. Zavolejte správci na dříve známé číslo.
Pokud potřebujete převzít zásah, zabezpečit Microsoft 365 a doložit provedené kroky, můžeme jej řešit v rámci správy firemního IT. U podezřelé platby ale nečekejte na technické šetření a ihned kontaktujte banku.
Jak poznat možné napadení účtu
Jeden neobvyklý jev nemusí být důkaz. Kombinace několika příznaků už vyžaduje rychlý zásah:
- ve složkách Odeslaná pošta nebo Odstraněná pošta jsou cizí zprávy;
- e-maily mizí, přesouvají se do neobvyklých složek nebo se automaticky mažou;
- pošta se přeposílá na neznámou adresu;
- uživatel dostává nevyžádané výzvy v Microsoft Authenticatoru;
- změnilo se telefonní číslo, metoda MFA, podpis nebo kontaktní údaje;
- zákazník obdržel falešnou fakturu či žádost o změnu bankovního účtu;
- schránka byla omezena kvůli podezřelému rozesílání;
- v přihlašovacích záznamech jsou neznámá zařízení, aplikace nebo časy.
Zapište přesný čas prvního zjištění, časové pásmo a poslední okamžik, kdy účet prokazatelně fungoval normálně. Podezřelé zprávy, pravidla a nastavení nejdřív zdokumentujte, pokud tím neodkládáte blokaci účtu.
Co má udělat uživatel napadeného účtu
- Přestat účet používat a neodesílat z něj další zprávy.
- Zavolat správci z jiného zařízení nebo komunikačního kanálu.
- Neschvalovat neočekávané výzvy v Microsoft Authenticatoru.
- Sdílet se správcem čas a zařízení posledního známého přihlášení.
- Upozornit finance, pokud schránka obsahuje faktury nebo platební komunikaci.
- Neposílat nové heslo přes napadenou schránku.
- Neodpovídat do podezřelého e-mailového vlákna.
Pokud uživatel stejným heslem chránil i jiné služby, musí je změnit přímo v těchto službách. Začněte e-mailem, správcem hesel, bankovními systémy a účty, přes které lze obnovovat další přístupy.
1. Zablokujte přihlašování
Oficiální postup Microsoftu pro kompromitovanou schránku počítá s omezením přístupu, odvoláním relací a kontrolou změn v účtu i schránce.
V profilu uživatele v Microsoft Entra ID zablokujte přihlašování. Názvy a umístění voleb se mohou s aktualizacemi portálu měnit; hledejte stav účtu nebo volbu Block sign-in.
Účet hned nemažte. Smazání může zkomplikovat uchování pošty, auditních záznamů i návrat do provozu.
Pokud byl napaden účet s administrátorskou rolí, nestačí prověřit jediného uživatele. Zkontrolujte také změny rolí, další privilegované účty, aplikace a nastavení celého tenantu.
2. Resetujte heslo bezpečnou cestou
Nastavte nové unikátní heslo a předejte je uživateli přes předem ověřený kanál, například osobně nebo telefonicky na známém čísle. Neposílejte je do napadené schránky.
U identity synchronizované z místního Active Directory měňte heslo ve zdrojovém adresáři. U federované identity musí zásah proběhnout také v prostředí, které přihlášení skutečně ověřuje.
Reset hesla je nutný, ale nestačí. Neodstraní cizí metodu MFA, souhlas udělený aplikaci, delegaci schránky ani pravidlo přeposílání.
3. Odvolejte aktivní relace
Po blokaci účtu nebo resetu hesla použijte v profilu uživatele volbu pro odvolání přihlašovacích relací. Přes Microsoft Graph PowerShell lze požadavek provést například takto:
Revoke-MgUserSignInSession -UserId uzivatel@firma.czOdvolání relací zneplatní obnovovací tokeny a vynutí nové ověření. Microsoft ale upozorňuje, že ukončení přístupu nemusí být ve všech aplikacích okamžité. Záleží na druhu tokenu, aplikaci a způsobu ověřování. Podrobnosti popisuje dokumentace k nouzovému odvolání uživatelského přístupu.
Po zásahu proto dál sledujte přihlašovací záznamy. Samotné potvrzení volby Revoke sessions není důkazem, že všechny cesty přístupu skončily.
