Το τυφλό σημείο που όλοι ξέραμε αλλά κάναμε πως δεν βλέπαμε
Ας πούμε την αλήθεια μεταξύ μας. Όλοι έχουμε στείλει ή λάβει ένα ZIP με κωδικό, ένα «κλειδωμένο» PDF, ένα password-protected αρχείο του Office. Το κάνουμε γιατί νομίζουμε ότι είναι πιο ασφαλές και σε επίπεδο confidentiality, ναι, είναι. Το πρόβλημα είναι ότι αυτό που κρύβει το περιεχόμενο από τα αδιάκριτα μάτια, το κρύβει και από τον scanner ασφάλειας.
Όταν φτάνει ένα κρυπτογραφημένο συνημμένο στο mailbox και το Microsoft Defender for Office 365 (MDO) δεν έχει τον κωδικό, δεν μπορεί να το «ανοίξει» για να το σαρώσει ή να το εκτελέσει ελεγχόμενα (detonation) στο sandbox. Αποτέλεσμα; Το malware μπορεί να ταξιδεύει μέσα σε ένα «κουτί» που κανείς δεν άνοιξε, μέχρι να το ανοίξει ο χρήστης, στο δικό του μηχάνημα, με τον κωδικό που του έδωσε ευγενικά ο επιτιθέμενος στο ίδιο email.
Με το MC1440701, η Microsoft κλείνει αυτό ακριβώς το κενό. Και επειδή Ελληνικό, κατανοητό υλικό πάνω στα Message Center posts δεν βρίσκεις εύκολα, ας το δούμε μαζί, απλά, χωρίς να χρειάζεται να είσαι ήδη ειδικός στο MDO.
📷 Εικόνα 1: Ό,τι δεν μπορεί να ελεγχθεί, δεν παραδίδεται στα τυφλά. Αυτή είναι όλη η ιδέα.
Τι ανακοίνωσε η Microsoft, σε δύο γραμμές
Το MDO αποκτά μια νέα, προαιρετική (opt-in) ρύθμιση στις πολιτικές Safe Attachments. Όταν την ενεργοποιήσεις, κάθε μήνυμα που φέρει password-protected συνημμένο το οποίο δεν μπόρεσε να σαρωθεί ή να γίνει detonation, μπαίνει αυτόματα σε quarantine αντί να παραδοθεί.
Δύο λέξεις-κλειδιά για να μην παρεξηγηθεί: opt-in και off by default. Δεν θα ξυπνήσεις ένα πρωί με μπλοκαρισμένα emails. Τίποτα δεν αλλάζει αν εσύ δεν το ενεργοποιήσεις συνειδητά. Είναι εργαλείο που σου δίνει η Microsoft, όχι απόφαση που παίρνει για σένα.
Πώς λειτουργεί, βήμα-βήμα
Για να καταλάβεις πού «κουμπώνει» η νέα ρύθμιση, ας δούμε τη διαδρομή ενός τέτοιου μηνύματος.
📷 Εικόνα 2: Το κρίσιμο σημείο είναι το τρίτο βήμα, εκεί που χωρίς password, η ανάλυση μένει μισή.
Έρχεται ένα email με κρυπτογραφημένο συνημμένο. Το Safe Attachments προσπαθεί, όπως πάντα, να το σαρώσει και να το εκτελέσει ελεγχόμενα σε απομονωμένο περιβάλλον για να δει τι κάνει. Αν το αρχείο είναι κλειδωμένο και ο κωδικός δεν είναι διαθέσιμος, η ανάλυση δεν ολοκληρώνεται, το MDO ουσιαστικά «τυφλώνεται». Εδώ μπαίνει η νέα λογική: αντί να παραδοθεί ένα μήνυμα που δεν ελέγχθηκε ποτέ, αυτό μπαίνει σε quarantine (εφόσον έχεις ενεργοποιήσει τη ρύθμιση). Και από εκεί, ακολουθεί μια ελεγχόμενη αποδέσμευση, που είναι και το πιο ενδιαφέρον κομμάτι.
