Как мы останавливаем письма от имени CEO до того, как они попадут во входящие

Поддельные письма от имени CEO пытались увести сотрудников в группы LINE. Теперь два правила Microsoft 365 помещают их в карантин до доставки.

Кто-то рассылал письма сотрудникам LOGIQ, выдавая себя за нашего CEO. 12 ноября 2026 года мы настроили правила потока почты в Microsoft 365. Теперь такие письма помещаются в карантин до того, как попадут в чей-либо почтовый ящик. Рассказываем, что произошло, что мы настроили и что могут перенять другие компании.

Что произошло

Письма приходили с адресов за пределами LOGIQ. В отображаемом имени отправителя стояло имя нашего CEO, поэтому на первый взгляд казалось, что письмо от него. Просьба всегда была одна и та же: создать группу в LINE, мессенджере, и прислать её QR-код или ссылку-приглашение.

В самом письме не просили ни денег, ни паролей. В этом и уловка. Письму нужно лишь перевести вас в канал, где наша система защиты почты уже не видит переписку. Настоящая просьба (обычно платёж, покупка подарочных карт или конфиденциальные файлы) приходит позже.

Почему эта схема работает

Она опирается на три привычки, которые есть у большинства из нас.

• Мы читаем имя, а не адрес. Большинство почтовых программ сначала показывают отображаемое имя и скрывают настоящий адрес. Любой может указать любое имя в бесплатном почтовом ящике.
• Мы говорим начальнику «да». Короткое, слегка срочное сообщение от CEO не располагает к вопросам.
• Первая просьба выглядит безобидной. Создать чат кажется пустяком. Но как только переписка уходит из корпоративной почты, ваши фильтры, журналы и коллеги её больше не видят.

Что мы настроили

Мы добавили в Microsoft 365 два правила потока почты (их также называют правилами транспорта). Они работают на сервере ещё до того, как письмо попадёт во входящие, поэтому никому не нужно распознавать мошенничество самостоятельно.

Правило	Что оно отлавливает	Что происходит
Подмена отображаемого имени	Письма извне LOGIQ, в которых отображаемое имя отправителя имитирует наше руководство, в латинском и японском написании	Карантин; о каждом случае сообщается руководству
Увод в другие каналы	Письма извне LOGIQ, которые пытаются перенести общение в мессенджер, например просят QR-код или ссылку-приглашение в группу LINE	Карантин

Логика первого правила проста. Наше руководство отправляет указания только с адресов @logiqlinux.com. Значит, внешнее письмо с именем нашего CEO мошенническое по определению, и доставлять его незачем.

Письма в карантине хранятся 30 дней. Если настоящее письмо попадёт туда по ошибке, администратор может его выпустить.

Человеческий фактор

Фильтры перехватывают большинство попыток, но не все. Поэтому правила дополняет чёткая политика, которую знает каждый в LOGIQ:

• Руководство даёт указания только через внутренние корпоративные каналы и никогда с внешнего адреса почты.
• LOGIQ никогда не просит переносить рабочие вопросы в личный чат.
• Если подозрительное письмо всё же дошло, не выполняйте его указания. Сообщите о нём, и мы ужесточим правила.

Такая политика упрощает решение для сотрудников. Никому не нужно гадать, «кажется» ли письмо настоящим. Если оно нарушает правило, это подделка.

Что могут сделать другие компании

Всё это можно настроить за полдня. Вот наши рекомендации:

1. Помещайте в карантин внешние письма с именами ваших руководителей. В Microsoft 365 создайте правило потока почты: отправитель находится вне организации, а отображаемое имя в поле «От» содержит имя руководителя. Учтите все варианты написания и алфавиты, которые узнают ваши сотрудники.
2. Помещайте в карантин попытки увести общение из почты. Отслеживайте фразы с просьбами о приглашениях в чаты, QR-кодах или личных аккаунтах в мессенджерах и применяйте правило только к внешним отправителям.
3. Карантин вместо удаления. Так ошибочно перехваченные письма можно выпустить, а доказательства сохраняются.
4. Отправляйте каждое срабатывание тому, кто примет меры. Резкий рост срабатываний — ранний сигнал того, что вашу компанию атакуют.
5. Зафиксируйте, как на самом деле общается руководство. Одно предложение («указания приходят только с корпоративных адресов, по внутренним каналам») даёт сотрудникам простой тест.
6. Включите и встроенные средства защиты. Помечайте внешних отправителей предупреждающей меткой и включите защиту от олицетворения в политике защиты от фишинга, если она входит в вашу лицензию.
7. Делайте исключения редкими и секретными. Каждый исключённый отправитель — это брешь. Регулярно пересматривайте список и никогда его не публикуйте.

Итог

Для мошенничества от имени CEO не нужен взлом — достаточно убедительного отображаемого имени и повода перенести разговор в другое место. Правила на стороне сервера снимают это решение с человека, читающего письмо, а чёткая политика покрывает всё, что правила пропустят.

Нужна помощь с настройкой правил потока почты или проверкой безопасности вашей почты? Свяжитесь с командой LOGIQ.

Photo: Anete Lusina / Pexels