read receipts
একটি জাল 'PayPal Support' ইমেল আপনাকে যা বিশ্বাস করতে বলা হয়েছে সেই প্রতিটি সিকিউরিটি চেক পাস করতে পারে
SPF, DKIM এবং DMARC আপনি যা কখনো দেখেন না তার সেই অংশটি রক্ষা করে — এবং আপনি যা আসলে পড়েন সেই নামটি সম্পূর্ণভাবে খোলা রেখে যায়।
হ্যাঁ, একটি জাল ইমেল DMARC এর মধ্য দিয়ে সহজে যেতে পারে যখন From লাইনে "PayPal Support" বা "Chase Fraud Department" লেখা থাকে। যে তিনটি অক্ষরের প্রোটোকল সবাই প্রমাণ হিসেবে উদ্ধৃত করে যে একটি ইমেল আসল — SPF, DKIM, DMARC — তারা শুধুমাত্র পাঠানোর ডোমেইন এবং ক্রিপ্টোগ্রাফিক স্বাক্ষর যাচাই করে। ডিসপ্লে নাম, সেই মানুষ-পড়ার মতো বিট যা আপনার চোখ প্রথমে পড়ে, কখনো চেক করা হয় না। ট্রাস্ট ব্যাজ সেই ফিল্ডটি রক্ষা করে যেটি কেউ তাকিয়ে দেখে না।
একটি জাল ডিসপ্লে নামের সাথে সত্যিই একটি জাল ইমেল DMARC পাস করতে পারে?
এটি পারে, এবং কারণটি স্ট্যান্ডার্ডে বোনা আছে। RFC 7489, DMARC স্পেসিফিকেশন, স্পষ্টভাবে বলে যে এটি শুধুমাত্র "RFC5322.From" হেডারে ডোমেইন সম্পর্কে উদ্বিগ্ন — @ চিহ্নের পরের অংশ। এটি ডিসপ্লে নামের বিষয়ে কিছু বলে না, সেই মুক্ত-পাঠ্য লেবেল যা ঠিকানার আগে আসে। তাই একজন আক্রমণকারী যিনি support-team-alerts.com এর মতো একটি সাধারণ ডোমেইন নিয়ন্ত্রণ করেন, সঠিক SPF এবং DKIM রেকর্ড সেট করেন, এবং billing@support-team-alerts.com থেকে পাঠান তিনি একটি পরিষ্কার DMARC পাস পাবেন। তারা শুধু ডিসপ্লে নাম "PayPal Service" এ সেট করেন। প্রযুক্তিগতভাবে নিখুঁত প্রমাণীকরণ। সম্পূর্ণ অসৎ উপস্থাপনা।
বেশিরভাগ মেইল ক্লায়েন্ট তারপর এটি আরও খারাপ করে তোলে। ফোনগুলি বিশেষভাবে বন্ধুত্বপূর্ণ নাম দেখায় এবং ঠিকানা সম্পূর্ণভাবে লুকিয়ে রাখে যতক্ষণ না আপনি এটিতে ট্যাপ করেন। আপনি "PayPal Service" দেখেন; আসল support-team-alerts.com একটি chevron এর পেছনে বসে থাকে যা আপনি কখনো প্রেস করবেন না।
তাহলে DMARC আসলে কী পরীক্ষা করছে?
DMARC পরীক্ষা করে যে From হেডারে ডোমেইন একটি ডোমেইনের সাথে মিলিত হয় যা পাঠানোর জন্য অনুমোদিত — এবং এর বেশি কিছু নয়। SPF পাঠানো সার্ভারের IP ডোমেইনের অনুমোদিত তালিকায় আছে তা নিশ্চিত করে। DKIM একটি ডোমেইনের সাথে যুক্ত একটি ক্রিপ্টোগ্রাফিক স্বাক্ষর যোগ করে। DMARC এর কাজ হল "সংযোগস্থল": এটি নিশ্চিত করে যে SPF বা DKIM যাচাই করা ডোমেইন দৃশ্যমান From ডোমেইনের সাথে মেলে, যাতে আপনি evil.com এ প্রমাণীকরণের মাধ্যমে যেতে পারেন না paypal.com হওয়ার দাবি করার সময়।
এটি সত্যিই উপকারী। এটাই কারণ বড় ব্র্যান্ডগুলির সম্পূর্ণ ডোমেইন অনুকরণ আরও কঠিন হয়ে উঠেছে, এবং কেন Google এবং Yahoo ফেব্রুয়ারি 2024 এ বাল্ক পাঠানোর জন্য DMARC প্রয়োজন করতে শুরু করেছে। M3AAWG, যে শিল্প গোষ্ঠী পাঠানো-প্রমাণীকরণ নির্দেশিকা লেখে, স্পষ্টভাবে বলে যে এই প্রোটোকলগুলি ডোমেইন প্রমাণীকরণ করে, উদ্দেশ্য বা শব্দ প্রমাণীকরণ করে না। খামটি আসল থাকতে পারে যখন বার্তা একটি মিথ্যা।
ডিসপ্লে নাম কেন একটি মুক্ত পাস পায়?