Η προστασία καλύπτει τους τύπους αρχείων που συναντάς στην πράξη: ZIP, GZIP, 7z, RAR, PDF και τα Microsoft Office formats. Αν για κάποιον επιχειρησιακό λόγο θέλεις να εξαιρέσεις συγκεκριμένες κατηγορίες, μπορείς μιας και η ρύθμιση δεν είναι «όλα ή τίποτα».
Οι δύο δρόμοι για την αποδέσμευση
Εδώ η Microsoft έκανε κάτι έξυπνο: δεν κλειδώνει το μήνυμα και «καλή τύχη». Δίνει δύο μονοπάτια, ανάλογα με το ποιος χειρίζεται την υπόθεση.
📷 Εικόνα 3: Ο χρήστης ξεκλειδώνει με τον κωδικό του αρχείου ο admin αποδεσμεύει χωρίς αυτόν. Δύο ρόλοι, δύο διαφορετικές ανάγκες.
Ο χρήστης μπορεί να κάνει self-release ενός επιλέξιμου μηνύματος δίνοντας τον κωδικό του συνημμένου. Και προσοχή στη λεπτομέρεια που δείχνει ότι το πράγμα είναι καλοσχεδιασμένο: πριν αποδεσμευτεί το μήνυμα, γίνεται just-in-time detonation, δηλαδή τώρα πια που υπάρχει ο κωδικός, το MDO ανοίγει και ελέγχει το αρχείο πριν φτάσει στα χέρια του χρήστη. Δεν αποδεσμεύεται στα τυφλά αποδεσμεύεται αφού ελεγχθεί.
Ο admin / SecOps από την άλλη, μπορεί να αποδεσμεύσει ένα μήνυμα χωρίς να χρειάζεται τον κωδικό του συνημμένου, κάτι λογικό, γιατί ο διαχειριστής διαχειρίζεται τη ροή, δεν είναι πάντα ο παραλήπτης. Η διαχείριση γίνεται από το Quarantine, και ο εντοπισμός των επηρεαζόμενων μηνυμάτων μέσα από Advanced Hunting (θα δούμε το query παρακάτω).
Ο κίνδυνος που κρύβεται πίσω από ένα «καλό» feature
Εδώ βάζω το καπέλο του CISO, γιατί κάθε νέα δυνατότητα φέρνει και μια νέα συνήθεια και οι συνήθειες είναι ό,τι αγαπούν οι επιτιθέμενοι.
Σκέψου τι εκπαιδεύεις τον χρήστη να κάνει: «όταν δεις ένα μπλοκαρισμένο email με κλειδωμένο αρχείο, βάλε έναν κωδικό για να το ξεκλειδώσεις». Αυτό, αν δεν το πλαισιώσεις σωστά, είναι ακριβώς το μοτίβο που χρησιμοποιεί το phishing, «βάλε τον κωδικό σου εδώ για να δεις το μήνυμα». Η ίδια η Microsoft το προβλέπει και βάζει ρητές προειδοποιήσεις. Πέρασέ τες στην ομάδα σου σαν κανόνα, όχι σαν υποσημείωση.
📷 Εικόνα 4: Ο χρυσός κανόνας: ο μόνος κωδικός που μπαίνει ποτέ εκεί είναι ο κωδικός του ίδιου του αρχείου και τίποτε άλλο.
Με απλά λόγια, το μήνυμα προς τους χρήστες είναι: βάζεις μόνο τον κωδικό του συγκεκριμένου συνημμένου, ποτέ κωδικό λογαριασμού, e-banking ή οποιονδήποτε άσχετο κωδικό. Αποδεσμεύεις μόνο μηνύματα που περίμενες, από αποστολείς που αναγνωρίζεις. Και οτιδήποτε προστατευμένο έρχεται απρόσμενα, δεν το «ξεκλειδώνεις από περιέργεια», το κλιμακώνεις στο SecOps. Αυτές οι τρεις προτάσεις, αν τις κάνεις κουλτούρα, μετατρέπουν ένα πιθανό attack surface σε πλεονέκτημα.
Πότε το βλέπεις στο tenant σου
Το rollout ξεκινά τον Αύγουστο 2026 και απλώνεται ανά cloud environment.
📷 Εικόνα 5: Worldwide πρώτα μέσα στον Αύγουστο τα κυβερνητικά clouds ακολουθούν μέχρι το φθινόπωρο.