4. Prověřte každou metodu MFA
V profilu uživatele otevřete správu Authentication methods a porovnejte zaregistrované metody s tím, co uživatel skutečně vlastní:
- telefonní čísla;
- registrace Microsoft Authenticatoru;
- bezpečnostní klíče a passkeys;
- softwarové a hardwarové OATH tokeny;
- Temporary Access Pass;
- aplikační hesla, pokud je tenant ještě používá.
Neznámé metody odstraňte. Pokud původ registrací nelze spolehlivě určit, vyžádejte novou registraci MFA z důvěryhodného zařízení.
Příčinou incidentu nemusela být slabá MFA. Útočník mohl zneužít schválenou výzvu, odcizenou relaci nebo oprávnění aplikace. Další možnosti ochrany rozebírá článek MFA ve firmě: passkeys a FIDO2 místo SMS.
5. Hledejte cesty, kterými se může útočník vrátit
| Kontrola | Co hledat | Proč nestačí změnit heslo |
|---|---|---|
| Oprávnění aplikací | Neznámé aplikace s přístupem k poště nebo souborům | Aplikace může mít udělený souhlas a vlastní tokeny |
| Administrátorské role | Nově přidělené nebo nepotřebné role | Privilegovaný účet může měnit celý tenant |
| Přeposílání schránky | Neznámou interní nebo externí adresu | Nová pošta může dál odcházet útočníkovi |
| Pravidla doručené pošty | Přesměrování, mazání nebo skrývání zpráv | Pravidlo může ukrývat odpovědi a varování |
| Delegace schránky | Neznámého uživatele s přístupem | Jiný účet může číst nebo odesílat poštu |
| Obnovovací údaje | Cizí telefon, zařízení nebo e-mail | Útočník si může obnovit přístup |
U aplikací ověřte vydavatele, datum udělení souhlasu, dotčeného uživatele a rozsah oprávnění. Neodstraňujte legitimní firemní integraci jen proto, že její název neznáte. Současně ale nepovažujte označení „ověřený vydavatel“ za důkaz, že konkrétní oprávnění firma skutečně schválila.
Forwarding a pravidla schránky lze prověřit také v Exchange Online PowerShellu:
Get-Mailbox -Identity uzivatel@firma.cz |
Format-List ForwardingAddress,ForwardingSmtpAddress,DeliverToMailboxAndForward
Get-InboxRule -Mailbox uzivatel@firma.cz -IncludeHidden |
Format-List Name,Enabled,RedirectTo,ForwardTo,ForwardAsAttachmentTo,IdentityPodezřelou položku nejdřív zaznamenejte a potom odstraňte. Uložte její název, identifikátor, cíl, čas zjištění a účet, který zásah provedl.
6. Prověřte zprávy, soubory a platby
Kontrola složky Odeslaná pošta nestačí. Útočník mohl zprávy odstranit nebo používat jinou aplikaci. Správce má podle dostupných licencí a nastavení využít také trasování zpráv, přihlašovací záznamy a auditní logy.
Hledejte zejména:
- falešné faktury a změny bankovních účtů;
- žádosti o rychlou nebo důvěrnou platbu;
- odkazy a přílohy rozeslané kontaktům;
- pokusy o reset hesel k dalším službám;
- přístupy k OneDrive, SharePointu a Teams;
- neobvyklé stahování, sdílení nebo mazání souborů;
- změny rolí, souhlasů aplikací a bezpečnostních nastavení.
Příjemce kontaktujte na dříve známém telefonním čísle. Neodpovídejte do stejného vlákna, protože útočník může komunikaci stále číst nebo ovládat. U hlasového požadavku na platbu použijte domluvené druhé ověření; riziko popisuje článek Deepfake hlas jednatele a CEO fraud.
Pokud platba už odešla, ihned volejte bance a uložte číslo případu. Nečekejte na dokončení technické analýzy. Prázdná Odeslaná pošta ani absence podvodné platby nevylučují přístup k dokumentům.
7. Uložte důkazy a sestavte časovou osu
Auditní data mohou mít podle licence, konfigurace a stáří záznamu různou dostupnost. Exportujte je co nejdříve, ale neodkládejte kvůli tomu blokaci účtu.
