spoofing domeny firmowej

Spoofing domeny firmowej to atak wykorzystujący zaufanie odbiorców do rozpoznawanej marki organizacji.

Na czym polega spoofing domeny firmowej

Spoofing domeny firmowej to próba podszycia się pod organizację przez użycie adresu internetowego łudząco podobnego do prawdziwej domeny przedsiębiorstwa. Atakujący może zarejestrować domenę różniącą się jednym znakiem, użyć innego rozszerzenia albo wykorzystać znak wyglądający podobnie w systemie Unicode. Przykładowo adres zapisany jako „firma-example.pl” może zostać zastąpiony przez „firmaexample.pl”, „firma-example.com” lub nazwę zawierającą znak homograficzny. Celem jest wywołanie u odbiorcy przekonania, że wiadomość, formularz logowania albo strona internetowa pochodzi od znanej firmy.

Podszywanie się może dotyczyć zarówno samej domeny, jak i konkretnej usługi działającej w jej obrębie. Fałszywy adres może wyglądać jak „bank.firma.pl”, chociaż rzeczywistą domeną kontrolowaną przez atakującego jest końcowy fragment adresu, na przykład „firma.pl.example.net”. W adresach internetowych decydujące znaczenie ma domena znajdująca się bezpośrednio przed pierwszym ukośnikiem ścieżki, a nie dowolny tekst umieszczony na początku. Spoofing może też obejmować fałszywe konta w mediach społecznościowych, dokumenty udostępnione w chmurze oraz witryny kopiujące wygląd firmowego panelu klienta.

Podszywanie się w poczcie elektronicznej

Jedną z odmian ataku jest sfałszowanie pola „From” w wiadomości e-mail. Sam widoczny adres nadawcy nie wystarcza do potwierdzenia pochodzenia korespondencji, ponieważ w protokole SMTP historycznie dopuszczano przekazywanie informacji o nadawcy bez silnego mechanizmu uwierzytelnienia. Wiadomość może więc wyświetlać nazwę i adres przypominający firmowy, mimo że została wysłana z obcej infrastruktury. Atakujący często łączy taki zabieg z pilnym żądaniem przelewu, zmianą rachunku bankowego, otwarciem załącznika lub zalogowaniem się na podanej stronie.

Do oceny autentyczności poczty stosuje się między innymi SPF, DKIM i DMARC. SPF pozwala właścicielowi domeny opublikować w DNS listę serwerów uprawnionych do wysyłania wiadomości dla określonej domeny w mechanizmie envelope sender. DKIM dodaje do wiadomości podpis kryptograficzny, który odbiorca weryfikuje na podstawie klucza publicznego opublikowanego w DNS. DMARC określa sposób wykorzystania wyników SPF i DKIM oraz regułę postępowania z wiadomościami niespełniającymi wymagań, taką jak „none”, „quarantine” albo „reject”. Skuteczność tych mechanizmów zależy od poprawnej konfiguracji domeny i zgodności domeny widocznej dla użytkownika z domeną sprawdzaną podczas uwierzytelniania.

Jak rozpoznać fałszywą domenę

Podstawową czynnością jest dokładne odczytanie pełnego adresu, a nie tylko nazwy wyświetlanej w aplikacji pocztowej. Należy sprawdzić pisownię domeny, jej rozszerzenie, położenie kropki oraz ewentualne dodatkowe człony. W przypadku strony logowania warto zweryfikować, czy połączenie korzysta z HTTPS, ale sama obecność kłódki nie potwierdza tożsamości właściciela witryny. Certyfikat TLS szyfruje połączenie i potwierdza kontrolę nad określoną nazwą domenową zgodnie z zakresem certyfikatu, lecz atakujący również może uzyskać prawidłowy certyfikat dla własnej, podobnej domeny.

Sygnałami ostrzegawczymi są nietypowy język wiadomości, presja czasu, prośba o obejście zwykłej procedury, zmiana danych płatniczych oraz link prowadzący do domeny niezgodnej z oficjalną stroną firmy. Ryzyko zwiększają skrócone adresy, przekierowania i załączniki zawierające makra lub pliki wykonywalne. W organizacji warto potwierdzać nietypowe dyspozycje drugim kanałem, korzystając z wcześniej znanego numeru telefonu albo ręcznie wpisanego adresu strony. Nie należy odpowiadać na podejrzaną wiadomość w celu weryfikacji, ponieważ odpowiedź może trafić bezpośrednio do atakującego. Po wykryciu incydentu pomocne jest zachowanie pełnych nagłówków e-maila, adresu URL, czasu otrzymania wiadomości i informacji o wykonanych działaniach.

Ograniczanie ryzyka na komputerach firmowych i domowych

Ochrona przed spoofingiem wymaga połączenia konfiguracji domeny, filtrów pocztowych i ostrożności użytkowników. Właściciel domeny powinien utrzymywać poprawne rekordy SPF i DKIM, opublikować politykę DMARC oraz monitorować raporty z kontroli uwierzytelniania. Przy rejestracji podobnych domen przez osoby trzecie można korzystać z monitoringu nazw, rejestrów certyfikatów i powiadomień o nowych domenach przypominających markę. Filtry pocztowe mogą dodatkowo oznaczać wiadomości zewnętrzne, sprawdzać reputację nadawcy, analizować przekierowania i blokować niebezpieczne załączniki.

Na komputerze użytkownika należy aktualizować system operacyjny, przeglądarkę i program pocztowy, stosować unikalne hasła oraz uwierzytelnianie wieloskładnikowe. Mechanizm wieloskładnikowy ogranicza skutki przejęcia hasła, choć nie eliminuje ryzyka zaakceptowania fałszywej prośby w czasie rzeczywistym. Jeżeli użytkownik podał dane logowania na podejrzanej stronie, powinien natychmiast zmienić hasło na prawdziwej stronie, unieważnić aktywne sesje i zgłosić zdarzenie administratorowi. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może pomóc sprawdzić objawy infekcji, niepożądane przekierowania oraz podstawowe ustawienia bezpieczeństwa urządzenia.