możliwość wysyłki z dowolnej domeny

Możliwość wysyłki z dowolnej domeny bez weryfikacji to luka ułatwiająca podszywanie się pod cudzego nadawcę.

Na czym polega wysyłka z dowolnej domeny

Możliwość wysyłki z dowolnej domeny oznacza konfigurację systemu pocztowego, aplikacji lub formularza tak, aby można było wskazać w polu nadawcy adres należący do domeny, której operator nie potwierdził. Przykładowo użytkownik może ustawić adres nadawcy jako Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript., mimo że nie posiada kontroli nad domeną example.com ani skrzynką Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.. Sam wygląd pola „Od” nie jest dowodem, że wiadomość rzeczywiście została wysłana przez właściciela tego adresu.

W protokole SMTP adres nadawcy występuje w kilku miejscach. Jednym z nich jest nagłówek From:, widoczny w programie pocztowym. Drugim jest adres nadawcy koperty SMTP, przekazywany w komendzie MAIL FROM; może on zostać zapisany w nagłówku Return-Path:. Te wartości mogą być różne. System odbierający analizuje je razem z adresem IP serwera wysyłającego, nazwą użytego hosta, wynikami uwierzytelniania oraz dodatkowymi nagłówkami, dlatego zmiana samego pola „From” nie zapewnia wiarygodności wiadomości.

Dlaczego brak weryfikacji ułatwia podszywanie się

Jeżeli usługa pozwala wysyłać wiadomości z dowolnego adresu bez potwierdzenia prawa do korzystania z domeny, napastnik może przygotować korespondencję przypominającą wiadomość od banku, firmy kurierskiej, kontrahenta albo administratora systemu. Odbiorca może zobaczyć nazwę i adres znanej organizacji, chociaż wiadomość została utworzona przez obcą osobę. Taki mechanizm jest typowym ułatwieniem dla phishingu, fałszywych faktur, wyłudzania haseł i nakłaniania pracowników do wykonania przelewu.

Ryzyko nie zależy wyłącznie od tego, czy wiadomość trafi do skrzynki odbiorczej. Nawet gdy filtr antyspamowy odrzuci część takich przesyłek, domena wykorzystana jako pozorny nadawca może zostać skojarzona z nadużyciami. W praktyce ważne jest również rozróżnienie między podszyciem w treści wiadomości a pełnym przejęciem konta. Przy wysyłce z niezweryfikowanej domeny napastnik nie musi znać hasła do prawdziwej skrzynki; wystarczy mu możliwość ustawienia odpowiedniego adresu nadawcy w używanym systemie.

SPF, DKIM i DMARC a wiarygodność nadawcy

Kontrola domeny powinna obejmować co najmniej potwierdzenie, że użytkownik ma prawo korzystać z danego adresu lub domeny, oraz ograniczenie serwerów uprawnionych do wysyłki. SPF publikuje w DNS listę hostów lub usług dopuszczonych do wysyłania poczty dla domeny koperty SMTP. DKIM dodaje do wiadomości podpis kryptograficzny powiązany z domeną podpisującą; odbiorca pobiera klucz publiczny z DNS i sprawdza, czy podpis pasuje do treści oraz nagłówków objętych podpisem.

DMARC pozwala właścicielowi domeny określić, jak odbiorca ma traktować wiadomości, które nie przechodzą kontroli SPF lub DKIM albo nie zachowują zgodności domeny z nagłówkiem From:. Polityka może mieć wartości none, quarantine lub reject. DMARC nie zastępuje SPF ani DKIM i nie naprawia błędnej konfiguracji serwera wysyłającego. Jest mechanizmem oceny po stronie odbiorcy, dlatego sama obecność rekordu DMARC nie gwarantuje dostarczenia ani nie oznacza, że każda wiadomość z danej domeny jest prawdziwa.

Bezpieczna usługa wysyłkowa powinna rozdzielać domenę zweryfikowaną od dowolnego tekstu wpisanego przez użytkownika. Weryfikacja może wymagać dodania rekordu DNS, umieszczenia pliku pod wskazanym adresem albo potwierdzenia wiadomości wysłanej na istniejącą skrzynkę w tej domenie. Dodatkowe ograniczenia powinny blokować niedozwolone adresy w polu From:, kontrolować adres zwrotny i rejestrować próby użycia niezatwierdzonej domeny. Samo sprawdzanie składni adresu, na przykład obecności znaku „@”, nie jest weryfikacją własności domeny.

Co przeanalizować na komputerze po otrzymaniu podejrzanej wiadomości

Na laptopie lub komputerze PC warto najpierw sprawdzić pełne nagłówki wiadomości, a nie tylko nazwę wyświetlaną przez program pocztowy. Należy porównać pola From:, Reply-To:, Return-Path: i Received:, a następnie odczytać wynik kontroli SPF, DKIM oraz DMARC, jeśli został zapisany przez serwer odbiorczy. Rozbieżność między adresem widocznym dla użytkownika a adresem odpowiedzi jest sygnałem ostrzegawczym, podobnie jak domena o podobnej pisowni, lecz innej końcówce.

Nie należy otwierać załączników ani logować się przez link z wiadomości tylko dlatego, że pole „Od” zawiera znany adres. Bezpieczniejsza jest ręczna weryfikacja nadawcy innym kanałem, na przykład przez wpisanie adresu strony firmy w przeglądarce lub telefon do znanego numeru. Jeżeli wiadomość została już otwarta, komputer można sprawdzić pod kątem pobranych plików, nowych rozszerzeń przeglądarki, nietypowych procesów i zmian w konfiguracji klienta pocztowego. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki stanowiska może również pomóc ustalić, czy problem wynika z programu pocztowego, przeglądarki lub lokalnej konfiguracji użytkownika.

W przypadku podejrzenia nadużycia należy zachować oryginalną wiadomość wraz z pełnymi nagłówkami, ponieważ ich usunięcie utrudnia analizę drogi przesyłki. Nie powinno się ograniczać do przekazania wiadomości jako zwykłego tekstu, gdyż część danych technicznych może wtedy zniknąć. Ostateczna ocena wymaga zestawienia nagłówków z konfiguracją domeny w DNS oraz z informacjami o serwerze, który faktycznie przyjął i przekazał wiadomość.