podszywanie się pod domenę techniczną

Podszywanie się pod domenę techniczną wykorzystuje adresy przypominające systemowe, np. z przedrostkiem „no-reply”.

Na czym polega podszywanie się pod domenę techniczną

Podszywanie się pod domenę techniczną to próba stworzenia adresu internetowego lub adresu nadawcy, który wygląda jak element infrastruktury systemowej. W komunikacie może pojawić się nazwa przypominająca automatyczną skrzynkę, na przykład „no-reply”, „noreply”, „support”, „security” albo „admin”. Sam przedrostek nie potwierdza jednak, że wiadomość pochodzi od producenta oprogramowania, operatora usługi czy administratora systemu. Jest tylko częścią widocznego adresu i może zostać użyty przez dowolną osobę rejestrującą domenę lub konstruującą treść wiadomości.

Atakujący często tworzy domenę podobną do prawidłowej przez dodanie słowa, zmianę kolejności znaków, użycie myślnika albo zastąpienie znaku innym znakiem o podobnym wyglądzie. Przykładowo adres może zawierać nazwę marki oraz dodatkowy człon „verify”, „account” lub „login”, mimo że nie należy do tej marki. W przeglądarce ważna jest pełna nazwa domenowa, a nie sam fragment widoczny w tytule strony, nazwie nadawcy czy treści wiadomości.

Adres nadawcy, domena i rzeczywiste miejsce odsyłacza

W poczcie elektronicznej należy rozróżnić nazwę wyświetlaną, adres nadawcy oraz domenę wskazaną w nagłówkach wiadomości. Nazwa wyświetlana może brzmieć „Dział bezpieczeństwa”, ale nie jest mechanizmem uwierzytelniającym. Również adres widoczny w polu „Od” nie zawsze wystarcza do oceny pochodzenia, ponieważ wiadomość może wykorzystywać sfałszowane lub technicznie niespójne pola nagłówka. Kluczowe znaczenie mają informacje o serwerze wysyłającym, wynikach SPF, podpisie DKIM oraz polityce DMARC, o ile dana domena je stosuje.

Ryzyko rośnie, gdy wiadomość prowadzi do strony logowania, formularza płatności albo pliku do pobrania. Odsyłacz może mieć inną domenę niż sugeruje tekst przycisku. Po najechaniu kursorem na link na komputerze można sprawdzić adres docelowy, a po otwarciu strony warto przeanalizować domenę widoczną w pasku adresu. Kłódka HTTPS oznacza szyfrowanie połączenia z daną stroną, ale nie potwierdza, że strona należy do właściwej firmy. Certyfikat może być prawidłowy dla domeny kontrolowanej przez oszusta.

Techniki tworzenia domen podobnych do prawidłowych

Jedną z metod jest typosquatting, czyli rejestrowanie domen zawierających literówki typowe dla pośpiechu: pominięty znak, podwojoną literę, zamienione miejscami znaki lub inną końcówkę domenową. Inną metodą jest dodawanie prefiksów i sufiksów do nazwy, na przykład „mail”, „secure”, „alert” albo „verification”. Użytkownik może wtedy rozpoznać znaną nazwę marki, ale przeoczyć fakt, że właściwa domena znajduje się dopiero w dalszej części adresu albo że jej końcówka jest inna.

Osobną kategorię stanowią ataki homograficzne z użyciem znaków Unicode. Niektóre znaki z różnych alfabetów wyglądają podobnie do liter alfabetu łacińskiego, choć mają inne kody. Nazwa domeny może więc wizualnie przypominać prawidłowy adres, a technicznie wskazywać na zupełnie inną domenę. Przeglądarki stosują mechanizmy prezentacji nazw IDN, lecz sposób wyświetlania zależy od konkretnego adresu i reguł bezpieczeństwa. Przy podejrzanym odsyłaczu bezpieczniej jest ręcznie wpisać znany adres serwisu lub użyć wcześniej zapisanej zakładki.

Przedrostek „no-reply” nie jest dowodem legalności korespondencji. Oznacza zwykle, że nadawca nie przewiduje obsługi odpowiedzi na tę skrzynkę, ale może wystąpić zarówno w prawdziwej, jak i fałszywej domenie. Wiadomość zawierająca presję czasu, żądanie podania hasła, prośbę o kod jednorazowy lub nakłanianie do uruchomienia załącznika powinna być oceniana na podstawie niezależnie potwierdzonego źródła, a nie na podstawie technicznie brzmiącej nazwy nadawcy.

Sprawdzenie komputera po otwarciu podejrzanej wiadomości

Jeżeli podejrzany link został tylko wyświetlony, należy zamknąć kartę i nie wpisywać danych na otwartej stronie. Jeżeli podano hasło, trzeba zmienić je na prawidłowej stronie usługi, a także sprawdzić aktywne sesje i włączone metody uwierzytelniania, jeżeli dana usługa udostępnia takie funkcje. Po pobraniu pliku nie powinno się go uruchamiać. Warto zachować wiadomość wraz z pełnymi nagłówkami, ponieważ zawierają informacje przydatne do ustalenia trasy dostarczenia i serwera wysyłającego.

Objawami wymagającymi sprawdzenia mogą być samoczynne zmiany strony startowej, nowe rozszerzenia przeglądarki, przekierowania na nieznane adresy, nietypowe komunikaty logowania lub pojawienie się aplikacji, których użytkownik nie instalował. Diagnostyka powinna obejmować przeglądarkę, program pocztowy, listę zainstalowanych aplikacji, zadania uruchamiane automatycznie oraz aktualność systemu i ochrony antywirusowej. Nie należy usuwać pochopnie plików ani czyścić historii przed zabezpieczeniem informacji o zdarzeniu, ponieważ może to utrudnić ustalenie, co faktycznie zostało otwarte.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku nieprawidłowego działania komputera po kontakcie z podejrzaną wiadomością można zlecić sprawdzenie urządzenia oraz jego oprogramowania.