spoofing przez usługi mailingowe

Spoofing przez usługi mailingowe wykorzystuje ich infrastrukturę do wysyłki podszywającej się pod inną markę.

Na czym polega spoofing przez usługę mailingową

Spoofing przez usługę mailingową polega na wykorzystaniu platformy do wysyłki wiadomości w taki sposób, aby odbiorca uznał komunikat za pochodzący od innej marki, firmy albo konkretnej osoby. Usługa mailingowa może dostarczać infrastrukturę SMTP, panel do kampanii, interfejs API, mechanizmy kolejkowania oraz statystyki dostarczeń. Sama obecność wiadomości w skrzynce odbiorczej nie oznacza jednak, że jej nadawca jest autentyczny. Kluczowe jest ustalenie, jakie domeny i adresy zostały użyte w nagłówkach oraz czy serwer odbiorcy potwierdził ich uprawnienia.

W wiadomości e-mail występuje kilka informacji opisujących nadawcę. Pole From: jest zwykle widoczne w programie pocztowym, natomiast adres kopertowy, nazywany także envelope sender albo adresem używanym w komendzie SMTP MAIL FROM, może służyć do obsługi zwrotek. Po dostarczeniu wiadomości adres kopertowy jest często zapisywany w nagłówku Return-Path:. Te wartości mogą się różnić, dlatego samo sprawdzenie nazwy wyświetlanej przy wiadomości nie wystarcza do oceny jej pochodzenia.

Jak platforma wysyłkowa może zostać wykorzystana

Atakujący może użyć legalnej usługi mailingowej po przejęciu konta użytkownika, klucza API, hasła do panelu albo dostępu do integracji aplikacji. W takim scenariuszu wiadomość jest technicznie wysyłana przez prawidłowe serwery dostawcy, więc odbiorca widzi poprawny adres serwera nadawczego i może otrzymać komunikat z reputacyjnego systemu dostarczania. Nie świadczy to jednak o tym, że treść została zatwierdzona przez markę wskazaną w polu From:. Nadużycie może również wynikać z błędnej konfiguracji domeny nadawczej lub z użycia subdomeny, której właściciel nie kontroluje wystarczająco dokładnie.

Ważną rolę odgrywa rozróżnienie między podszyciem adresu a podszyciem nazwy. Nazwa wyświetlana jako „Dział bezpieczeństwa” albo „Bank” może zostać ustawiona niezależnie od rzeczywistej domeny adresu. Osobnym przypadkiem jest użycie domeny podobnej graficznie, na przykład z inną końcówką albo znakiem przypominającym literę z właściwej nazwy. Usługa mailingowa może także obsługiwać przekierowania, śledzenie kliknięć i skracanie adresów, przez co adres widoczny po najechaniu kursorem nie musi od razu ujawniać docelowej strony.

SPF, DKIM i DMARC w analizie autentyczności

SPF, czyli Sender Policy Framework, pozwala właścicielowi domeny opublikować w DNS listę serwerów lub sieci uprawnionych do wysyłania poczty dla danej domeny w adresie kopertowym. SPF nie potwierdza bezpośrednio zawartości pola From:, dlatego poprawny wynik SPF sam w sobie nie dowodzi, że wiadomość pochodzi od widocznej marki. Atakujący może wysłać wiadomość z własnej domeny, dla której SPF przejdzie pomyślnie, a jednocześnie umieścić inną nazwę w polu nadawcy wyświetlanym użytkownikowi.

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis kryptograficzny w nagłówku DKIM-Signature:. Serwer odbiorcy pobiera klucz publiczny z rekordu DNS domeny wskazanej w parametrze d= i sprawdza, czy podpisane elementy wiadomości nie zostały zmienione po wysłaniu. DMARC łączy wyniki SPF i DKIM z domeną widoczną w polu From:. Dzięki tak zwanemu dopasowaniu domen, określanemu jako alignment, właściciel domeny może opublikować politykę none, quarantine albo reject. Polityka nie gwarantuje zatrzymania każdej fałszywej wiadomości, ale pozwala serwerom odbiorczym podejmować decyzje zgodne z deklaracją właściciela domeny.

Przy analizie nagłówków trzeba sprawdzić sekcję Authentication-Results:, kolejne wpisy Received:, domenę podpisu DKIM, wynik SPF oraz wynik DMARC. Istotne jest także ustalenie, czy sprawdzany podpis dotyczy tej samej domeny, która znajduje się w polu From:. Wiadomość może mieć prawidłowy podpis DKIM dostawcy technicznego, ale nie być poprawnie dopasowana do domeny marki. Z kolei przejście DMARC nie dowodzi, że treść jest bezpieczna; oznacza jedynie spełnienie określonych kontroli autentyczności domeny.

Rozpoznawanie fałszywej wiadomości na komputerze

Na laptopie lub komputerze PC analizę warto rozpocząć od wyświetlenia pełnych nagłówków wiadomości, a nie od samego tematu i nazwy nadawcy. Należy porównać domenę w From: z domenami w wynikach SPF i DKIM, zweryfikować informację o DMARC oraz prześledzić łańcuch serwerów w nagłówkach Received:. Warto również sprawdzić, dokąd prowadzą odnośniki, używając podglądu adresu bez otwierania strony. Szczególną ostrożność powinny wzbudzić prośby o podanie hasła, zmianę danych płatniczych, otwarcie nieoczekiwanego załącznika albo pilne zalogowanie się przez link.

Jeżeli wiadomość została wysłana z prawdziwego konta w usłudze mailingowej, analiza nagłówków może nie wystarczyć do odróżnienia nadużycia od legalnej kampanii. Wtedy znaczenie mają także zgodność adresu docelowego z oficjalną domeną, kontekst kontaktu, treść komunikatu i potwierdzenie informacji innym kanałem. Po kliknięciu podejrzanego odnośnika należy zamknąć stronę, nie wpisywać danych uwierzytelniających i wykonać skanowanie systemu aktualnym oprogramowaniem zabezpieczającym. Gdy użytkownik podał hasło na fałszywej stronie, powinien zmienić je na stronie otwartej ręcznie, a następnie sprawdzić aktywne sesje i włączone metody uwierzytelniania.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego przy podejrzeniu skutków złośliwego odnośnika można zlecić diagnostykę urządzenia oraz sprawdzenie jego działania. Sama ocena autentyczności kampanii mailingowej wymaga jednak analizy nagłówków, domeny nadawcy i konfiguracji konta u dostawcy poczty lub usługi wysyłkowej.