W większości firm, do których wchodzimy pierwszy raz, jest ta jedna skrzynka. biuro@, sprzedaz@ albo faktury@. Loguje się do niej pięć osób, hasło ustawiono w 2019 roku, a ostatni raz ktoś się zastanowił nad tym, kto ma dostęp, gdy odchodził poprzedni asystent — czyli nigdy formalnie.
To jest jedna z tych rzeczy, które w firmie 10–50-osobowej niemal zawsze wygląda źle i której prawie nikt nie chce dotykać. Bo „działa". Do dnia, w którym ktoś kliknie w link phishingowy z tej skrzynki, a Ty nie wiesz nawet, kto się w niej wtedy zalogował.
Ten tekst jest o tym, jak z tym skończyć. Bez rewolucji, bez zmuszania handlowców do zmian, których nie zrozumieją, i bez kupowania nowych licencji, których nie musisz kupować.
Dlaczego to jest problem
Skrzynka współdzielona przez hasło łamie trzy rzeczy naraz.
Audyt. Nie wiesz, kto co wysłał. Faktura z konta faktury@ trafiła do złego klienta — kto ją wypuścił? W logach masz jedno konto, do którego loguje się pięć osób. Trop urywa się na drzwiach serwerowni.
Off-boarding. Handlowiec odchodzi. Zna hasło do sprzedaz@. Zmieniasz hasło — okej, ale kto pilnuje, żeby zmiana faktycznie się przekazała pozostałym pięciu osobom bez wpisania go w Excelu na Slacku? W praktyce nikt.
MFA. Skoro z konta korzysta pięć osób z różnych telefonów, nikt nie wpina drugiego składnika. Konto zbiorcze zostaje z hasłem, kropka. Jest to jedno z ulubionych wejść ransomware do firm w Polsce — wyłączony MFA na koncie, które i tak dostaje pół mailboxa firmy.
Skrzynka współdzielona to nie to samo co współdzielone hasło
Tu jest błąd, który powtarza się od lat. Ludzie mówią „mamy skrzynkę zbiorczą", mając na myśli „mamy jedno konto Microsoft 365, do którego loguje się kilka osób tym samym hasłem". To dwie różne rzeczy.
Współdzielone hasło = jedno konto pocztowe, jedna licencja, jedno hasło, wielu użytkowników. Tak, jak zwykłe konto pracownika, tylko że korzysta z niego zespół. Wszystko, co powiedzieliśmy wyżej, jest o tym trybie. I to trzeba wyeliminować.
Skrzynka współdzielona (shared mailbox) w Microsoft 365 to osobny obiekt: adres biuro@ bez własnej licencji, do którego indywidualni pracownicy dostają delegowany dostęp ze swoich zwykłych kont. Każdy loguje się swoim mailem i hasłem, ma swoje MFA, ale widzi też skrzynkę biuro@ obok własnej i może z niej wysyłać z pełnym adresem. Logi Microsoft 365 pokazują dokładnie, że to Anna Nowak (a.nowak@) wysłała maila „w imieniu biuro@". Google Workspace ma bliski odpowiednik przez „delegated access" i grupy z opcją wysyłania jako grupa.
Cała robota, którą tu opisujemy, to migracja z pierwszego trybu do drugiego. To jest tania zmiana — shared mailbox w Microsoft 365 do 50 GB nie wymaga osobnej licencji. Ale zwykle nikt nie robi jej z własnej inicjatywy, bo „na razie działa".
Jak to wygląda w rzeczywistości
U jednego z naszych klientów — 22-osobowego biura rachunkowego pod Warszawą — były cztery takie konta: biuro@, faktury@, kadry@ i windykacja@. Każde miało swoje hasło, przechowywane w dwóch miejscach: naklejce pod klawiaturą księgowej-seniorki i w Excelu w folderze „Wspólne\Hasła" (którego nazwy nie zmyśliliśmy).
Do faktury@ logowało się siedem osób. MFA — brak, bo „to niepraktyczne, gdy dziewczyny się wymieniają". Konto miało też pełny dostęp do OneDrive z folderem, w którym leżały skany dowodów osobistych klientów. Klasyczny worst case.
Migracja zajęła nam trzy popołudnia z ich strony i około dwóch dni roboczych po naszej. Wynik po sześciu tygodniach:
- Cztery konta z hasłami zniknęły. Zamiast tego są cztery shared mailboxy z delegowanym dostępem dla dokładnie tych osób, które faktycznie tego potrzebują (średnio 3–4 na skrzynkę zamiast 7).
