Účetní dostane e-mail od „jednatele”. Stejné jméno, stejný podpis, naléhavý tón: „Potřebuji dnes odeslat zálohu novému dodavateli, číslo účtu posílám v příloze.” Jen adresa odesílatele je z Gmailu – a v mobilním Outlooku ji nikdo nevidí. Microsoft 365 přitom umí cizí a podezřelé e-maily viditelně označit. V tomto návodu ukážeme, jak v Outlooku zapnout označení externích e-mailů, tip zabezpečení pro první kontakt a ochranu proti podvrženým odesílatelům. Většinu nastavení zvládnete za odpoledne a bez dokoupení licencí.

Proč nestačí, že lidé „poznají phishing”

Školení o phishingu má smysl. Útoky na firemní poštu ale dnes nevypadají jako špatně přeložené výzvy z ciziny. Útočník si na LinkedInu najde jméno jednatele a účetní a pošle krátký, věcný e-mail česky. Žádný odkaz, žádná příloha s virem – jen žádost.

Těmto podvodům se říká Business Email Compromise (BEC). Podle varování FBI (IC3) způsobily celosvětově škody přes 55 miliard dolarů. Malé firmy jsou častý cíl, protože platby schvaluje jeden člověk a nikdo další je nekontroluje.

Klíčový problém je zobrazení odesílatele. Outlook, hlavně na telefonu, ukazuje především zobrazované jméno. Jméno „Jan Novák – jednatel” si ale může nastavit kdokoli. Skutečná adresa zůstává schovaná. Proto potřebujete, aby Outlook sám řekl: „Pozor, tohle nepřišlo zevnitř firmy.”

Tři vrstvy varování v Microsoft 365

Microsoft 365 nabízí tři vzájemně se doplňující mechanismy. Každý řeší jinou situaci:

• Štítek Externí – označí každou zprávu od odesílatele mimo vaši organizaci. Chrání proti „jednateli z Gmailu”.
• Tip zabezpečení pro první kontakt – upozorní, když příjemce od daného odesílatele běžně poštu nedostává. Chrání proti nové, podobně vypadající doméně.
• Ochrana proti podvržení (anti-spoofing) – odhalí zprávy, které se tváří, že přišly z cizí nebo i vaší domény, ale neprošly ověřením SPF, DKIM a DMARC.

Všechny tři funkce jsou součástí Exchange Online a Exchange Online Protection. Fungují tedy ve všech plánech Microsoft 365 s poštou, od Business Basic po Business Premium.

Krok 1: Zapněte štítek „Externí” v Outlooku

Nativní označení externích odesílatelů zapnete jedním příkazem v PowerShellu pro Exchange Online. Po zapnutí se u zpráv zvenčí zobrazí štítek Externí u předmětu a v novém Outlooku, Outlooku na webu i v mobilní aplikaci také v seznamu zpráv.

Postup

1. Nainstalujte modul ExchangeOnlineManagement a připojte se účtem správce: Connect-ExchangeOnline.
2. Zkontrolujte aktuální stav: Get-ExternalInOutlook.
3. Funkci zapněte: Set-ExternalInOutlook -Enabled $true.
4. Počkejte. Podle dokumentace Microsoftu k příkazu Set-ExternalInOutlook trvá 24 až 48 hodin, než se štítek uživatelům objeví.

Štítek podporuje Outlook na webu, nový Outlook pro Windows, klasický Outlook pro Windows v aktuálních verzích Microsoft 365 Apps, Outlook pro Mac a Outlook pro iOS a Android. Starší trvalé licence Office (například Office 2016) ho zobrazovat nemusí. Přehled verzí najdete v oznámení týmu Outlooku na Microsoft Tech Community.

Výjimky pro partnery

U dlouhodobých partnerů, například externí účetní kanceláře, můžete štítek skrýt parametrem AllowList:

Set-ExternalInOutlook -AllowList @{Add="ucetni-kancelar.cz"}

S výjimkami ale šetřete. Pokud útočník napadne schránku partnera, jeho e-maily pak přijdou bez varování. Na seznam dávejte jen opravdu ověřené domény a jednou za čtvrtletí ho projděte.

Proč nepoužívat „[EXTERNÍ]” v předmětu

Řada firem dřív řešila označení externích zpráv pravidlem toku pošty, které do předmětu přidávalo text „[EXTERNÍ]” nebo do těla vkládalo žlutý varovný banner. Tento postup funguje, ale má nevýhody:

• Předmět se při každé odpovědi prodlužuje a v konverzaci vznikají řetězce „RE: [EXTERNÍ] RE: [EXTERNÍ]”.
• Banner v těle mění obsah zprávy, což může rozbít digitální podpis zprávy a zhoršuje čitelnost na telefonu.
• Partner vidí váš štítek ve své odpovědi a působí to neprofesionálně.

