商業電郵入侵與收件匣規則：懷疑 BEC 後如何在 Exchange Online 找出惡意規則

一句話結論： 懷疑發生商業電郵入侵（BEC）後，第一件要查的是收件匣規則，因為攻擊者正是靠它們藏身於郵箱之內：把關於付款的回覆移到看不見的地方、刪除警告電郵，或把副本轉寄出去。把該郵箱的所有規則列出來，包括隱藏規則，再以 Microsoft Purview 審計日誌查明每條規則是誰、何時、從哪裡建立的。先遏止帳戶，再保存證據，最後才刪除任何東西。

商業電郵入侵很少看起來像一次入屋爆竊。財務部同事收到一封來自熟悉供應商的電郵，說本月發票改用新的銀行戶口。電郵確實來自供應商的真實郵箱，或來自您自己的郵箱，因為攻擊者已經讀了好幾個星期。在這幾星期裡令攻擊者不被發現的，往往就是一小組商業電郵入侵收件匣規則：它們把真正供應商的回覆移到一個沒人打開的文件夾，直至款項已經付出，騙局才被揭穿。

本文講的是調查：攻擊者常用的規則模式、在 Exchange Online 哪裡找到它們、哪些審計記錄能顯示是誰建立的，以及清理之前要保留甚麼。如何從源頭阻擋轉寄，請看我們的姊妹篇阻擋 Microsoft 365 外部電郵轉寄。

先說一點。如果您認為某個郵箱此刻正被入侵，請先遏止、再調查：重設密碼、撤銷該用戶的工作階段、檢查已註冊的登入方式。具體步驟見下文。如需協助，請聯絡我們並註明緊急。

攻擊者為甚麼要建立收件匣規則？

控制了郵箱的攻擊者有兩個麻煩。真正的主人會留意到有人回覆了他沒發過的電郵；保安警告或退回郵件亦可能露出馬腳。收件匣規則能靜靜解決這兩個問題，而且改了密碼之後照樣運作，因為規則屬於郵箱，而不屬於工作階段。

在公開的事故分析中，包括微軟本身關於商業電郵入侵的保安研究，反覆出現的模式可歸納為幾類。

• 藏起對話。 來自某個供應商、客戶或財務聯絡人的電郵，或含有發票、付款、銀行、電匯、匯款、供應商名稱等字眼的電郵，被移到用戶從不查看的文件夾：RSS 訂閱、RSS 摘要、對話記錄、封存，或一個新建、名稱看似無害的文件夾。
• 標示為已讀。 與移動動作搭配，這樣便不會出現未讀提示。
• 刪除警告。 含有「釣魚」「被黑」「可疑」「是你發的嗎」等字眼的電郵，或退回郵件，一到便被刪除，用戶永遠看不到同事的提醒。
• 複製出去。 轉寄、以附件形式轉寄或重新導向到外部地址，往往範圍很窄，例如只轉寄財務總監發來的電郵。
• 看起來平平無奇。 規則名稱只有一個字元、一個句號、幾個重複字母，或照抄某條現有規則的名稱。

這些單獨都不能證明甚麼。員工隨時都會建立一些古怪的規則。關鍵在於組合：一個很窄的財務關鍵字、移到一個沒人使用的文件夾、建立時間與一次可疑登入相近，再加上用戶本人不認得這條規則。

在 Exchange Online 哪裡找到收件匣規則？

由您懷疑的那個郵箱開始，再擴大到同一攻擊者可能接觸過的所有郵箱。

Outlook 網頁版和 Outlook 客戶端

用戶自己看到的檢視，在 Outlook 網頁版的「設定」「郵件」「規則」中。作為第一眼很快，但並不完整。經其他介面建立的部分規則，不會在每個客戶端都顯示，攻擊者亦可能建立了一條用戶的 Outlook 無法正常顯示的規則。

Exchange Online PowerShell

權威的清單來自 PowerShell。Get-InboxRule -Mailbox user@yourdomain.com 列出規則；加上 -IncludeHidden 還會傳回隱藏規則，部分攻擊者建立的規則就藏在那裡。把結果送到 Format-List，查看 Name、Enabled、Description、From、SubjectContainsWords、BodyContainsWords、MoveToFolder、MarkAsRead、DeleteMessage、ForwardTo、ForwardAsAttachmentTo 和 RedirectTo。Description 屬性很有用，它以淺白英文把規則寫了出來。