U každého kroku evidujte:
| Pole | Co zapsat |
|---|---|
| Čas | Datum, čas a časové pásmo |
| Účet | UPN, role a dotčené služby |
| Zjištění | Zpráva, pravidlo, aplikace, IP adresa nebo zařízení |
| Zásah | Blokace, reset, odvolání relací či odebrání oprávnění |
| Provedl | Jméno odpovědné osoby |
| Důkaz | Export logu, ID zprávy nebo snímek nastavení |
| Dopad | Dotčené osoby, soubory, zákazníci a platby |
| Stav | Potvrzeno, vyloučeno, nebo zatím neověřeno |
Přihlašovací a auditní záznamy procházejte od doby před první zjištěnou podezřelou aktivitou až po dokončení zásahu. Neomezujte první hledání jen na jednu IP adresu nebo zemi. Geolokace IP není přesný důkaz identity a útočník může použít infrastrukturu ve stejné zemi jako oběť.
Incidentní záznam nenahrazuje právní posouzení případného úniku osobních údajů. Poskytne však podklady pro rozhodnutí, koho informovat a které dopady ještě nelze vyloučit.
Kontrolní seznam před opětovným povolením účtu
Účet vraťte do provozu teprve po splnění těchto bodů:
- Přihlašování bylo během zásahu zablokováno.
- Heslo bylo změněno bezpečnou cestou.
- Aktivní relace byly odvolány.
- Metody MFA odpovídají skutečnému uživateli.
- Byly prověřeny aplikace a jejich oprávnění.
- Byly prověřeny role a delegace.
- Byla zkontrolována pravidla schránky a forwarding.
- Byly prověřeny odeslané zprávy, soubory a platby.
- Uživatel zná další postup a přihlašuje jen známá zařízení.
- Přihlašovací logy po zásahu neukazují pokračující zneužití.
Nakonec zjistěte, zda stejné heslo nebylo použito jinde, zda firma má oddělený účet správce a kdo správce zastoupí při další události. Praktický přehled přístupů po odchodu nebo nedostupnosti správce nabízí checklist firemních hesel a účtů.
Nejčastější chyby při řešení napadeného účtu
- Změnit pouze heslo a incident uzavřít.
- Nechat účet aktivní během dlouhého ručního procházení pošty.
- Schválit neočekávanou výzvu MFA, aby „přestala vyskakovat“.
- Odstranit pravidla a zprávy bez zachování důkazů.
- Volat na číslo uvedené v podezřelém e-mailu.
- Považovat známou IP adresu nebo zemi za důkaz bezpečného přihlášení.
- Obnovit účet bez kontroly aplikací, delegací a forwardingu.
- Čekat s oznámením bance, dokud správce nedokončí technickou analýzu.
Časté otázky
Stačí u napadeného Microsoft 365 účtu změnit heslo?
Ne. Změna hesla sama neprověří aktivní relace, cizí metody MFA, oprávnění aplikací, delegace ani pravidla přeposílání. Každou z těchto cest je nutné zkontrolovat samostatně.
Má se napadený účet okamžitě smazat?
Ne. Nejdřív zablokujte přihlašování a uchovejte potřebné záznamy. Smazání může zkomplikovat vyšetření, uchování pošty i bezpečné obnovení provozu.
Jak zjistím, odkud se útočník přihlásil?
Správce zkontroluje přihlašovací záznamy v Microsoft Entra ID, zejména čas, IP adresu, aplikaci, zařízení, stav vícefaktorového ověření a výsledek přihlášení. Neobvyklá země je varování, nikoli sama o sobě definitivní důkaz. Známá lokalita naopak útok nevylučuje.
Musíme upozornit zákazníky?
Rychle kontaktujte příjemce, kteří prokazatelně nebo pravděpodobně dostali falešnou fakturu, odkaz či žádost o platbu. Rozsah dalšího oznamování určete podle zjištěného dopadu a právního posouzení, ne pouze podle toho, zda vznikla finanční škoda.
Kdy zavolat externího správce?
Ihned, pokud nemáte bezpečný administrátorský účet, neumíte odvolat relace a souhlasy aplikací, byl napaden privilegovaný účet nebo hrozí platba či únik dat. Výstupem zásahu má být časová osa, seznam provedených kroků a jasné rozlišení mezi potvrzenými skutečnostmi a tím, co zatím nelze vyloučit.