Compromiterea emailului de business are un scenariu cunoscut: atacatorul intră într-o cutie poștală, stă liniștit, observă cine aprobă ce, apoi intervine la momentul potrivit într-o discuție despre plăți. Pe 24 septembrie 2026, Rapid7 a publicat rezultatul unei cercetări făcute împreună cu Zimbra, care descrie peste 50 de vulnerabilități ce duc scenariul mai departe: atacatorul nu doar observă mediul, ci îl poate rescrie.
Ce înseamnă „rescrie"
- Trimite mesaje ca un utilizator legitim, fără să aibă credențialele acelui utilizator.
- Controlează ce mesaje sunt vizibile și ce urme de notificare rămân.
- Modifică documente partajate, astfel încât să pară că vin dintr-o sursă de încredere.
- Creează, șterge sau modifică evenimente din calendar și răspunsuri la invitații, fără să genereze notificările pe care le-ai aștepta.
De ce asta strică sfaturile obișnuite de awareness
Aproape tot ce predăm despre verificare presupune că înregistrarea pe care o consultă angajatul este corectă. „Uită-te în folderul de trimise." „Verifică invitația din calendar." „Întreabă expeditorul." Toate cad dacă atacatorul poate trimite în numele colegului fără parola lui, poate suprima notificarea și poate șterge urma.
Concluzia practică este incomodă, dar simplă: propria cutie poștală nu este o probă. Verificarea trebuie să iasă din sistemul de email — un apel pe un număr cunoscut dinainte, o confirmare în sistemul de plăți, o discuție față în față. Nu un răspuns la mesajul primit și nu un mesaj nou în același sistem.
Ce este cercetare nouă și ce este context istoric
Merită separate cele două straturi, pentru că se amestecă ușor.
- Contribuția proprie a Rapid7: cercetarea făcută împreună cu Zimbra și setul de peste 50 de vulnerabilități care permit manipularea descrisă mai sus.
- Context din alte surse, citat de Rapid7: CVE-2024-45519, o injecție de comenzi neautentificată, aflată în catalogul CISA de vulnerabilități exploatate; CVE-2025-27915, un XSS stocat printr-un atașament de calendar, relatat ca folosit ca zero-day împotriva unor ținte militare braziliene; CVE-2026-73570, o injecție de comenzi prin SNMP, cu aproximativ 260 de instanțe compromise identificate.
- Context atribuit grupului de analiză a amenințărilor al Google: patru grupări distincte documentate, într-un interval care acoperă 2022–2026.
- Nespecificat în sursă: stadiul de peticire al fiecărei vulnerabilități în parte.
- Neafirmat și necunoscut: dacă setul nou de peste 50 de vulnerabilități a fost exploatat în practică și ce organizații ar fi fost afectate.
Sursa nu oferă recomandări de detecție sau de apărare — este analiză de vulnerabilități și context de amenințare. Ce urmează mai jos este partea noastră, nu a Rapid7.
Ce faci când evidența internă nu mai e de încredere
- Verificarea plăților iese din email, fără excepții. Orice schimbare de cont bancar, IBAN sau beneficiar se confirmă printr-un apel la un număr aflat din contract sau din fișa furnizorului, nu din semnătura mesajului.
- Jurnalele nu trebuie să stea unde poate ajunge atacatorul. Dacă logurile de trimitere și de acces pot fi șterse de cineva care controlează cutia poștală, nu sunt probe. Exportul în afara sistemului de email este ce le face utile.
- Notificările suprimate se pot detecta indirect: o acțiune care apare în jurnal fără mesajul corespunzător, sau invers, merită tratată ca semnal.
- Modificările de calendar contează. O întâlnire ștearsă sau un răspuns schimbat pot fi parte dintr-un atac, nu o eroare de sincronizare.
- Documentele partajate se verifică în istoricul de versiuni, nu după cum arată acum sau după cine pare autorul.
- Un angajat care spune „sunt sigur că am trimis mesajul acela" trebuie crezut și investigat, nu corectat. Este exact reacția pe care schema descrisă o exploatează.
Exercițiul: 40 de minute
Cu financiar, juridic, IT, un manager și cineva de la achiziții. Pentru fiecare etapă: decizia, responsabilul, termenul și dovada.
- Injectul 1 — un furnizor cunoscut anunță pe email o schimbare de cont bancar. Mesajul vine din firul de discuție real, cu tot istoricul dedesubt. Cum verifici și cât durează?
- Injectul 2 — colegul din firul respectiv spune că nu a scris niciodată mesajul acela, iar în folderul lui de trimise nu există. Cine are dreptate și de unde afli?
- Injectul 3 — o întâlnire de aprobare dispare din calendar, iar două persoane își amintesc diferit ce s-a decis. Ce dovezi mai ai în afara sistemului de email?
- Injectul 4 — plata a fost deja făcută. Cine sună la bancă, în cât timp, și cine decide ce comunicați furnizorului și intern?
Injectul 2 este cel care schimbă discuția. Într-un exercițiu obișnuit, răspunsul reflex este „verificăm în trimise". Aici acel răspuns nu mai ajunge, iar echipa descoperă pe loc dacă are vreo sursă de adevăr în afara cutiei poștale.
Ce măsori
- Procentul de schimbări de date bancare confirmate pe un canal independent, documentat.
- Dacă jurnalele de email sunt exportate în afara sistemului și cât timp sunt păstrate.
- Timpul necesar pentru a reconstitui cine a trimis un mesaj, când, și de pe ce sesiune.
- Numărul de plăți care pot fi executate fără o a doua confirmare umană, pe un canal diferit.
- Timpul până la un apel la bancă, din momentul suspiciunii — măsurat, nu estimat.
- Dacă există o procedură scrisă pentru cazul în care un angajat contestă un mesaj apărut în numele lui.
Lecția nu este despre un produs anume de email. Este că orice sistem de comunicare în care atacatorul obține control suficient încetează să fie și sistemul în care verifici. Iar dacă singurul loc unde ai dovezi este exact locul în care el a intrat, nu ai dovezi.