Útočník získá přístup do schránky účetní a nevezme si nic. Jen tiše nastaví pravidlo, které každý e-mail se slovem „faktura” přepošle na jeho adresu. Za několik týdnů ví, kterým dodavatelům firma platí, kdy a kolik – a pak pošle falešnou žádost o změnu bankovního účtu. Automatické přeposílání e-mailů mimo firmu je jeden z nejčastějších a nejhůře viditelných kroků při převzetí firemní schránky. V tomto návodu ukážeme, jak automatické přeposílání v Microsoft 365 zablokovat, jak povolit jen nutné výjimky a jak najít pravidla, která už ve schránkách možná běží.

Proč je automatické přeposílání e-mailů rizikem

Přeposílání pošty na externí adresu vypadá nevinně. Zaměstnanec si chce číst firemní poštu v soukromém Gmailu, odcházející kolega chce „nic nezmeškat” nebo asistentka přeposílá objednávky externí účetní. Jenže stejný mechanismus používají útočníci.

Databáze technik útočníků MITRE ATT&CK vede přeposílací pravidla jako samostatnou techniku Email Forwarding Rule (T1114.003). Útočník ji používá ze tří důvodů:

• Funguje i po změně hesla. Pravidlo ve schránce zůstává, i když uživateli resetujete heslo a odhlásíte ho. Kopie e-mailů dál odcházejí ven.
• Je skoro neviditelné. Uživatel nic nepozná. Pošta mu chodí normálně, jen její kopie míří ještě jinam.
• Připravuje podvod s fakturou. Útočník sleduje komunikaci s dodavateli a čeká na správnou chvíli.

Jde o podstatu útoků typu Business Email Compromise (BEC). Podle varování FBI (IC3) způsobily podvody přes kompromitované firemní e-maily celosvětově škody přes 55 miliard dolarů. Nejde jen o velké korporace – malé firmy jsou častým cílem, protože nemají bezpečnostní tým, který by neobvyklé pravidlo zachytil.

Navíc je tu ochrana osobních údajů. Pokud zaměstnanec přeposílá firemní poštu do soukromé schránky, firemní data včetně osobních údajů klientů opouštějí kontrolu firmy. To je problém i z pohledu GDPR.

Tři způsoby, jak e-mail z Microsoft 365 automaticky odchází ven

Než začnete cokoli blokovat, je dobré vědět, co přesně „automatické přeposílání” zahrnuje. V Exchange Online existují tři cesty:

1. Pravidla doručené pošty (inbox rules). Uživatel nebo útočník si v Outlooku vytvoří pravidlo „přeposlat” nebo „přesměrovat” zprávy splňující určitou podmínku. Útočníci rádi kombinují přeposlání s přesunem originálu do málo používané složky, například RSS kanály nebo Archiv.
2. Přeposílání schránky (SMTP forwarding). V nastavení Outlooku na webu nebo v Centru pro správu Microsoft 365 lze nastavit, aby se veškerá pošta přeposílala na jinou adresu. Volitelně se může zachovat i kopie ve schránce.
3. Pravidla toku pošty správce. Správce může na úrovni organizace nastavit přesměrování nebo skrytou kopii. Tyto zprávy se za automatické přeposílání nepovažují a outbound spam policy je neblokuje. O jejich správné konfiguraci jsme psali v článku Pravidla toku pošty v Exchange Online.

Ruční přeposlání („Přeposlat” a odeslat) samozřejmě funguje dál. Blokujeme jen to, co se děje automaticky a bez vědomí odesílatele.

Kde se přeposílání v Microsoft 365 ovládá

Microsoft 365 nabízí tři nástroje. Každý funguje trochu jinak a je dobré je znát všechny, protože se navzájem kombinují.

