spoofing listy dystrybucyjnej

Spoofing listy dystrybucyjnej to podszycie się pod adres zbiorczy w celu dotarcia do wielu odbiorców naraz.

Na czym polega podszycie pod listę dystrybucyjną

Spoofing listy dystrybucyjnej polega na sfałszowaniu informacji identyfikujących nadawcę wiadomości tak, aby odbiorcy uznali ją za wysłaną z adresu zbiorczego, na przykład Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript., Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript. albo Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.. Lista dystrybucyjna jest adresem używanym do kierowania korespondencji do wielu skrzynek, lecz sam widoczny adres w polu „Od” nie stanowi dowodu, że wiadomość rzeczywiście przeszła przez serwer obsługujący tę listę. Atakujący może ustawić dowolny tekst wyświetlany jako nazwa nadawcy, a w określonych warunkach także umieścić w nagłówku adres przypominający prawdziwy adres grupy.

Fałszywa wiadomość może trafić do wielu osób jednocześnie, ponieważ przestępca wykorzystuje zaufanie związane z adresem zbiorczym. Treść często zawiera prośbę o otwarcie załącznika, kliknięcie odnośnika, zalogowanie się do usługi albo pilne potwierdzenie płatności. Sam spoofing nie oznacza automatycznie włamania do listy dystrybucyjnej. W wielu przypadkach napastnik nie ma dostępu do kont członków grupy ani do systemu pocztowego, lecz jedynie konstruuje wiadomość tak, aby jej prezentacja wyglądała wiarygodnie dla programu pocztowego lub użytkownika.

Jak serwery pocztowe rozpoznają fałszywego nadawcę

Ocena autentyczności wiadomości odbywa się na podstawie kilku niezależnych mechanizmów. SPF, opisany w RFC 7208, pozwala właścicielowi domeny opublikować w systemie DNS informację o serwerach uprawnionych do wysyłania poczty z danej domeny. Serwer odbiorcy porównuje adres IP łączącego się nadawcy z rekordem SPF. Wynik może być między innymi pozytywny, negatywny albo neutralny. SPF nie potwierdza jednak tożsamości osoby, która przygotowała wiadomość, i nie zabezpiecza wszystkich pól nagłówka.

DKIM, opisany w RFC 6376, dodaje do wiadomości podpis kryptograficzny. Serwer odbiorcy pobiera klucz publiczny z DNS domeny wskazanej w podpisie i sprawdza, czy podpisane elementy wiadomości nie zostały zmienione po wysłaniu. DMARC, opisany w RFC 7489, łączy wyniki SPF i DKIM z kontrolą zgodności domeny widocznej dla odbiorcy w polu „From”. Właściciel domeny może opublikować politykę DMARC określającą, czy wiadomości niespełniające wymagań mają być tylko raportowane, kierowane do spamu, czy odrzucane. Brak poprawnego wyniku tych kontroli zwiększa prawdopodobieństwo spoofingu, ale pozytywny wynik pojedynczego mechanizmu nie gwarantuje, że treść jest bezpieczna.

Ślady ataku w nagłówkach i zachowaniu wiadomości

Wiadomość podejrzewaną o podszywanie warto oceniać na podstawie pełnych nagłówków, a nie tylko widoku skróconego w aplikacji pocztowej. Należy sprawdzić pola „Received”, wynik SPF, podpis DKIM, wynik DMARC, domenę używaną w linkach oraz adres zwrotny w polu „Reply-To”. Różnica między adresem wyświetlanym w „From” a adresem, na który kierowana jest odpowiedź, może ujawnić próbę przekierowania korespondencji. Podejrzane są również domeny różniące się jedną literą od prawidłowej, domeny niezwiązane z organizacją oraz wiadomości wysłane poza zwykłym kanałem komunikacji.

W przypadku listy dystrybucyjnej trzeba dodatkowo ustalić, czy wiadomość została faktycznie przekazana przez system grupowy. W nagłówkach mogą występować pola charakterystyczne dla używanej platformy, lecz ich obecność nie powinna być traktowana jako samodzielny dowód autentyczności, ponieważ część nagłówków można sfałszować. Wiarygodność zwiększa spójność całego łańcucha „Received”, poprawny podpis DKIM zgodny z domeną organizacji oraz przejście kontroli DMARC dla domeny widocznej w polu „From”. Załącznika lub odnośnika nie należy otwierać wyłącznie dlatego, że wiadomość została wysłana do znanej grupy odbiorców.

Bezpieczna reakcja użytkownika i sprawdzenie komputera

Po otrzymaniu podejrzanej wiadomości z adresu listy dystrybucyjnej użytkownik powinien wstrzymać się z odpowiadaniem, klikaniem odnośników i uruchamianiem załączników. Tożsamość nadawcy można zweryfikować niezależnym kanałem, na przykład przez wpisanie znanego adresu strony ręcznie albo telefon do osoby odpowiedzialnej za komunikację. Wiadomość warto zgłosić funkcją „spam”, „phishing” lub firmowym mechanizmem raportowania, ponieważ zgłoszenie może dostarczyć administratorowi pełne nagłówki potrzebne do analizy. Jeśli użytkownik podał hasło na stronie otwartej z takiej wiadomości, powinien niezwłocznie zmienić je na prawdziwej stronie usługi i zakończyć aktywne sesje, o ile usługa udostępnia taką funkcję.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym sprawdzeniem systemu po uruchomieniu podejrzanego załącznika lub programu. Diagnostyka może obejmować analizę objawów, kontrolę procesów startowych, przegląd zainstalowanych aplikacji, aktualność systemu i skanowanie narzędziem ochronnym. Samo usunięcie wiadomości nie usuwa skutków ewentualnego uruchomienia złośliwego pliku, dlatego po takim zdarzeniu należy zwrócić uwagę na nowe komunikaty logowania, nieznane rozszerzenia przeglądarki, nietypowe obciążenie komputera oraz samoczynne otwieranie stron. W razie podejrzenia przejęcia konta działania na komputerze powinny zostać połączone z zabezpieczeniem samego konta pocztowego.