adres spoofowany

Adres spoofowany to sfałszowany adres nadawcy w wiadomości e-mail, mający na celu ukrycie prawdziwego pochodzenia wysyłki.

Na czym polega spoofing adresu nadawcy

Adres spoofowany to adres nadawcy wiadomości e-mail, który został przedstawiony w sposób fałszywy lub wprowadzający w błąd. Nadawca może ustawić w polu From: nazwę i adres przypominający prawdziwą skrzynkę, markę albo osobę znaną odbiorcy, mimo że wiadomość została wysłana z innego systemu. Sam tekst widoczny w programie pocztowym nie jest wystarczającym dowodem, że wiadomość rzeczywiście pochodzi od wskazanego nadawcy. W protokole SMTP historycznie możliwe było podanie deklarowanego adresu nadawcy bez skutecznego potwierdzenia jego prawa do użycia danej domeny.

Spoofing może dotyczyć kilku różnych elementów wiadomości. Pole From: jest zwykle prezentowane użytkownikowi, natomiast koperta SMTP zawiera między innymi adres nadawcy używany podczas transportu, nazywany adresem MAIL FROM. Po dostarczeniu wiadomości jego odpowiednikiem bywa nagłówek Return-Path:. Te wartości mogą się różnić od adresu widocznego w polu From:. Różnica sama w sobie nie zawsze oznacza oszustwo, ponieważ występuje także w legalnych systemach wysyłających wiadomości w imieniu innych usług, ale wymaga sprawdzenia wyników uwierzytelniania i pozostałych nagłówków.

Jak serwer pocztowy rozpoznaje fałszywy adres

Do oceny autentyczności nadawcy stosuje się między innymi SPF, DKIM i DMARC. SPF, opisany w standardzie RFC 7208, pozwala właścicielowi domeny opublikować w systemie DNS rekord TXT określający serwery uprawnione do wysyłania poczty dla danej domeny użytej w kopercie SMTP. Serwer odbiorcy porównuje adres IP systemu wysyłającego z tym wykazem i może uzyskać wynik pass, fail, softfail, neutral albo none. SPF nie podpisuje treści wiadomości i nie potwierdza bezpośrednio, że adres pokazany w polu From: jest autentyczny.

DKIM, opisany w RFC 6376, dodaje do wiadomości podpis kryptograficzny w nagłówku DKIM-Signature:. System odbiorczy pobiera klucz publiczny z rekordu DNS domeny wskazanej w parametrze d=, a następnie sprawdza, czy podpis pasuje do wybranych nagłówków i treści. Pozytywny wynik DKIM oznacza, że podpisująca domena potwierdza integralność podpisanych elementów i udział w wysyłce. Nie musi to jednak oznaczać, że domena jest identyczna z adresem widocznym dla odbiorcy. Wiadomość może mieć prawidłowy podpis należący do dostawcy wysyłkowego, ale nadal wymagać oceny zgodności z domeną z pola From:.

DMARC, opisany w RFC 7489, łączy wynik SPF lub DKIM z tak zwaną zgodnością domen. Domena użyta w SPF albo domena z parametru d= podpisu DKIM musi być zgodna z domeną z pola From:, zależnie od ustawionego trybu ścisłego lub relaksowanego. Właściciel domeny może opublikować politykę p=none, p=quarantine albo p=reject, wskazując odbiorcom sposób postępowania z wiadomościami, które nie przejdą kontroli. Wynik DMARC nie jest absolutnym dowodem bezpieczeństwa, ale znacząco utrudnia podszywanie się pod domenę prawidłowo skonfigurowaną i monitorowaną.

Ślady spoofingu w nagłówkach wiadomości

Analiza podejrzanej wiadomości powinna obejmować pełne nagłówki, a nie tylko temat i treść. Szczególnie ważne są kolejne pola Received:, ponieważ serwery pocztowe dopisują je podczas przekazywania wiadomości. Należy czytać je od dołu do góry, pamiętając, że najstarsze wpisy znajdują się zwykle niżej. Można porównać deklarowany adres nadawcy z nazwami hostów, adresami IP, czasem dostarczenia oraz informacjami o serwerze, który przyjął wiadomość. Nagłówki mogą także zawierać Authentication-Results: z rezultatami SPF, DKIM i DMARC, na przykład spf=pass, dkim=pass lub dmarc=fail.

Ostrzeżenie może stanowić rozbieżność między widocznym adresem a domeną uwierzytelnioną, brak spodziewanego podpisu DKIM, niezgodność domen w wynikach DMARC albo nietypowy łańcuch serwerów. Trzeba jednak unikać pochopnych wniosków. Przekazywanie poczty, listy dyskusyjne, systemy automatycznych powiadomień i bramki antyspamowe mogą zmieniać część nagłówków lub treści. SPF może nie przejść po przekierowaniu, mimo że nadawca nie został sfałszowany, a DKIM może pozostać prawidłowy. Dlatego ocenę wykonuje się na podstawie całego zestawu informacji, a nie jednego komunikatu.

Spoofowany adres nie musi oznaczać włamania do skrzynki osoby lub firmy wskazanej w polu From:. Często oszust jedynie wysyła wiadomość z własnej infrastruktury i wpisuje cudzy adres jako deklarowanego nadawcę. Inna sytuacja występuje wtedy, gdy napastnik uzyskał dostęp do prawdziwego konta albo do systemu uprawnionego do wysyłki. W takim przypadku SPF, DKIM i DMARC mogą przejść poprawnie, ponieważ wiadomość faktycznie została wysłana z autoryzowanego źródła. Uwierzytelnienie domeny pomaga więc ocenić pochodzenie techniczne, ale nie zastępuje analizy treści, linków, załączników i kontekstu wiadomości.

Bezpieczna reakcja na podejrzaną wiadomość

Wiadomości z adresem spoofowanym nie należy potwierdzać odpowiedzią, klikać zawartych w niej odnośników ani otwierać załączników przed sprawdzeniem źródła. Bezpieczniej jest niezależnie otworzyć stronę nadawcy, wpisać adres ręcznie lub skontaktować się z właściwą osobą innym znanym kanałem. Samo podobieństwo domeny nie wystarcza, ponieważ oszust może użyć domeny różniącej się jednym znakiem, subdomeny albo adresu wyświetlanego jako nazwa bez czytelnego pokazania właściwej domeny.

Jeżeli problem powtarza się na laptopie lub komputerze PC, warto sprawdzić, czy program pocztowy poprawnie pokazuje pełne nagłówki, czy przeglądarka nie przekierowuje na nieznane strony oraz czy system nie ma objawów działania niepożądanego oprogramowania. Diagnostyka powinna rozdzielać fałszywy adres w pojedynczej wiadomości od ewentualnego przejęcia konta, zapisanych danych logowania albo konfiguracji aplikacji. W przypadku potwierdzonego przejęcia konieczne może być zabezpieczenie konta u jego operatora, zmiana hasła z zaufanego urządzenia i unieważnienie aktywnych sesji, zgodnie z procedurą dostawcy poczty.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z systemem, przeglądarką oraz oprogramowaniem wykorzystywanym do obsługi poczty elektronicznej. Zakres prac ustala się po rozpoznaniu objawów i konfiguracji konkretnego urządzenia. Sama analiza autentyczności wiadomości powinna opierać się na jej pełnych nagłówkach oraz wynikach kontroli serwera odbiorczego, a nie na samym wyglądzie skrzynki odbiorczej.