NCSC i partnerzy ujawnili kampanię LAUNDRY BEAR przeciw użytkownikom Zimbra Collaboration Suite. Według komunikatu z 23 lipca do naruszenia bezpieczeństwa wystarczało wyświetlenie złośliwej wiadomości w podatnym webmailu. Dla administratorów poczty i menedżerów chroniących wrażliwą korespondencję oznacza to, że procedura musi uwzględnić incydent bez kliknięcia linku przez pracownika.

Czy odpowiedź „nie kliknąłem żadnego linku” wystarczyłaby w naszej organizacji do zamknięcia zgłoszenia dotyczącego podejrzanej wiadomości? Ostrzeżenie NCSC daje powód, by sprawdzić właśnie ten warunek w procedurze. W opisanym scenariuszu użytkownik Zimbra Collaboration Suite mógł wyświetlić wiadomość bez klikania linku, a mimo to narazić pocztę na ujawnienie. Nie przypisujmy więc pracownikowi czynności, której atak nie wymagał. Przy przeglądzie własnej reakcji na takie zgłoszenie zacznijmy od ustalenia, czy korzystamy z opisanego systemu i kto potrafi ocenić jego podatność. Odpowiedź użytkownika o braku kliknięcia zachowajmy jako informację o przebiegu zdarzenia. Nie traktujmy jej jako rozstrzygnięcia o bezpieczeństwie skrzynki.

Zimbra: wyświetlenie wiadomości było wystarczającą czynnością

Według NCSC kampania LAUNDRY BEAR dotyczyła użytkowników Zimbra Collaboration Suite. Warunkiem opisanym w komunikacie było wyświetlenie złośliwej wiadomości w podatnej wersji usługi pocztowej dostępnej przez przeglądarkę. To zakres ustalenia, na którym opieramy tę wiadomość: określony system, jego podatność i czynność odbiorcy.

Nie rozszerzajmy tego opisu na każdą wiadomość ani każdą instalację Zimbra. Nie utożsamiajmy również samego dostarczenia maila z jego wyświetleniem. W ocenie własnej sytuacji zachowajmy wszystkie warunki podane przez NCSC. Stwierdzenie, że organizacja używa Zimbra Collaboration Suite, potraktujmy jako początek weryfikacji, bez przesądzania, że doszło w niej do incydentu.

Administratorowi proponujemy ustalić używaną wersję i odnieść ją do ostrzeżenia NCSC. Jeżeli na tym etapie nie można rozstrzygnąć podatności instalacji, w zapisie przeglądu pozostawmy wynik „nieustalone” oraz osobę odpowiedzialną za dalszą weryfikację.

W scenariuszu opisanym przez NCSC brak kliknięcia linku nie wystarcza do wykluczenia incydentu.

Procedura powinna uwzględnić odpowiedź „tylko przeczytałem”

Wykorzystajmy scenariusz LAUNDRY BEAR do przeglądu własnych pytań zadawanych po zgłoszeniu podejrzanej poczty, bez przypisywania zaatakowanym organizacjom i ich pracownikom nieudokumentowanych zaniedbań.

Rozważmy jawnie hipotetyczną procedurę, w której dalsza analiza zaczyna się dopiero po potwierdzeniu kliknięcia linku. W zestawieniu z komunikatem NCSC taka instrukcja wymaga uzupełnienia o przypadek wyświetlenia wiadomości w podatnym webmailu. Proponujemy zapisać w niej, kto ocenia ten scenariusz oraz jak przekazać mu informację od użytkownika. Nie każmy pracownikowi samodzielnie rozstrzygać, czy używana wersja Zimbra była podatna.

W formularzu zgłoszenia rozdzielmy pytanie o wyświetlenie wiadomości od pytania o kliknięcie odsyłacza. Odpowiedzi zapiszmy osobno i przekażmy administratorowi wraz z informacją o używanym systemie pocztowym. Jeśli przegląd instrukcji nie pozwala ustalić dalszego adresata zgłoszenia, wskażmy ten brak do uzupełnienia. Kampanię LAUNDRY BEAR potraktujmy jako konkretny scenariusz sprawdzający procedurę: czy wiadomo, co zrobić z odpowiedzią „tylko przeczytałem”?

