Jak sprawdzić, które aplikacje mają dostęp do Twojej skrzynki e-mail?

Listę aplikacji z dostępem do skrzynki e-mail znajdziesz w ustawieniach bezpieczeństwa swojego konta pocztowego, w sekcji poświęconej połączonym aplikacjom i usługom innych firm. Na tym jednak przegląd się nie kończy. Trzeba jeszcze sprawdzić hasła aplikacji, programy pocztowe łączące się przez IMAP, reguły przekierowania, osoby z dostępem delegowanym i aktywne sesje. Dopiero razem dają pełny obraz tego, kto i co może czytać Twoją pocztę.

Taki przegląd warto robić raz na kilka miesięcy, a koniec roku jest dobrym momentem. Przez rok skrzynka zbiera dziesiątki połączeń: kalendarz w telefonie, aplikacja do faktur, dodatek do planowania spotkań, narzędzie do newslettera testowane przez tydzień. Każde z nich zostaje z uprawnieniami do odwołania, nawet jeśli dawno o nim zapomniałeś.

Dlaczego zapomniane połączenia są groźne

Kiedy logujesz się do jakiejś usługi przyciskiem „Zaloguj przez Google” lub „Zaloguj przez Microsoft” albo zgadzasz się, by aplikacja „miała dostęp do Gmaila”, nie podajesz jej hasła. Dostaje ona token, czyli rodzaj przepustki. Taka przepustka działa także po zmianie hasła i nie wymaga drugiego składnika logowania. Jeśli firma stojąca za aplikacją zostanie zaatakowana albo sama aplikacja okaże się złośliwa, ktoś może czytać, wysyłać lub usuwać Twoje wiadomości bez żadnego alarmu.

Na to samo pozwalają stare hasła aplikacji, tworzone kiedyś dla programów, które nie obsługiwały nowszych metod logowania, oraz reguły automatycznego przekierowania. Ta ostatnia to ulubione narzędzie przestępców po przejęciu konta: po cichu kopiują całą korespondencję na swój adres i czekają na faktury do podmiany.

Gdzie szukać połączonych aplikacji

Nazwy menu zmieniają się co jakiś czas, ale układ jest podobny u wszystkich dużych dostawców poczty.

Konto Google (Gmail)

• Wejdź na stronę zarządzania kontem Google i otwórz zakładkę Bezpieczeństwo.
• Znajdź sekcję z połączeniami z aplikacjami i usługami innych firm. Przy każdej pozycji widać zakres dostępu, na przykład pełny dostęp do Gmaila albo tylko podstawowe informacje o profilu.
• W tej samej zakładce sprawdź hasła aplikacji (jeśli masz włączoną weryfikację dwuetapową) oraz listę urządzeń, na których jesteś zalogowany.

Konto Microsoft (Outlook.com, Microsoft 365)

• Na stronie konta Microsoft przejdź do ustawień prywatności lub bezpieczeństwa i odszukaj aplikacje oraz usługi, którym przyznano dostęp.
• W kontach służbowych Microsoft 365 część zgód nadaje administrator. Użytkownik widzi je na stronie „Moje aplikacje”, a pełną listę ma dział IT.

Poczta na własnej domenie lub u polskiego dostawcy

Skrzynki w hostingu zwykle nie mają listy połączonych aplikacji, bo programy logują się po prostu loginem i hasłem przez IMAP lub POP3. Tu przegląd sprowadza się do zmiany hasła i sprawdzenia, które programy przestały się łączyć. W panelu poczty często można też podejrzeć historię logowań z adresami IP.

Co usunąć, a co zostawić

Przy każdej pozycji zadaj sobie trzy pytania: czy wiem, co to za aplikacja, czy używałem jej w ostatnich miesiącach i czy naprawdę potrzebuje takiego zakresu dostępu. Jeśli choć na jedno odpowiedź brzmi „nie”, odbierz dostęp. W najgorszym razie aplikacja poprosi o zgodę ponownie przy następnym użyciu.

Pozycja na liście	Zalecenie
aplikacja, której nie rozpoznajesz	usuń od razu i zmień hasło do konta
narzędzie testowane jednorazowo	usuń
aplikacja z pełnym dostępem do poczty, która potrzebuje tylko kalendarza	usuń i połącz ponownie z węższym zakresem, jeśli to możliwe
hasło aplikacji dla starego telefonu lub programu	usuń, nowe utwórz tylko w razie potrzeby
klient poczty, z którego korzystasz na co dzień	zostaw
usługa zalogowana tylko danymi profilu, bez dostępu do poczty	zostaw, jeśli jej używasz

Przekierowania, filtry i dostęp delegowany

Ta część przeglądu jest najczęściej pomijana, a właśnie tu chowają się skutki przejęcia konta.

1. Przekierowanie. W ustawieniach skrzynki sprawdź, czy poczta nie jest automatycznie przesyłana na inny adres. Nieznany adres to poważny sygnał alarmowy.
2. Filtry i reguły. Przejrzyj reguły, które przenoszą wiadomości do archiwum, kosza albo rzadko otwieranych folderów. Przestępcy ukrywają w ten sposób odpowiedzi od banku czy kontrahentów, którzy pytają o zmieniony numer konta.
3. Dostęp delegowany. Sprawdź, czy ktoś nie ma uprawnień do czytania lub wysyłania wiadomości w Twoim imieniu. W firmie takie uprawnienia często zostają po byłej asystentce albo pracowniku, który zmienił dział.
4. Adresy do odzyskiwania konta. Upewnij się, że zapasowy e-mail i numer telefonu są Twoje i aktualne.

Jak utrzymać porządek przez cały rok

Jednorazowe sprzątanie nie wystarczy, jeśli zaraz potem zgodzisz się na kolejne uprawnienia bez czytania. Kilka prostych zasad pomaga:

• przed kliknięciem „Zezwól” czytaj, o jaki zakres prosi aplikacja, i odmawiaj, gdy prosi o więcej, niż potrzebuje,
• do testowania nowych narzędzi używaj osobnego konta, a nie głównej skrzynki,
• wpisz przegląd połączeń do kalendarza, na przykład co kwartał,
• włącz powiadomienia o nowych logowaniach i nowych zgodach, jeśli dostawca je oferuje.

Powiadomienia to najtańszy system wczesnego ostrzegania: dowiadujesz się o problemie w chwili, gdy się pojawia, a nie po miesiącu. Dlaczego warto je włączyć, wyjaśniamy w tekście dlaczego warto włączyć powiadomienia o logowaniu do kont. Jeśli korzystasz z Gmaila, przejrzyj też nasz poradnik o tym, jak zabezpieczyć konto Google przed nieautoryzowanym dostępem, a regularne sprawdzanie aktywności na pozostałych kontach opisujemy w artykule jak monitorować aktywność na swoich kontach internetowych.