Ce faceți când un cont Microsoft 365 al firmei a fost spart

Cum vă dați seama că un cont e compromis?

Rareori printr-un mesaj dramatic. De obicei, printr-un detaliu care nu se potrivește:

• în folderul cu mesaje trimise („Sent Items” sau „Elemente trimise”, în Outlook) apar emailuri pe care angajatul nu le-a scris;
• un client întreabă de o factură sau de un cont bancar nou pe care nu l-ați trimis;
• lipsesc emailuri sau apar reguli noi care mută ori trimit mesajele în altă parte;1
• contul se blochează des sau cere schimbarea parolei fără motiv;
• o conectare din altă țară, în miez de noapte.

Oricare dintre ele e un motiv să tratați contul ca fiind compromis până se dovedește contrariul.

Ce faceți în primele 15 minute?

Patru pași, în această ordine: anunțați responsabilul de IT, blocați contul, închideți sesiunile deschise și abia apoi schimbați parola.

1. Anunțați imediat responsabilul de IT. Furnizorul de suport IT sau responsabilul de IT din firmă. Nu așteptați să vedeți dacă se mai întâmplă ceva.

2. Blocați contul. Microsoft recomandă dezactivarea contului până la finalul verificărilor. E o măsură temporară: angajatul primește acces înapoi după ce contul e curățat.1

3. Închideți sesiunile deschise. Atacatorul poate rămâne conectat pe un browser sau pe un telefon chiar după schimbarea parolei. Deconectarea contului de pe toate dispozitivele e un pas separat, pe care îl face cine administrează Microsoft 365.1

4. Schimbați parola. Abia acum, cu o parolă nouă, care nu a mai fost folosită nicăieri.

Dacă nu aveți pe nimeni care să facă pașii 2 și 3, faceți măcar pasul 4 și cereți ajutor în aceeași oră.

Ce se verifică în prima oră?

Pașii de mai sus opresc accesul. Verificările de mai jos arată ce a lăsat atacatorul în urmă. Le face cine administrează IT-ul. Rolul dumneavoastră e să întrebați dacă s-au făcut.

• Reguli și redirecționări. Atacatorii lasă des o regulă care trimite copii ale emailurilor la o adresă externă sau care ascunde răspunsurile clienților.
• Telefoanele pe care vine codul de confirmare. Autentificarea în doi pași cere, pe lângă parolă, un cod primit pe telefon. Dacă atacatorul și-a adăugat propriul telefon, va putea intra din nou.
• Aplicațiile cărora contul le-a dat acces. O aplicație aprobată de atacator poate citi emailul și după schimbarea parolei.
• Rolurile de administrator. Dacă contul avea drepturi în plus, se verifică dacă nu au fost folosite.
• Istoricul de conectări. De unde și când a intrat atacatorul, ce a citit, ce a trimis.

Toate sunt pași din procedura Microsoft pentru un cont compromis.1

Pe cine anunțați?

Trei grupuri: contabilitatea, clienții și partenerii care ar fi putut primi mesaje false și, când e cazul, autoritățile.

Contabilitatea, în aceeași oră. Orice cerere recentă de plată sau de schimbare a contului bancar, venită prin email, se verifică telefonic, la un număr pe care îl aveți deja. Un cont de email compromis e calea obișnuită pentru facturile false.

Clienții și partenerii care ar fi putut primi mesaje. Un email scurt, de pe alt cont: „Dacă ați primit de la noi, în ultimele zile, o cerere de plată sau un cont bancar nou, nu plătiți și nu schimbați nimic până nu ne sunați.”

Autoritățile, când e cazul. Sunt două situații:

• Au fost afectate date personale, ale clienților sau ale angajaților. GDPR cere să anunțați autoritatea pentru protecția datelor (ANSPDCP) în cel mult 72 de ore de când ați aflat. Excepție: când e puțin probabil ca incidentul să creeze un risc pentru persoanele ale căror date au fost afectate.2
• Firma intră sub NIS2 și incidentul e semnificativ. Avertizarea timpurie către Directoratul Național de Securitate Cibernetică (DNSC) se trimite în 24 de ore. Termenele sunt în ghidul despre cine e obligat să respecte NIS2.

Ca să știți dacă vă aflați într-una dintre situații, discutați cu responsabilul cu protecția datelor sau cu un avocat.

Ce nu faceți

• Nu ștergeți contul. După ștergere, emailul și fișierele se păstrează doar o perioadă limitată, apoi dispar, și puteți rămâne fără dovezi. Am explicat de ce în ghidul despre conturile unui angajat care pleacă.
• Nu ștergeți emailurile suspecte. Arată cum a intrat atacatorul și ce a trimis.
• Nu plătiți nimic cerut prin email până nu verificați telefonic.
• Nu reactivați contul înainte să fie verificat tot ce e mai sus.

