e-mail spoofing

E-mail spoofing to technika podszywania się pod innego nadawcę poprzez sfałszowanie pola From w wiadomości.

Na czym polega e-mail spoofing

E-mail spoofing polega na takim przygotowaniu wiadomości, aby odbiorca zobaczył w polu „From” adres należący rzekomo do innej osoby, firmy albo instytucji. Pole to jest częścią nagłówków wiadomości i nie stanowi samo w sobie dowodu, że komunikat został wysłany z serwera właściciela danego adresu. W praktyce atakujący może ustawić widoczny adres nadawcy na przykład jako Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript., mimo że wiadomość została wygenerowana przez inny system pocztowy. Często zmieniana jest również wyświetlana nazwa nadawcy, dlatego klient pocztowy może pokazać wiarygodnie brzmiący opis, chociaż rzeczywisty adres znajduje się w innej domenie.

Ważne jest rozróżnienie nagłówka „From” od adresu kopertowego SMTP, zwanego envelope sender. Podczas dostarczania wiadomości serwer nadawcy przekazuje między innymi wartość komendy SMTP „MAIL FROM”, a serwer odbiorcy może zapisać ją w nagłówku „Return-Path”. Widoczny dla użytkownika nagłówek „From” może mieć inną wartość niż adres użyty w transporcie SMTP. Ta różnica jest jednym z powodów, dla których samo spojrzenie na nazwę nadawcy nie wystarcza do oceny autentyczności wiadomości.

SPF, DKIM i DMARC a fałszywy nadawca

Weryfikacja spoofingu wykorzystuje mechanizmy opisane dla poczty internetowej. SPF pozwala właścicielowi domeny opublikować w DNS rekord typu TXT zawierający listę serwerów uprawnionych do wysyłania wiadomości dla określonej domeny użytej w adresie kopertowym SMTP. Wynik SPF może być między innymi „pass”, „fail”, „softfail”, „neutral” albo „none”. SPF nie podpisuje treści wiadomości i nie potwierdza bezpośrednio wartości widocznego pola „From”. Z tego powodu poprawny wynik SPF dla jednej domeny nie musi oznaczać, że widoczny nadawca jest autentyczny.

DKIM dodaje do wiadomości podpis kryptograficzny w nagłówku „DKIM-Signature”. Podpis obejmuje wybrane nagłówki oraz treść wiadomości, a klucz publiczny jest publikowany w DNS pod nazwą selektora w domenie podpisującej. Serwer odbiorcy może sprawdzić, czy wiadomość została zmieniona po podpisaniu i czy podpis odpowiada opublikowanemu kluczowi. DMARC łączy kontrolę SPF lub DKIM z domeną widoczną w polu „From”, sprawdzając tak zwane wyrównanie domen. Domena może opublikować politykę „p=none”, „p=quarantine” albo „p=reject”, wskazując serwerom odbiorczym, jak traktować wiadomości niespełniające wymagań. Polityka DMARC nie gwarantuje jednak, że każda wiadomość z poprawnym wynikiem przejdzie ocenę użytkownika; legalna wiadomość może zawierać złośliwy link, a napastnik może użyć domeny, która nie została jeszcze odpowiednio zabezpieczona.

Jak rozpoznać podszywanie w odebranej wiadomości

Do analizy podejrzanej wiadomości warto otworzyć jej pełne nagłówki, a nie ograniczać się do widoku skrzynki odbiorczej. W zależności od programu pocztowego funkcja ta może nazywać się „pokaż źródło”, „wyświetl oryginał” albo „nagłówki internetowe”. Należy porównać pole „From” z „Return-Path”, kolejnymi wpisami „Received”, wynikiem SPF oraz podpisem DKIM. Szczególnie przydatny jest nagłówek „Authentication-Results”, w którym serwer odbiorczy może zapisać wyniki kontroli SPF, DKIM i DMARC. Pojedynczy wpis „pass” nie przesądza o bezpieczeństwie, ponieważ może dotyczyć domeny technicznej innej niż domena prezentowana odbiorcy.

Sygnałami ostrzegawczymi są także domeny różniące się jedną literą od prawidłowej nazwy, dodatkowe subdomeny, nietypowe domeny najwyższego poziomu, żądanie pilnej płatności oraz link, którego adres docelowy nie odpowiada tekstowi widocznemu w wiadomości. Należy sprawdzać adres linku bez jego otwierania, zwracać uwagę na przekierowania i nie uruchamiać załączników tylko dlatego, że wiadomość wygląda jak korespondencja od znanego nadawcy. E-mail spoofing nie oznacza automatycznie przejęcia skrzynki pocztowej. Do podszycia pod adres w nagłówku może dojść bez dostępu do konta właściciela, natomiast przejęcie konta zwykle ujawnia się dodatkowymi śladami, takimi jak wiadomości obecne w folderze „Wysłane”, nieznane reguły przekazywania albo logowania z obcych lokalizacji.

Postępowanie po otrzymaniu fałszywej wiadomości

Jeżeli wiadomość może być próbą oszustwa, nie należy odpowiadać na nią, klikać zawartych odnośników ani przekazywać dalej załączników. Bezpieczniej jest otworzyć stronę usługodawcy przez samodzielnie wpisany adres lub użyć numeru telefonu znalezionego w niezależnym źródle. W programie pocztowym można oznaczyć komunikat jako phishing albo spam, zachowując pełne nagłówki do późniejszej analizy. Jeżeli użytkownik podejrzewa, że jego własne konto zostało przejęte, powinien zmienić hasło z zaufanego urządzenia, zakończyć aktywne sesje, sprawdzić reguły skrzynki i włączyć uwierzytelnianie wieloskładnikowe, jeżeli dostawca poczty je obsługuje.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku podejrzanego zachowania urządzenia może sprawdzić system, przeglądarkę, program pocztowy oraz obecność niepożądanego oprogramowania. Taka diagnostyka pomaga odróżnić samo podszycie w nagłówku wiadomości od sytuacji, w której na komputerze zapisano złośliwe rozszerzenie, zmieniono ustawienia klienta pocztowego albo doszło do kradzieży danych logowania. Wynik kontroli powinien wskazywać, które elementy zostały faktycznie potwierdzone: źródło wiadomości, stan systemu, konfigurację programu oraz ewentualne ślady nieautoryzowanej aktywności.