Σε Worldwide tenants η διάθεση γίνεται από τις αρχές έως τα τέλη Αυγούστου 2026. Το GCC ακολουθεί από τα τέλη Αυγούστου έως τα τέλη Σεπτεμβρίου, ενώ GCC High και DoD εκτείνονται από τα τέλη Αυγούστου έως τα τέλη Οκτωβρίου 2026. Οι ημερομηνίες είναι, ως συνήθως, ενδεικτικές, αλλά σου δίνουν καθαρή εικόνα του πότε να είσαι έτοιμος.
Τι να κάνεις τώρα, πρακτικά
Καμία ενέργεια δεν είναι υποχρεωτική, αφού το feature είναι opt-in. Αλλά αν θέλεις να το αξιοποιήσεις σωστά (και θα έλεγα ότι αξίζει), να τα βήματα με τη σειρά που θα τα έκανα εγώ:
Πρώτα, δες τις υπάρχουσες πολιτικές Safe Attachments σου και σκέψου πού ταιριάζει η νέα ρύθμιση. Μετά, μην την ανοίξεις καθολικά από την πρώτη μέρα, κάνε pilot με μια ξεχωριστή, scoped πολιτική σε μια μικρή ομάδα, για να δεις πραγματικό όγκο και false positives πριν την επεκτείνεις. Παράλληλα, ξαναδές τις διαδικασίες αποδέσμευσης από το quarantine (ποιος εγκρίνει, σε πόση ώρα, με ποιο SLA) και ενημέρωσε το helpdesk, γιατί τα πρώτα tickets «γιατί κόλλησε το email μου;» θα έρθουν εκεί. Τέλος και ίσως το πιο σημαντικό, εκπαίδευσε τους χρήστες στον κανόνα της Εικόνας 4.
Για την ομάδα SecOps, η Microsoft δίνει έτοιμο τον τρόπο να εντοπίσεις τα επηρεαζόμενα μηνύματα μέσα από Advanced Hunting:
EmailAttachmentInfo
| where AdditionalFields contains "IsPasswordProtectedItem"
Τρέξε το πρώτα σε audit mode λογική, δηλαδή δες πόσα και τι είδους password-protected συνημμένα κυκλοφορούν ήδη στον οργανισμό σου πριν ενεργοποιήσεις το quarantine. Έτσι ξέρεις εκ των προτέρων το μέγεθος του κύματος και ποιες ροές εργασίας (π.χ. λογιστήριο, νομικό, προμηθευτές) θα το «νιώσουν» περισσότερο.
Η GRC ματιά: γιατί αυτό είναι περισσότερο από ένα toggle
Θα κλείσω με τη διάσταση που συχνά ξεχνιέται. Αυτή η δυνατότητα δεν είναι απλώς μια τεχνική ρύθμιση, είναι ένα control που μπορείς να το γράψεις, να το τεκμηριώσεις και να το αποδείξεις. Σε ένα πλαίσιο όπως το NIS2 ή ένα ISMS κατά ISO 27001, το «τι κάνουμε με περιεχόμενο που δεν μπορεί να ελεγχθεί» είναι ακριβώς το είδος της απόφασης διαχείρισης κινδύνου που θέλει να δει ένας auditor τεκμηριωμένη: ποιος αποφάσισε την ενεργοποίηση, με ποια αιτιολογία, ποια είναι η διαδικασία αποδέσμευσης, πώς εκπαιδεύτηκαν οι χρήστες, πώς παρακολουθείται.
Με άλλα λόγια, το opt-in δεν είναι μόνο τεχνική επιλογή είναι ευκαιρία να δείξεις ώριμη διακυβέρνηση. Και αυτό, στο τέλος της ημέρας, είναι που ξεχωρίζει έναν οργανισμό που «έχει εργαλεία» από έναν που «τα χρησιμοποιεί σωστά».
Πηγές
- MC1440701 — MDO Encrypted email attachment protection (Message Center Archive)
- Safe Attachments in Microsoft Defender for Office 365 — Microsoft Learn
- Set up Safe Attachments policies — Microsoft Learn
- Manage quarantined messages and files as an admin — Microsoft Learn
- Microsoft Defender for Office 365 overview — Microsoft Learn