manipulacja Message-ID

Manipulacja Message-ID to podrobienie identyfikatora wiadomości w celu upozorowania jej pochodzenia lub przynależności do wątku.

Manipulacja Message-ID – czym jest identyfikator wiadomości

Manipulacja Message-ID oznacza celową zmianę albo wytworzenie pola nagłówka, które w poczcie elektronicznej służy do rozpoznawania konkretnej wiadomości. Identyfikator ten jest zwykle nadawany przez program pocztowy lub serwer wysyłający. Ma postać tekstowego ciągu znaków umieszczonego w nawiasach ostrych, na przykład <Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.>. Nie jest to jednak podpis kryptograficzny ani samodzielny dowód tego, kto rzeczywiście napisał wiadomość.

W praktyce Message-ID pomaga porządkować korespondencję, rozpoznawać odpowiedzi i łączyć wiadomości w jeden wątek. Program pocztowy może wykorzystać dodatkowe pola, takie jak In-Reply-To oraz References, aby ustalić, do której wcześniejszej wiadomości odnosi się odpowiedź. Jeżeli identyfikator zostanie zmieniony, skopiowany lub sztucznie utworzony, może dojść do zaburzenia kolejności korespondencji, połączenia odrębnych wiadomości albo rozdzielenia rozmowy na kilka wątków.

Samo podobieństwo Message-ID do identyfikatora używanego przez konkretną domenę nie potwierdza autentyczności nadawcy. Pole można przygotować ręcznie, ponieważ znajduje się ono w nagłówku wiadomości i nie jest tym samym co mechanizmy uwierzytelniania domeny. Z tego powodu ocena podejrzanej korespondencji powinna obejmować cały zestaw nagłówków, informacje o trasie przesyłania oraz wyniki kontroli SPF, DKIM i DMARC.

Manipulacja Message-ID w kontekście technicznym i porównania

Message-ID pełni funkcję porządkową, a nie tożsamościową. Można porównać go do numeru sprawy nadawanego dokumentowi w obiegu, lecz sam numer nie wskazuje, kto dokument sporządził ani czy jego treść jest prawdziwa. O pochodzeniu wiadomości więcej mówią nagłówki Received, dane uwierzytelniające domenę oraz zgodność adresu nadawcy z infrastrukturą, która faktycznie przekazała wiadomość.

Ważne jest rozróżnienie kilku zjawisk. Zwykła zmiana tematu wiadomości nie musi oznaczać manipulacji Message-ID, ponieważ temat jest odrębnym polem. Z kolei poprawna odpowiedź może mieć nowy identyfikator, ale jednocześnie wskazywać wcześniejszą wiadomość w polach In-Reply-To lub References. Brak tych pól nie stanowi automatycznie dowodu nadużycia, ponieważ różne programy i serwery pocztowe stosują odmienne zasady.

Do manipulacji może dojść w kilku sytuacjach. Nadawca może ustawić identyfikator przypominający wiadomość pochodzącą z innego systemu, powielić wartość z wcześniejszej korespondencji albo użyć identyfikatora pozbawionego typowej dla danego programu struktury. Czasem przyczyną jest wadliwa konfiguracja oprogramowania, migracja skrzynki, działanie bramy pocztowej lub ponowne przetwarzanie wiadomości przez system filtrujący. Dlatego sam nietypowy zapis powinien być traktowany jako sygnał do dalszej analizy, a nie jako ostateczne rozstrzygnięcie.

Message-ID różni się także od adresu nadawcy widocznego w polu From. Adres można sfałszować bez zmiany identyfikatora, a identyfikator można zmienić bez modyfikowania wyświetlanego adresu. W wiadomościach phishingowych oba pola mogą wyglądać wiarygodnie, mimo że faktyczna droga przesyłania wskazuje na inne źródło. Najbardziej użyteczna jest analiza zależności między nagłówkami, datami, nazwami domen, adresami IP oraz wynikami mechanizmów uwierzytelniania.

Manipulacja Message-ID a typowe problemy z pocztą

Jednym z częstszych skutków jest nieprawidłowe grupowanie wiadomości. Odpowiedź może zostać dołączona do niewłaściwego wątku, a dwie niezależne rozmowy mogą pojawić się jako jedna. W innym przypadku odpowiedzi przestają być łączone z wiadomością pierwotną i są wyświetlane jako nowe tematy. Takie zachowanie bywa szczególnie widoczne po przeniesieniu skrzynki między programami albo po zastosowaniu zewnętrznego filtra pocztowego.

Innym problemem są duplikaty. Jeżeli identyczny Message-ID zostanie przypisany kilku różnym wiadomościom, część programów może uznać je za tę samą wiadomość, ukryć jedną z kopii albo wyświetlić ostrzeżenie. Zdarza się również sytuacja odwrotna: ta sama wiadomość jest prezentowana wielokrotnie, ponieważ kolejne systemy nadały jej różne identyfikatory. Powielanie nie musi oznaczać celowego oszustwa, ale utrudnia ustalenie, która kopia była pierwotna.