1. Zásada pro odchozí spam (outbound spam policy)

Hlavní a doporučený nástroj. Najdete ho v portálu Microsoft Defender v části E-mail a spolupráce › Zásady a pravidla › Zásady hrozeb › Antispam. Nastavení Pravidla automatického přeposílání má tři hodnoty:

• Automatic – System-controlled – výchozí hodnota. U novějších tenantů znamená zákaz, ale u starších organizací může stále znamenat povolení. Microsoft sám v dokumentaci k externímu přeposílání doporučuje tuto hodnotu nepoužívat a nastavit jednoznačně On nebo Off.
• On – Forwarding is enabled – přeposílání je povolené.
• Off – Forwarding is disabled – přeposílání je zakázané. Odesílatel dostane zpět zprávu o nedoručení s kódem 5.7.520 Access denied, Your organization does not allow external forwarding.

Výhoda: blokace je viditelná. Uživatel ví, že přeposílání nefunguje, a správce vidí důvod.

2. Vzdálené domény (remote domains)

V Centru pro správu Exchange v části Tok pošty › Vzdálené domény můžete pro každou externí doménu (nebo výchozí položku „*”) nastavit, zda je povolené automatické přeposílání. Nastavení popisuje dokumentace vzdálených domén Exchange Online.

Pozor: blokace přes vzdálené domény je tichá. Zpráva se prostě zahodí a odesílatel žádné upozornění nedostane. Hodí se spíš na jemné doladění – například povolit přeposílání obecně, ale jen na doménu vaší externí účetní firmy.

3. Pravidlo toku pošty

Třetí možností je pravidlo, které odmítne zprávy typu „automatické přeposlání” směřující mimo organizaci. Dnes už je to spíš záložní varianta. Hodí se, když chcete přidat vlastní text zamítnutí nebo specifickou výjimku.

Jak se nástroje kombinují

Platí jednoduché pravidlo: vyhrává nejpřísnější nastavení. Pokud outbound spam policy přeposílání povolí, ale vzdálená doména ho zakáže, zpráva neodejde. Když naopak outbound spam policy přeposílání zakáže, výjimka ve vzdálené doméně nepomůže.

Nastavení krok za krokem

Následující postup používáme u klientů, kterým spravujeme firemní IT. Celé nastavení zabere zhruba hodinu, většinu času tvoří audit a domluva výjimek.

1. Zjistěte, kdo dnes přeposílá

Nejdřív zjistěte aktuální stav, jinak vypnutím přeposílání můžete někomu rozbít funkční proces. V novém Centru pro správu Exchange otevřete Sestavy › Tok pošty › Sestava automaticky přeposlaných zpráv. Podle popisu sestavy od Microsoftu ukazuje zprávy, které odešly na externí domény, a slouží právě k hledání úniků dat.

Doplňte to kontrolou přes PowerShell (modul Exchange Online Management):

Connect-ExchangeOnline
# Schránky s nastaveným přeposíláním
Get-Mailbox -ResultSize Unlimited |
  Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } |
  Select-Object DisplayName, ForwardingSmtpAddress, ForwardingAddress, DeliverToMailboxAndForward

# Pravidla doručené pošty, která přeposílají nebo přesměrovávají
Get-Mailbox -ResultSize Unlimited | ForEach-Object {
  Get-InboxRule -Mailbox $_.UserPrincipalName |
    Where-Object { $_.ForwardTo -or $_.RedirectTo -or $_.ForwardAsAttachmentTo } |
    Select-Object MailboxOwnerId, Name, ForwardTo, RedirectTo, Enabled
}

Každé nalezené přeposílání si zapište: kdo, kam a proč. Pokud cílovou adresu nikdo nezná nebo vede na neznámou freemailovou adresu, řešte to jako bezpečnostní incident (viz níže).

2. Domluvte legitimní výjimky

Typické oprávněné případy u malých firem:

• sdílená schránka faktury@ přeposílá doklady externí účetní kanceláři,
• schránka objednávky@ přeposílá do systému dodavatele nebo do helpdesku,
• dočasné přeposílání po odchodu zaměstnance na nástupce v jiné firmě skupiny.

Často se ukáže, že přeposílání vůbec není potřeba. Účetní může dostat přístup do sdílené schránky, nástupce delegaci a soukromý Gmail zaměstnance není důvod k výjimce. Užitečné návody najdete v článcích o sdílené poštovní schránce a delegaci schránky.

