spoofing w spamie

Spoofing w spamie łączy masową niechcianą korespondencję z fałszywym adresem nadawcy.

Spoofing w spamie – czym jest fałszowanie nadawcy

Spoofing w spamie oznacza wykorzystanie techniki, która sprawia, że wiadomość masowo wysyłana do przypadkowych odbiorców wygląda tak, jakby pochodziła z innego adresu pocztowego, domeny lub nazwy nadawcy. W polu widocznym w skrzynce można zobaczyć adres przypominający kontakt do banku, operatora płatności, sklepu internetowego, urzędu, firmy kurierskiej albo znajomej osoby. Taki zapis nie musi jednak odzwierciedlać rzeczywistego miejsca, z którego przesyłka została wysłana.

Warto rozróżnić adres prezentowany użytkownikowi od informacji technicznych przekazywanych między serwerami pocztowymi. Program pocztowy zwykle pokazuje przede wszystkim nazwę nadawcy oraz pole „Od”, ponieważ te elementy ułatwiają szybkie rozpoznanie korespondencji. Osoba wysyłająca spam może próbować je zmienić tak, aby wiadomość zyskała pozory wiarygodności. Nie oznacza to, że przejęto skrzynkę właściciela widniejącego w polu nadawcy. Często chodzi wyłącznie o podszycie się pod adres lub domenę.

Wiadomość zawierająca spoofing może mieć charakter reklamowy, wyłudzający albo złośliwy. Niekiedy jest to próba nakłonienia do kliknięcia odnośnika, otwarcia załącznika, podania danych logowania lub wykonania płatności. Innym razem celem jest zwiększenie liczby odpowiedzi na kampanię spamową. Sam fałszywy adres nie rozstrzyga jeszcze, co znajduje się w treści, lecz powinien skłonić do ostrożnej oceny całej wiadomości.

Spoofing w spamie a autentyczność wiadomości pocztowej

Ocena, czy wiadomość rzeczywiście pochodzi od wskazanego nadawcy, wymaga spojrzenia poza nazwę wyświetlaną na ekranie. Znaczenie mają między innymi pełny adres e-mail, domena po znaku „@”, nagłówki techniczne, wynik kontroli domeny oraz zgodność treści z typowym sposobem kontaktu danej organizacji. Adres może wyglądać podobnie do prawdziwego, ale zawierać dodatkowy znak, inną końcówkę albo literówkę. Czasem różnica jest widoczna dopiero po rozwinięciu szczegółów wiadomości.

W ochronie poczty stosuje się kilka mechanizmów ograniczających spoofing. SPF określa, z jakich serwerów można wysyłać wiadomości w imieniu danej domeny. DKIM pozwala sprawdzić podpis kryptograficzny dołączony do wiadomości, dzięki czemu można wykryć zmianę części jej zawartości podczas przesyłania. DMARC łączy wyniki tych kontroli z regułą postępowania, na przykład oznaczeniem wiadomości jako podejrzanej albo jej odrzuceniem. Żaden mechanizm nie zastępuje jednak uwagi użytkownika, ponieważ oszust może użyć domeny podobnej do prawdziwej lub legalnie działającego konta.

Spoofing nie jest tym samym co przejęcie skrzynki. Przy przejęciu konta napastnik uzyskuje dostęp do prawdziwego profilu i może korzystać z jego historii, kontaktów lub ustawień. Przy fałszowaniu nadawcy wiadomość może zostać wygenerowana poza skrzynką, którą przypomina. Z drugiej strony oba zjawiska mogą występować w jednej kampanii. Dlatego nie powinno się uznawać wiadomości za bezpieczną tylko dlatego, że jej nadawca jest znany z książki adresowej.

Spoofing w spamie – typowe sygnały ostrzegawcze

Najczęściej niepokój powinny wzbudzać wiadomości, w których kilka elementów nie pasuje do siebie. Nazwa nadawcy może wskazywać znaną instytucję, lecz adres prowadzi do przypadkowej domeny. Treść może zawierać presję czasu, ostrzeżenie o blokadzie konta, informację o rzekomej paczce albo prośbę o natychmiastowe potwierdzenie danych. Częstym sygnałem jest również odnośnik, którego adres po wskazaniu kursorem nie odpowiada nazwie organizacji opisanej w wiadomości.

