manipulacja w nazwie nadawcy

Manipulacja w nazwie nadawcy to podmiana wyświetlanej etykiety przy zachowaniu obcego adresu technicznego.

Etykieta widoczna obok adresu technicznego

Manipulacja w nazwie nadawcy polega na zmianie części opisowej adresu poczty elektronicznej, czyli nazwy wyświetlanej odbiorcy, przy pozostawieniu innego adresu technicznego w polu nadawcy. Przykładowo wiadomość może być pokazana jako „Bank Polska”, podczas gdy właściwy adres ma postać „Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.”. W typowym zapisie adresu pocztowego nazwa wyświetlana znajduje się przed adresem ujętym w nawiasy ostre, na przykład Bank Polska <Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.>. Sama nazwa nie jest dowodem, że wiadomość została wysłana przez organizację używającą tej etykiety.

Problem wynika z tego, że programy pocztowe często eksponują nazwę nadawcy większym tekstem, a pełny adres pokazują dopiero po rozwinięciu szczegółów. Osoba korzystająca z telefonu lub skróconego widoku skrzynki może więc zauważyć przede wszystkim znajomą nazwę, a nie domenę znajdującą się po znaku „@”. Atakujący może użyć także podobnych znaków, nietypowych spacji albo nazwy przypominającej nazwę działu firmy. Nie zmienia to jednak technicznego pochodzenia wiadomości; zmienia tylko informację prezentowaną w interfejsie.

Różnica między nazwą From a rzeczywistym pochodzeniem wiadomości

Pole From należy do nagłówków wiadomości opisanych w standardzie internetowej poczty, między innymi w RFC 5322. Zawiera adres autora wskazywany odbiorcy, ale nie jest samodzielnym mechanizmem uwierzytelniania. W trakcie dostarczania serwer odbiorcy analizuje również przebieg sesji SMTP, nagłówki Received, domenę używaną podczas wysyłki oraz wyniki kontroli SPF, DKIM i DMARC. Nazwa wyświetlana w polu From może być dowolnym tekstem zaakceptowanym przez klienta i serwer pocztowy, dlatego nie należy traktować jej jako potwierdzenia tożsamości nadawcy.

SPF sprawdza, czy adres serwera wysyłającego jest dozwolony dla domeny wskazanej w rekordzie SPF. DKIM wykorzystuje podpis kryptograficzny umieszczony w nagłówku DKIM-Signature; serwer odbiorcy pobiera klucz publiczny z DNS i weryfikuje, czy wybrane elementy wiadomości nie zostały zmienione po podpisaniu. DMARC porównuje domenę widoczną w polu From z domeną potwierdzoną przez SPF lub DKIM oraz określa sposób postępowania z wiadomościami niespełniającymi tych warunków. Pozytywny wynik tych kontroli nie oznacza, że sama nazwa wyświetlana jest prawdziwa, lecz dostarcza dodatkowych informacji o zgodności domeny i źródła wysyłki.

Ślady manipulacji w nagłówkach i interfejsie pocztowym

Wiadomość podejrzaną o manipulację należy analizować po rozwinięciu pełnych nagłówków, a nie na podstawie samego tematu i nazwy widocznej na liście. Warto porównać nazwę wyświetlaną, adres w polu From, adres kopii technicznej Return-Path, domenę podpisu DKIM oraz wyniki kontroli zapisane zwykle w nagłówku Authentication-Results. Rozbieżność między nazwą „Sklep X” a adresem z obcej lub literówkowej domeny jest sygnałem ostrzegawczym. Różny adres w Reply-To może dodatkowo spowodować, że odpowiedź trafi do innego miejsca niż sugeruje nadawca.

Nie każda różnica między tymi polami dowodzi oszustwa. Legalne systemy wysyłkowe mogą korzystać z osobnej domeny technicznej, zewnętrznego dostawcy poczty albo adresu zwrotnego służącego do obsługi odbić. Istotne jest połączenie kilku faktów: czy domena w polu From jest oczekiwana, czy wiadomość ma poprawny podpis DKIM, czy wynik DMARC jest zgodny, czy łańcuch Received wskazuje logiczną trasę oraz czy treść zachęca do pilnego kliknięcia lub podania danych logowania. Klient pocztowy może też skracać lub lokalizować nazwę nadawcy, dlatego ostateczna ocena powinna opierać się na pełnych danych wiadomości.

Bezpieczna obsługa wiadomości z podmienioną nazwą

Przy podejrzanej wiadomości nie należy klikać zawartych w niej odnośników ani otwierać załączników tylko dlatego, że nazwa nadawcy wygląda znajomo. Tożsamość nadawcy trzeba zweryfikować niezależnym kanałem, na przykład wpisując ręcznie adres oficjalnej strony lub korzystając z numeru telefonu podanego na wcześniej otrzymanej fakturze. W aplikacji pocztowej można wyświetlić pełny adres, szczegóły zabezpieczeń i surowe nagłówki. Samo przeniesienie wiadomości do spamu nie naprawia źródła problemu, ale pozwala dostawcy poczty wykorzystać ją do poprawy filtrów.

Na laptopie lub komputerze PC objawem manipulacji może być także nietypowe przekierowanie po kliknięciu, nagła prośba o ponowne logowanie albo pojawienie się wiadomości w folderze Odebrane mimo nieznanego adresu. Jeżeli użytkownik otworzył załącznik lub podał hasło, powinien odłączyć komputer od niezaufanej sieci, zmienić hasło z bezpiecznego urządzenia i sprawdzić aktywne sesje konta oraz reguły przekazywania poczty. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może pomóc ocenić objawy po kontakcie z podejrzaną wiadomością oraz sprawdzić stan systemu.