podatność na spoofing adresu nadawcy

Podatność na spoofing adresu nadawcy wynika z braku poprawnie wdrożonych rekordów SPF, DKIM i DMARC.

Na czym polega spoofing adresu nadawcy

Podatność na spoofing adresu nadawcy oznacza możliwość sfałszowania informacji widocznej w polu „Od” wiadomości e-mail. Atakujący może przygotować wiadomość, która będzie wyglądała tak, jakby została wysłana z adresu firmy, banku, sklepu internetowego albo konkretnej osoby. Sam adres wpisany w nagłówku „From” nie jest dowodem, że wiadomość rzeczywiście pochodzi z serwera pocztowego uprawnionego do wysyłania korespondencji w imieniu danej domeny. Technicznie przypomina to wpisanie dowolnego adresu zwrotnego na kopercie, bez potwierdzenia nadawcy przez operatora pocztowego.

Spoofing nie musi oznaczać przejęcia skrzynki pocztowej. W wielu przypadkach przestępca wysyła wiadomości z własnej infrastruktury, ale ustawia nagłówki tak, aby odbiorca zobaczył cudzy adres. Fałszywa wiadomość może służyć do wyłudzenia hasła, nakłonienia do otwarcia załącznika, przekazania pieniędzy albo pobrania złośliwego programu. Ryzyko rośnie wtedy, gdy domena nie publikuje jednoznacznych reguł określających, które serwery mogą wysyłać pocztę oraz jak odbiorca ma traktować wiadomości, które nie przejdą kontroli.

SPF wskazuje dozwolone serwery wysyłające

SPF, czyli Sender Policy Framework, jest mechanizmem opartym na rekordzie TXT w systemie DNS domeny. W rekordzie właściciel domeny umieszcza listę adresów IP, zakresów sieci lub nazw hostów uprawnionych do wysyłania poczty dla określonej domeny. Serwer odbiorcy sprawdza adres IP systemu, który nawiązał połączenie SMTP, i porównuje go z polityką SPF. Przykładowy rekord może zawierać mechanizm wskazujący konkretny adres IPv4, serwer dostawcy poczty przez mechanizm `include` oraz kwalifikator końcowy określający wynik dla pozostałych nadawców.

SPF dotyczy przede wszystkim domeny użytej w kopercie SMTP, czyli wartości związanej z adresem określanym jako envelope sender lub domeną ścieżki zwrotnej. Nie gwarantuje automatycznie, że widoczny dla użytkownika nagłówek „From” jest zgodny z domeną sprawdzoną przez SPF. Z tego powodu sam rekord SPF nie rozwiązuje całego problemu podszywania się pod nadawcę. Polityka powinna obejmować wszystkie legalne systemy wysyłające wiadomości, w tym zewnętrzne platformy transakcyjne i marketingowe, a jednocześnie nie może przekraczać limitu dziesięciu wyszukiwań DNS przewidzianego dla oceny SPF. Błędne lub niepełne wpisy mogą powodować zarówno odrzucanie prawidłowej poczty, jak i przepuszczanie wiadomości z nieuprawnionych źródeł.

DKIM i DMARC uzupełniają kontrolę domeny

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis kryptograficzny zapisany w nagłówku e-mail. Serwer wysyłający tworzy podpis przy użyciu prywatnego klucza, a odbiorca pobiera odpowiadający mu klucz publiczny z rekordu TXT w DNS, zwykle pod nazwą zawierającą selektor DKIM. Weryfikacja pozwala sprawdzić, czy podpisane elementy wiadomości nie zostały zmienione po wysłaniu oraz czy system posiada klucz należący do domeny wskazanej w podpisie. DKIM nie szyfruje treści wiadomości i nie zastępuje szyfrowania połączenia SMTP, ale zapewnia integralność podpisanych nagłówków i treści.

DMARC, czyli Domain-based Message Authentication, Reporting and Conformance, łączy wyniki SPF i DKIM z domeną widoczną w nagłówku „From”. Wymaga tak zwanego dopasowania domen, czyli alignment: domena użyta przez SPF lub domena z podpisu DKIM musi odpowiadać domenie prezentowanej odbiorcy, zgodnie z trybem ścisłym albo relaksowanym. Rekord DMARC jest publikowany w DNS pod nazwą `_dmarc.domena.pl` i może określać politykę `none`, `quarantine` albo `reject`. `none` służy głównie do obserwacji i raportowania, `quarantine` sugeruje umieszczenie podejrzanej poczty w kwarantannie lub spamie, a `reject` informuje odbiorcę, że wiadomości niespełniające warunków powinny zostać odrzucone. DMARC może również wskazywać adresy do raportów zbiorczych i raportów o nieudanych kontrolach, dzięki czemu administrator widzi nieautoryzowane źródła wysyłki oraz błędne konfiguracje legalnych usług.

Diagnostyka wiadomości i znaczenie dla użytkownika komputera

Ocena ochrony przed spoofingiem wymaga sprawdzenia rekordów DNS, konfiguracji wszystkich dostawców wysyłających pocztę oraz nagłówków otrzymanych wiadomości. W nagłówkach warto analizować pola `Authentication-Results`, `Received-SPF`, `DKIM-Signature` i wynik DMARC. Sam napis „SPF=pass” nie wystarcza, jeśli wynik nie odnosi się do domeny zgodnej z widocznym adresem „From”. Należy również zweryfikować, czy podpis DKIM jest prawidłowy i czy jego domena przechodzi wymagane dopasowanie. Przy zmianie dostawcy poczty stare rekordy i selektory DKIM powinny zostać uporządkowane, a nowe źródła wysyłki dodane przed zaostrzeniem polityki DMARC.

Użytkownik może rozpoznać próbę spoofingu po rozbieżności między nazwą nadawcy a adresem, nietypowej domenie w linku, presji czasu, żądaniu pilnej płatności lub prośbie o podanie hasła. Program pocztowy może oznaczyć wiadomość jako podejrzaną, ale filtr nie zastępuje weryfikacji technicznej i ostrożności odbiorcy. Nie należy otwierać nieoczekiwanych załączników ani logować się przez link z wiadomości, której autentyczność jest niepewna. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego przy podejrzeniu skutków phishingu można zlecić diagnostykę komputera, sprawdzenie oznak złośliwego oprogramowania oraz weryfikację podstawowych ustawień klienta pocztowego.