Manipulacja może służyć do upozorowania ciągłości korespondencji. Wiadomość zawierająca fałszywy identyfikator może wyglądać jak kolejna część wcześniejszej rozmowy, zwłaszcza gdy ma podobny temat, podpis i układ treści. W ten sposób można próbować skłonić do otwarcia załącznika, kliknięcia odsyłacza albo ujawnienia informacji. Sam Message-ID nie wykonuje takiego działania, lecz może być jednym z elementów budujących pozory wiarygodności.

Warto też pamiętać o problemach dowodowych. Nagłówki wyświetlane w skróconym widoku nie pokazują pełnej drogi wiadomości, a ich interpretacja bez kontekstu bywa myląca. Przekazanie wiadomości przez funkcję „prześlij dalej” może zmienić sposób prezentacji nagłówków, natomiast zrzut ekranu nie pozwala zweryfikować ich integralności. Do analizy należy zachować oryginalną wiadomość w formacie źródłowym, bez przepisywania nagłówków ręcznie.

Manipulacja Message-ID – praktyczne wskazówki analizy

Przy podejrzeniu nieprawidłowości należy najpierw otworzyć pełne nagłówki wiadomości. W zależności od programu może być dostępna funkcja nazywana „pokaż źródło”, „oryginał wiadomości” albo „pełne nagłówki”. Należy zapisać kopię źródłową i unikać odpowiadania na podejrzaną wiadomość przed zakończeniem analizy. Szczególną uwagę warto zwrócić na Message-ID, In-Reply-To, References, From, Return-Path, Date oraz kolejne wpisy Received.

Warto porównać podejrzaną wiadomość z kilkoma autentycznymi wiadomościami od tego samego nadawcy. Porównuje się nie tylko sam identyfikator, ale także sposób zapisu domeny, kolejność nagłówków, nazwy serwerów przekazujących, strefę czasową, wyniki SPF, DKIM i DMARC oraz zgodność tematów w łańcuchu odpowiedzi. Różnica w jednym polu może wynikać ze zmiany programu, dlatego większą wagę ma spójny zestaw wielu obserwacji.

Nie należy traktować domeny umieszczonej po znaku „@” w Message-ID jako dowodu wysłania wiadomości z tej domeny. Tę wartość można skonfigurować niezależnie od rzeczywistego serwera. Wiarygodność zwiększa dopiero zgodność wielu elementów: trasy Received, domeny podpisującej DKIM, wyniku kontroli DMARC, adresu Return-Path i oczekiwanego sposobu prowadzenia korespondencji.

W przypadku podejrzenia phishingu nie powinno się klikać odsyłaczy ani otwierać załączników w celu sprawdzenia, czy wiadomość jest prawdziwa. Bezpieczniej jest skontaktować się z nadawcą innym kanałem, używając wcześniej znanego numeru lub adresu, a wiadomość przekazać do administratora poczty jako załącznik, tak aby zachować oryginalne nagłówki. W środowisku domowym pomocne może być również sprawdzenie historii logowania do skrzynki i zmiana hasła, jeżeli istnieje podejrzenie przejęcia konta.

Kiedy zgłosić manipulację Message-ID do serwisu

Do serwisu warto zgłosić się wtedy, gdy wiadomości są samoczynnie łączone w niewłaściwe wątki, znikają po odebraniu, pojawiają się w wielu kopiach albo różne urządzenia pokazują inną zawartość tej samej korespondencji. Pomoc jest również wskazana, gdy w pełnych nagłówkach występują niezgodne identyfikatory, nieoczekiwane serwery pośredniczące lub powtarzające się ostrzeżenia dotyczące uwierzytelniania domeny.

Przed przekazaniem sprzętu lub wiadomości do analizy należy przygotować opis problemu, przybliżony czas wystąpienia, nazwę używanego programu pocztowego i informację, czy zjawisko pojawia się na jednym urządzeniu, czy na kilku. Przydatne są oryginalne pliki wiadomości, lecz nie należy usuwać z nich nagłówków ani zmieniać ich treści. Jeżeli znajdują się w nich dane prywatne, można wcześniej ustalić zakres informacji potrzebnych do diagnostyki.

Warszawskie Pogotowie Komputerowe 24/7 może zostać wybrane do uporządkowania analizy lokalnego problemu z pocztą, programem lub komputerem. W ramach takiej oceny można rozdzielić błąd prezentacji wątku od rzeczywistej ingerencji w nagłówki, sprawdzić ustawienia konta i przygotować zrozumiałe wyjaśnienie dalszego postępowania.

Nie każda nietypowa wartość Message-ID oznacza atak. Zgłoszenie jest jednak uzasadnione, gdy nietypowym identyfikatorom towarzyszą podejrzane logowania, nieznane wysłane wiadomości, zmienione reguły skrzynki, żądania pilnej płatności lub próby wyłudzenia danych. Wtedy najważniejsze jest zachowanie dowodów, ograniczenie dalszej komunikacji z nadawcą i oddzielenie oceny technicznej nagłówków od oceny wiarygodności samej treści.