3. Vypněte přeposílání ve výchozí zásadě

V portálu Defender otevřete výchozí zásadu pro odchozí spam (Anti-spam outbound policy (Default)) a v části Pravidla automatického přeposílání zvolte Off – Forwarding is disabled. Totéž v PowerShellu:

Connect-ExchangeOnline
Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off

Tím je zakázané automatické přeposílání pro všechny, na které se nevztahuje jiná zásada.

4. Vytvořte vlastní zásadu pro výjimky

Pro schránky z kroku 2 vytvořte novou zásadu pro odchozí spam, například „Povolené přeposílání – výjimky”. Nastavte v ní On – Forwarding is enabled a přiřaďte ji konkrétním schránkám nebo bezpečnostní skupině. Vlastní zásady mají přednost před výchozí, takže výjimka bude fungovat.

Chcete-li jít ještě dál, omezte výjimku i cílem. Ve vzdálených doménách nechte u výchozí položky „*” přeposílání vypnuté a povolte ho jen pro doménu účetní kanceláře. Schránka faktury@ pak může přeposílat jen tam, ne kamkoli.

5. Zkontrolujte limity odesílání

Ve stejné zásadě pro odchozí spam najdete i limity, kolik příjemců smí uživatel oslovit za hodinu a za den. Hodnota 0 znamená výchozí limity služby. Výchozí reakce při překročení je blokace odesílání do dalšího dne.

Právě tyto limity často zachytí kompromitovaný účet, ze kterého útočník rozesílá phishing celému adresáři. Zablokovaný uživatel se objeví v portálu Defender na stránce Omezené entity a odblokování popisuje návod Microsoftu k odebrání omezených uživatelů. Než uživatele odblokujete, vždy prověřte, proč k blokaci došlo.

6. Nastavte výstrahy

Microsoft 365 obsahuje výchozí zásady upozornění, které na přeposílání a blokace upozorní:

• User restricted from sending email – uživatel překročil limity odesílání,
• Suspicious email forwarding activity – podezřelá aktivita přeposílání,
• Suspicious email sending patterns detected – neobvyklý vzorec odesílání.

Ověřte, že výstrahy chodí na adresu, kterou někdo skutečně čte – ne do zapomenuté schránky globálního správce. Podrobnosti najdete v našem článku o zásadách upozornění v Microsoft 365.

7. Otestujte a informujte uživatele

Na testovacím účtu bez výjimky vytvořte pravidlo přeposílání na externí adresu a pošlete si zprávu. Měli byste dostat odpověď o nedoručení s kódem 5.7.520. Pak totéž vyzkoušejte se schránkou z výjimky.

Zaměstnancům stačí krátká zpráva: automatické přeposílání mimo firmu je z bezpečnostních důvodů vypnuté. Pokud ho někdo potřebuje pracovně, ať se ozve správci. Kdo dostane chybu 5.7.520, ví, že jde o záměr, ne o poruchu.

Co dělat, když najdete podezřelé přeposílání

Pravidlo, které přeposílá poštu na neznámou adresu, je silný znak kompromitace účtu. Microsoft k tomu má podrobný postup reakce na kompromitovaný e-mailový účet. Zkrácená verze pro malou firmu:

1. Zdokumentujte pravidlo – název, podmínky, cílovou adresu a datum vytvoření. Udělejte snímek obrazovky.
2. Zablokujte přihlášení uživatele a odvolejte všechny relace. Samotná změna hesla nestačí, útočník může mít platný token – viz náš článek o krádeži tokenů v Microsoft 365.
3. Odstraňte přeposílání – pravidlo i případné SMTP forwarding v nastavení schránky. Zkontrolujte i delegace a oprávnění ke schránce.
4. Resetujte heslo a znovu zaregistrujte MFA, ideálně metodou odolnou proti phishingu.
5. Projděte audit – kdy a odkud bylo pravidlo vytvořeno a co dalšího útočník dělal. Pomůže auditování aktivit v Microsoft 365.
6. Varujte obchodní partnery, se kterými účet komunikoval, zejména dodavatele a odběratele faktur. Domluvte se, že jakoukoli změnu bankovního účtu ověří telefonicky.
7. Posuďte únik osobních údajů. Pokud odcházely e-maily s osobními údaji, může jít o porušení zabezpečení, které je nutné do 72 hodin ohlásit ÚOOÚ.

