Falešný email „Podpory PayPalu" může projít každou kontrolou bezpečnosti, které vám řekli, že věřit

Ano, falšovaný email se může ohne problémů dostat přes DMARC, když řádek Od zní „PayPal Support" nebo „Chase Fraud Department." Tři protokoly, které všichni citují jako důkaz, že je email skutečný — SPF, DKIM, DMARC — ověřují pouze doménu odesílatele a kryptografický podpis. Zobrazované jméno, ta část čitelná lidským okem, kterou se podíváte jako první, se nikdy neověřuje. Odznak důvěry chrání pole, na které se nikdo nedívá.

Může falšovaný email opravdu projít DMARC s falešným zobrazovaným jménem?

Může, a důvod je zakódovaný v samotném standardu. RFC 7489, specifikace DMARC, výslovně uvádí, že se týká pouze domény v hlavičce „RFC5322.From" — části za znakem @. Neříká nic o zobrazovaném jméně, volně formátovaném popisku, který se objevuje před adresou. Takže útočník, který kontroluje běžnou doménu jako support-team-alerts.com, správně nastaví záznamy SPF a DKIM a pošle zprávu z adresy billing@support-team-alerts.com, získá čistý DMARC pass. Stačí, aby nastavil zobrazované jméno na „PayPal Service." Technicky dokonalé ověření. Zcela nečestná prezentace.

Poté si to zhorší většina poštovních klientů. Telefony obzvláště zobrazují popisek a adresu zcela skryjí, dokud ji nezatáhnete. Vidíte „PayPal Service"; skutečná adresa support-team-alerts.com se skrývá za šipkou, na kterou nikdy nekliknete.

Co DMARC vlastně kontroluje?

DMARC kontroluje, že doména v hlavičce Od se shoduje s doménou, kterou odesílatel smí používat — a nic více. SPF potvrzuje, že IP odesílacího serveru je na seznamu schválených domén. DKIM přidá kryptografický podpis vázaný na doménu. Práce DMARC je „soulad": zajišťuje, že se doména ověřená pomocí SPF nebo DKIM shoduje s viditelnou doménou Od, takže nemůžete projít ověřením jako evil.com a zároveň se vydávat za paypal.com.

To je skutečně užitečné. Proto se přímé vydávání se za velké značky stalo těžším, a proto Google a Yahoo začaly požadovat DMARC pro hromadné odesílatele v únoru 2024. Ale M3AAWG, průmyslová skupina, která píše pokyny pro ověřování odesílatele, jasně říká, že tyto protokoly ověřují doménu, nikoli záměr nebo formulaci. Obálka může být skutečná, zatímco zpráva je lež.

Proč se zobrazované jméno vyhne kontrole?

Protože email byl vytvořen předtím, než si kdokoliv představoval, že by se jím mohly pohybovat peníze, a zobrazované jméno bylo navrženo tak, aby bylo přátelské, ne ověřené. Je to zdvořilostní popisek. Neexistuje žádný registr toho, kdo se může nazývat „Apple Billing," žádná kontrola proti ochranným známkám, nic. Můžete si ho nastavit na jméno papeže. Poštovní standardy s ním zachází jako s ozdobou, takže ověřovací kroky jej prostě přeskočí.

Takto funguje i rostoucí kategorie podvodů: falšování zobrazovaného jména spolu s věrohodně vypadající napodobitelnou doménou. Internet Crime Complaint Center FBI zaznamenal přes 2,9 miliardy dolarů ztrát na podvodech na obchodní emaily v roce 2023 — a BEC se velmi spolehá právě na tento trik, důvěryhodně vypadající jméno nad adresou, kterou cíl nikdy pečlivě nezkontroluje. Protokoly všechny prošly. Peníze stále odešly.

Jak teď vlastně čtete řádek Od?

Přestaňte číst jméno a čtěte adresu. Na počítači najeďte nebo klikněte pro rozšíření úplné adresy user@domain a položte si jednu otázku: je to doména, kterou skutečná společnost používá, písmeno za písmenem? PayPal posílá z paypal.com, ne z paypal-secure.net nebo service-paypal.com. Na mobilním zařízení klikněte na odesílatele pro odhalení adresy předtím, než kliknete na cokoliv jiného.

Poté druhá kontrola: oslovila by vás tato organizace obecným pozdravem a tlačila vás na odkaz pro přihlášení místo požadavku, který jste nečekali? To je ta část, kterou žádná hlavička neověřuje. Zde také AI filtrování vydělává — nástroje jako detekce podvodů xmail porovnávají zobrazované jméno s ověřenou doménou a upozorňují na neshodu místo toho, aby věřily popisku, kterému věří vaše oko. DMARC pass vám řekne, že doména je tím, za co se vydává. Nikdy vám neřekl, že jméno bylo.