Nativní štítek nic z toho nedělá. Mění jen zobrazení v Outlooku, ne samotnou zprávu. Microsoft výslovně doporučuje staré pravidlo před zapnutím nativního štítku vypnout, jinak se varování zdvojí. Jak pravidla toku pošty najít a upravit, popisujeme v článku pravidla toku pošty v Exchange Online.

Jedinou výhodou banneru zůstává, že ho uvidí i uživatelé ve starších klientech nebo v aplikacích třetích stran. Pokud takové ve firmě máte, je lepší je aktualizovat než udržovat dvojí systém.

Krok 2: Tip zabezpečení pro první kontakt

Štítek Externí upozorní na každou cizí zprávu. To je užitečné, ale lidé si na něj rychle zvyknou, protože externí jsou i všichni zákazníci a dodavatelé. Proto se hodí druhá vrstva: tip zabezpečení pro první kontakt (first contact safety tip).

Ten se zobrazí, když příjemce dostane zprávu od odesílatele, od kterého poštu nedostává nebo nedostává často. Typický útok s doménou „firma-cz.com” místo „firma.cz” tak dostane nápadné upozornění, i když na první pohled vypadá důvěryhodně.

Postup

1. Otevřete portál Microsoft Defender a přejděte do E-mail a spolupráce › Zásady a pravidla › Zásady ohrožení › Anti-phishing.
2. Otevřete výchozí zásadu Office365 AntiPhish Default nebo vlastní zásadu.
3. V části Akce zaškrtněte Zobrazit tip zabezpečení pro první kontakt (Show first contact safety tip).
4. Uložte. Změna se projeví do několika hodin.

Tip prvního kontaktu je ve výchozí zásadě obvykle vypnutý. Podle přehledu anti-phishingových zásad na Microsoft Learn patří spolu s ochranou proti podvržení k základním funkcím, které mají všechny cloudové schránky Microsoft 365.

Krok 3: Ochrana proti podvrženým odesílatelům

Podvržení (spoofing) znamená, že útočník do pole „Od” napíše cizí adresu – klidně i adresu vaší firmy. Bez ochrany by e-mail „od jednatele z firma.cz” vypadal úplně pravě. Microsoft 365 se proti tomu brání ve třech rovinách.

Spoof intelligence

Inteligence proti podvržení vyhodnocuje, jestli odesílatel smí za danou doménu posílat. Je ve výchozím stavu zapnutá. V portálu Defender ale najdete přehled Spoof intelligence insight, kde vidíte, kdo za vaše i cizí domény posílá poštu bez platného ověření.

Typicky tam najdete legitimní služby: fakturační systém, webový formulář nebo newsletterový nástroj, který posílá „jménem” firma.cz. Takové odesílatele můžete označit jako Allow to spoof. Lepší řešení je ale opravit jejich SPF a DKIM záznam, jak popisujeme v článku zabezpečení firemního e-mailu přes SPF, DKIM a DMARC. Povolení se ukládají do seznamu povolených a blokovaných položek tenantu. Podrobnosti uvádí dokumentace ke spoof intelligence.

Indikátory neověřeného odesílatele

Když zpráva neprojde ověřením, Outlook ukáže místo fotky odesílatele otazník „?”. Pokud se doména v adrese „Od” liší od domény, která zprávu skutečně podepsala, zobrazí se u odesílatele značka „via”. Obojí je zapnuté ve výchozím stavu – zkontrolujte jen, že to nikdo dříve nevypnul, a naučte lidi, co tyto značky znamenají.

Respektování DMARC

V anti-phishingové zásadě nechte zapnuté Honor DMARC record policy. Když pak odesílatel s politikou DMARC p=reject pošle podvrženou zprávu, Microsoft 365 ji odmítne nebo pošle do karantény podle vašeho nastavení. Co se zadrženými zprávami dál, vysvětluje článek o karanténě zpráv v Microsoft 365.

Krok 4: Ochrana proti napodobení jednatele

Předchozí kroky zvládne každý plán Microsoft 365. Pokud máte Business Premium nebo doplněk Defender for Office 365 Plan 1, máte navíc ochranu proti napodobení (impersonation protection). Do zásady zadáte jména jednatele, účetní a dalších klíčových osob a Defender pak hlídá zprávy, které se za ně vydávají – i z úplně cizích domén.

Nejrychlejší cesta je zapnout přednastavené zásady zabezpečení v úrovni Standard. Microsoft v nich udržuje doporučené hodnoty a zapne i tip prvního kontaktu. Podrobné nastavení popisujeme v článku Microsoft Defender for Office 365 – ochrana e-mailu před phishingem.

Jak zavést změnu u zaměstnanců

Technické nastavení je polovina úspěchu. Druhou polovinou je, aby lidé štítkům rozuměli a nebrali je jako šum.

