e-mail z fałszywym nagłówkiem

E-mail z fałszywym nagłówkiem to wiadomość z celowo zmienionymi danymi technicznymi w celu ukrycia prawdziwego pochodzenia.

Na czym polega fałszywy nagłówek wiadomości

E-mail z fałszywym nagłówkiem to wiadomość, w której nadawca celowo zmienił albo sfałszował część informacji opisujących jej pochodzenie. Nagłówek nie jest wyłącznie widocznym w programie pocztowym wierszem „Od”. Zawiera również pola techniczne, między innymi From, To, Date, Subject, Message-ID oraz kolejne wpisy Received. Część tych danych może zostać przygotowana przez nadawcę, dlatego sam adres wyświetlany w polu „Od” nie stanowi pewnego dowodu, że wiadomość rzeczywiście została wysłana z danego konta lub serwera.

Fałszowanie nagłówka może służyć do podszycia się pod konkretną osobę, firmę albo popularną usługę internetową. W praktyce wiadomość może wyglądać tak, jakby pochodziła od znanego adresu, mimo że rzeczywisty system wysyłający znajduje się gdzie indziej. Zmiana nagłówka nie musi oznaczać włamania do skrzynki osoby widocznej jako nadawca. Często wystarczy możliwość samodzielnego skonstruowania wiadomości przez program lub skrypt korzystający z serwera, który przyjmuje pocztę bez właściwego uwierzytelnienia.

Różnica między polem „Od” a rzeczywistą trasą poczty

Wiadomość pocztowa jest przekazywana pomiędzy serwerami za pomocą protokołu SMTP. Każdy serwer uczestniczący w przekazywaniu powinien dopisać własny wpis Received, dlatego analiza całego łańcucha tych pól może pomóc ustalić kolejność transportu. Wpisy należy czytać od dołu do góry, ponieważ najstarszy etap dostarczenia znajduje się zwykle niżej, a kolejne serwery dodają własne informacje nad wcześniejszymi. Nie można jednak bezkrytycznie ufać każdemu wpisowi, który został dołączony przed przyjęciem wiadomości przez zaufany serwer odbiorcy, ponieważ wcześniejsze dane mogły zostać spreparowane.

Istotne są także mechanizmy uwierzytelniania domeny. SPF pozwala domenie opublikować w systemie DNS listę serwerów uprawnionych do wysyłania poczty w jej imieniu. DKIM dodaje do wiadomości podpis kryptograficzny obliczany na podstawie wybranych nagłówków i treści; serwer odbiorcy może sprawdzić podpis za pomocą klucza publicznego opublikowanego w DNS. DMARC określa, jak interpretować wyniki SPF i DKIM oraz czy domena użyta w uwierzytelnieniu jest zgodna z domeną widoczną dla odbiorcy. Wynik „pass” zwiększa wiarygodność techniczną, ale nie oznacza automatycznie, że treść wiadomości jest bezpieczna.

Ślady techniczne pomocne przy ocenie wiadomości

Podczas sprawdzania podejrzanego e-maila warto otworzyć pełne źródło wiadomości, nazywane także „pokaż oryginał” albo „pokaż nagłówki”. Należy porównać adres widoczny w polu From z adresem z pola Return-Path, wynikami SPF, podpisem DKIM i wynikiem kontroli DMARC. Różnica między nazwą wyświetlaną a właściwym adresem domenowym jest częstym sygnałem podszywania się. Trzeba również zwrócić uwagę na domeny podobne wizualnie, dodatkowe subdomeny, nietypowe znaki oraz adresy użyte w odnośnikach HTML. Link opisany jako strona banku może prowadzić do zupełnie innej domeny.

Sam nagłówek nie wystarcza do wydania pewnego werdyktu. Wiadomość przekazana dalej może mieć nietypowy układ pól, a legalny system pocztowy może korzystać z pośredników, bram antyspamowych lub usług wysyłkowych. Znaczenie ma spójność wielu elementów: kolejność serwerów w polach Received, daty i strefy czasowe, adresy IP, zgodność domen uwierzytelniających oraz zachowanie linków i załączników. Nie należy uruchamiać załącznika ani logować się przez link tylko po to, aby sprawdzić autentyczność wiadomości. Bezpieczniejsza jest weryfikacja nadawcy niezależnym kanałem i ręczne przejście do znanej witryny.

Diagnoza problemów z pocztą na komputerze

Na laptopie lub komputerze PC można sprawdzić, czy program pocztowy prawidłowo wyświetla pełne nagłówki, czy wiadomości nie są automatycznie przekierowywane oraz czy lokalne reguły nie zmieniają ich oznaczeń. Warto przejrzeć reguły sortowania, filtry antyspamowe, ustawienia przekazywania i listę zapisanych kont. Nieprawidłowe rozszerzenie przeglądarki, złośliwy program albo przejęta sesja pocztowa mogą wpływać na sposób prezentowania wiadomości, choć nie zmieniają faktycznej trasy zapisanej po stronie serwera. Gdy problem dotyczy wielu wiadomości, należy zachować oryginalne nagłówki i zanotować datę oraz dokładny adres nadawcy.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z oprogramowaniem pocztowym na komputerze użytkownika. Analiza może obejmować konfigurację klienta pocztowego, działanie przeglądarki, reguły lokalne oraz objawy wskazujące na niepożądane oprogramowanie. Ocena samego pochodzenia wiadomości wymaga jednak zachowania pełnych nagłówków i, w razie potrzeby, potwierdzenia informacji u operatora poczty. Nagłówka nie powinno się usuwać ani zmieniać przed przekazaniem go do analizy, ponieważ może to utrudnić odtworzenie przebiegu dostarczenia.