spoofing adresu From

Spoofing adresu From to fałszowanie widocznego dla odbiorcy nadawcy wiadomości.

Dwa różne pola nadawcy w protokole SMTP

Poczta elektroniczna ma dwa niezależne adresy nadawcy i na tym opiera się cała sztuczka. Pierwszy podawany jest w rozmowie serwerów, w poleceniu MAIL FROM, i to na niego trafiają komunikaty o niedoręczeniu; użytkownik nigdy go nie widzi. Drugi to nagłówek From w treści wiadomości, wyświetlany w programie pocztowym. Protokół nie wymaga, żeby te dwa adresy były takie same, bo w czasach jego powstawania nikt nie zakładał, że nadawcy będą kłamać. Wpisanie w nagłówku dowolnej wartości jest z technicznego punktu widzenia tak proste jak zaadresowanie koperty cudzym nazwiskiem.

Co sprawdza SPF, co DKIM, a co DMARC

Warstwy zabezpieczeń dokładano stopniowo i każda pilnuje czegoś innego. Rekord SPF w DNS domeny wylicza serwery uprawnione do wysyłania w jej imieniu, ale weryfikuje adres z koperty, nie ten widoczny dla odbiorcy. DKIM dokłada do wiadomości podpis kryptograficzny wybranych nagłówków i treści, dzięki czemu odbiorca może potwierdzić, że list wyszedł z domeny i nie został po drodze zmieniony. Dopiero DMARC spina to w całość: wymaga, żeby domena z widocznego nagłówka From zgadzała się z domeną potwierdzoną przez SPF lub DKIM, i mówi serwerom odbiorczym, co zrobić z listem, który tego nie spełnia. Polityka ustawiona na odrzucanie realnie ucina podszywanie się pod naszą domenę.

Wynik tych sprawdzeń widać w nagłówkach wiadomości, w polu z rezultatami uwierzytelnienia. To pierwsze miejsce, do którego się zagląda, oceniając podejrzanego maila.

Podszycie pod nazwę wyświetlaną i domeny łudząco podobne

Nawet poprawnie skonfigurowany DMARC nie broni przed dwiema popularnymi odmianami oszustwa. W pierwszej atakujący wysyła list z całkowicie własnego, zwyczajnego konta, ale ustawia nazwę wyświetlaną na imię i nazwisko prezesa; na telefonie widać wyłącznie tę nazwę, adres pozostaje schowany. W drugiej rejestrowana jest domena różniąca się jednym znakiem, z myślnikiem, z końcówką z innego kraju albo z parą liter udającą inną literę. Taka domena ma własne, poprawne rekordy uwierzytelniające i przechodzi wszystkie testy, bo formalnie nie podszywa się pod nic.

Typowy scenariusz kończy się fakturą z podmienionym numerem konta, wysłaną w środku wątku, który tygodniami wyglądał normalnie. Skuteczną barierą jest telefoniczne potwierdzanie zmiany rachunku, a nie kolejny filtr.

Po incydencie: nagłówki, DNS i przegląd skrzynek

Gdy w firmie pojawi się podejrzana wiadomość, analizujemy pełne nagłówki, odtwarzamy trasę listu i sprawdzamy, czy ktoś nie założył w skrzynce reguły przekazującej korespondencję na zewnątrz, co bywa śladem przejęcia konta. Porządkujemy rekordy SPF, DKIM i DMARC w domenie, ustawiamy raportowanie i konfigurujemy klientów pocztowych tak, żeby pokazywały pełny adres nadawcy zamiast samej nazwy. Zgłoszenia tego typu przyjmujemy całodobowo, także od firm, w których poczta stoi na własnym serwerze.