spoofing nazwy wyświetlanej

Spoofing nazwy wyświetlanej to podmiana etykiety nadawcy przy zachowaniu obcego, technicznego adresu.

Na czym polega spoofing nazwy wyświetlanej

Spoofing nazwy wyświetlanej polega na umieszczeniu w nagłówku wiadomości e-mail nazwy, która ma sugerować konkretną osobę, firmę albo dział, mimo że techniczny adres nadawcy należy do innej skrzynki lub domeny. W typowym nagłówku From: nazwa może występować przed adresem zapisanym w nawiasach ostrych, na przykład From: Dział księgowości <Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.>. Program pocztowy często eksponuje przede wszystkim nazwę „Dział księgowości”, a pełny adres pokazuje dopiero po rozwinięciu szczegółów wiadomości.

Sama nazwa wyświetlana nie jest dowodem tożsamości nadawcy. Może zostać ustawiona przez system wysyłający pocztę i nie musi odpowiadać nazwie domeny użytej w adresie. Osoba atakująca może więc nadać wiadomości etykietę „Bank”, „Administrator IT” albo imię przełożonego, używając jednocześnie obcej domeny, przejętej skrzynki lub infrastruktury stworzonej do wysyłki spamu. Jest to inny mechanizm niż podszywanie się pod identyczną domenę, chociaż oba mogą występować w tej samej kampanii phishingowej.

Różnica między nazwą nadawcy a uwierzytelnianiem poczty

Wiadomość e-mail zawiera kilka informacji o pochodzeniu, które należy rozpatrywać oddzielnie. Nagłówek From: wskazuje adres widoczny dla odbiorcy, natomiast techniczny nadawca używany podczas sesji SMTP jest przekazywany w komendzie MAIL FROM. Serwer odbiorczy może na tej podstawie utworzyć nagłówek Return-Path:, używany między innymi do obsługi zwrotek. Te wartości mogą się różnić od nazwy wyświetlanej i od siebie nawzajem.

SPF sprawdza, czy serwer wysyłający jest uprawniony do wysyłania poczty dla domeny użytej w ścieżce koperty SMTP. DKIM dodaje podpis kryptograficzny odnoszący się do domeny wskazanej parametrem d= oraz do wybranych nagłówków i treści wiadomości. DMARC ocenia zgodność domeny widocznej w From: z domeną potwierdzoną przez SPF lub DKIM, zgodnie z regułami wyrównania domen. Żaden z tych mechanizmów nie „zatwierdza” samego tekstu nazwy wyświetlanej. Wiadomość może zatem przejść kontrolę autoryzacji domeny, a mimo to używać mylącej etykiety nadawcy, na przykład nazwy znanej firmy przy adresie należącym do niezależnej domeny.

Jak rozpoznać podszywanie się w odebranej wiadomości

Podstawowym krokiem jest rozwinięcie szczegółów nadawcy i sprawdzenie pełnego adresu, a nie tylko tekstu widocznego obok awatara lub nazwy kontaktu. Trzeba zwrócić uwagę na domenę po znaku @, dodatkowe poddomeny, literówki oraz znaki podobne wizualnie do liter alfabetu łacińskiego. Warto też sprawdzić nagłówki Authentication-Results:, w których odbiorczy serwer może zapisać wyniki SPF, DKIM i DMARC. Wynik pass potwierdza określony aspekt kontroli technicznej, ale nie oznacza automatycznie, że nadawca jest osobą wskazaną w nazwie wyświetlanej.

Analiza powinna obejmować również ciąg nagłówków Received:, adres koperty zwrotnej, domenę podpisu DKIM oraz zgodność tych danych z treścią wiadomości. Podejrzane są prośby o pilny przelew, zmianę numeru rachunku, podanie hasła, otwarcie załącznika lub kliknięcie odnośnika wymagającego logowania. Bezpieczniej jest samodzielnie otworzyć stronę firmy z zapisanej wcześniej zakładki albo potwierdzić żądanie innym kanałem komunikacji. Samo odpowiadanie na podejrzaną wiadomość nie jest wiarygodną metodą weryfikacji, ponieważ odpowiedź może trafić do skrzynki kontrolowanej przez atakującego.

Znaczenie problemu dla użytkownika komputera

Spoofing nazwy wyświetlanej wykorzystuje przede wszystkim przyzwyczajenia użytkownika i sposób prezentowania poczty przez aplikację. Na małym ekranie telefonu lub w skróconym widoku skrzynki odbiorczej pełny adres bywa ukryty, a nazwa kontaktu może pochodzić z lokalnej książki adresowej. Dlatego szkolenie użytkowników powinno obejmować rozpoznawanie rzeczywistego adresu, sprawdzanie domeny i ostrożność wobec nietypowych poleceń. Po stronie domeny nadawcy przydatne są poprawnie skonfigurowane rekordy SPF, podpisy DKIM oraz polityka DMARC, ale ich działanie zależy od prawidłowego ustawienia wszystkich legalnych źródeł wysyłki.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z systemem, aplikacjami pocztowymi oraz konfiguracją stanowiska użytkownika. Przy podejrzeniu phishingu warto zachować oryginalną wiadomość wraz z pełnymi nagłówkami, ponieważ ich usunięcie lub przekazanie wyłącznie jako zrzut ekranu utrudnia ustalenie źródła i przebiegu komunikacji. Jeżeli użytkownik podał hasło na fałszywej stronie, należy niezwłocznie zmienić je z zaufanego urządzenia, wycofać aktywne sesje i uruchomić dodatkowe mechanizmy uwierzytelniania, jeśli są dostępne.