Lista pentru prima oră

• Anunțați responsabilul de ITFurnizorul de suport IT sau responsabilul din firmă, imediat.
• Blocați contul, închideți sesiunile, schimbați parolaÎn această ordine.
• Verificați regulile, dispozitivele și aplicațiileCe a lăsat atacatorul în urmă.
• Anunțați contabilitateaOrice cerere de plată prin email se verifică telefonic.
• Anunțați clienții care ar fi putut primi mesaje falseDe pe alt cont, pe scurt.
• Verificați dacă trebuie notificată o autoritate72 de ore pentru GDPR, 24 de ore pentru NIS2, când se aplică.

Ce puteți pregăti dinainte

Două lucruri se pun la punct într-o zi liniștită, nu în ziua incidentului.

Cine poate intra în conturile de administrator?

Contul de administrator e contul din care se schimbă parolele celorlalți și se dau drepturi. Cine intră în el nu are un singur angajat, are toată firma.

Un exemplu recent. Pe 30 octombrie 2026, autoritatea pentru protecția datelor (ANSPDCP) a amendat un lanț de magazine din România. Atacatorii intraseră într-un cont de administrator și au ajuns la numele, emailurile și parolele utilizatorilor din firmă. Autoritatea a cerut ca la echipamentele IT să se poată ajunge doar din rețeaua firmei, iar din afară cel puțin printr-o conexiune protejată (VPN) și cu autentificare în doi pași.3

Întrebarea de pus responsabilului de IT: „Conturile noastre de administrator din Microsoft 365 pot fi folosite de oriunde, de pe orice calculator?” Un răspuns bun e „nu”: au autentificare în doi pași și se pot folosi doar de pe calculatoarele firmei.

Ce face echipa dacă se opresc emailul sau facturarea?

La sfârșitul lui octombrie, un lanț de librării din România a oprit preventiv site-ul și aplicația după un incident de securitate. În magazine nu au mai mers voucherele, programul de fidelitate, emiterea facturilor, verificarea stocului și comenzile. Plata cu numerar și cu cardul a funcționat în continuare.4

Întrebarea se pune din timp, nu în ziua incidentului: dacă mâine dimineață nu merg emailul sau programul de facturare, ce poate face echipa? Cine are telefoanele clienților importanți, cum se emite o factură urgentă și cine anunță partenerii. Răspunsurile, scrise pe o pagină și ținute și pe hârtie, ajută exact în ziua în care calculatoarele nu ajută.

Cum arată același incident la un client Risksoft

Până aici am descris ce face o firmă care descoperă singură problema. La clienții noștri, pașii din primele 15 minute nu rămân în sarcina dumneavoastră.

Un exemplu: cineva se conectează la contul Microsoft 365 al unui angajat din altă țară, în miez de noapte. Detecția pe conturi semnalează conectarea. Analiști specializați cu care lucrăm urmăresc alertele non-stop, confirmă că e într-adevăr un atac și îi opresc extinderea: contul se blochează, sesiunile deschise se închid și parola se schimbă. Apoi verificăm contul pentru reguli create de atacator.

În medie, de la alertă până când atacul e oprit trec 8 minute. Detecția pe conturi e unul dintre cele cinci straturi de securitate incluse în abonament.

Regulile de securitate care nu schimbă felul de lucru al angajaților le activăm direct. Pe cele care îl schimbă, de exemplu accesul la fișierele firmei doar de pe calculatoarele de la birou, le discutăm înainte cu dumneavoastră.

Nu vă promitem că nu veți fi atacat. Ținta e să nu aflați despre atac de la un client.

Întrebări frecvente despre conturile Microsoft 365 compromise

E suficient să schimb parola unui cont compromis?

Nu. Schimbarea parolei nu închide sesiunile deja deschise și nu șterge regulile sau aplicațiile adăugate de atacator. Ordinea corectă: blocați contul, închideți sesiunile, schimbați parola, apoi verificați regulile, dispozitivele și aplicațiile.

Trebuie să anunț ANSPDCP dacă un cont de email a fost compromis?

De regulă, da, dacă au fost afectate date personale: GDPR cere notificarea în cel mult 72 de ore de la momentul în care ați aflat, cu excepția cazului în care e puțin probabil ca incidentul să genereze un risc pentru persoanele ale căror date au fost afectate. Ca să știți dacă se aplică firmei, discutați cu responsabilul cu protecția datelor sau cu un avocat.

Cum previn compromiterea conturilor Microsoft 365?

Autentificarea în doi pași pentru toate conturile, detecția pe conturi, care semnalează conectările neobișnuite, și instruirea angajaților, ca să recunoască emailurile false. Autentificarea în doi pași ajută, dar nu ajunge singură: printr-un email fals, un atacator poate afla parola și poate prelua și codul de confirmare. Cu Microsoft 365 Business Premium, conectarea se poate limita la dispozitivele firmei, așa că parola și codul furate nu mai ajung. Am explicat diferența pe pagina Microsoft 365 Business Premium. Niciuna dintre măsuri nu garantează că nu veți fi atacat, dar împreună scurtează mult timpul până când atacul e observat.