Злоумышленники могут предоставлять дополнительные уровни разрешений для сохранения постоянного доступа к контролируемой ими учетной записи электронной почты.

Например, командлет Add-MailboxPermission PowerShell, доступный в локальной среде Exchange и в облачной службе Microsoft 365, добавляет разрешения к почтовому ящику. В Google Workspace можно включить делегирование через консоль Google Admin, а пользователи могут делегировать доступ к учетным записям через настройки Gmail.

Злоумышленники также могут назначать разрешения для папок почтовых ящиков, используя разрешения для отдельных папок или роли. В средах Microsoft 365 злоумышленники могут назначать корневой папке, "Входящим" и другим папкам почтовых ящиков разрешения (или роли) для аутентифицированных пользователей по умолчанию и для анонимных пользователей. Назначив разрешения папки для одного или обоих указанных выше типов пользователей, злоумышленник может использовать любую другую учетную запись в том же тенанте, чтобы поддерживать постоянный доступ к папкам почтового ящика нужного пользователя.

Эта техника может использоваться в APT-атаках, а также в инцидентах с компрометацией корпоративной электронной почты (BEC), когда злоумышленник может добавить дополнительные облачные роли к учетным записям, которые ему нужно скомпрометировать. Ее применение может позволить использовать дополнительные техники для получения доступа к системам. Например, скомпрометированные корпоративные учетные записи часто используются для отправки сообщений другим учетным записям в сети атакуемой бизнес-организации; при этом создаются правила обработки входящих сообщений (например, для внутреннего целевого фишинга) с тем, чтобы эти сообщения пропускались средствами обнаружения спама/фишинга.