spoofing e-maila

Spoofing e-maila to ogólne określenie fałszowania danych nadawcy wiadomości.

Na czym polega fałszowanie nadawcy

Protokół pocztowy powstał w czasach, gdy sieć była małym gronem zaufanych ośrodków, i nie przewidywał weryfikacji nadawcy. Serwer wysyłający może wpisać w polu nadawcy praktycznie dowolny adres, tak jak każdy może napisać cudze nazwisko na kopercie. Co więcej, wiadomość ma dwa różne adresy nadawcy: jeden używany w rozmowie serwerów, drugi widoczny w programie pocztowym. Fałszowanie tego drugiego wystarczy, by odbiorca zobaczył adres prezesa własnej firmy, choć wiadomość wyszła z zupełnie innego serwera.

Warianty tej samej sztuczki

Podszywanie się pod dokładny adres to najprostsza forma i dziś najłatwiejsza do zablokowania. Częstsza jest domena łudząco podobna, różniąca się jedną literą, dodanym myślnikiem albo inną końcówką, którą oko przelatujące przez skrzynkę pominie. Kolejna odmiana operuje wyłącznie nazwą wyświetlaną: adres jest jawnie obcy, ale telefon pokazuje tylko imię i nazwisko, więc nikt nie sprawdza tego, co pod spodem. Osobnym przypadkiem jest wysyłka z prawdziwej, przejętej skrzynki — technicznie wszystko się zgadza, bo wiadomość naprawdę pochodzi od tej osoby, tyle że pisze ją ktoś inny. Obroną są trzy mechanizmy w DNS domeny: SPF wskazujący uprawnione serwery, DKIM podpisujący wiadomość kryptograficznie i DMARC określający, co zrobić z korespondencją, która testów nie przeszła.

Jak to wygląda z perspektywy ofiary

Najkosztowniejszy scenariusz to wiadomość rzekomo od kontrahenta z informacją o zmianie numeru konta, przychodząca dokładnie wtedy, gdy firma spodziewa się faktury. Drugi to polecenie od rzekomego szefa, żeby pilnie wykonać przelew i nikomu o tym nie mówić. Trzeci działa w odwrotną stronę: firma dostaje lawinę raportów o niedostarczeniu wiadomości, których nigdy nie wysyłała, bo ktoś użył jej domeny jako fałszywego nadawcy w kampanii spamowej — skrzynka się zapycha, a domena traci reputację. Sygnały ostrzegawcze to presja czasu, prośba o poufność, zmiana kanału kontaktu i drobne różnice w stylu wiadomości. Zasada bezpieczeństwa jest prosta: numer konta i pilne polecenie finansowe potwierdza się telefonicznie, na numer znany wcześniej, nie na ten podany w wiadomości.

Po incydencie i przed nim

Gdy ktoś w firmie kliknął podejrzany link lub podał dane na fałszywej stronie, sprawdzamy komputery pod kątem złośliwego oprogramowania, wykradania haseł i przekierowań założonych w skrzynce przez intruza. Konfigurujemy też zabezpieczenia stacji roboczych i porządkujemy hasła. Reagujemy o każdej porze, także nocą, bo przy takich incydentach liczą się godziny.