Pozor také na méně nápadné triky. Útočníci vytvářejí pravidla s názvem „.”, „..”, nebo bez názvu, a místo přeposílání někdy jen přesouvají či mažou zprávy obsahující slova jako „faktura”, „platba” nebo „heslo”. Uživatel tak nevidí odpovědi a varování. Při kontrole proto procházejte všechna pravidla, nejen ta přeposílací. Microsoft popisuje i pokročilejší variantu útoku přes škodlivá pravidla a formuláře Outlooku.

Nejčastější chyby

• Spoléhání na „Automatic – System-controlled”. U starších tenantů může znamenat, že přeposílání je ve skutečnosti povolené. Nastavte jednoznačně Off.
• Blokace jen přes vzdálené domény. Funguje, ale tiše. Uživatel ani správce nevidí, že nějaká zpráva neodešla, a zbytečně se hledá chyba jinde.
• Vypnutí bez auditu. Z rána na den přestane chodit pošta účetní a nikdo neví proč. Vždy začněte krokem 1.
• Výjimka pro celou firmu. Kvůli jedné schránce se přeposílání znovu povolí všem. Výjimky přiřazujte konkrétním schránkám.
• Zapomenuté přeposílání po odchodu zaměstnance. Dočasné přeposílání na nástupce zůstane aktivní roky. Pravidla přeposílání patří do kontrolního seznamu při offboardingu zaměstnance v Microsoft 365.
• Odblokování bez vyšetření. Uživatel na seznamu omezených entit často není „omylem”. Překročený limit odesílání bývá první známkou napadeného účtu.

Často kladené otázky

Potřebuji na blokaci přeposílání zvláštní licenci?

Ne. Zásada pro odchozí spam, vzdálené domény i pravidla toku pošty jsou součástí Exchange Online Protection. Fungují ve všech plánech Microsoft 365 s Exchange Online, včetně Business Basic, Standard i Premium.

Zablokuje to i ruční přeposlání e-mailu?

Ne. Uživatel může e-mail dál ručně přeposlat kliknutím na „Přeposlat”. Blokuje se jen automatické přeposílání přes pravidla doručené pošty a nastavení přeposílání schránky.

Co uvidí uživatel, když je přeposílání zakázané?

Při blokaci přes zásadu pro odchozí spam dostane původní odesílatel zprávu o nedoručení s kódem 5.7.520. Při blokaci přes vzdálené domény se zpráva tiše zahodí a nikdo žádné upozornění nedostane.

Jak povolit přeposílání jen pro jednu schránku?

Vytvořte vlastní zásadu pro odchozí spam s nastavením „On – Forwarding is enabled” a přiřaďte ji jen této schránce. Výchozí zásada zůstane nastavená na „Off”. Cíl přeposílání můžete dál omezit přes vzdálené domény.

Týká se blokace i přeposílání mezi schránkami uvnitř firmy?

Ne. Zásada pro odchozí spam blokuje jen přeposílání na externí příjemce. Přeposílání mezi schránkami ve vaší organizaci funguje dál.

Shrnutí

Automatické přeposílání e-mailů mimo firmu je tichý únik dat a oblíbený nástroj útočníků při podvodech s fakturami. V Microsoft 365 ho zablokujete několika kliknutími: zásadu pro odchozí spam přepněte na „Off”, legitimní výjimky řešte vlastní zásadou pro konkrétní schránky a ověřte, že vám chodí výstrahy na podezřelé přeposílání. Před vypnutím ale vždy proveďte audit – možná zjistíte, že nějaká pošta už dávno odchází tam, kam nemá.

Nechcete nastavení a audit schránek řešit sami? V IT Doma projdeme přeposílání ve všech schránkách, nastavíme zásady pro odchozí spam i výstrahy a pomůžeme s reakcí na incident. Ozvěte se nám – první konzultace je nezávazná.