• Pošlete krátké oznámení předem. Ukažte snímek obrazovky, jak štítek Externí a tip prvního kontaktu vypadá. Jinak se lidé začnou ptát, proč „Outlook straší”.
• Dejte jedno jednoduché pravidlo. „E-mail se štítkem Externí, který se tváří jako od kolegy, je podezřelý. Než cokoli uděláte, zavolejte mu.”
• Platby ověřujte jiným kanálem. Každou změnu bankovního účtu dodavatele potvrďte telefonem na číslo, které máte ze smlouvy, ne z e-mailu.
• Naučte hlásit podezřelé zprávy. Tlačítko Nahlásit v Outlooku posílá zprávu Microsoftu i správci. Obecné znaky podvodných zpráv shrnuje článek jak poznat phishingový e-mail.

Americká agentura CISA ve svém doporučení k obraně proti phishingu zdůrazňuje právě kombinaci technických opatření a jasných postupů pro zaměstnance. Samotný štítek útok nezastaví, ale dá člověku důvod se zastavit.

Časté chyby při nastavení

• Zapnutý štítek i staré pravidlo s „[EXTERNÍ]”. Uživatelé vidí dvojité varování a začnou ho ignorovat.
• Široký AllowList. Výjimka pro celou doménu velkého poskytovatele, například gmail.com, štítek prakticky vypne.
• Povolené podvržení místo opravy DNS. „Allow to spoof” pro fakturační systém je rychlé, ale trvalé řešení je správný SPF a DKIM.
• Štítek Externí u vlastních systémů. Když ho vidíte u automatických zpráv z vašeho webu nebo účetního programu, posílají poštu zvenčí. Nastavte jim ověřené odesílání, jinak si lidé zvyknou, že „externí od nás” je normální.
• Žádná komunikace se zaměstnanci. Nové varování bez vysvětlení vyvolá dotazy, ale nezmění chování.

Kontrolní seznam

1. Vypnout staré pravidlo toku pošty s textem „[EXTERNÍ]” nebo bannerem.
2. Spustit Set-ExternalInOutlook -Enabled $true a po 48 hodinách ověřit zobrazení na PC i telefonu.
3. Zapnout tip zabezpečení pro první kontakt v anti-phishingové zásadě.
4. Projít Spoof intelligence insight a opravit SPF/DKIM u legitimních služeb.
5. Ověřit, že jsou zapnuté indikátory „?” a „via” a respektování DMARC.
6. U Business Premium zapnout přednastavené zásady Standard a ochranu proti napodobení klíčových osob.
7. Poslat zaměstnancům oznámení se snímky obrazovky a pravidlem pro ověřování plateb.
8. Jednou za čtvrtletí zkontrolovat AllowList a povolené podvržené odesílatele.

Časté dotazy

Potřebuji na označení externích e-mailů zvláštní licenci?

Ne. Štítek Externí, tip zabezpečení pro první kontakt i ochrana proti podvržení jsou součástí Exchange Online a Exchange Online Protection. Fungují ve všech plánech Microsoft 365 s poštou. Jen ochrana proti napodobení konkrétních osob vyžaduje Defender for Office 365, který je součástí Business Premium.

Jak dlouho trvá, než se štítek Externí zobrazí?

Po spuštění příkazu Set-ExternalInOutlook -Enabled $true to podle Microsoftu trvá 24 až 48 hodin. Zobrazí se jen v podporovaných verzích Outlooku.

Vidí štítek Externí i příjemce mé odpovědi?

Ne. Nativní štítek mění jen zobrazení v Outlooku vašich uživatelů. Na rozdíl od textu „[EXTERNÍ]” v předmětu se nepřidává do zprávy, takže ho partner v odpovědi neuvidí.

Proč vidím štítek Externí u e-mailu od kolegy?

Buď jde o podvrženou zprávu, nebo o systém, který posílá poštu jménem vaší firmy mimo Microsoft 365, například fakturační aplikaci či webový formulář. V prvním případě zprávu nahlaste, ve druhém nastavte službě správné SPF a DKIM.

Můžu štítek Externí vypnout pro konkrétního partnera?

Ano, přes parametr AllowList příkazu Set-ExternalInOutlook můžete zadat konkrétní adresy nebo domény. Výjimky ale omezte na ověřené partnery, protože jejich zprávy pak přicházejí bez varování.

Shrnutí

Označení externích e-mailů v Outlooku je jedno z nejlevnějších bezpečnostních opatření v Microsoft 365. Štítek Externí zapnete jedním příkazem, tip prvního kontaktu jedním zaškrtnutím a ochranu proti podvrženým odesílatelům doladíte přes spoof intelligence a DMARC. Dohromady dávají zaměstnancům jasný signál ve chvíli, kdy se za jednatele nebo dodavatele vydává někdo cizí. Nezapomeňte ale na komunikaci – štítek pomůže jen tehdy, když lidé vědí, co znamená.

Chcete mít ochranu firemní pošty nastavenou správně a bez zbytečných výjimek? V rámci správy IT projdeme vaše zásady anti-phishingu, SPF, DKIM a DMARC i pravidla toku pošty a připravíme pro zaměstnance krátké vysvětlení. Ozvěte se nám – první konzultace je nezávazná.