spoofing domeny klienta

Spoofing domeny klienta to podszycie się pod kontrahenta w celu przekierowania płatności lub danych.

Na czym polega spoofing domeny klienta

Spoofing domeny klienta to technika polegająca na takim sformułowaniu wiadomości lub adresu internetowego, aby odbiorca uznał je za pochodzące od rzeczywistego kontrahenta. Najczęściej atak dotyczy poczty elektronicznej, lecz może obejmować również fałszywe strony WWW, dokumenty udostępniane przez internet oraz komunikatory. Przestępca może wykorzystać nazwę firmy, jej logo, podpis pracownika, stopkę wiadomości i wcześniejszą korespondencję. Celem bywa zmiana numeru rachunku na fakturze, nakłonienie do pilnego przelewu, wyłudzenie hasła albo przejęcie dalszej komunikacji z działem księgowym.

W klasycznym spoofingu pole „From” wiadomości e-mail może zawierać adres przypominający prawdziwy adres nadawcy, ponieważ sam format SMTP nie gwarantuje, że osoba wysyłająca wiadomość ma prawo używać danej domeny. Adres widoczny w programie pocztowym nie jest więc wystarczającym dowodem autentyczności. Oszust może też zarejestrować domenę podobną do właściwej, na przykład z dodatkową literą, innym rozszerzeniem lub znakiem wyglądającym podobnie w alfabecie Unicode. Taki wariant jest odrębny od prostego podrobienia pola nadawcy, ale dla użytkownika może wyglądać niemal identycznie.

Jak rozpoznać fałszywą korespondencję

Analiza wiadomości powinna obejmować pełne nagłówki, a nie tylko nazwę wyświetlaną przy nadawcy. Istotne są pola „Return-Path”, „Reply-To”, „Received”, wyniki uwierzytelnienia oraz domeny użyte w linkach. Rozbieżność między adresem widocznym w polu „From” a adresem odpowiedzi może wskazywać, że odpowiedź trafi do skrzynki kontrolowanej przez atakującego. Warto również sprawdzić, czy link prowadzi do domeny kontrahenta, czy do innego adresu, skróconego odnośnika albo strony podszywającej się pod panel bankowy lub system fakturowania.

Szczególną ostrożność należy zachować przy wiadomościach zawierających zmianę rachunku bankowego, prośbę o przelew poza zwykłą procedurą, presję czasową lub polecenie zachowania sprawy w tajemnicy. Sama obecność szyfrowania HTTPS nie potwierdza tożsamości firmy: certyfikat zabezpiecza połączenie z określoną domeną, ale nie dowodzi, że domena należy do znanego kontrahenta. Bezpieczną praktyką jest potwierdzenie zmiany niezależnym kanałem, na przykład telefonem zapisanym wcześniej w umowie lub systemie księgowym, a nie numerem podanym w podejrzanej wiadomości.

Znaczenie SPF, DKIM i DMARC

Weryfikację nadawców można wzmocnić przez rekordy DNS i mechanizmy uwierzytelniania poczty. SPF określa, które serwery mogą wysyłać wiadomości dla danej domeny. DKIM dodaje do wiadomości podpis kryptograficzny, który odbiorca sprawdza na podstawie klucza publicznego opublikowanego w DNS. DMARC wykorzystuje wyniki SPF i DKIM oraz sprawdza zgodność domeny uwierzytelnionej z domeną widoczną dla odbiorcy w polu „From”. Polityka DMARC może zalecać odbiorcy przepuszczenie wiadomości, oznaczenie jej jako spam albo odrzucenie.

Brak rekordu SPF, DKIM lub DMARC nie oznacza automatycznie, że każda wiadomość z domeny jest oszustwem, ale utrudnia odbiorcom odróżnienie legalnej korespondencji od podszywania się. Z kolei poprawna kontrola DMARC ogranicza możliwość wysyłania wiadomości z podrobioną domeną w polu „From”, jeśli system odbiorcy respektuje tę politykę. Mechanizmy te nie chronią jednak przed domeną podobną, przejętym kontem prawdziwego pracownika ani fałszywą fakturą wysłaną z autentycznej skrzynki. Dlatego konfigurację DNS trzeba łączyć z kontrolą zmian płatniczych, szkoleniem użytkowników, filtrowaniem poczty i analizą nietypowych logowań.

Postępowanie po wykryciu podszywania

Po otrzymaniu podejrzanej wiadomości nie należy klikać odnośników, otwierać załączników ani odpowiadać na adres wskazany w korespondencji. Wiadomość warto zachować wraz z pełnymi nagłówkami, ponieważ ich usunięcie utrudnia późniejszą analizę trasy dostarczenia i wyników uwierzytelnienia. Jeżeli użytkownik podał hasło na fałszywej stronie, trzeba niezwłocznie zmienić je na prawdziwej stronie usługi, wylogować aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe, jeśli jest dostępne. W przypadku wykonania przelewu należy natychmiast skontaktować się z bankiem i przekazać informacje o podejrzanej transakcji.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a podczas diagnostyki może również pomóc sprawdzić objawy infekcji, niepożądane rozszerzenia przeglądarki, zapisane dane logowania oraz podstawowe ustawienia poczty na komputerze użytkownika. Sama naprawa urządzenia nie cofa przelewu ani nie potwierdza własności domeny, dlatego incydent finansowy należy zgłosić bankowi, a przejęcie konta lub domeny administratorowi danej usługi. Najważniejsze jest rozdzielenie tych działań: zabezpieczenie komputera, odzyskanie konta, weryfikacja domeny i formalne zgłoszenie oszustwa wymagają odpowiednich procedur.