Компрометация корпоративной почты (BEC) развивается по знакомому сценарию. Злоумышленники проникают в почтовый ящик, скрытно следят за операциями, изучают цепочки согласований и в конечном итоге используют этот доступ для вывода средств или эксфильтрации конфиденциальных активов.
Эта динамика занимает центральное место в нашем анализе, поскольку мы запускаем серию материалов, посвященных совместному исследованию Rapid7 и Zimbra; в будущих публикациях будут рассмотрены технические детали и более широкие выводы на базе Zimbra Collaboration Suite. Наше расследование неожиданно нарушило традиционную модель BEC. Мы обнаружили более 50 уязвимостей и выяснили, что некоторые из них позволяют злоумышленникам не просто наблюдать за средой, но и активно переписывать ее: выдавать себя за отправителей без учетных данных, управлять видимостью входящих сообщений, а также изменять общие документы и календари.
Компрометация корпоративной почты в действии: цифровой абьюз доверия
Для Zimbra все это не теория. Но не верьте мне на слово, просто спросите Russia. CISA продолжает добавлять баги Zimbra в каталог эксплуатируемых уязвимостей (KEV), и последние три года говорят сами за себя:
- CVE-2024-45519, внедрение команд (command injection) в службе postjournal, выполнение команд без аутентификации. Компания Proofpoint зафиксировала, как злоумышленники внедряли base64-пейлоады в поля CC 28 сентября 2024 года. CISA добавила уязвимость в KEV 3 октября.
, внедрение команд (command injection) в службе postjournal, выполнение команд без аутентификации. Компания Proofpoint зафиксировала, как злоумышленники внедряли base64-пейлоады в поля CC 28 сентября 2024 года. CISA добавила уязвимость в KEV 3 октября.
- CVE-2025-27915, сохраненный XSS в классическом веб-клиенте (Classic Web Client), вызываемый специально сформированным вложением .ICS. Используется в качестве уязвимости нулевого дня против целей в вооруженных силах Бразилии для кражи почты и незаметной установки фильтров пересылки. Вошла в KEV в октябре 2025 года.
, сохраненный XSS в классическом веб-клиенте (Classic Web Client), вызываемый специально сформированным вложением .ICS. Используется в качестве уязвимости нулевого дня против целей в вооруженных силах Бразилии для кражи почты и незаметной установки фильтров пересылки. Вошла в KEV в октябре 2025 года.
- CVE-2026-73570, выполнение команд без аутентификации (unauthenticated command injection) через обработку SNMP-уведомлений. CISA добавила уязвимость 21 августа текущего года и отвела федеральным ведомствам три дня на устранение. Shadowserver насчитывает более 260 скомпрометированных экземпляров в ходе поиска артефактов эксплуатации.
, выполнение команд без аутентификации (unauthenticated command injection) через обработку SNMP-уведомлений. CISA добавила уязвимость 21 августа текущего года и отвела федеральным ведомствам три дня на устранение. Shadowserver насчитывает более 260 скомпрометированных экземпляров в ходе поиска артефактов эксплуатации.
Если заглянуть в прошлое, эта тенденция сохраняется. В 2022 году Rapid7 отслеживала массовую эксплуатацию CVE-2022-27925 и CVE-2022-37042 — обход пути (path traversal) в цепочке с обходом аутентификации, который позволял злоумышленникам размещать JSP-шелл на сервере Zimbra без учетных данных. Позже Группа анализа угроз Google задокументировала четыре разные группы злоумышленников, использовавшие одну и ту же уязвимость нулевого дня, известную как CVE-2023-37580. Каждая из этих групп нацеливалась на почту, учетные данные и токены аутентификации. Злоумышленники давно поняли, что система, стоящая в центре коммуникаций каждого, стоит потраченных усилий. Поэтому, когда вы находите набор уязвимостей, позволяющих записывать данные в эту систему, а не только читать из нее, кража данных перестает быть самой интересной частью.