Zarząd powinien pytać o stan poczty i zakres niewiadomych

Dla menedżera chroniącego wrażliwą korespondencję proponujemy przełożyć ostrzeżenie NCSC na zlecenie oceny własnej poczty. Pierwsze pytanie powinno dotyczyć używania Zimbra Collaboration Suite, kolejne ustalonego stanu instalacji. W odpowiedzi wymagajmy wskazania, co administrator sprawdził, na jakiej podstawie sformułował ocenę i czego jeszcze nie ustalił.

Nie zastępujmy tej odpowiedzi ogólną deklaracją, że pracownicy wiedzą, których linków unikać. W scenariuszu LAUNDRY BEAR opisanym przez NCSC brak kliknięcia był zgodny z możliwością naruszenia bezpieczeństwa. Z tego powodu proponujemy oddzielnie oceniać instrukcje dla użytkowników i ustalenia dotyczące podatności systemu pocztowego. Przy każdym otwartym pytaniu wyznaczmy właściciela odpowiedzi oraz termin jej przedstawienia.

W decyzji zarządczej nie szacujmy strat organizacji, prawdopodobieństwa jej zaatakowania ani kosztu prac naprawczych na podstawie samej nazwy LAUNDRY BEAR. Poprośmy zespół o zakres potrzebnej weryfikacji i wskazanie decyzji, które wymagają udziału kierownictwa. Jeśli stan instalacji pozostaje nieustalony, przedstawmy tę niewiadomą wprost osobie odpowiedzialnej za ochronę korespondencji.

Ocenę bezpieczeństwa Zimbra oprzyjmy na sprawdzeniu instalacji; deklarację użytkownika potraktujmy jako opis jego czynności.

Polski administrator powinien zacząć od własnej instalacji

Fakty przywołane w tej wiadomości nie wskazują polskiej ofiary ani skali incydentów w Polsce. Nie wyciągajmy z ostrzeżenia NCSC wniosku, że atak dotknął konkretną krajową organizację. Dla polskiego administratora proponujemy ten sam punkt wyjścia: sprawdzenie, czy powierzona mu poczta korzysta z Zimbra Collaboration Suite.

Jeżeli ustalenie wymaga odpowiedzi od podmiotu obsługującego pocztę, przygotujmy pytanie o używany system i o to, czy jest podatny na lukę z komunikatu NCSC. Poprośmy o podstawę odpowiedzi, a brak danych oznaczmy do wyjaśnienia. W raporcie dla kierownictwa zachowajmy rozróżnienie między potwierdzonym używaniem Zimbra, oceną instalacji i informacją o ewentualnym incydencie. Nie zastępujmy jednego z tych ustaleń pozostałymi.

Co z tym zrobić w poniedziałek

Każdy punkt potraktuj jako osobne zadanie na maksymalnie 30 minut. Celem jest przygotowanie oceny według ostrzeżenia NCSC; pytania bez odpowiedzi zapisz do dalszego sprawdzenia.

  1. Ustal system pocztowy. Dla jednej używanej usługi sprawdź w dostępnej dokumentacji, czy jest oparta na Zimbra Collaboration Suite. Zapisz wersję i źródło informacji, jeżeli są dostępne. W przeciwnym razie przygotuj pytanie do administratora lub podmiotu obsługującego pocztę.
  2. Sprawdź jedną instrukcję zgłaszania podejrzanych maili. Znajdź krok dotyczący kliknięcia linku. Dopisz scenariusz wyświetlenia złośliwej wiadomości w podatnym webmailu Zimbra i wskaż, komu przekazać zgłoszenie do oceny, gdy użytkownik zaprzecza kliknięciu.
  3. Przygotuj zlecenie oceny instalacji. Dołącz komunikat NCSC, nazwę sprawdzanej usługi oraz dotychczasowe ustalenia. Poproś o ocenę podatności, podstawę wniosku i listę niewiadomych. Wyznacz osobę, która odbierze odpowiedź i przedstawi kierownictwu to, co wymaga decyzji.

Ochrona poczty powinna uwzględniać scenariusz LAUNDRY BEAR także wtedy, gdy pracownik nie kliknął linku. Od administratora wymagajmy oceny instalacji, a od procedury obsługi zgłoszeń możliwości skierowania takiego przypadku do sprawdzenia. Brak kliknięcia zachowajmy w opisie zdarzenia, bez nadawania mu roli dowodu bezpieczeństwa.

Źródła

  1. NCSC: UK and partners expose Russian state-supported actors for new ‘zero-click’ phishing campaign targeting Western organisations, publikacja: 23 lipca 2026 r.

Redakcja cyberinsight.pl.