কারণ ইমেল এমন একটি সময়ে তৈরি হয়েছিল যখন কেউ কল্পনাও করেনি এটি অর্থ স্থানান্তর করবে, এবং ডিসপ্লে নাম বন্ধুত্বপূর্ণ হওয়ার জন্য ডিজাইন করা হয়েছিল, যাচাই করার জন্য নয়। এটি একটি আন্তরিকতা লেবেল। কে নিজেদের "Apple Billing" বলতে পারে তার কোনো নিবন্ধন নেই, ট্রেডমার্কের বিরুদ্ধে কোনো পরীক্ষা নেই, কিছুই নেই। আপনি আপনার নাম Pope এ সেট করতে পারেন। মেইল মান এটিকে সজ্জা হিসাবে বিবেচনা করে, তাই প্রমাণীকরণ পদক্ষেপ এটি উপেক্ষা করে।
এটিও কিভাবে বর্ধনশীল বিভাগের স্ক্যাম কাজ করে: ডিসপ্লে-নাম জালিয়াতি একটি আইনসম্মত-দেখতে অনুরূপ ডোমেইনের সাথে যুক্ত। FBI এর Internet Crime Complaint Center 2023 এ ব্যবসায়িক ইমেল সমঝোতায় 2.9 বিলিয়ন ডলারের বেশি ক্ষতি লগ করেছে — এবং BEC ঠিক এই ট্রিকটিতে ভারীভাবে নির্ভর করে, একটি বিশ্বস্ত-দেখতে নাম একটি ঠিকানার উপর লক্ষ্য কখনো যাচাই করে না। প্রোটোকল সব পাস করেছে। অর্থ এখনও বেরিয়ে গেছে।
আপনি এখন From লাইন আসলে কিভাবে পড়েন?
নাম পড়া বন্ধ করুন এবং ঠিকানা পড়ুন। ডেস্কটপে, সম্পূর্ণ user@domain প্রসারিত করতে হভার বা ক্লিক করুন এবং একটি প্রশ্ন জিজ্ঞাসা করুন: এটি কি সেই ডোমেইন যা আসল কোম্পানি ব্যবহার করে, অক্ষর অক্ষর? PayPal paypal.com থেকে পাঠায়, paypal-secure.net বা service-paypal.com থেকে নয়। মোবাইলে, অন্য কিছুতে ট্যাপ করার আগে প্রেরক প্রকাশ করতে ট্যাপ করুন।
তারপর দ্বিতীয় পরীক্ষা: এই সংস্থা কি আপনাকে একটি সাধারণ অভিনন্দনের সাথে সম্বোধন করবে এবং আপনাকে একটি প্রত্যাশাতীত চাহিদা ছাড়াই একটি লগইন লিঙ্কের দিকে ঠেলে দেবে? এটি সেই অংশ যা কোনো হেডার যাচাই করে না। এটিও যেখানে AI ফিল্টারিং এর মূল্য প্রমাণিত হয় — xmail এর স্ক্যাম ফ্ল্যাগিং এর মতো সরঞ্জামগুলি প্রমাণীকৃত ডোমেইনের বিপরীতে ডিসপ্লে নাম তুলনা করে এবং ভুল মিল পৃষ্ঠ করে, আপনার চোখ যেভাবে বন্ধুত্বপূর্ণ লেবেল বিশ্বাস করে সেভাবে বিশ্বাস না করে। একটি DMARC পাস আপনাকে বলে ডোমেইন যা বলে। এটি কখনো আপনাকে বলেনি নাম ছিল।
সূত্র
- RFC 7489 (DMARC) — IETF specification; defines what DMARC authenticates
- M3AAWG Sender Authentication guidance — industry guidance on SPF/DKIM/DMARC scope
- FBI IC3 2023 Internet Crime Report — $2.9B in BEC losses
- Google bulk sender requirements — DMARC required for bulk senders from Feb 2024