Отправьте письмо от имени финансового директора (CFO), ни разу не коснувшись его пароля, — и у вас есть первая половина очень убедительной атаки BEC. Сохраните контроль над почтовым ящиком после этого — и у вас появится вторая половина. Здесь у злоумышленника есть стратегический выбор. Он может удалить отправленное сообщение, чтобы замести следы, эффективно уничтожив улики модерации, ИЛИ он может оставить сообщение в папке «Отправленные». Поступая так, злоумышленник гарантирует, что финансовый директор увидит «доказательство» отправленного им письма, создавая сценарий газлайтинга, при котором жертва начинает сомневаться в собственных действиях. Независимо от того, подчищает ли злоумышленник следы или оставляет их, он формирует у организации восприятие реальности. В последующем расследовании, когда финансовый отдел видит отправленный запрос, а финансовый директор заявляет об отсутствии такой активности, организация оказывается в ловушке противоречивых доказательств. В этот момент BEC выглядит уже не как традиционное модераторство, а скорее как психологическая операция.
Документы делают ситуацию еще хуже, так как Zimbra — это не просто почтовый сервер. Компонент для совместной работы хранит файлы, которые сотрудники действительно используют для принятия решений. Злоумышленник, способный разместить поддельную служебную записку от HR или финансовую сводку на корпоративном диске руководителя так, будто она поступила от заслуживающего доверия коллеги, находится в гораздо более выгодном положении, чем тот, кто прикрепляет PDF к холодному письму.
Допустим, от отдела кадров приходит документ о конфиденциальной реструктуризации, а через несколько дней письмо от доверенного руководителя ссылается на него. Ни одна из частей не должна нести всю нагрузку обмана целиком, поскольку каждая из них подкрепляет другую.
Война календарей и искусственная корпоративная реальность
Существует еще и явление, которое я начал называть «войной календарей». Встречи можно изменять или удалять без создания цепочки уведомлений, которую пользователи ожидали бы увидеть. Статус RSVP также можно изменить. Возможно, статус ключевого руководителя будет изменен с «Принято» на «Отклонено», и руководство может перенести встречу, продолжить работу без него или воспринять все как намеренный отказ от участия.
Это работает и в обратную сторону. В календарь руководителя попадает «Экстренное заседание совета директоров» с правдоподобным организатором, всплывающим напоминанием и вредоносной ссылкой на Zoom. Когда срабатывает напоминание, жертва оценивает не подозрительное письмо, пришедшее тридцать секунд назад. Она присоединяется к встрече, которая находилась в ее календаре уже два дня. И календарь — это вовсе не какая-то экзотическая поверхность атаки, о которой никто не думал. Если вспомнить CVE-2025-27915, вектором доставки было именно приглашение в календарь.
Сложите все это вместе: появляется финансовый документ, доверенный руководитель пишет о нем по электронной почте, а затем появляется обязательное собрание для его обсуждения. И у злоумышленника все еще остается возможность зачистить часть того, что остается после него. Каждый артефакт, который проверяет жертва, находится внутри системы, у нее нет причин ставить ее под сомнение, и все они рассказывают одну и ту же сфабрикованную историю.
Я постоянно возвращаюсь к фразе «искусственная корпоративная реальность». Я уже затрагивал эту идею в The Monday Brief: злоумышленники могут использовать любое доверие, которое организация уже оказала собственным инструментам. Zimbra делает это осязаемым. Платформа обеспечивает доверие, поэтому злоумышленнику не нужно его создавать.
Комплексы для совместной работы незаметно превратились в системы учета. Электронная почта — это запись о том, кто и что сказал. Календари — это запись о том, кто и где согласился присутствовать. Классический BEC злоупотребляет доверием между двумя людьми. Сценарий, который мы рассмотрели здесь, злоупотребляет механизмами, которые эти люди используют, чтобы вообще решить, кому доверять в первую очередь. Как только сотрудники начинают принимать реальные бизнес-решения на основе сфабрикованного контекста, кража данных становится меньшей из ваших проблем.