同時檢查攻擊者可能藏副本的其他地方：郵箱轉寄屬性（Get-Mailbox 的 ForwardingSmtpAddress 和 ForwardingAddress）、郵箱代理人和文件夾權限（Get-MailboxPermission 和 Get-MailboxFolderPermission），以及任何涉及這個郵箱的郵件流規則。

擴大到整個租戶

只要有一個郵箱被入侵，就要假設其他郵箱亦被嘗試過。對每個郵箱執行 Get-InboxRule，篩選出轉寄、重新導向或刪除電郵，或把電郵移到 RSS 訂閱、對話記錄或封存的規則。按規則的大約建立時間排序，並與第一個被入侵帳戶的時間線比對。我們外部轉寄指南中的轉寄清點，用的也是同一組查詢。

審計日誌能告訴您甚麼？

規則告訴您做了甚麼；審計日誌告訴您是誰、何時、從哪裡做的，這正是分辨攻擊者的規則和用戶自己的規則所需要的。

規則的建立與修改

Microsoft Purview 管理入口中「Audit」下的審計搜尋，會記錄收件匣規則的活動。要搜尋的操作是 New-InboxRule 和 Set-InboxRule（在 Outlook 網頁版或經 PowerShell 建立或修改的規則）、UpdateInboxRules（從 Outlook 桌面客戶端建立、修改或移除的規則），以及 Remove-InboxRule。在 PowerShell 中，同樣的搜尋是 Search-UnifiedAuditLog，配合 -StartDate、-EndDate、-UserIds，並把 -Operations 設為上述名稱。微軟的《Use the audit log to identify Exchange inbox rules activities》一文說明，記錄的 Parameters 欄位會顯示規則的條件和動作，客戶端 IP 則顯示改動從哪裡發出。

同一時段的登入

在 Microsoft Entra 管理中心，打開該用戶在規則建立前後幾天的登入記錄。留意來自用戶不會去的國家或網絡的登入、陌生的瀏覽器或設備，以及在用戶不在的地點通過了 MFA 的登入。最後一種尤其重要。中間人（AiTM）釣魚頁面可以在用戶完成 MFA 之後截取工作階段，所以「MFA 是開著的」並不能排除入侵。我們的如何在 Microsoft 365 啓用 MFA一文說明了為甚麼防釣魚的驗證方式能補上這個缺口。

攻擊者讀了甚麼、發了甚麼

Exchange 管理中心「郵件流」下的郵件追蹤，顯示該郵箱在這段時間收發了哪些電郵，包括被刪除或移走的。在授權會記錄的情況下，MailItemsAccessed 審計事件能顯示哪些電郵被打開過，有助判斷哪些數據外洩了。請核實您的授權實際記錄了甚麼，不要想當然。

證據能保留多久

這是很多人發現得太遲的部分。微軟文件說明，對於 2023 年 10 月 17 日或之後產生的日誌，審計（標準版）保留 180 日；更長的保留期需要審計（進階版）或保留政策。如果入侵可能在幾個月前已經開始，請立即匯出相關記錄。

先遏止，再保存，最後清理

次序很重要。先清理，便會毀掉您判斷攻擊者走了多遠所需的證據，亦會削弱任何保險索償、銀行追款或法律行動的依據。

1. 遏止。 重設用戶密碼，然後在 Microsoft Entra 管理中心撤銷其工作階段，令現有登入全部失效。檢查用戶已註冊的身份驗證方式，刪除用戶本人沒有加入的方式；攻擊者經常會註冊自己的驗證器。檢查有沒有用戶未曾授權的應用程式同意。
2. 停用而不是刪除可疑規則。 以 Set-InboxRule 加 -Enabled $false 令規則停止運作而不銷毀它，這樣完整定義仍在，可以匯出。
3. 保存。 匯出 Get-InboxRule 的輸出、相關審計日誌記錄、登入記錄項目和這段時間的郵件追蹤。記下每一步的時間和執行人。如果可能涉及法律行動、保險索償或向監管機構通報，請在刪除任何東西之前先諮詢法律顧問和保險公司，他們或會要求對郵箱設置保留。
4. 提醒關鍵人士。 通知財務部門，並透過您已有的電話號碼（而不是電郵中的號碼）聯絡對話被盯上的供應商或客戶。
5. 清理。 刪除惡意規則、轉寄地址、代理人和應用程式同意。然後檢查其他郵箱是否有同樣模式。
6. 把門關上。 查明攻擊者怎樣進來，通常是釣魚頁面或重複使用的密碼，並修正這個根源，而不只是處理徵狀。