- Wszyscy pracownicy mają MFA na swoich zwykłych kontach — bo teraz przez te konta wchodzą do skrzynek zbiorczych. Wcześniej dwie osoby miały „na potem".
- W logach Microsoft 365 widać, kto wysłał każdy mail z
faktury@. To pierwszy raz od pięciu lat, gdy można to sprawdzić. - Odejście księgowej dwa miesiące później zajęło 30 minut zamiast dnia i miało jasny audyt, że dostęp odebrany.
Nie licząc czasu, gdyby zdarzył się incydent, oszczędność była też natychmiastowa: zniknął ten stały, nieokreślony niepokój, że „ktoś kiedyś" mógł podejrzeć skany dowodów. Bo teraz „ktoś" ma imię i nazwisko.
Jak to zrobić u siebie
Ta operacja rozkłada się na cztery kroki. Można ją zrobić w firmie samodzielnie, jeśli ktoś zna panel Microsoft 365, albo zlecić — to godziny, nie dni.
- Wyciągnij listę skrzynek-kont. Wchodzisz do Microsoft 365 admin, filtrujesz konta pod kątem tych, z których korzysta więcej niż jedna osoba. Nazwy
biuro@,sekretariat@,sprzedaz@,serwis@,zamowienia@,reklamacje@są zwykle podejrzane. Zrób listę: adres, kto realnie z niej korzysta, po co, ile ma historii. - Załóż shared mailbox obok. W Microsoft 365 tworzy się nowy shared mailbox, np.
biuro-new@. Kopiujesz do niego historię ze starego konta (New-MailboxImportRequest lub przez outlookowy eksport i import — łatwiej). Delegujesz dostęp konkretnym osobom z ich zwykłych kont. - Zamień adresy. Stare konto zamieniasz w shared mailbox (można — wystarczy odebrać licencję i zmienić typ), a wcześniej przekierować lub przemianować adresy. Uwaga: to jest krok, w którym warto zrobić snapshot i mieć weekend czasu, bo można zepsuć routing. Alternatywnie: nowy shared mailbox przejmuje adres, stare konto zostaje na chwilę wyłączone jako backup.
- Wyłącz stare hasło, wymuś MFA. Po tygodniu, gdy nikt już nie krzyczy, że coś nie działa — blokujesz stare hasło. Sprawdzasz w Entra ID, że wszystkie osoby, które mają teraz delegowany dostęp, mają MFA na swoim własnym koncie.
Dwie rzeczy, o których się zapomina. Po pierwsze: kalendarz. Wspólny kalendarz z konta pocztowego trzeba przenieść osobno albo zastąpić kalendarzem grupy Microsoft 365. Po drugie: aplikacje mobilne. Zespół musi wiedzieć, że w Outlooku dodają swoje konto, a biuro@ pojawia się „obok" — nie muszą już nigdzie logować się drugim hasłem.
Kto ma być właścicielem
Ostatnia rzecz, która decyduje, czy porządek utrzyma się rok, czy trzy miesiące. Każda skrzynka zbiorcza musi mieć jednego właściciela — imię, nazwisko, mail. Nie „biuro" jako abstrakcja, tylko konkretna osoba, do której idzie się z pytaniem „czy Marek ma nadal mieć dostęp do faktury@, skoro przeszedł do sprzedaży?".
W praktyce to jest szefowa działu, do której skrzynka „należy". Nie IT — bo IT nie wie, kogo trzeba wpuścić. Rola IT jest wykonawcza: zmieni uprawnienia, gdy właścicielka poprosi. Ta prosta reguła sama z siebie eliminuje 80% dryfowania dostępów.
Co dalej
To nie jest projekt na kwartał. To jest tydzień pracy — plus jeden mały nawyk (przegląd co pół roku, kto ma dostęp do której skrzynki zbiorczej). Ale zamyka jedno z najczęstszych, najgłupszych i najtańszych do naprawienia wejść dla ransomware w polskich MŚP.
Jeśli chcesz zobaczyć, jak to wygląda w Twojej firmie i czy da się to zrobić bez wyłączania poczty na weekend — pół godziny rozmowy wystarczy, żeby to ocenić.
Hasło, które zna pół firmy, nie jest hasłem. Jest kartą wstępu, którą wręczyłeś wszystkim — również tym, którzy dawno odeszli.