Inne symptomy to nietypowe załączniki, prośby o wyłączenie ochrony, błędy językowe, niespodziewana zmiana numeru rachunku oraz żądanie podania hasła, kodu jednorazowego lub pełnych danych karty. Wątpliwości może budzić także wiadomość pozornie wysłana przez własny adres. Taki przypadek nie musi oznaczać włamania do konta, ponieważ pole nadawcy mogło zostać sfałszowane, lecz warto sprawdzić aktywność logowania i ustawione reguły poczty.

Spoofing bywa używany także w wiadomościach zwrotnych generowanych przez serwery, na przykład w komunikatach o niedostarczeniu przesyłki. Jeżeli adres docelowy nie był używany do wysyłki, taki komunikat może wskazywać, że ktoś wykorzystał go jako pozornego nadawcę. Nie należy wtedy odpowiadać na wiadomość ani otwierać załącznika. Bezpieczniej jest wejść na stronę danej usługi przez samodzielnie wpisany adres lub użyć oficjalnej aplikacji.

Spoofing w spamie – praktyczne postępowanie z podejrzaną wiadomością

W przypadku podejrzenia fałszerstwa najlepiej pozostawić wiadomość nieotwartą, jeśli program pocztowy pozwala ją ocenić z poziomu listy. Nie powinno się klikać odnośników, uruchamiać załączników ani kopiować poleceń do terminala lub okna logowania. Wiadomość można oznaczyć jako spam lub phishing za pomocą funkcji dostępnej w używanej poczcie. Usunięcie przesyłki po takim oznaczeniu pomaga systemowi lepiej rozpoznawać podobne przypadki w przyszłości.

Jeżeli odnośnik został już otwarty, należy zamknąć stronę i nie wpisywać danych. Gdy podano hasło, powinno zostać zmienione na stronie otwartej niezależnie od otrzymanej wiadomości. Warto włączyć uwierzytelnianie wieloskładnikowe, sprawdzić aktywne sesje oraz przejrzeć reguły przekazywania poczty. Jeśli uruchomiono załącznik, można odłączyć komputer od sieci, nie kasować pochopnie komunikatów i przygotować informacje potrzebne do późniejszej analizy: godzinę otrzymania wiadomości, temat, adres widoczny w programie oraz nazwę pliku.

W środowisku domowym pomocne jest korzystanie z aktualnego systemu, przeglądarki, programu pocztowego i ochrony antywirusowej. Sam filtr antyspamowy nie powinien być traktowany jako pełna gwarancja, ponieważ nowe kampanie mogą przez pewien czas omijać automatyczne reguły. Przydatne jest także rozdzielenie adresu używanego do ważnych usług od adresu podawanego w formularzach, sklepach i serwisach dyskusyjnych. Ogranicza to liczbę sytuacji, w których istotna korespondencja miesza się z masową reklamą.

Spoofing w spamie – kiedy zgłosić się po pomoc

Wizyta w serwisie może być uzasadniona, gdy po kontakcie z podejrzaną wiadomością pojawiają się nieznane programy, przekierowania stron, nowe rozszerzenia przeglądarki, nietypowe komunikaty bezpieczeństwa, samoczynnie wysyłane wiadomości albo problemy z logowaniem. Pomoc bywa potrzebna również wtedy, gdy nie można ustalić, czy problem dotyczy wyłącznie fałszywego nadawcy, czy także ustawień konta i bezpieczeństwa urządzenia. Do analizy warto zachować oryginalną wiadomość wraz z nagłówkami, ponieważ ich usunięcie może utrudnić ustalenie sposobu dostarczenia.

W Warszawie taką ocenę można zlecić firmie Warszawskie Pogotowie Komputerowe 24/7. Przy zgłoszeniu dobrze opisać, co zostało kliknięte, czy podano jakiekolwiek dane, jaki system pocztowy jest używany i jakie objawy wystąpiły później. Na tej podstawie można sprawdzić komputer, przeglądarkę, program pocztowy oraz podstawowe ustawienia konta, a następnie uporządkować działania zabezpieczające. Należy pamiętać, że analiza urządzenia nie zastępuje kontaktu z bankiem, dostawcą poczty lub właściwą instytucją, jeżeli doszło do ujawnienia danych albo podejrzanej transakcji.