stosowanie fałszywych nadawców

Stosowanie fałszywych nadawców to podszywanie się pod inną tożsamość w celu zwiększenia wiarygodności wiadomości.

Na czym polega stosowanie fałszywych nadawców

Stosowanie fałszywych nadawców, określane także jako spoofing nadawcy, polega na przedstawieniu wiadomości w taki sposób, aby wyglądała na wysłaną przez inną osobę, firmę albo usługę niż ta, która faktycznie ją nadała. Oszust może zmienić nazwę wyświetlaną przy adresie, pole From w nagłówku poczty elektronicznej albo adres używany jako nadawca koperty SMTP. Sam widok wiadomości w programie pocztowym nie zawsze pokazuje pełną drogę jej dostarczenia, dlatego pozornie wiarygodna nazwa nie jest dowodem autentyczności.

Fałszywy nadawca może być wykorzystany do zwiększenia wiarygodności wiadomości phishingowej, nakłonienia do otwarcia załącznika, przekierowania na stronę logowania albo skłonienia do odpowiedzi na spreparowany adres. Czasami oszust stosuje adres bardzo podobny do prawdziwego, na przykład zmienia jedną literę w nazwie domeny. Innym wariantem jest użycie prawdziwej nazwy osoby w polu wyświetlanym przez klienta pocztowego, przy jednoczesnym zastosowaniu zupełnie innego adresu e-mail.

Pola nagłówka, które mogą wprowadzać w błąd

Wiadomość e-mail zawiera wiele pól technicznych, ale nie wszystkie pełnią tę samą funkcję. Pole From wskazuje adres widoczny dla odbiorcy jako nadawca wiadomości. Pole Reply-To może określać adres, na który program pocztowy skieruje odpowiedź po użyciu przycisku „Odpowiedz”. Jeżeli te adresy są różne, odpowiedź może trafić do innej skrzynki niż sugeruje nazwa nadawcy. Z kolei Return-Path odnosi się do adresu używanego przy obsłudze zwrotek i jest ustalany w trakcie dostarczania wiadomości.

Warto również zwrócić uwagę na nagłówki Received. Serwery pocztowe dopisują je kolejno podczas przekazywania wiadomości, dzięki czemu można prześledzić deklarowaną trasę przesyłki od serwera odbiorcy wstecz. Pojedynczy nagłówek nie zawsze wystarcza do oceny autentyczności, ponieważ część informacji może zostać ustawiona przez nadawcę, ale nagłówki dodane przez zaufany serwer odbiorczy są cennym materiałem diagnostycznym. W programie pocztowym należy użyć funkcji wyświetlenia pełnych nagłówków, a nie ograniczać się do skróconego widoku wiadomości.

SPF, DKIM i DMARC jako mechanizmy weryfikacji

Weryfikacja nadawcy nie opiera się wyłącznie na tekście widocznym w wiadomości. SPF, czyli Sender Policy Framework, pozwala domenie opublikować w systemie DNS informację o serwerach uprawnionych do wysyłania poczty dla określonej domeny. Serwer odbiorczy może porównać adres IP serwera wysyłającego z takim wpisem. Wynik SPF dotyczy jednak określonej tożsamości technicznej, zwykle związanej z adresem koperty SMTP, więc sam pozytywny wynik SPF nie przesądza jeszcze, że użytkownik widoczny w polu From jest prawdziwy.

DKIM, czyli DomainKeys Identified Mail, wykorzystuje podpis kryptograficzny do potwierdzenia, że wybrane elementy wiadomości nie zostały zmienione po podpisaniu oraz że podpis został utworzony z użyciem domeny wskazanej w podpisie. Klucz publiczny jest publikowany w DNS. DMARC łączy ocenę SPF i DKIM z domeną widoczną w polu From, a następnie określa politykę postępowania z wiadomościami, które nie przechodzą wymaganych kontroli. Możliwe wyniki obejmują między innymi akceptację, oznaczenie jako podejrzanej albo odrzucenie, zależnie od konfiguracji domeny i serwera odbiorczego.

Brak błędu SPF, DKIM lub DMARC nie oznacza automatycznie, że wiadomość jest bezpieczna. Oszust może wysłać ją z legalnie działającej, lecz przejętej skrzynki albo z własnej domeny. Dlatego trzeba jednocześnie sprawdzać dokładny adres, domenę linku, zgodność treści z oczekiwanym kontekstem oraz żądania dotyczące haseł, płatności i plików.

Bezpieczna ocena podejrzanej wiadomości

Podczas oceny wiadomości należy najpierw rozwinąć informacje o nadawcy i porównać nazwę wyświetlaną z pełnym adresem e-mail. Następnie można sprawdzić pole Reply-To, domenę odnośników oraz podstawowe wyniki uwierzytelniania widoczne w szczegółach wiadomości. Nie należy klikać linku tylko po to, aby sprawdzić jego cel. Bezpieczniej odczytać adres po najechaniu kursorem, a w razie potrzeby ręcznie wpisać znany adres serwisu w przeglądarce.

Typowymi sygnałami ostrzegawczymi są pilny ton, żądanie natychmiastowej płatności, prośba o podanie hasła, nietypowy załącznik, błędna domena oraz prośba o zmianę numeru rachunku lub danych kontaktowych. Jeżeli wiadomość dotyczy konkretnej osoby albo firmy, autentyczność należy potwierdzić niezależnym kanałem, na przykład przez znany wcześniej numer telefonu. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów z oprogramowaniem oraz objawów wskazujących na działanie podejrzanych wiadomości lub programów.