內置警報、人手覆核還是持續監察？

機構發現惡意規則的三種方式，各自能做甚麼、做不到甚麼。

哪種方式最早發現惡意規則？

• 內置警報政策。 Microsoft Defender 內置了針對建立轉寄或重新導向規則、以及可疑轉寄活動的預設警報政策，Microsoft Defender for Cloud Apps 亦能標示可疑的收件匣操作。當中幾項隨標準的 Microsoft 365 商業版授權提供，Defender for Cloud Apps 則需要另外授權。它們的局限是必須有人查看警報，而且只移動或刪除電郵的規則，可能根本不會觸發轉寄警報。
• 定期人手覆核。 每月或每季執行一次全租戶的 Get-InboxRule 查詢，能找到警報漏掉的規則，包括只移動和刪除電郵的規則。它的局限在於時間：覆核後第二天建立的規則，會運作好幾個星期。
• 由保安運作中心持續監察。 分析員把登入風險、規則建立和郵箱活動放在一起看，幾小時內便能處理。這就是保安運作中心服務提供的內容，適合一筆欺詐付款便會造成嚴重後果的機構。

Microsoft 365 保安審計在這方面檢查甚麼？

審計不是事故應變。它是在事故發生之前，或事故被遏止之後，用來找出令事故得以發生的薄弱環節的審查。在 Brocent 的 Microsoft 365 保安審計中，電郵保安部分會檢查所有郵箱中轉寄、重新導向或刪除電郵的收件匣規則、郵箱轉寄、外寄轉寄政策、相關警報政策的狀態、郵箱審計和審計保留期，以及本可在一開始就擋住那次登入的 MFA 和條件訪問設定。

Microsoft 365 保安審計示例報告（英文頁）展示了這些發現如何寫成文字、如何排序。審計只讀、遙距進行，授予只讀訪問後 5 至 7 個工作天交付報告，檢討會議按您所在地的辦公時間安排，無論您身處英國、澳洲還是亞洲。價格按人數固定，10 位用戶以內 450 美元起，各級價格和範圍見 Microsoft 365 保安審計價格頁。

香港供應商付款詐騙案例展示了這類入侵在財務團隊眼中的樣子。對英國企業而言，存有個人資料的郵箱被入侵亦可能引起資料保障問題；對不少企業而言，這亦是網絡保險的事項。兩種情況下，審計報告都是為證明現有控制而設計的證據，而不是法律意見。

常見問題

BEC 之後，哪些收件匣規則最可疑？

把含有付款或供應商關鍵字的電郵移到 RSS 訂閱、對話記錄、封存或新建文件夾的規則；刪除提及釣魚或被黑的電郵的規則；轉寄或重新導向到外部的規則；以及名稱毫無意義的規則，例如只有一個句號。

改了密碼，攻擊者的規則會消失嗎？

不會。收件匣規則屬於郵箱，重設密碼後照樣運作。您還必須撤銷工作階段、檢查登入方式，並刪除規則本身。

怎樣查出某條收件匣規則是誰建立的？

在 Microsoft Purview 審計日誌中，針對該郵箱搜尋 New-InboxRule、Set-InboxRule 和 UpdateInboxRules。記錄會顯示帳戶、時間、客戶端 IP，並在 Parameters 欄位中顯示規則的條件和動作。

為甚麼在 Outlook 看不到這條規則？

有些規則對某些客戶端是隱藏的。請在 Exchange Online PowerShell 中使用帶 -IncludeHidden 的 Get-InboxRule 查看完整清單。

最多能往前查多久？

使用審計（標準版）時，對於 2023 年 10 月 17 日或之後產生的日誌，微軟保留 180 日。更長的保留期需要審計（進階版）或保留政策，所以需要的記錄要盡早匯出。

Brocent 提供事故應變服務嗎？

Brocent 不提供事故應變長期合約。如果您懷疑正在發生入侵，請先按上述步驟遏止帳戶，再聯絡我們協助遏止、清理和其後的審查。

惡意規則要不要立即刪除？

先停用它，並連同審計記錄和登入記錄一同匯出其詳細資料。證據保存之後再刪除。

從哪裡開始

如果目前沒有理由懷疑被入侵，這星期就執行一次全租戶的收件匣規則查詢，對照上述模式看一遍。如果發現一條沒人說得清楚的規則，便把它當作事故處理，按遏止步驟進行。如果希望由獨立一方審查周邊的控制措施，審計價格頁列出了範圍，您亦可以聯絡顧問。